Jakie działanie może podjąć Generalny Inspektor Ochrony Danych Osobowych, jeśli uzna, iż doszło do złamania ustawy o ochronie danych osobowych przez bank, który przetwarzał w celach marketingowych dane osobowe swojego klienta mimo, iż ten złożył w tym celu sprzeciw?

Wówczas Generalny Inspektor Ochrony Danych Osobowych może wystąpić do administratora danych (banku) z wnioskiem o wszczęcie postępowania dyscyplinarnego wobec osoby, która jest odpowiedzialna za powstanie błędu przy przetwarzaniu danych osobowych, jak również może wydać decyzję nakazującą zaprzestanie przetwarzania danych osobowych w takim celu.

Uzasadnienie

W świetle ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (ustawy), osoba, której dane dotyczą ma prawo wniesienia sprzeciwu wobec przetwarzania jej danych w celach marketingowych (art. 32 ust. 1 pkt. 8). Gdy to uczyni dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych (np. bank) może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem.

A zatem, gdy klient banku wniesie sprzeciw wobec przetwarzania jego danych osobowych w celach marketingowych, bank powinien niezwłocznie zaprzestać przetwarzania tych danych. Należy zaznaczyć, iż – zgodnie z przepisami o ochronie danych osobowych – bank, jako administrator danych, obowiązany jest stosować takie środki techniczne i organizacyjne, aby sprzeciw był niezwłocznie odnotowany i nie doszło do dalszego przetwarzania danych po jego złożeniu. Ponadto, administrator powinien bezzwłocznie realizować prawa osób, których dane przetwarza. A zatem w sposób nie powodujący konieczności powtórnego występowania przez podmioty danych o realizację ich praw. Działanie odmienne jest bezprawne i świadczy o nierespektowaniu woli osób składających sprzeciw.

Jeśli, mimo sprzeciwu złożonego przez klienta banku, bank nadal przetwarza jego dane osobowe w celach marketingowych, to pracownicy baku – osoby winne tych uchybień, mogą zostać pociągnięte do odpowiedzialności dyscyplinarnej. Działając bowiem na podstawie art. 17 ust. 2 ustawy Generalny Inspektor Ochrony Danych Osobowych może wystąpić do administratora danych z wnioskiem o wszczęcie postępowania dyscyplinarnego wobec osoby, która jest odpowiedzialna za wykorzystanie danych osoby, która złożyła sprzeciw wobec jej przetwarzania danych osobowych w celach marketingowych. Stosownie do art. 18 ust. 1 pkt 1 ustawy GIODO może również nakazać usunięcie uchybień w procesie przetwarzania danych osobowych, tj. zaprzestanie przetwarzania danych osobowych w celu marketingowym.