Decyzja DKE.561.30.2022

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r., poz. 2000 ze zm.) w związku z art. 7 ust. 1 i 2, art. 60, art. 101, art. 101a ust. 2 oraz art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz na podstawie art. 58 ust. 2 lit. i), art. 83 ust. 1-3, art. 83 ust. 4 lit. a) w związku z art. 31 oraz art. 83 ust. 5 lit. e) w związku z art. 58 ust. 1 lit. a) i e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. l, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23.05.2018, str. 2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35),

po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na S. Sp. z o.o. z siedzibą w W. przy ul. (…), Prezes Urzędu Ochrony Danych Osobowych,

stwierdzając naruszenie przez S. Sp. z o.o. z siedzibą w W. przy ul. (…) przepisów art. 31 oraz art. 58 ust. 1 lit. a) i e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), polegające na braku współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ramach wykonywania przez niego jego zadań oraz na niezapewnieniu Prezesowi Urzędu Ochrony Danych Osobowych dostępu do informacji niezbędnych do realizacji jego zadań,

nakłada na S. Sp. z o.o. z siedzibą w W. przy ul. (…) administracyjną karę pieniężną w kwocie 36.558 PLN (słownie: trzydzieści sześć tysięcy pięćset pięćdziesiąt osiem złotych).

Uzasadnienie

Stan faktyczny

1.

W dniu 5 marca 2021 r. do Urzędu Ochrony Danych Osobowych wpłynęła informacja od Prezesa Zarządu Spółki S. Sp. z o.o. z siedzibą w W. przy ul. (…) (zwaną dalej „Spółką”), o możliwym naruszeniu ochrony danych osobowych w Spółce polegającym na kradzieży danych osobowych przez pracownika tejże Spółki. Pismo zawierające ww. informację zostało przekazane drogą elektroniczną za pośrednictwem elektronicznej Platformy Usług Administracji Publicznej, dalej jako: „ePUAP”; podpisane zostało podpisem elektronicznym przez Pana A. G. Prezesa Zarządu Spółki (zgodnie z danymi ujawnionymi w Rejestrze Przedsiębiorców Krajowego Rejestru Sądowego zwanym dalej „KRS”).

2.

W związku z powyższym w dniu 29 marca 2021 r. Prezes Urzędu Ochrony Danych Osobowych, (zwany dalej „Prezesem UODO”) poinformował Spółkę o obowiązkach wynikających z art. 33 ust. 1 i 3 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23.05.2018, str. 2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35) (zwanego dalej „Rozporządzeniem 2016/679”), tj. o obowiązku zgłoszenia naruszenia ochrony danych osobowych Prezesowi UODO. Jednocześnie Prezes UODO poinformował Spółkę o możliwych sposobach dokonania zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu. Ponadto Prezes UODO zwrócił się do Spółki o przekazanie informacji, czy w związku z ww. możliwością wystąpienia naruszenia ochrony danych osobowych została dokonana analiza ryzyka incydentu pod kątem ryzyka naruszenia praw lub wolności osób fizycznych niezbędna do oceny, czy doszło do naruszenia ochrony danych skutkującego koniecznością zawiadomienia o tym fakcie Prezesa UODO oraz osób, których dotyczy naruszenie.

3.

W odpowiedzi na wyżej wskazane wezwanie w dniu 7 kwietnia 2021 r. Spółka dokonała zgłoszenia naruszenia ochronnych danych osobowych. Zgłoszenie dokonane zostało drogą elektroniczną za pośrednictwem ePUAP; podpisane zostało podpisem elektronicznym przez Pana A. G. Prezesa Zarządu Spółki.

4.

W związku z tym, że powyższe zgłoszenie nie zawierało wszystkich informacji niezbędnych Prezesowi UODO do oceny naruszenia ochrony danych osobowych, stanowiącego przedmiot zgłoszenia Spółki, Prezes UODO – pismem z 8 lipca 2021 r. – zwrócił się do Spółki z wezwaniem do „prawidłowego wypełnienia wszystkich pól formularza zgłoszenia naruszenia ochrony danych osobowych, tj. o wskazanie”:

1)

Danych innego punktu kontaktowego, od którego można uzyskać więcej informacji o naruszeniu (pkt 2F).

2)

Liczy osób i wpisów, których dotyczyło naruszenie (pkt 5).

3)

Kategorii danych osobowych, których dotyczyło naruszenie (pkt 6).

4)

Kategorii osób, których dotyczyło naruszenie (pkt 7).

