Płatna infolinia do realizacji praw z RODO kosztowała Securitas Direct 100 tys. euro

Prawa, które RODO daje każdej osobie, takie jak dostęp do danych czy sprzeciw wobec ich przetwarzania, mają być łatwe do wykonania i bezpłatne. Brzmi oczywiście, ale w praktyce firmy potrafią nieświadomie postawić klientom barierę. Dobrym przykładem jest sprawa hiszpańskiej spółki Securitas Direct, którą Europejska Rada Ochrony Danych przypomniała we wrześniu 2026 r. w swoim przeglądzie krajowych decyzji.

O co chodziło w sprawie Securitas Direct

Skargę złożyło stowarzyszenie konsumentów. Dotyczyła tabliczek informujących o monitoringu wizyjnym, które umieszczała firma. Na tych tabliczkach, jako sposób skorzystania z prawa dostępu do danych i prawa sprzeciwu, wskazano numer telefonu zaczynający się od 902. W Hiszpanii to numery płatne, więc osoba, która chciała dowiedzieć się, co nagrała kamera, musiała za to zapłacić.

Hiszpański organ ochrony danych, AEPD, uznał, że taki numer nakłada na ludzi koszt i utrudnia im korzystanie z praw. Decyzja stała się ostateczna 1 lutego 2023 r., a teraz trafiła do szerszego obiegu dzięki publikacji EROD.

Kluczowe jest tu słowo „zniechęcać”. Organ nie badał, ile dokładnie kosztowała jedna rozmowa ani ile osób zrezygnowało z kontaktu. Wystarczyło stwierdzenie, że płatny numer może odstraszyć ludzi od sięgnięcia po swoje prawa. RODO wymaga, by korzystanie z nich było co do zasady bezpłatne, więc każda opłata, nawet niewielka i pośrednia, jak cena połączenia, stoi z tą zasadą w sprzeczności.

Darmowy formularz na stronie nie wystarczył

Najciekawszy element tej decyzji dotyczy argumentu, który pewnie przyszedłby do głowy wielu firmom: przecież na stronie internetowej są też bezpłatne kanały kontaktu. AEPD odrzuciło takie tłumaczenie. Skoro tabliczka konkretnie odsyłała do płatnego numeru jako drogi realizacji praw, to istnienie innych, darmowych możliwości gdzie indziej nie naprawiało problemu.

Organ stwierdził naruszenie art. 12 ust. 2 RODO, który zobowiązuje administratora do ułatwiania osobom korzystania z ich praw opisanych w art. 15-22. Kara wyniosła 100 tys. euro. Dodatkowo spółka dostała nakaz wymiany wszystkich tabliczek z numerem 902 w ciągu 12 miesięcy.

Czy to dotyczy też polskich firm

Tak, bo RODO obowiązuje tak samo w całej Unii. W Polsce odpowiednikiem hiszpańskich numerów 902 są numery o podwyższonej opłacie. Nawet jeśli Twoja firma ich nie używa, warto sprawdzić, czy w innych miejscach nie stawiasz podobnych barier. Typowe przykłady, które spotyka się na polskich stronach:

• wymóg wysłania żądania listem poleconym, bez możliwości zrobienia tego mailem,
• formularz dostępny tylko po założeniu konta lub zalogowaniu,
• infolinia jako jedyny wskazany kanał kontaktu w sprawach danych osobowych,
• żądanie skanu dowodu osobistego przy każdym, nawet prostym wniosku,
• adres e-mail inspektora ochrony danych, na który nikt nie odpowiada.

Nie każde z tych rozwiązań jest z góry niezgodne z prawem, ale każde warto przemyśleć pod kątem tego, czy nie zniechęca ludzi do korzystania z ich praw. Zadaj sobie proste pytanie: ile wysiłku i pieniędzy musi włożyć zwykły klient, żeby dowiedzieć się, jakie dane o nim masz?

Gdzie sprawdzić swoje komunikaty

Informacje o tym, jak skorzystać z praw z RODO, rozsiane są zwykle w kilku miejscach. Przejrzyj je wszystkie, bo wystarczy jeden błąd, żeby powtórzyć problem Securitas Direct:

1. Polityka prywatności na stronie. Sprawdź, jakie kanały kontaktu podajesz w sekcji o prawach użytkownika.
2. Klauzule informacyjne w formularzach. Krótkie klauzule pod formularzem kontaktowym czy zapisem do newslettera często kopiuje się latami bez aktualizacji.
3. Tabliczki o monitoringu. To właśnie one były przedmiotem sprawy w Hiszpanii. Jeśli masz kamery w sklepie, biurze czy na parkingu, sprawdź, co na nich wpisano.
4. Regulamin sklepu i wiadomości transakcyjne. Stopki maili z potwierdzeniem zamówienia też mogą zawierać dane kontaktowe w sprawach RODO.
5. Baner cookies. Użytkownik powinien mieć łatwy dostęp do zmiany swoich ustawień zgody i informacji, jak się z Tobą skontaktować.

Jak zrobić to dobrze

Najprostsze rozwiązanie to jeden, wyraźnie opisany i bezpłatny kanał, na przykład adres e-mail przeznaczony do spraw ochrony danych, uzupełniony o formularz albo adres korespondencyjny. Podawaj go konsekwentnie we wszystkich dokumentach. Ustal, kto w firmie odbiera takie wiadomości i w jakim czasie na nie odpowiada. Prowadź prosty rejestr żądań, żeby w razie kontroli móc pokazać, jak je obsłużyłeś. Weryfikację tożsamości dopasuj do sytuacji: często wystarczy odpowiedź z adresu e-mail, który już masz w bazie, zamiast proszenia o kopię dokumentu.

To samo dotyczy zgód na pliki cookie. Wycofanie zgody powinno być tak łatwe jak jej wyrażenie, więc odwiedzający musi mieć stały dostęp do ustawień banera. Jeśli chcesz sprawdzić, jak to wygląda na Twojej stronie, skorzystaj z Skanera zgody. CookieBanerPro pomaga też przygotować politykę prywatności, w której łatwo wskazać właściwy, bezpłatny kanał kontaktu.

Źródło: EDPB

kary RODOprawa osóbAEPDmonitoring wizyjnyklauzula informacyjna