Decyzja DKE.561.18.2022

Na podstawie art. 104 § l ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2022 r. poz. 2000) w związku z art. 7 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 31, art. 57 ust. 1 lit. a) i lit. h) oraz art. 58 ust. 1 lit. a) i lit. e) ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenia o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.),

po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na N. sp. z o.o. z siedzibą w W. przy ul. (…), Prezes Urzędu Ochrony Danych Osobowych,

udziela upomnienia N. sp. z o.o. z siedzibą w W. przy ul. (…), za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. a) i e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.), polegające na braku współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ramach wykonywania przez niego jego zadań oraz niezapewnieniu dostępu do informacji niezbędnych Prezesowi Urzędu Ochrony Danych Osobowych do realizacji jego zadań w postępowaniu o sygn. DS.523.929.2020.

Uzasadnienie

Stan faktyczny

1.

W prowadzonym przez Prezesa UODO postepowaniu o sygn. DS.523.929.2020, podjętym na podstawie skargi Pana Ł. K., zamieszkałego w G. przy ul. (…), pismem z 28.05.2020 r. Prezes UODO wezwał N. sp. z o.o. z siedzibą w W. (zwana dalej także „Spółką”) do złożenia wyjaśnień w sprawie.

2.

Pismem z 08.06.2020 r. (data wpływu 12.06.2020 r.) Spółka odpowiedziała na wezwanie, odnosząc się do pytań zawartych w piśmie Prezesa UODO.

3.

Pismem z 12.02.2021 r. Prezes UODO wezwał Spółkę do uzupełnienia wyjaśnień, szczegółowo w odniesieniu do przetwarzania danych Skarżącego w systemie Biura Informacji Gospodarczej (BIG). Pismo zostało doręczone pełnomocnikowi procesowemu Spółki 16.02.2021 r. Spółka nie odpowiedziała na to wezwanie.

4.

Pismem z 21.05.2021 r. Prezes UODO ponownie wezwał Spółkę do uzupełnienia wyjaśnień w sprawie. Pismo zostało doręczone pełnomocnikowi procesowemu Spółki 26.05.2021 r.

5.

W odpowiedzi na wezwania do uzupełnienia wyjaśnień (wskazane w pkt. 4 i 5) do organu wpłynęły dwa pisma: pierwsze pismo, datowane na 02.06.2021 r., zawierało wyjaśnienia istotne dla sprawy, jednak nie zostało podpisane. Zawarta została na nim jedynie kopia podpisu pełnomocnika procesowego spółki (tzw. faksymile). Drugie pismo, datowane na 14.06.2021 r., zawierało załączniki do pierwszego pisma.

6.

W związku z brakiem podpisu na piśmie datowanym na 02.06.2021 r., tj. brakiem podstawowego elementu pisma, wskazanego w art. 63 § 3 KPA, dokument ten nie mógł być przyjęty przez organ jako dokument pochodzący od Spółki a wyjaśnienia w nim zawarte nie mogły stanowić podstawy ustaleń faktycznych w sprawie.

7.

W związku powyższym brakiem, Prezes UODO pismem z 27.10.2021 r., wezwał Spółkę do złożenia wyjaśnień w sprawie, w tym do uzupełnienia braku formalnego w postaci podpisu na piśmie z 02.06.2021 r. W treści wezwania zawarte było pouczenie, że brak wyczerpującej odpowiedzi może skutkować nałożeniem na Spółkę – zgodnie z art. 83 ust. 4 lit. a) lub art. 83 ust. 5 lit. e) Rozporządzenia 2016/679 – administracyjnej kary pieniężnej. Wezwanie doręczono pełnomocnikowi procesowemu Spółki w dniu 09.11.2021 r. Spółka nie odpowiedziała na to wezwanie.

8.

Pismem z 04.01.2022 r. Prezes UODO ponownie wezwał Spółkę do uzupełnienia wyjaśnień w sprawie, w tym do uzupełnienia braków formalnych w postaci podpisu na piśmie z 02.06.2021 r. W treści wezwania ponownie zawarto pouczenie, że brak wyczerpującej odpowiedzi może skutkować nałożeniem na Spółkę – zgodnie z art. 83 ust. 4 lit. a) lub art. 83 ust. 5 lit. e) Rozporządzenia 2016/679 – administracyjnej kary pieniężnej. Wezwanie doręczono pełnomocnikowi procesowemu Spółki w dniu 10.01.2022 r. Spółka nie odpowiedziała także i na to wezwanie.

