Následovalo několik měsíců marné komunikace, ve které subjekt údajů uplatňoval svá práva dle GDPR: vznesl námitku proti zpracování, požádal o přístup k údajům (článek 15) a následně o jejich úplný výmaz. Správce údajů reagoval nejasně, odkazoval na třetí strany a své povinnosti nesplnil.

Frustrovaný klient se obrátil na polský Úřad pro ochranu osobních údajů (UODO). Ten správci udělil varování za hrubé porušení pravidel: zpracovával data bez právního základu (čl. 6 GDPR) a porušil zásady omezení účelu a uložení (čl. 5). Úřad také shledal, že informace poskytnuté v reakci na žádost o přístup byly nesprávné a neúplné, čímž správce porušil článek 15 GDPR.

Toto rozhodnutí úřadu se stalo klíčovým důkazem v následné žalobě na náhradu nemajetkové újmy. Soud konstatoval, že konečné zjištění dozorového úřadu o protiprávnosti je pro soud závazné. „Důkazní břemeno, že zpracování mělo legální základ, leželo na žalovaném. Ten jej neunesl,“ uvedl soud. Přestože šlo o přesné údaje o finančních závazcích, jejich zpracování po vznesení námitky a bez právního titulu porušilo žalobcovo právo na soukromí chráněné občanským zákoníkem.

„Rozhodnutí jasně ukazuje, že GDPR není jen o pokutách od úřadů. Otevřeně posiluje pozici jednotlivce, který se může domáhat přímé a citelné náhrady za systémové pošlapání jeho práv,“ komentoval případ český právní expert na ochranu údajů. „Ignorovat opakovanou stopku od občana se firmě může prodražit více než jen pokuta.“

Soud přiznal požadovaných 3 000 PLN jako přiměřenou náhradu za nemajetkovou újmu, zohledňující délku a povahu zásahu. Zároveň nařídil společnosti vydat písemnou omluvu. Její obsah musí být stručný a jasný, omezený na uznání konkrétního porušení, aniž by zveřejňoval další citlivé údaje poškozeného.

ZDROJ: gdprhub.eu