5)

Możliwych konsekwencji naruszenia dla osoby, której dane dotyczą, wraz z uzasadnieniem przyjęcia, że nie wystąpiło wysokie ryzyko naruszenia praw lub wolności osób fizycznych (pkt 8).

6)

Środków bezpieczeństwa i środków zaradczych: dotychczas stosowanych, proponowanych w celu zminimalizowania ryzyka ponownego wystąpienia naruszenia oraz w celu zaradzenia naruszeniu i zminimalizowaniu negatywnych skutków dla osób, których dane dotyczą (pkt 9).

7)

Czy osoba (osoby), której (których) dotyczyło naruszenie, została (zostały) zawiadomione o naruszeniu (pkt 10).

Pismo to, skierowane na ujawniony w KRS adres siedziby Spółki (W. ul. (…)), zostało odebrane przez adresata 13 lipca 2021 r., jednakże pozostało bez reakcji ze strony Spółki.

5.

W związku z tym Prezes UODO pismem z 19 listopada 2021 r. ponownie zwrócił się do Spółki o udzielenie wyżej wskazanych informacji.

6.

W odpowiedzi Spółka przesłała 26 listopada 2021 r. – za pośrednictwem platformy ePUAP – uzupełnione o ww. informacje zgłoszenie naruszenia o ochronie danych osobowych. W wyżej wymienionym uzupełnionym zgłoszeniu naruszenia Spółka wskazała brak wysokiego poziomu ryzyka dla naruszenia praw lub wolności osób fizycznych, dlatego też w dniu 16 grudnia 2021 r. Prezes UODO zwrócił się do Spółki z wezwaniem do udzielenia kolejnych informacji niezbędnych do oceny naruszenia ochrony danych osobowych, stanowiącego przedmiot zgłoszenia Spółki, tj. do przekazania analizy ryzyka, na podstawie której Spółka stwierdziła brak wysokiego poziomu ryzyka dla naruszenia praw lub wolności osób fizycznych. Pismo to zostało odebrane przez Spółkę 23 grudnia 2021 r. jednak pozostało bez odpowiedzi.

7.

Prezes UODO pismem z 9 marca 2022 r. ponowił wezwanie z 16 grudnia 2021 r. Pismo to zostało odebrane przez adresata 14 marca 2022 r. i również pozostało bez odpowiedzi ze strony Spółki.

8.

Do dnia wydania niniejszej decyzji Spółka nie udzieliła odpowiedzi na wyżej wymienione wezwania Prezesa UODO.

9.

W pismach Prezesa UODO z 16 grudnia 2021 r. i 9 marca 2022 r., zawarte zostało pouczenie, że brak złożenia przez Spółkę wyjaśnień w zakresie przedstawienia analizy ryzyka, na podstawie której Spółka stwierdziła brak wysokiego ryzyka naruszenia praw lub wolności osób fizycznych, skutkować może nałożeniem na Spółkę administracyjnej kary pieniężnej zgodnie z art. 83 ust. 5 lit. e) Rozporządzenia 2016/679.

10.

Powyższe okoliczności stanu faktycznego Prezes UODO ustalił na podstawie całokształtu korespondencji urzędowej, którą Prezes UODO prowadził ze Spółką, a która to korespondencja zgromadzona jest w aktach postępowania o sygnaturze DKN.5130.3205.2021. Korespondencja ta dokumentuje całokształt prób uzyskania przez Prezesa UODO dostępu do informacji niezbędnych do realizacji jego zadań, to jest w tym przypadku – do rozpatrzenia sprawy o sygnaturze DKN.5130.3205.2021, a z drugiej strony odzwierciedla brak reakcji Spółki na żądania Prezesa UODO.

11.

Spółka – według informacji przedstawionych na jej stronie internetowej (…) - świadczy usługi w zakresie sprzedaży tkanin i dzianin z włókien naturalnych, sztucznych oraz syntetycznych. Natomiast zgodnie z wpisem do KRS jej przeważająca działalność to działalność związana ze sprzedażą hurtową zegarków, zegarów i biżuterii (kod PKD 4648Z). Przedmiotem pozostałej działalności Spółki m.in. sprzedaż hurtowa sprzętu elektronicznego i telekomunikacyjnego (kod PKD 4652Z), odzieży i obuwia (kod PKD 4642Z), wyrobów porcelanowych, ceramicznych i szklanych oraz środków oczyszczających (kod PKD 4644Z).

Postępowanie

12.

