Decyzja DKE.561.12.2022

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2021 r. poz. 735 z późn. zm.) w związku z art. 7 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenia o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.),

po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na (…) Fundusz Inwestycyjny Zamknięty (identyfikator krajowy: (…)), Prezes Urzędu Ochrony Danych Osobowych

udziela upomnienia (…) Funduszowi Inwestycyjnemu Zamkniętemu (identyfikator krajowy: (…)), reprezentowanemu przez F. TFI S.A., za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. a) i e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.), polegające na braku współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ramach wykonywania przez niego jego zadań oraz niezapewnieniu dostępu do informacji niezbędnych Prezesowi Urzędu Ochrony Danych Osobowych do realizacji jego zadań w postępowaniu o sygn. (…).

Uzasadnienie

Stan faktyczny

1.

W prowadzonym przez Prezesa UODO postepowaniu o sygn. (…), podjętym na podstawie skargi Z. S., pismem z (…) sierpnia 2020 roku, Prezes UODO wezwał (…) Fundusz Inwestycyjny Zamknięty (zwany dalej także „Funduszem”), reprezentowany przez F. Towarzystwa Funduszy Inwestycyjnych S.A. (dalej zwane także „F. TFI S.A.”) do złożenia wyjaśnień w sprawie, w terminie 7 dni od daty doręczenia pisma. Pismo zostało doręczone (…) sierpnia 2021 roku. Fundusz nie odpowiedział na to wezwanie.

2.

Pismem z (…) września 2021 r., Prezes UODO ponownie wezwał Fundusz do złożenia wyjaśnień w sprawie, w terminie 7 dni od daty doręczenia pisma. Pismo zostało doręczone (…) października 2021 roku. Pismo zawierało pouczenie o tym, że brak wyczerpującej odpowiedzi na wezwanie może skutkować nałożeniem na Fundusz administracyjnej kary pieniężnej na podstawie art. 83 ust. 5) lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.) (zwane dalej także „RODO”). Fundusz nie odpowiedział także i na to wezwanie.

3.

Wobec powyższego, pismem z (…) kwietnia 2022 roku, doręczonym (…) maja 2022 roku, Prezes UODO wszczął niniejsze postępowanie administracyjne w przedmiocie nałożenia administracyjnej kary pieniężnej za naruszenie art. 31 oraz art. 58 ust. 1 a) i lit. e) RODO, polegające na braku współpracy z Prezesem UODO oraz niewywiązaniu się Funduszu z obowiązku zapewnienia Prezesowi UODO informacji niezbędnych do realizacji jego zadań. Tym pismem organ wezwał ponadto Fundusz do przedstawienia sprawozdania finansowego Funduszu za rok 2021 lub – w przypadku jego braku – oświadczenia o wysokości obrotu i wyniku finansowego osiągniętego przez Fundusz w 2021 r. - celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej w niniejszym. Dodatkowo w treści pisma zawarto pouczenie, że jeżeli Fundusz udzieli pisemnie – w terminie 7 dni od dnia doręczenia informacji o wszczęciu postępowania – wyczerpujących wyjaśnień w postępowaniu o sygn. (…) oraz uzasadni wcześniejszy brak odpowiedzi na wezwania, okoliczność ta może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszym postępowaniu lub też może spowodować odstąpienie od jej nałożenia.

4.

W dniu (…) maja 2022 roku do organu wpłynęło pismo F. TFI S.A., w którym udzielone zostały odpowiedzi na wezwania Prezesa UODO w postępowaniu (…). W treści pisma wskazano, że brak odpowiedzi na wezwania spowodowało błędne zakwalifikowanie korespondencji od Prezesa UODO po stronie F. TFI S.A., zarządzającego Funduszem – korespondencja nie została przekazana do właściwego działu Zarządzającego, przez co stosowna odpowiedź nie została udzielona w wyznaczonym przez organ terminie. Zaistnienie wyżej opisanego błędu było spowodowane w szczególności zwiększoną ilością korespondencji przychodzącej w sprawach dłużników w połączeniu z przejściowymi brakami kadrowymi, spowodowanymi kończącym się okresem urlopowym oraz zwiększoną zachorowalnością na koronawirusa. Ponadto znaczący wpływ na ww. sytuację miała również, przeprowadzona na przełomie trzeciego i czwartego kwartału 2021 roku, reorganizacja wewnętrznych komórek F. TFI S.A. zarządzającego Funduszem, odpowiedzialnych za bieżącą obsługę funduszy inwestycyjnych. F. TFI S.A. wskazał także, że podjął wewnętrzne działania wyjaśniające, w celu uniknięcia podobnych sytuacji w przyszłości. Jednocześnie w piśmie podkreślono incydentalny charakter braku współpracy Funduszu z organem oraz fakt udzielenia wszystkich wymaganych przez organ odpowiedzi, które to okoliczności winny przemawiać za odstąpieniem od nałożenia administracyjnej kary pieniężnej na Fundusz. Do pisma załączone były informacje finansowe, do których przedstawienia wezwał Prezes UODO, w celu oszacowania przez organ ewentualnej administracyjnej kary pieniężnej w niniejszym postępowaniu.

