Od długiego czasu zasypywani jesteśmy mailami czy sms-ami których nie chcemy otrzymywać i nie wyrażaliśmy zgody na ich przesyłanie.

Często jest tak, że pod linkiem „unsuscribe” nie ma linku wymuszającego usunięcie naszych danych a jest strona internetowa i formularz zamówienia. Odpisujemy na sms-y a tam automat zaczyna z nami zabawę. Zdarza się również twierdzenie „wylosowania numeru telefonu do kontaktu” i wciskanie zaproszeń na niechciane pokazy….

Co z tym w takim razie zrobić? Ja ze swojej strony przesyłam skargi do UODO które można przesłać chociażby przez e-PUAP załączając screeny i prosząc o podjęcie interwencji. Pod każdym takim działaniem kryje się bowiem firma/człowiek, trzeba go tylko namierzyć. Każda strona ma swój adres, numer telefonu swojego operatora.

Niekiedy słyszę – zablokuj, usuń. Tak, tylko to niczego nie zmieni. Im więcej sygnałów będzie wysyłanych przez konsumentów tym szybciej organ UODO pozna skale problemu i zareaguje.

Przykładów mogłabym podawać wiele:

• PZU przesłało mi sms z informacją o rzekomo kończącej się polisie na nr rej auta którego nigdy nie miałam – zadzwoniłam do PZU na infolinię – Pani standardowo „proszę podać numer pesel” – odpowiedziałam, że nie muszę. Maja Państwo mój numer telefonu, wysłali mi Państwo cudzy numer rejestracyjny – te dwie dane pani wystarczą. Oczywiście Pani oponowała dalej wymuszając podanie numeru pesel. Zakończyło się zgłoszeniem do UODO i usunięciem z bazy mojego numeru o czym poinformował mnie IOD PZU.
• firma ClickQuickNow Sp. z o.o. otrzymała karę finansową opiewającą na kwotę 201.559,50 PLN – za co? za to, że wysyłała maile, których wysyłki nie można było zapobiec – unsuscribe nie pozwalało na wysłanie wyraźnego komunikatu – po kasowaniu 50 maili dziennie z kilku adresów e-mail, ja również wysłałam pismo.

i tu zatrzymałabym się na chwile, bowiem:

Spółka pozyskiwała i przetwarzała dane osobowe w celu wysyłania drogą elektroniczną różnego rodzaju materiałów handlowych i marketingowych. Podstawą była zgoda tych osób. W myśl art. 7 ust. 3 RODO wycofanie zgody musi być równie łatwe jak jej wyrażenie.W ocenie Prezesa UODO wprowadzony przez firmę mechanizm odwoływania zgody naruszał wyżej wskazany przepis, gdyż spółka bez podstawy prawnej uzależniała wycofanie zgody od podania przyczyn, dla których dana osoba rezygnuje. Powodowało to przy tym mylne przekonanie u subskrybenta, że skutecznie odwołał zgodę, podczas gdy firma zamiast usunąć dane zgodnie z „prawem do bycia zapomnianym” w dalszym ciągu je przetwarzała. Procedura odwołania zgody przyjęta przez ukaraną spółkę naruszała zasady przejrzystości i rzetelności, o których mowa w np. 5 ust. 1 lit. a RODO

Dodatkowo organ nadzorczy uznał, iż spółka dopuściła się naruszenia art. 24 ust. 1 RODO ponieważ nie zastosowała odpowiednich środków technicznych i organizacyjnych umożliwiających osobie, której dane dotyczą skuteczne skorzystanie z jej praw, np. prawa do wycofania zgody.

Obserwując zatem działania różnych podmiotów w sztuczny sposób niepozwalający nam na usuwanie naszych danych czy to w postaci numeru telefonu, adresu e-mail, imienia i nazwiska należałoby przypomnieć o kilku zasadach:

Pierwsza – zakłada przyznanie grzywny w wysokości do 10 milionów euro lub 2% rocznego obrotu przedsiębiorstwa. Uchybienia, za które nakładany jest ten pułap kary, to na przykład:

• przetwarzanie danych osobowych osób nieletnich bez zgody ich rodziców lub opiekunów (art. 8);
• nieprzestrzeganie zasady privacy by design, czyli takiego planowania procesów przetwarzania danych osobowych, aby od początku zapewniały one ich bezpieczeństwo i poufność (art. 25);
• brak rejestru czynności przetwarzania, zawierającego informacje takie jak dane administratora danych, cel przetwarzania, techniczne i organizacyjne środki bezpieczeństwa i inne (art. 30);
• zaniedbanie bezpieczeństwa przetwarzania danych osobowych (art. 32);
• niezgłoszenie naruszeń organowi nadzorczemu lub niepowiadomienie osoby, której dane dotyczą (art. 33 i 34);
• brak wyznaczenia inspektora ochrony danych — jeśli jest taka konieczność (art. 37).

Drugi próg kar – do 20 milionów euro lub 4% rocznego obrotu firmy – przyznawany jest za dopuszczenie się poniższych naruszeń:

• nieprzestrzeganie podstawowych zasad przetwarzania danych osobowych (art. 5);
• brak podstawy prawnej pozwalającej na gromadzenie i przetwarzanie danych osobowych (art. 6);
• nieuzyskanie zgody od osoby na przetwarzanie jej danych lub uniemożliwienie jej wycofania w dowolnym momencie (art. 7);
• przetwarzanie szczególnych kategorii danych osobowych — np. pochodzenie rasowe, etniczne, przekonania religijne, poglądy polityczne i pozostałe (art. 9);
• ukrywanie informacji o celu przetwarzania danych, fakcie przekazywania ich innym podmiotom (art. 12);
• niespełnienie obowiązku informacyjnego wobec osoby, której dane są przetwarzane (art. 13 do 15);
• uniemożliwienie skorzystania z “prawa do bycia zapomnianym” — prawa do żądania usunięcia wszystkich przechowywanych przez administratora danych osobowych (art. 17);
• naruszenia w zakresie przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych (rozdział V);
• naruszenia w kwestii przetwarzania danych osobowych a swobody wypowiedzi, dostępu do dokumentów urzędowych, rekrutacji itp. (rozdział IX).

W przypadku gdyby dany podmiot dopuścił się kilku naruszeń, kara finansowa przyjmuje wysokość grzywny za najpoważniejsze z nich.

Im więcej osób będzie zgłaszało nieprawidłowości do UODO tym mniej będzie takich sytuacji, kiedy to dziennie usiłujemy usunąć kilkanaście niechcianych maili, odbieramy kilka niechcianych telefonów czy otrzymujemy wiadomości zasypujące nasz telefon.