9.

Wobec powyższego, pismem z 6 czerwca 2022 r., doręczonym 8 czerwca 2022 r., Prezes UODO wszczął niniejsze postępowanie administracyjne w przedmiocie nałożenia administracyjnej kary pieniężnej za naruszenie art. 31 oraz art. 58 ust. 1 a) i lit. e) RODO, polegające na braku współpracy z Prezesem UODO oraz nie wywiązaniu się Spółki z obowiązku zapewnienia Prezesowi UODO informacji niezbędnych do realizacji jego zadań. Tym pismem organ wezwał ponadto Spółkę do przedstawienia sprawozdania finansowego za rok 2021 lub – w przypadku jego braku – oświadczenia o wysokości obrotu i wyniku finansowego osiągniętego przez Spółkę w 2021 r. - celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej w niniejszym. Dodatkowo w treści pisma zawarto pouczenie, że jeżeli Spółka udzieli pisemnie – w terminie 7 dni od dnia doręczenia informacji o wszczęciu postępowania – wyczerpujących wyjaśnień w postępowaniu o sygn. DS.523.929.2020 oraz uzasadni wcześniejszy brak odpowiedzi na wezwania, okoliczność ta może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszym postępowaniu lub też może spowodować odstąpienie od jej nałożenia.

10.

W dniu 20 czerwca 2022 r. do organu wpłynęło pismo pełnomocnika Spółki, ustanowionego w postępowaniu o sygn. DS.523.929.2020, w którym wyjaśniono m. in, że brak odpowiedzi na korespondencję kierowaną przez organ do Spółki, nie był zamierzony. Pełnomocnik w okresie od 3.11.2021 r. nie był w stanie świadczyć pracy ani żadnych usług prawnych, w tym dla Spółki, z uwagi na pogorszenie stanu zdrowia, w rezultacie którego trafił do szpitala, w którym przebywał do 19.12.2021 r., a następnie przebywał na zwolnieniu lekarskim do 28 stycznia 2022 r. Z uwagi na przebywanie w izolacji oraz brak możliwości opuszczenia oddziału szpitala oraz brak kontaktu z kimkolwiek z powodu stanu zdrowia, brak było możliwości konsultacji, rozmowy i instruktarzu w sprawie korespondencji kierowanej przez organ. W piśmie podniesiono także, że pismo pełnomocnika Spółki z dnia 2 czerwca 2021 r., omyłkowo nie zostało opatrzone podpisem, niemniej treści tam zawarte odpowiadają stanowi faktycznemu.

11.

Pismem z 19 września 2022 r. (data wpływu 30 września 2022 r.) Spółka odpowiedziała na wcześniejsze wezwania w postępowaniu o sygn. DS.523.929.2020, wznawiając tym samym współpracę z Prezesem UODO.

Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Uzasadnienie prawne

12.

Zgodnie z art. 57 ust. 1 lit. a) RODO, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 RODO – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f)). Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 RODO uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a)) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e)). Wskazać należy ponadto, że administrator i podmiot przetwarzający obowiązani są współpracować z organem nadzorczym w ramach wykonywania przez niego zadań, o czym stanowi art. 31 RODO.

13.

Naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. a) i e) RODO, o których mowa powyżej, polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych i informacji, podlega – zgodnie z art. 83 ust 5 lit e) in fine RODO – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

14.

Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 2 uprawnień naprawczych, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO przez operacje przetwarzania. Prezes UODO działając na podstawie art. 58 ust. 2 lit. b) RODO może uznać za uzasadnione udzielenie upomnienia w zakresie stwierdzonego naruszenia przepisów art. 31 oraz art. 58 ust. 1 lit. a) i e) RODO. Zgodnie z motywem 148 RODO, aby egzekwowanie przepisów rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.

15.

Odnosząc przytoczone powyżej przepisy RODO do ustalonego w niniejszej sprawie stanu faktycznego, należy stwierdzić, że Spółka jako administrator danych osobowych, będący stroną postępowania o sygn. DS.523.929.2020, nie udzielając odpowiedzi na wezwania do złożenia wyjaśnień, naruszyła przepis art. 31 RODO poprzez brak współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań, a także art. 58 ust. 1 lit. a) i e) RODO poprzez brak zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań.

