W ocenie Prezesa UODO dodatkową okolicznością obciążającą jest motywacja, którą kierowała się Spółka decydując, że wystarczającym sposobem przekazania informacji będzie opublikowanie ich na swojej stronie internetowej. Organ wskazał, że Spółka ma świadomość, że prawidłową, gwarantującą odpowiedni poziom zabezpieczenia praw i wolności podmiotów danych, formą podania im wymaganych informacji jest bezpośredni kontakt zainicjowany przez Spółkę. Świadczy o tym fakt wybrania w pierwszej kolejności takiego kontaktu w przypadku przedsiębiorców, których adresami e-mail Spółka dysponowała. Organ stwierdził, że rezygnacja z bezpośredniego kontaktu tylko z powodu związanych z tym kosztów należy ocenić negatywnie, szczególnie, że operacje na danych osobowych stanowią przedmiot podstawowej, czysto komercyjnej, profesjonalnej, wieloletniej działalności Spółki. Organ zwrócił uwagę, że znaczenie mają także konsekwencje niespełniania tego obowiązku jakimi są: niewiedza osób, których dane dotyczą o procesach przetwarzania ich danych oraz o możliwości skorzystania z przysługujących im praw zagwarantowanych przepisami rozporządzenia 2016/679. Także czas trwania naruszenia organ ocenił negatywnie mając na uwadze termin wejścia w życie rozporządzenia 2016/679 i termin rozpoczęcia jego stosowania. Znaczenie w tej sprawie ma także to, że naruszenie dotyczy - zgodnie z art. 83 ust. 5 lit. b rozporządzenia 2016/679 - jednego z podstawowych praw osób, do którego zastosowanie ma wyższa kwota administracyjnej kary pieniężnej.
W ocenie Prezesa Urzędu Ochrony Danych Osobowych, zastosowana administracyjna kara pieniężna spełnia w ustalonych okolicznościach niniejszej sprawy funkcje, o których mowa w art. 83 ust. 1 rozporządzenia 2016/679, tzn. jest w tym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. Organ zaznaczył, że spełnienie obowiązku informacyjnego zgodnie z zasadą przejrzystości ma na celu uświadomienie osobom, których dane dotyczą ryzyk, zasad, zabezpieczeń, i praw związanych z przetwarzaniem danych osobowych oraz sposobów wykonania praw związanych z przetwarzaniem.
Odstraszający charakter kary pieniężnej wiąże się z zapobieganiem popełniania naruszeń przez karanie za ich popełnienie. Organ stwierdził, że kara ma odstraszać zarówno Spółkę, przed ponownym naruszeniem, jak i inne podmioty. Nakładając niniejszą decyzją karę pieniężną za naruszenie przepisów o ochronie danych osobowych Prezes UODO wziął pod uwagę oba aspekty: po pierwsze - charakter represyjny. Spółka naruszyła przepisy, po drugie - charakter prewencyjny, zarówno Spółka jak i inni administratorzy będą skutecznie zniechęceni do naruszania w przyszłości prawa ochrony danych osobowych.
Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2019 r. nr [...] stała się przedmiotem skargi [...] Sp. z o.o. z siedzibą w [...], reprezentowanej przez radcę prawnego, do Wojewódzkiego Sądu Administracyjnego w Warszawie.
Pełnomocnik skarżącej wniósł o stwierdzenie nieważności zaskarżonej decyzji w części nakazującej skarżącej spełnienie obowiązku informacyjnego wobec osób, które prowadziły w przeszłości jednoosobową działalność gospodarczą w oparciu o wpis do Centralnej Ewidencji i Informacji o Działalności Gospodarczej oraz uchylenie zaskarżonej decyzji w pozostałej części, ewentualnie o uchylenie zaskarżonej decyzji w całości i zasądzenie od organu na rzecz skarżącej zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. Pełnomocnik zwrócił się do Sądu o wstrzymanie wykonania zaskarżonej decyzji w całości. Żądanie w tym zakresie ponowił w piśmie z dnia [...] maja 2019 r. Zaskarżonej decyzji zarzucił: