Bisnode RODO: dowody w postępowaniu sądowym w praktyce prawnej

Sprawa spółki Bisnode (obecnie działającej pod marką Dun & Bradstreet) przeciwko Prezesowi Urzędu Ochrony Danych Osobowych (PUODO) to bez wątpienia jeden z najważniejszych kamieni milowych w historii stosowania Ogólnego Rozporządzenia o Ochronie Danych (RODO) w Polsce i całej Unii Europejskiej. Spór ten dotyczył fundamentalnego pytania: jak daleko sięga obowiązek informacyjny administratora, który pozyskuje dane z publicznie dostępnych rejestrów, takich jak CEIDG czy KRS? Wyroki Wojewódzkiego Sądu Administracyjnego w Warszawie oraz Naczelnego Sądu Administracyjnego w tej sprawie ukształtowały nie tylko interpretację przepisów o ochronie danych, ale również zasady prowadzenia postępowania dowodowego w sprawach o naruszenie RODO. W praktyce prawnej kluczowe znaczenie ma to, jakich dowodów należy użyć przed sądem i organem nadzorczym, aby skutecznie bronić swoich racji.

Istota sporu: Obowiązek informacyjny a rejestry publiczne

Punktem wyjścia w sprawie Bisnode była decyzja Prezesa UODO z marca 2019 roku. Organ nadzorczy nałożył wówczas na spółkę karę finansową w wysokości ponad 943 tysięcy złotych za niewypełnienie obowiązku informacyjnego określonego w art. 14 RODO wobec osób fizycznych prowadzących jednoosobową działalność gospodarczą (JDG) oraz osób, które taką działalność zawiesiły lub zamknęły.

Spółka pozyskała dane tych osób z publicznych rejestrów w celach komercyjnych (bazy danych marketingowych, raporty gospodarcze). Spełniła ona obowiązek informacyjny jedynie wobec tych osób, do których posiadała adres e-mail. Wobec pozostałych osób (ponad 5,7 miliona przedsiębiorców), w przypadku których dysponowała jedynie adresem korespondencyjnym lub numerem telefonu, spółka zaniechała bezpośredniego kontaktu. Powołała się przy tym na art. 14 ust. 5 lit. b RODO, twierdząc, że udzielenie takich informacji wymagałoby niewspółmiernie dużego wysiłku. Koszt wysłania tradycyjnych listów rejestrowanych oszacowano na kilkanaście milionów złotych, co zdaniem spółki zagrażało jej płynności finansowej.

Stanowisko organu nadzorczego

Prezes UODO nie podzielił argumentacji spółki. Organ uznał, że wysoki koszt operacyjny nie może automatycznie zwalniać z realizacji podstawowych praw osób, których dane dotyczą. Zdaniem PUODO, administrator posiadający adresy pocztowe był zobowiązany do wysłania tradycyjnej korespondencji, a zaniechanie tego działania stanowiło rażące naruszenie zasad przejrzystości i rzetelności przetwarzania danych.

Dowody w postępowaniu przed organem i sądem administracyjnym

W sprawach dotyczących nałożenia administracyjnych kar pieniężnych za naruszenie RODO, ciężar dowodu (onus probandi) rozkłada się w sposób szczególny. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO), to na administratorze spoczywa obowiązek wykazania, że przetwarza dane zgodnie z prawem. W kontekście sprawy Bisnode oznacza to, że podmiot powołujący się na wyjątek od obowiązku informacyjnego musi ten fakt precyzyjnie udowodnić.

Jakie dowody mają kluczowe znaczenie?

