Czy firma marketingowa, która kupiła bazę danych osobowych od innego podmiotu, powinna powiadomić każdą osobę o tym, że przetwarza jej dane?
| Podmiot udostępniający: | Zespół Rzecznika Prasowego Biura GIODO | |
| Wytworzył informację: | Małgorzata Kałużyńska-Jasak | 2010-04-09 |
| Wprowadził‚ informację: | Robert Czapski | 2010-04-09 13:55:45 |
| Ostatnio modyfikował: | Robert Czapski | 2013-11-28 12:56:59 |
Tak, gdyż zobowiązują ją do tego przepisy ustawy o ochronie danych osobowych.
Uzasadnienie
Zgodnie z art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o: adresie swojej siedziby i pełnej nazwie (imieniu nazwisku, miejscu zamieszkania – w przypadku gdy administratorem jest osoba fizyczna); celu i zakresie zbierania danych, a w szczególności o tym komu zostały one przekazane; źródle danych; prawie dostępu do treści swoich danych oraz ich poprawiania, a także o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8. Uprawnieniami tymi są: prawo do wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania danych osobowych ze względu na szczególną sytuację (pkt 7) oraz prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych (pkt 8). Prawidłowe spełnienie omawianego obowiązku powinno polegać na przekazaniu wszystkich wyżej wskazanych informacji, a zatem także tych które pozwolą podmiotowi danych na skorzystanie z przysługujących mu uprawnień. Niewykonanie obowiązku powiadomienia ustanowionego w art. 25 ustawy podlega natomiast odpowiedzialności karnej, bowiem na podstawie art. 54 ustawy, osoba, która - administrując zbiorem danych - nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w niniejszej ustawie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Do tego zagadnienia odnosi się wyrok Wojewódzkiego Sądu Administracyjnego w Warszawiez dnia 22 stycznia 2004 r. (sygn. akt II SA 2665/2002), w uzasadnieniu którego sąd wskazał, że: „Firma, która nabyła zbiór danych osobowych od innego administratora danych, powinna powiadomić klientów, że posiada ich dane, oraz dać im czas, aby mieli szansę wnieść sprzeciw na ich przetwarzanie do celów marketingowych. Niedotrzymanie tych warunków łamie przepisy o ochronie danych osobowych.”