Uzasadnienie prawne

Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

1.

Zgodnie z art. 57 ust. 1 lit. a) RODO, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 RODO – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f)). Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 RODO uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a)) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e)). Wskazać należy ponadto, że administrator i podmiot przetwarzający obowiązani są współpracować z organem nadzorczym w ramach wykonywania przez niego zadań, o czym stanowi art. 31 RODO.

2.

Naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. a) i f) RODO, o których mowa powyżej, polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych i informacji, podlega – zgodnie z art. 83 ust 5 lit e) in fine RODO – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

3.

Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 2 uprawnień naprawczych, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO przez operacje przetwarzania. Prezes UODO działając na podstawie art. 58 ust. 2 lit. b) RODO może uznać za uzasadnione udzielenie upomnienia w zakresie stwierdzonego naruszenia przepisów art. 31 oraz art. 58 ust. 1 lit. a) i e) RODO. Zgodnie z motywem 148 RODO, aby egzekwowanie przepisów rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.

4.

Odnosząc przytoczone powyżej przepisy RODO do ustalonego w niniejszej sprawie stanu faktycznego, stwierdzić należy, że Fundusz jako administrator danych osobowych, będący stroną postępowania o sygn. (…), nie udzielając odpowiedzi na wezwania do złożenia wyjaśnień, naruszył przepis art. 31 RODO poprzez brak współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań, a także art. 58 ust. 1 lit. a) i e) RODO poprzez brak zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań.

5.

Prezes UODO dwukrotnie wezwał Fundusz do złożenia wyjaśnień. Pierwsze z tych wezwań zostało doręczone (…) sierpnia 2021 roku a drugie (…) października 2021 roku. Żadne z wezwań nie doczekało się odpowiedzi w zakreślonych terminach 7 dni od daty ich doręczenia. To zaniechanie Funduszu spowodowało konieczność wszczęcia niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej. W rezultacie wszczęcia niniejszego postępowania Fundusz nawiązał współpracę z Prezesem UODO, poprzez złożenie szczegółowych wyjaśnień w postępowaniu (…), co umożliwiło Prezesowi UODO prowadzenie dalszego postępowania w sprawie.

6.

W niniejszej sprawie nie jest sporne, że organizacja wewnętrznego obiegu prawidłowo doręczonej korespondencji leży w gestii Funduszu. W ocenie Prezesa UODO przedstawione przez Fundusz uzasadnienie braku odpowiedzi na jego wezwania (wskazane w pkt. 4 uzasadnienia decyzji) nie zdejmuje odpowiedzialności za to zaniechanie. Równolegle jednak jest to wyjaśnienie wiarygodne. W ocenie Prezesa UODO należy uznać, że brak odpowiedzi Funduszu na jego wezwania, mogły spowodować wskazane przez Fundusz problemy w przepływie i obsłudze korespondencji, które to skutki mógł pogarszać dodatkowo stan epidemii COVID-19, wymuszający zorganizowanie pracy w formie zdalnej.

7.

W przedmiotowym stanie faktycznym, oprócz braku odpowiedzi na wezwania do złożenia wyjaśnień, który to brak został uzupełniony przez Fundusz w rezultacie wszczęcia niniejszego postępowania, nie stwierdzono innych przesłanek wskazujących na brak woli współpracy Funduszu z Prezesem UODO. Ponadto należy wskazać, że Fundusz uznał odpowiedzialność za powstałe naruszenie oraz dostarczył dokumenty finansowe, które ułatwiłyby Prezesowi UODO oszacowanie ewentualnej administracyjnej kary pieniężnej. Te okoliczności sprawy pozwalają wnioskować, że brak odpowiedzi Funduszu na wezwania Prezesa UODO w postępowaniu o sygn. (…) nie miał charakteru celowego.

8.

W związku z powyższym, działając na podstawie art. 58 ust. 2 lit. b) RODO, zgodnie z którym każdemu organowi nadzorczemu przysługuje w zakresie prowadzonych postępowań uprawnienie do udzielania upomnienia administratorowi lub podmiotowi przetwarzającemu, w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania, Prezes UODO uznał za uzasadnione udzielenie Funduszowi Inwestycyjnemu Zamkniętemu (identyfikator krajowy: (…)), reprezentowanemu przez F. TFI S.A., upomnienia w zakresie stwierdzonego naruszenia przepisów art. 31 oraz art. 58 ust. 1 lit. a) i e) RODO.

9.

Dopuszczalność zastąpienia kary pieniężnej upomnieniem uzasadnia także motyw 148 RODO stanowiący, że sankcje, w tym administracyjne kary pieniężne należy nakładać, „aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze”. Prezes UODO uznał, że w przedmiotowej sprawie, w świetle kryteriów określonych w art. 83 ust. 2 RODO wystarczające będzie udzielenie upomnienia.

10.

Należy jednakże zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec Funduszu będzie brane pod uwagę przy ocenie przesłanek ewentualnego wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 RODO.

11.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął jak w sentencji niniejszej decyzji.