16.

Stwierdzone w niniejszej sprawie naruszenie ma jednak charakter złożony. Początkowo bowiem Spółka współpracowała z Prezesem UODO, udzielając wyjaśnień na pierwsze wezwanie, które otrzymała w postępowaniu DS.523.929.2020 (pkt. 2 powyżej). Kolejne wezwanie Prezesa UIODO do uzupełnienia wyjaśnień, pozostało bez odpowiedzi (pkt 3 powyżej). Dopiero powtórzenie wezwania (pkt 4 powyżej) spotkało się z odpowiedzią Spółki, chociaż odpowiedź ta zawierała kwalifikowane wady formalne, które nie pozwalały na jej uwzględnienie w postepowaniu (pkt 5-6 powyżej). Prezes UODO wskazał Spółce na możliwość konwalidacji dokumentu nie zawierającego podpisu (pkt. 7 i 8 powyżej) jednak Spółka na dwa kolejne wezwania nie odpowiedziała.

17.

Dopiero wszczęcie niniejszego postępowania o sygn. DKE.561.18.2022 w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej, spowodowało reakcję Spółki na wezwania Prezesa UODO.

18.

W ocenie Prezesa UODO, wskazane w piśmie z 20.06.2022 r., przyczyny braku odpowiedzi na wcześniejsze wezwania, związane z sytuacją zdrowotną pełnomocnika procesowego Spółki, są wiarygodne. Pełnomocnik w okresie od 3.11.2021 r. do 28.01.2022 r. nie był w stanie świadczyć pracy ani żadnych usług prawnych (pkt. 10 powyżej).

19.

Strona nie wyjaśniła jednak przyczyny braku kontaktu z Prezesem UODO po powrocie Pełnomocnika do pracy, tj. po 28 stycznia 2022 r. – biorąc pod uwagę, że wezwania Prezesa UODO były odbierane w kancelarii Pełnomocnika. W toku postępowania Strona nie wskazała także przyczyn dalszego opóźnienia w złożeniu wyjaśnień w postępowaniu DS.523.929.2020, które wpłynęły do Prezesa UODO dopiero 30 września 2022 r.

20.

W przedmiotowym stanie faktycznym, oprócz braku odpowiedzi na wezwania do złożenia wyjaśnień, który to brak został uzupełniony przez Spółkę w rezultacie wszczęcia niniejszego postępowania, nie stwierdzono jednak innych przesłanek wskazujących na brak woli współpracy Spółki z Prezesem UODO. Z charakteru sprawy nie wynika także, aby odwlekanie współpracy z Prezesem UODO miało być korzystne dla Spółki. Złożenie przez Spółkę szczegółowych wyjaśnień w sprawie o sygn. DS.523.929.2020 (pkt. 11 powyżej), mimo opóźnienia, pozwoliło Prezesowi UODO na dalsze prowadzenie postępowania.

21.

W związku z powyższym, działając na podstawie art. 58 ust. 2 lit. b) RODO, zgodnie z którym, każdemu organowi nadzorczemu przysługuje w zakresie prowadzonych postępowań uprawnienie do udzielania upomnienia administratorowi lub podmiotowi przetwarzającemu, w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania, Prezes UODO uznaje za uzasadnione udzielenie N. sp. z o.o. z siedzibą w W., upomnienia w zakresie stwierdzonego naruszenia przepisów art. 31 oraz art. 58 ust. 1 lit. a) i e) RODO.

22.

Dopuszczalność zastąpienia kary pieniężnej upomnieniem uzasadnia także motyw 148 RODO stanowiący, że sankcje, w tym administracyjne kary pieniężne należy nakładać, „aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze”. Prezes UODO uznał, że w przedmiotowej sprawie, w świetle kryteriów określonych w art. 83 ust. 2 RODO wystarczające będzie udzielenie upomnienia.

23.

Należy jednakże zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec Spółki będzie brane pod uwagę przy ocenie przesłanek ewentualnego wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 RODO.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął, jak w sentencji niniejszej decyzji.