W praktyce postępowań przed Prezesem UODO oraz sądami administracyjnymi (WSA i NSA), kluczową rolę odgrywają następujące środki dowodowe:

Analizy finansowe i kosztorysy: Szczegółowe wyliczenia kosztów związanych z wysyłką tradycyjnych listów (np. oferty operatorów pocztowych, koszty wydruku, kopertowania, obsługi logistycznej). Dowód ten ma wykazać, że koszty te są obiektywnie nadmierne w stosunku do skali działalności i przychodów podmiotu.
Analizy techniczne i organizacyjne: Dokumenty wykazujące brak technicznych możliwości pozyskania innych danych kontaktowych (np. adresów e-mail) w sposób automatyczny lub masowy.
Statystyki bazy danych: Dokładna struktura posiadanych danych (podział na rekordy zawierające e-mail, telefon, wyłącznie adres fizyczny).
Dowody na podjęcie działań alternatywnych: Wykazanie, że administrator podjął inne środki w celu ochrony praw osób, których dane dotyczą, np. opublikował czytelne i łatwo dostępne informacje na swojej stronie internetowej (tzw. realizacja obowiązku w sposób publiczny).

Ewolucja stanowiska sądów: Wyrok WSA i NSA

Sprawa trafiła przed Wojewódzki Sąd Administracyjny w Warszawie, który w wyroku z grudnia 2019 r. (sygn. akt II SA/Wa 1030/19) częściowo uchylił decyzję Prezesa UODO. Sąd dokonał istotnego rozróżnienia na dwie grupy osób:

Przedsiębiorcy aktywnie prowadzący działalność: W stosunku do nich sąd uznał, że administrator powinien dołożyć starań, aby spełnić obowiązek informacyjny, jednakże należy badać realne możliwości i koszty.
Przedsiębiorcy, którzy zawiesili lub zamknęli działalność: W ich przypadku sąd uznał, że nakładanie obowiązku wysyłania listów byłoby rzeczywiście niewspółmiernie dużym wysiłkiem, zwłaszcza że dane te mogą być już nieaktualne, a cel przetwarzania (np. ocena wiarygodności płatniczej aktywnego podmiotu) staje się bezprzedmiotowy.

Naczelny Sąd Administracyjny w późniejszym wyroku podtrzymał linię, zgodnie z którą pojęcie "niewspółmiernie dużego wysiłku" nie może być oceniane wyłącznie przez pryzmat kosztów finansowych, ale koszty te stanowią bardzo istotny element tej oceny. Sąd podkreślił, że organ nadzorczy musi każdorazowo dokonać wyważenia interesów administratora oraz praw osób, których dane dotyczą.

Jak sformułować wniosek dowodowy w praktyce prawnej?

Jeżeli reprezentujesz administratora danych osobowych w sporze z organem nadzorczym lub przed sądem, kluczem do sukcesu jest prawidłowe sformułowanie wniosków dowodowych. Poniżej przedstawiamy praktyczny schemat, jak powinien wyglądać taki wniosek w piśmie procesowym.

Wzór struktury wniosku dowodowego

Wniosek dowodowy powinien precyzyjnie wskazywać fakty, które mają zostać wykazane, oraz środek dowodowy. Przykładowo:

"Na podstawie art. 75 § 1 Kodeksu postępowania administracyjnego w zw. z art. 14 ust. 5 lit. b RODO, wnoszę o dopuszczenie i przeprowadzenie dowodu z dokumentu w postaci: Analizy Kosztów Operacyjnych z dnia [data] r., na okoliczność wykazania, że realizacja indywidualnego obowiązku informacyjnego drogą pocztową wobec [liczba] osób fizycznych wiązałaby się z kosztem przekraczającym roczny budżet operacyjny spółki, co stanowi niewspółmiernie duży wysiłek w rozumieniu przepisów RODO i uzasadniało zastosowanie środków alternatywnych."

Najczęstsze błędy dowodowe administratorów

Wielu przedsiębiorców przegrywa spory z PUODO nie dlatego, że nie mieli racji, ale z powodu błędów formalnych i dowodowych. Do najczęstszych należą:

Gołosłowne twierdzenia: Powoływanie się na "wysokie koszty" bez przedstawienia konkretnych wyliczeń, ofert handlowych od operatorów pocztowych czy opinii biegłego ds. finansów.
Brak dowodu na analizę ryzyka: Niewykazanie, że przed podjęciem decyzji o zaniechaniu wysyłki informacji przeprowadzono tzw. test równowagi (balancing test) i ocenę skutków dla ochrony danych (DPIA).
Ignorowanie wezwań organu: Nieprzedstawienie żądanych dokumentów w wyznaczonym terminie, co skutkuje uznaniem przez organ, że administrator nie posiada odpowiednich procedur.

Praktyczny przykład (Case Study)

Wyobraźmy sobie firmę "Alfa Data Sp. z o.o.", która zajmuje się analizą rynku nieruchomości. Firma ta pobiera z publicznych rejestrów dane osób fizycznych prowadzących jednoosobowe działalności gospodarcze w branży budowlanej. Baza liczy 150 000 rekordów. Firma posiada adresy e-mail tylko do 30 000 z nich.

Zamiast wysyłać 120 000 listów tradycyjnych (co przy cenie listu poleconego rzędu 6-8 zł dałoby kwotę blisko miliona złotych), zarząd spółki postanawia:

Wysłać wiadomości e-mail do 30 000 osób (spełnienie obowiązku bezpośrednio).
Dla pozostałych 120 000 osób przygotować dedykowaną podstronę internetową z pełną informacją o przetwarzaniu danych oraz uruchomić kampanię informacyjną w mediach branżowych.
Przeprowadzić i udokumentować pisemny "Test Niewspółmierności Wysiłku", w którym wykazano stosunek kosztów wysyłki listowej do rocznego zysku netto spółki (który wynosił 200 000 zł).

W przypadku kontroli Prezesa UODO, spółka "Alfa Data" dysponuje kompletem dowodów: pisemnym testem równowagi, wyciągiem z ksiąg rachunkowych potwierdzającym brak możliwości sfinansowania wysyłki masowej oraz dowodami na realizację środków alternatywnych. Taka dokumentacja drastycznie zwiększa szanse na uniknięcie kary lub jej znaczne obniżenie.

Terminy i procedury: O czym musi pamiętać pełnomocnik?

W postępowaniu przed Prezesem UODO oraz w późniejszym postępowaniu przed sądami administracyjnymi, kluczowe znaczenie mają terminy procesowe. Niedopełnienie ich może zamknąć drogę do skutecznej obrony.

Terminy przed organem (UODO)

W toku postępowania wyjaśniającego organ wyznacza zazwyczaj termin 7 lub 14 dni na ustosunkowanie się do zarzutów i przedstawienie dowodów. Jest to termin procesowy, który w uzasadnionych przypadkach może zostać przedłużony na wniosek strony, pod warunkiem że wniosek zostanie złożony przed upływem pierwotnego terminu.

Terminy przed sądami administracyjnymi

W przypadku wydania niekorzystnej decyzji przez Prezesa UODO, administratorowi przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie. Termin na wniesienie skargi wynosi 30 dni od dnia doręczenia decyzji. Skargę wnosi się za pośrednictwem Prezesa UODO.

Od wyroku WSA przysługuje skarga kasacyjna do Naczelnego Sądu Administracyjnego. Termin na jej wniesienie to 30 dni od dnia doręczenia odpisu wyroku z uzasadnieniem. Należy pamiętać o przymusie adwokacko-radcowskim – skargę kasacyjną musi sporządzić i podpisać profesjonalny pełnomocnik.

Podsumowanie i wnioski dla praktyki prawnej

Sprawa Bisnode jasno pokazuje, że obrona przed zarzutami naruszenia RODO wymaga nie tylko doskonałej znajomości przepisów prawa, ale przede wszystkim umiejętności budowania spójnej i udokumentowanej strategii dowodowej. Administratorzy danych nie mogą opierać się na intuicyjnym rozumieniu pojęć takich jak "niewspółmierny wysiłek". Każda decyzja o ograniczeniu praw osób, których dane dotyczą, musi być poparta twardymi dowodami o charakterze finansowym, technicznym i organizacyjnym, przygotowanymi jeszcze przed rozpoczęciem ewentualnej kontroli.