El Tribunal Supremo Administrativo desestimó ayer el recurso de casación de la empresa Bisnode* (ahora Dun & Bradstreet) contra la sentencia del Tribunal Administrativo del Voivodato de Varsovia.
Después de más de cuatro años, el caso relacionado con la imposición de la primera multa por parte de la autoridad supervisora polaca tiene su final. Este es el tiempo que se ha tardado en imponer una multa de algo más de 943 000 zlotys a Bisnode, que obtuvo datos de registros públicos de acceso público, pero no informó a las personas cuyos datos trató. Como consecuencia, esas personas ni siquiera sabían que el responsable del tratamiento estaba tratando sus datos personales y, por tanto, no podían ejercer sus derechos, por ejemplo, a la rectificación de los datos o a oponerse a su ulterior tratamiento.
Este caso suscitó grandes emociones desde el principio. Algunos acusaron a la Oficina de Protección de Datos Personales de golpear con esta decisión a los corredores de datos, dedicados a la obtención y tratamiento de datos para su reventa. Sin embargo, la UODO no cuestionó la obtención de datos de registros públicos disponibles per se, sino que, tras llevar a cabo un procedimiento administrativo, constató que la empresa no informó a la gran mayoría de las personas cuyos datos había obtenido sobre el hecho de que se había convertido en responsable del tratamiento de sus datos y sobre cómo pensaba seguir tratándolos. Sólo recibieron esa información las personas cuyas direcciones de correo electrónico obraban en poder de la empresa.
En opinión de la Oficina de Protección de Datos Personales, una empresa que obtiene datos personales de registros públicos de acceso público (por ejemplo, el Registro Judicial Nacional [KRS], el Registro Central de Información y Registro de Empresas [CEIDG], el Registro Mercantil Nacional [REGON]) debe cumplir la obligación de información en relación con estas personas establecida en el artículo 14 del GDPR, es decir, el Reglamento General de Protección de Datos, facilitando directamente la información al interesado.
La empresa recurrió esta decisión ante el Tribunal Administrativo del Voivodato de Varsovia, que dio parcialmente la razón a la autoridad (Ref. nº II SA/Wa 1030/19). El Tribunal sostuvo que la empresa estaba obligada a cumplir la obligación de información prevista en el artículo 14 del RGPD, pero únicamente en relación con las personas que estuvieran ejerciendo activamente una actividad económica o la hubieran suspendido en el momento de la emisión de la decisión. Sin embargo, la decisión de la UODO no se refería únicamente a estas personas, sino también a las personas que habían ejercido dicha actividad en el pasado, y el Tribunal Administrativo del Voivodato anuló la decisión en lo que respecta a la orden de cumplir con la obligación de información en relación con este grupo de personas. Dado que el número de personas cuyos derechos habían sido vulnerados influía en la cuantía de la multa, el Tribunal también anuló la decisión en la parte relativa a la imposición de una multa administrativa.
El Tribunal señaló, en particular, que en el contexto de la circunstancia planteada por la empresa en su reclamación en cuanto a la falta de direcciones actualizadas de las personas físicas que fueron empresarios individuales en el pasado (habían cesado en su actividad), las conclusiones de la autoridad en cuanto a la posibilidad de cumplir la obligación de proporcionar a dichas personas la información pertinente requerirían conclusiones previas en cuanto a la conformidad del tratamiento (almacenamiento, uso, divulgación, acceso) de dichos datos con el Derecho de la UE, es decir, el GDPR. Dado que la empresa alega que no dispone de direcciones actualizadas de las personas físicas cuyos datos trata, debe tenerse en cuenta que el GDPR exige, en particular, que los datos personales se traten de forma lícita, leal y transparente en relación con el interesado, y que sean exactos y, en su caso, se mantengan actualizados. En opinión del Tribunal, lo anterior está estrechamente relacionado con la obligación de información y la autoridad, al reconsiderar el caso, estará obligada a tener en cuenta estas indicaciones del Tribunal.
Sin embargo, la empresa interpuso un recurso de casación contra esta sentencia, subrayando que no tenía que cumplir la obligación de información mediante correspondencia tradicional o llamadas telefónicas debido a la exención de esta obligación por «esfuerzo desproporcionado». Sin embargo, el Tribunal Supremo Administrativo confirmó la corrección de la posición presentada en la decisión del Presidente de la Oficina de Protección de Datos Personales, así como en la sentencia del Tribunal Administrativo de Voivodato, según la cual la empresa debía cumplir la obligación de información en relación con las personas que ejercen una actividad económica cuyos datos obtuvo. El Tribunal Supremo Administrativo subrayó que, con arreglo al RGPD, la transparencia del tratamiento es una norma y que cualquier excepción a esta norma, incluida la excepción relativa a la exención de la obligación de informar a las personas debido a un «esfuerzo desproporcionado», debe interpretarse de forma restrictiva y, por regla general, debe aplicarse al tratamiento de datos con fines públicos, en particular con fines estadísticos, de investigación, archivísticos o históricos.
Actualmente, el Presidente de la Oficina de Protección de Datos Personales está obligado a reconsiderar el asunto en el ámbito en el que el Tribunal anuló la decisión administrativa, es decir, en el ámbito relativo al tratamiento de datos de personas que ejercieron una actividad económica en el pasado y en el ámbito del importe de la multa administrativa impuesta.