Czy firma marketingowa, która kupiła bazę danych osobowych od innego podmiotu, powinna powiadomić każdą osobę o tym, że przetwarza jej dane?
| Podmiot udostępniający: | Zespół Rzecznika Prasowego Biura GIODO | |
| Wytworzył informację: | Małgorzata Kałużyńska-Jasak | 2010-02-12 |
| Wprowadził‚ informację: | Rafał Kreusch | 2010-02-12 15:22:34 |
| Ostatnio modyfikował: | 2013-11-28 12:56:59 | |
Odpowiedź
Tak, gdyż zobowiązują ją do tego przepisy ustawy o ochronie danych osobowych.
Uzasadnienie
Zgodnie z art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o: adresie swojej siedziby i pełnej nazwie (imieniu nazwisku, miejscu zamieszkania – w przypadku gdy administratorem jest osoba fizyczna); celu i zakresie zbierania danych, a w szczególności o tym komu zostały one przekazane; źródle danych; prawie dostępu do treści swoich danych oraz ich poprawiania, a także o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8. Do tych uprawnień zalicza się prawo do wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania danych osobowych ze względu na szczególną sytuację (pkt 7) oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych (pkt 8). Spełnienie obowiązku informacyjnego wiąże się z przekazaniem osobie, której dane dotyczą, pewnych informacji, istotnych ze względu na to, aby mogła skorzystać z przysługujących jej uprawnień, np. wspomnianego prawa do wniesienia sprzeciwu wobec przetwarzania jej danych, czy ewentualnej skargi na administratora danych.
Niewykonanie obowiązku powiadomienia ustanowionego w art. 25 ustawy podlega natomiast odpowiedzialności karnej, bowiem na podstawie art. 54 ustawy, osoba, która - administrując zbiorem danych - nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w niniejszej ustawie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. W tym miejscu przytoczyć należy stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie, który w wyroku z dnia 22 stycznia 2004 r. (sygn. akt II SA 2665/2002) wskazał, że: „Firma, która nabyła zbiór danych osobowych od innego administratora danych, powinna powiadomić klientów, że posiada ich dane, oraz dać im czas, aby mieli szansę wnieść sprzeciw na ich przetwarzanie do celów marketingowych. Niedotrzymanie tych warunków łamie przepisy o ochronie danych osobowych.”