Upomnienie dla szkoły językowej, która zbierała dane dzieci, by przekazać ofertę rodzicom
Przedsiębiorca prowadzący szkołę językową zbierał dane dzieci, by następnie przekazać swą ofertę lekcji języka rodzicom. Prezes UODO po skardze rodzica stwierdził naruszenie RODO. Danych osobowych nie można przetwarzać powołując się na zgodę dziecka. Upomnienie UODO przedsiębiorca zaskarżył, jednak sąd tę skargę oddalił.
Przedstawiciel szkoły językowej na lekcji w szkole podstawowej wręczył uczniom, w tym córce skarżącej, formularz będący prośbą o przekazanie informacji o organizowanych przez nią kursach językowych. Dziewczynka wypełniła formularz podając imię, nazwisko, numer telefonu swój i swojej mamy oraz wskazała klasę, do której chodzi.
Przedstawiciel szkoły językowej skontaktował się telefonicznie z matką dziewczynki i chciał jej przedstawić ofertę kursów językowych. Matka spytała go, skąd ma jej dane. Usłyszała, że za zgodą dyrektora szkoły podstawowej, dzieci na lekcji wypełniły i wyraziły zgodę na przetwarzanie danych osobowych. W korespondencji z przedsiębiorcą matka zakwestionowała podstawy prawne przetwarzania danych osobowych jej oraz jej córki oraz podniosła niewypełnienie wobec niej obowiązku informacyjnego z art. 14 RODO.
Następnie matka złożyła skargę do UODO.
Prezes Urzędu Ochrony Danych Osobowych zbadał sprawę i ustalił, że:
• Przedsiębiorca uważał, że przetwarzał jedynie imię córki skarżącej, klasę i numer telefonu matki. Jednak naprawdę dysponował on szerszym zakresem danych – również informacją o konkretnej szkole, do której chodziła małoletnia, nazwiskiem dziecka i jego numerem telefonu.
• Przedsiębiorca nie wykazał, aby dysponował zgodą matki jako przedstawiciela ustawowego dziecka na przetwarzanie jego danych. W toku postępowania powołał się na art. 8 RODO, zgodnie z którym w przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku, zgodne z prawem jest przetwarzanie danych osobowych dziecka, które ukończyło 16 lat.
UODO zakwestionował te wyjaśnienia, ponieważ w chwili wyrażenia przez dziewczynkę rzekomej zgody na przetwarzanie danych, dziewczynka nie miała ukończonych 16 lat. Nie mogła więc samodzielnie wyrazić zgody na przetwarzanie swoich danych osobowych, a tym bardziej nie mogła wyrazić zgody na przetwarzanie danych osobowych swojego rodzica.
• Nadto nie można było uznać, aby zebranie danych dziecka i jego rodzica do przedstawienia oferty kursów językowych stanowiło usługę społeczeństwa informacyjnego, za jaką można by uznać dopiero świadczenie nauki języka obcego za pośrednictwem platformy e-learningowej. Dane natomiast były przetwarzane przez przedsiębiorcę w celach marketingowych, w tym w celu marketingu bezpośredniego.
• UODO uznał, że przedsiębiorca, chcąc przedstawić ofertę kursów językowych nie był w żaden sposób uprawniony do pozyskania danych osobowych od małoletniego dziecka, a czyniąc to postąpił niezgodnie z prawem i nierzetelnie. Nadto Prezes Urzędu Ochrony Danych Osobowych uznał, że przedsiębiorca w sposób niezgodny z prawem pozyskał dane skarżącej i jej córki, wobec czego stwierdził naruszenie art. 6 ust. 1 oraz art. 5 ust. 1 RODO. W ocenie organu Przedsiębiorca nie musiał pozyskiwać jakichkolwiek danych, aby przedstawić ofertę kursów językowych.
Prezes Urzędu Ochrony Danych Osobowych stwierdził również naruszenie przez Przedsiębiorcę obowiązków informacyjnych zarówno wobec dziewczynki (art. 13 RODO), jak i jej matki (art. 14 RODO). Przedsiębiorca jako administrator powinien wypełnić obowiązek informacyjny w sposób skuteczny, natomiast scedował realizację tego obowiązku informacyjnego na dziecko, poprzez wręczenie mu klauzuli informacyjnej do przekazania rodzicowi. Organ ocenił tę praktykę za niezgodną z przepisami i uznał, że nie było to skuteczne wykonanie obowiązków informacyjnych wobec matki. Natomiast w odniesieniu do małoletniej organ uznał przede wszystkim, że przedłożona jej klauzula informacyjna była nieprawidłowa, bowiem nie zawierała podstawowych informacji, wynikających z art. 13 RODO. Nadto Przedsiębiorca nie był w stanie wykazać, że dziewczyna się z nią zapoznała. Tym samym organ nadzorczy upomniał Przedsiębiorcę za naruszenie przepisów art. 13 i 14 RODO.
Przedsiębiorca skierował do WSA skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych, która wyrokiem z 19.03.2024 r. została oddalona.
Sygnatura sprawy: DS.523.6678.2022
