Zapadł ostateczny wyrok w sprawie, która dotyczy pierwszej kary finansowej w Polsce za naruszenie RODO. Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki Bisnode (obecnie Dun & Bradstreet).

Jeszcze w 2019 r. prezes UODO ukarał Bisnode kwotą 943 tysięcy złotych za brak poinformowanie ok. 6,5 miliona przedsiębiorców o tym, że spółka pobiera i przetwarza ich dane z publicznych rejestrów (np. CEIDG). Argumentem Bisnode za zwolnieniem z obowiązku informowania o przetwarzaniu danych było to, że konieczne byłoby wysłanie kilku milionów listów poleconych, co stanowiłoby nieproporcjonalny koszt. Zgodnie z art. 14 ust. 5 lit b. RODO nie ma obowiązku informowania o przetwarzaniu danych, jeśli udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku.

NSA uznał, że przetwarzanie danych osobowych do celów komercyjnych musi uwzględniać koszty związane z ochroną tych danych. Ani aspekty organizacyjne, ani aspekty finansowe nie mogą być stawiane powyżej praw osób, których dane dotyczą.