W związku z nieudzieleniem przez Spółkę informacji niezbędnych do rozstrzygnięcia sprawy o sygnaturze DKN.5130.3205.2021, Prezes UODO wszczął wobec niej z urzędu – na podstawie art. 83 ust. 4 lit. a) oraz art. 83 ust. 5 lit. e) Rozporządzenia 2016/679 – niniejsze postępowanie administracyjne (o sygnaturze DKE.561.30.2022) w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej za naruszenie art. 31 oraz 58 ust. 1 lit. a) i e) Rozporządzenia 2016/679.

13.

O wszczęciu postępowania Spółka poinformowana została pismem z 19 października 2022 r. doręczonym jej 21 października 2022 r. Pismem tym Spółka wezwana została – celem ustalenia podstawy wymiaru kary, w oparciu o art. 101a ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „u.o.d.o.” do przedstawienia sprawozdania finansowego lub innego dokumentu przedstawiającego wysokość obrotu i wyniku finansowego osiągniętego przez nią w roku 2021. Spółka poinformowana została o istniejącej nadal możliwości złożenia wyjaśnień (przedstawienia analizy ryzyka na podstawie której Spółka stwierdziła brak wysokiego ryzyka naruszenia praw lub wolności osób fizycznych), których żądał od niej Prezes UODO w postępowaniu o sygnaturze DKN.5130.3205.2021, co mogłoby wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszej sprawie. Ponadto Spółka poinformowana została o możliwości wypowiedzenia się przed wydaniem decyzji administracyjnej, co do zebranych dowodów i materiałów oraz zgłoszonych żądań.

14.

Spółka nie podjęła do dnia wydania niniejszej decyzji żadnych działań w reakcji na informację o wszczęciu niniejszego postępowania.

Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Przepisy prawne

15.

Zgodnie z art. 57 ust. 1 lit. a) Rozporządzenia 2016/679, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 Rozporządzenia 2016/679 na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO prowadzi m.in. postępowania w sprawie stosowania Rozporządzenia 2016/679 (art. 57 ust. 1 lit. h), w tym postępowania mające na celu weryfikowanie przestrzegania przepisu art. 33 Rozporządzenia 2016/679 dotyczącego zgłaszania organowi nadzorczemu naruszeń ochrony danych osobowych (art. 33 ust. 5 zdanie drugie Rozporządzenia 2016/679).

16.

Dla umożliwienia realizacji tak określonych zadań, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 Rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e).

17.

Naruszenie przepisów Rozporządzenia 2016/679 polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych i informacji skutkujące naruszeniem uprawnień organu określonych w art. 58 ust. l, podlega – zgodnie z art. 83 ust. 5 lit. e) in fine Rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

18.

Dodatkowo zarówno administrator jak i podmiot przetwarzający obowiązani są na żądanie organu nadzorczego współpracować z nim w ramach wykonywania przez niego jego zadań, o czym stanowi art. 31 Rozporządzenia 2016/679. Niewywiązanie się z tego obowiązku zagrożone jest - zgodnie z art. 83 ust. 4 lit. a) Rozporządzenia 2016/679 – administracyjną karą pieniężną w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

19.

Zgodnie z art. 83 ust. 3 Rozporządzenia 2016/679, w przypadku stwierdzenia naruszenia przez administratora lub podmiot przetwarzający w ramach tych samych lub powiązanych operacji przetwarzania kilku przepisów tego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie może przekroczyć wysokości kary za najpoważniejsze naruszenie.

20.

Oceniając, czy, a jeśli tak, to w jakim wymiarze powinna być nałożona administracyjna kara pieniężna, organ nadzorczy ma obowiązek uwzględnić następujące okoliczności (przesłanki wymiaru kary) określone w art. 83 ust. 2 Rozporządzenia 2016/679:

a)

charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody,

b)

umyślny lub nieumyślny charakter naruszenia,

c)

działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą,

d)

stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32,

e)

wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego,

f)

stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków,

g)

kategorie danych osobowych, których dotyczyło naruszenie,

h)

sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie,

i)

jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków,

j)

stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42,

k)

wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

21.

Ponadto organ nadzorczy - zgodnie z art. 83 ust. 1 Rozporządzenia 2016/679 - zapewnia by stosowane administracyjne kary pieniężne były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające (zasady wymiaru kary).

22.

Celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej podmiot, wobec którego toczy się postępowanie w sprawie nałożenia administracyjnej kary pieniężnej zobowiązany jest na żądanie Prezesa UODO dostarczyć mu, w terminie 30 dni od dnia otrzymania żądania, danych niezbędnych do określenia tejże podstawy (art. 101a ust. 1 u.o.d.o.). Natomiast, w przypadku niedostarczenia tych danych przez podmiot podlegający ukaraniu, Prezes UODO ustala podstawę wymiaru administracyjnej kary pieniężnej w sposób szacunkowy, uwzględniając wielkość podmiotu, specyfikę prowadzonej przez niego działalności lub ogólnie dostępne dane finansowe dotyczące podmiotu (art. 10la ust. 2 u.o.d.o.).

23.

Stosownie do treści art. 103 u.o.d.o. równowartość wyrażonych w euro kwot, o których mowa w art. 83 Rozporządzenia 2016/679, oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia – według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego.

Ocena prawa

24.

Odnosząc przytoczone powyżej przepisy Rozporządzenia 2016/679 do ustalonego w niniejszej sprawie stanu faktycznego rozważyć należy w pierwszej kolejności czy Spółka jest adresatem obowiązków, o których mowa w art. 58 ust. 1 lit. a) i e) Rozporządzenia 2016/679, naruszenie których podlega administracyjnej karze pieniężnej na podstawie art. 83 ust. 5 lit. e) Rozporządzenia 2016/679. Oba wskazane wyżej przepisy Rozporządzenia 2016/679 nakładają obowiązki procesowe – w ramach prowadzonych przez Prezesa UODO postępowań – na administratorów i podmioty przetwarzające. W związku z tym, że postępowanie o sygnaturze DKN.5130.3205.2021 zainicjowane zostało przekazaną przez Spółkę informacją o naruszeniu ochrony danych osobowych, stwierdzić należy, że Spółka w niniejszej sprawie występuje w roli administratora. W związku z tym, że Spółka jest administratorem (skoro poinformowała Prezesa UODO o naruszeniu ochrony danych osobowych w swojej siedzibie a dalej zgłosiła takowe naruszenie ochrony danych osobowych na urzędowym formularzu), Prezes UODO uprawniony był – zgodnie z art. 58 ust. 1 lit. a) Rozporządzenia 2016/679 – do nakazania jej przedstawienia informacji niezbędnych do oceny tego naruszenia, a Spółka – na mocy art. 58 ust. 1 lit. e) Rozporządzenia 2016/679 – zobowiązana była takie informacje przedstawić. Obowiązek dokonania zgłoszenia naruszenia ochrony danych osobowych – mocą przywołanego wyżej przepisu art. 33 ust. 1 Rozporządzenia 2016/679 – spoczywa bowiem jedynie na administratorze – podmiocie, który stwierdzi naruszenie bezpieczeństwa przetwarzanych przez siebie danych (danych, w odniesieniu do których ustala cele i sposoby przetwarzania).

25.

W postępowaniu o sygn. DKN.5130.3205.2021, w celu uzyskania informacji niezbędnych do oceny zgłoszonego naruszenia i w oparciu o art. 58 ust. 1 lit. a) i e) Rozporządzenia 2016/679, Prezes UODO dwukrotnie zwrócił się do Spółki z wezwaniem do przedstawienia analizy ryzyka. Oba pisma zostały przez Spółkę odebrane, co pozwala przyjąć, że do jego świadomości dotarła informacja o toczącym się przed Prezesem UODO postępowaniu z jej udziałem w tym o kierowanych do niej żądaniach organu. Pomimo to Spółka nie przedstawiła żądanych przez Prezesa UODO w postępowaniu informacji niezbędnych do oceny zgłoszonego przez Spółkę naruszenia ochrony danych osobowych.

26.

Stanu tego nie zmieniło wszczęcie niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej (sygnatura DKE.561.30.2022). Skierowane do Spółki pismo Prezesa UODO z 19 października 2022 r., informujące o wszczęciu tego postępowania, również pozostało bez odpowiedzi.

27.

Bezsporny jest zatem fakt, że Prezes UODO – realizując uprawnienie, o którym mowa w art. 58 ust. 1 lit. a) Rozporządzenia 2016/679 – skierował do Spółki – w formie zgodnej z przepisami k.p.a. regulującymi wezwania – żądanie dostarczenie informacji potrzebnych do realizacji swoich zadań. Bezsporny jest też fakt, że Prezes UODO nie uzyskał od Spółki żądanych informacji, co stanowi naruszenie art. 58 ust. 1 lit. e) Rozporządzenia 2016/679.

28.

Postępowanie Spółki polegające na niezapewnieniu Prezesowi UODO dostępu do informacji niezbędnych mu w postępowaniu o sygnaturze DKN.5130.3205.2021 wyczerpuje jednocześnie znamiona naruszenia art. 31 Rozporządzenia 2016/679. Współpraca z organem nadzorczym w ramach wykonywania przez niego swoich zadań, stanowiąca przedmiot obowiązku określonego w tym przepisie, obejmuje również (a nawet przede wszystkim) obowiązek przedstawienia organowi – na jego żądanie – wszelkich posiadanych przez administratora lub podmiot przetwarzający informacji związanych z prowadzonym przez niego postępowaniem. W niniejszej sprawie żądanie współpracy, o którym mowa w tym przepisie, przedstawione zostało Spółce w dwóch wezwaniach do przedstawienia analizy ryzyka. Brak odpowiedzi Spółki na te wezwania stanowi niewątpliwie naruszenie ciążącego na nim obowiązku określonego w art. 31 Rozporządzenia 2016/679. Powyższe stwierdzenie uzasadnia dodatkowo okoliczność, że Spółka w żaden sposób nie próbowała usprawiedliwić faktu braku odpowiedzi na te wezwania, nie kontaktowała się również z Urzędem Ochrony Danych Osobowych celem zasygnalizowania ewentualnych wątpliwości, które mogłaby powziąć odnośnie zakresu informacji, których udzielenia żądał Prezes UODO.

29.

Mając na uwadze powyższe, Prezes UODO stwierdza, że w niniejszej sprawie zaistniały przesłanki uzasadniające nałożenie na Spółkę – na mocy art. 83 ust. 4 lit. a) oraz art. 83 ust. 5 lit. e) in fine Rozporządzenia 2016/679 – administracyjnej kary pieniężnej w związku z brakiem współpracy z organem nadzorczym w ramach wykonywania przez niego swoich zadań (art. 31 Rozporządzenia 2016/679) oraz w związku z niezapewnieniem przez Spółkę dostępu do informacji niezbędnych Prezesowi UODO do realizacji jego zadań, to jest do oceny zgłoszonego przez Spółkę naruszenia ochrony danych osobowych w postępowaniu o sygnaturze DKN.5130.3205.2021 (art. 58 ust. 1 lit. e) Rozporządzenia 2016/679.

30.

Jednocześnie, wobec stwierdzenia naruszenia przez Spółkę dwóch przepisów Rozporządzenia 2016/679 (art. 31 oraz art. 58 ust. 1 lit. e), stosownie do treści art. 83 ust. 3 tego aktu prawnego, Prezes UODO ustalił wysokość orzeczonej administracyjnej kary pieniężnej w kwocie nieprzekraczającej wysokości kary za najpoważniejsze z tych naruszeń. W przedstawionym stanie faktycznym za najpoważniejsze Prezes UODO uznał naruszenie polegające na niezapewnieniu przez Spółkę dostępu do wszelkich informacji niezbędnych do realizacji jego zadań, tj. naruszenie przepisu art. 58 ust. 1 lit. e) Rozporządzenia 2016/679, zagrożone karą o wysokości wyższej z dwóch przewidzianych w Rozporządzeniu 2016/679 – do 20 000 000 EUR, a w przypadku przedsiębiorstwa do 4 % jego całkowitego rocznego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa.

Przesłanki i zasady wymiaru administracyjnie kary pieniężnej

31.

Stosownie do treści art. 83 ust. 2 Rozporządzenia 2016/679, administracyjne kary pieniężne nakłada się zależnie od okoliczności każdego indywidualnego przypadku. Zwraca się przy tym w każdym przypadku na szereg przesłanek wymienionych w punktach od a) do k) wskazanego wyżej przepisu (vide pkt 20 uzasadnienia niniejszej decyzji). Decydując o nałożeniu w niniejszej sprawie na Spółkę administracyjnej kary pieniężnej oraz ustalając jej wysokość, Prezes UODO wziął – spośród nich – pod uwagę następujące okoliczności wpływające obciążająco na ocenę naruszenia:

32.

Charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) Rozporządzenia 2016/679).

Naruszenie podlegające administracyjnej karze pieniężnej w niniejszej sprawie godzi w system mający na celu ochronę jednego z podstawowych praw osoby fizycznej, którym jest prawo do ochrony jej danych osobowych, czy też szerzej – do ochrony jej prywatności. Istotnym elementem tego systemu, którego ramy określone zostały Rozporządzeniem 2016/679, są organy nadzorcze, na które nałożone zostały zadania związane z ochroną i egzekwowaniem praw osób fizycznych w tym zakresie. W celu umożliwienia realizacji tych zadań organy nadzorcze wyposażone zostały w szereg uprawnień kontrolnych, uprawnień umożliwiających prowadzenie postępowań administracyjnych oraz uprawnień naprawczych. Natomiast na administratorów i podmioty przetwarzające nałożone zostały, skorelowane z uprawnieniami organów nadzorczych, określone obowiązki, w tym obowiązek współpracy z organami nadzorczymi oraz obowiązek zapewnienia tym organom dostępu do informacji niezbędnych do realizacji ich zadań. Postępowanie Spółki w niniejszej sprawie, polegające na ignorowaniu podjętych przez Spółkę wezwań Prezesa UODO, a skutkujące utrudnieniem i nieuzasadnionym przedłużeniem prowadzonego przez Prezesa UODO postępowania, należy więc uznać za godzące w system ochrony danych osobowych, i z tego względu mające dużą wagę i naganny charakter. Wagę naruszenia zwiększa dodatkowo okoliczność, że dokonane przez Spółkę naruszenie nie było zdarzeniem incydentalnym. Działanie Spółki jest ciągłe i długotrwałe. Trwa od upływu 7-dniowego terminu wyznaczonego na przedstawienie analizy ryzyka naruszenia w wezwaniu z 16 grudnia 2021 r. skierowanego przez Prezesa UODO do Spółki w postępowaniu o sygnaturze DKN.5130.3205.2021, to jest od 31 grudnia 2021 r., do dnia wydania niniejszej decyzji.

33.

Umyślny charakter naruszenia (art. 83 ust. 2 lit. b) Rozporządzenia 2016/679).

W ocenie Prezesa UODO po stronie Spółki zaistniał świadomy i celowy brak współpracy w zapewnieniu organowi dostępu do wszelkich informacji niezbędnych do rozstrzygnięcia sprawy, w toku której Prezes UODO zwracał się do niej o ich udzielenie. Podkreślić należy, że Prezes Zarządu Spółki, przesyłając 5 marca 2021 r. do Urzędu Ochrony Danych Osobowych zawiadomienie o możliwym naruszeniu ochrony danych osobowych w Spółce, musiał mieć świadomość, że czynność ta zainicjuje podjęcie przewidzianych przepisami Rozporządzenia 2016/679 działań Prezesa UODO, a działania te wymagać będą kontaktu ze Spółką. Nieudzielnie odpowiedzi na kierowaną do Spółki korespondencję, Prezes UODO odbiera jako celowe działanie mające na celu utrudnienie mu lub nawet uniemożliwienie dokonania oceny zgłoszonego naruszenia. Warto w tym miejscu zaznaczyć, że Spółka odebrała skierowane do niej wezwania, a więc, jak należy domniemywać, osoby zarządzające Spółką były świadome żądań Prezesa UODO. Nieudzielenie odpowiedzi na nie musiało więc być w takiej sytuacji efektem świadomej i celowej decyzji osób działających w imieniu Spółki. Warto również podkreślić, że skierowane do Spółki pismo Prezesa UODO z 19 października 2022 r., informujące o wszczęciu niniejszego postępowania – oprócz informacji o dokonanych przez Spółkę naruszeniach – wskazało również Spółce, że ma jeszcze możliwość przedstawienia informacji, których żądał od niej Prezes UODO w postępowaniu o sygn. DKN.5130.3205.2021. Spółka miała więc pełną świadomość popełnionego naruszenia i wiedzę w jaki sposób stan tego naruszenia zakończyć (przedstawić Prezesowi UODO żądane informacje, tj. analizę ryzyka). Jednakże Spółka nie zareagowała i na to pismo, co należy potraktować jako działanie świadome i celowe, wpływające obciążająco na ocenę naruszenia stwierdzonego w niniejszej sprawie.

34.

Stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) Rozporządzenia 2016/679.

W toku niniejszego postępowania w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej (sygn. DKE.561.30.2022) Spółka nie podjęła w żadnym stopniu współpracy z Prezesem UODO. W szczególności Spółka nie przedstawiła informacji żądanych przez Prezesa UODO w postępowaniu o sygn. DKN.5130.3205.2021, co mogłoby być potraktowane jako działanie mające na celu usunięcie stwierdzonego w niniejszej sprawie naruszenia lub złagodzenie jego skutków. Taki brak współpracy z Prezesem UODO skutkuje w dalszym ciągu uniemożliwieniem Prezesowi UODO dokonania szybkiej i wnikliwej oceny naruszenia ochrony danych osobowych.

35.

W ocenie Prezesa UODO żadna z przesłanek, o których mowa w art. 83 ust. 2 Rozporządzenia 2016/679, nie przemawia za złagodzeniem ustalonego – z uwzględnieniem wyżej wskazanych okoliczności obciążających – wymiaru orzeczonej niniejszą decyzją kary.

36.

Ze względu na specyficzny charakter naruszenia (dotyczący relacji organu nadzorczego z administratorem, a nie administratora z osobami, których dane dotyczą) następujące okoliczności nie mogły być wzięte pod uwagę przez Prezesa UODO w niniejszej sprawie:

–

liczba poszkodowanych osób i rozmiar poniesionej przez nie szkody (art. 83 ust. 2 lit. a) Rozporządzenia 2016/679) – ze względu na to, że naruszenie (nieudzielenie przez Spółkę Prezesowi UODO dostępu do niezbędnych informacji) nie wiąże się z naruszeniem danych osobowych żadnej osoby i w konsekwencji nie wystąpiły w sprawie żadne szkody po stronie osób fizycznych;

–

działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkód poniesionych rzez osoby których dane dotyczą (art. 83 ust. 2 lit. c) Rozporządzenia 2016/679) – ze względu na to, że w sprawie nie wystąpiły żadne szkody po stronie osób fizycznych, brak jest obowiązku i możliwości podjęcia przez Spółkę jakichkolwiek działań mających na celu ich zminimalizowanie;

–

stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32 Rozporządzenia 2016/679 (art. 83 ust. 2 lit. d) Rozporządzenia 2016/679) – ze względu na to, że naruszenie w samej swojej istocie nie wiąże się ze środkami technicznymi i organizacyjnym wdrożonymi przez Spółkę w celu zapewnienia ochrony danych osobowych oraz bezpieczeństwa ich przetwarzania;

–

kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) Rozporządzenia 2016/679) ze względu na to, że naruszenie nie wiąże się z naruszeniem żadnych danych osobowych.

37.

Pozostałe, niżej wskazane okoliczności, o których mowa w art. 83 ust. 2 Rozporządzenia 2016/679, po dokonaniu oceny ich wpływu na stwierdzone w niniejszej sprawie naruszenie, zostały przez Prezesa UODO uznane za neutralne w jego ocenie, to znaczy nie mające ani obciążającego ani łagodzącego wpływu na wymiar orzeczonej administracyjnej kary pieniężnej:

–

wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego (art. 83 ust. 2 lit. e) Rozporządzenia 2016/679); Prezes UODO nie stwierdził jakichkolwiek, dokonanych przez Spółkę, wcześniejszych naruszeń przepisów o ochronie danych osobowych, w związku z czym brak jest podstaw do traktowania tej okoliczności jako obciążającej. A ponieważ taki stan (przestrzeganie przepisów o ochronie danych osobowych) jest stanem naturalnym, wynikającym z ciążących na Spółce obowiązków prawnych, nie może mieć on również wpływu łagodzącego na dokonaną przez Prezesa UODO ocenę naruszenia.

–

sposób w jaki organ nadzorczy dowiedział się o naruszeniu (art. 83 ust. 2 lit. h) Rozporządzenia 2016/679); Informację o stwierdzonym w niniejszej sprawie naruszeniu Prezes UODO uzyskał z urzędu analizując przebieg toczącego się przed nim postępowania o sygnaturze DKN.5130.3205.2021. Jest to naturalny sposób powzięcia informacji o tego rodzaju naruszeniu (to jest o niezapewnieniu dostępu do niezbędnych informacji) wynikający z kompetencji Prezesa UODO do oceny przebiegu tego postępowania i oceny jakie informacje są mu niezbędne do rozstrzygnięcia prowadzonej sprawy. Brak jest więc podstaw do negatywnej oceny faktu, że informacja o naruszeniu nie pochodzi od Spółki; fakt ten nie może być jednak też uwzględniony na korzyść Spółki skoro nie brała ona żadnego udziału w uzyskaniu przez Prezesa UODO informacji o naruszeniu.

–

przestrzeganie wcześniej zastosowanych w tej samej sprawie środków, o których mowa w art. 58 ust. 2 Rozporządzenia 2016/679 (art. 83 ust. 2 lit. i) Rozporządzenia 2016/679); Przed wydaniem niniejszej decyzji Prezes UODO nie stosował wobec Spółki w rozpatrywanej sprawie, żadnych środków wymienionych w art. 58 ust. 2 Rozporządzenia 2016/679, w związku z czym Spółka nie miała obowiązku podejmowania żadnych działań związanych z ich stosowaniem, a które to działania, poddane ocenie Prezesa UODO, mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia.

–

stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji (art. 83 ust. 2 lit. j) Rozporządzenia 2016/679); Spółka nie stosuje instrumentów, o których mowa w art. 40 i art. 42 Rozporządzenia 2016/679. Ich przyjęcie, wdrożenie i stosowanie nie jest jednak – jak stanowią przepisy Rozporządzenia 2016/679 – obowiązkowe dla administratorów, w związku z czym okoliczność ich niestosowania nie może być w niniejszej sprawie poczytana na niekorzyść Spółki. Na korzyść Spółki natomiast mogłaby być uwzględniona okoliczność przyjęcia i stosowania tego rodzaju instrumentów jako środków gwarantujących wyższy niż standardowy poziom ochrony przetwarzanych danych osobowych.

–

osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty (art. 83 ust. 2 lit. k) Rozporządzenia 2016/679)

Prezes UODO nie stwierdził, żeby Spółka, w związku z nieudzieleniem żądanych przez niego informacji, odniosła jakiekolwiek korzyści finansowe lub uniknęła tego rodzaju strat. Brak jest więc podstaw do traktowania tej okoliczności jako obciążającej Spółkę. Stwierdzenie zaistnienia wymiernych korzyści finansowych wynikających z naruszenia przepisów Rozporządzenia 2016/679 należałoby ocenić zdecydowanie negatywnie. Natomiast nieosiągnięcie przez Spółkę takich korzyści, jako stan naturalny, niezależny od woli i działania Spółki, jest okolicznością, która z istoty rzeczy nie może być dla niej łagodzącą. Potwierdza to samo sformułowanie przepisu art. 83 ust. 2 lit. k) Rozporządzenia 2016/679, który nakazuje organowi nadzorczemu zwrócić należytą uwagę na korzyści „osiągnięte” zaistniałe po stronie podmiotu dokonującego naruszenia.

–

inne obciążające lub łagodzące czynniki (art. 83 ust. 2 lit. k) Rozporządzenia 2016/679). Prezes UODO rozpatrując sprawę nie odnotował innych niż opisane powyżej okoliczności mogących mieć wpływ na ocenę naruszenia i na wysokość orzeczonej administracyjnej kary pieniężnej.

38.

Stosownie do brzmienia art. 83 ust. 1 Rozporządzenia 2016/679 nałożona przez organ nadzorczy administracyjna kara pieniężna powinna być w każdym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. Definiując wyżej wskazane zasady wymierzania administracyjnych kar pieniężnych odnieść się należy do poglądów doktryny prawa o ochronie danych osobowych. „Sankcja jest skuteczna, jeśli pozwala osiągnąć cel, dla którego ją wprowadzono. Sankcja jest proporcjonalna, jeśli nie przekracza progu dolegliwości określonego przez uwzględnienie okoliczności konkretnego przypadku. Sankcja jest zaś odstraszająca, jeśli realizuje względy prewencji indywidualnej i generalnej, innymi słowy, stanowi czytelny sygnał o dezaprobowaniu naruszenia dla społeczeństwa, a także dla samego adresata sankcji” (P. Litwiński (red.), Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (…); Komentarz do art. 83 [w:] P. Litwiński (red.) Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz). Tak zdefiniowane zasady wymierzania administracyjnych kar pieniężnych wymagają odniesienia się do wielkości, możliwości finansowych i pozycji ukaranego podmiotu na rynku, a za miernik tych atrybutów ukaranego podmiotu, w przypadku gdy jest nim przedsiębiorstwo, Rozporządzenie 2016/679 pozwala przyjąć całkowity roczny światowy obrót z poprzedniego roku obrotowego (art. 83 ust. 4 i 5 Rozporządzenia 2016/679). Uzupełniając tę zasadę przepis art. 101a ust. 2 u.o.d.o. stanowi, że w przypadku braku takich danych Prezes UODO ustala podstawę wymiaru administracyjnej kary pieniężnej w oparciu o szacunki, co do wielkości podmiotu, specyfiki prowadzonej przez niego działalności lub ogólnie dostępne dane finansowe dotyczące podmiotu. Odniesienie się do potencjału ekonomicznego ukaranego podmiotu jest konieczne gdyż m.in. kara niewspółmiernie niska w stosunku do możliwości finansowych sprawcy naruszenia (kara wręcz „niezauważalna” dla tego podmiotu) nie będzie skuteczna i odstraszająca dla tego podmiotu; kara zbyt dolegliwa (kara, której uiszczenie zagrozi bytowi podmiotu) nie będzie natomiast karą proporcjonalną.

39.

W związku z powyższym, wobec nieprzedstawienia przez Spółkę żądanych przez Prezesa UODO danych finansowych za rok 2021, ocena wielkości Spółki i jej potencjału ekonomicznego, jako podstawy wymiaru wymierzonej jej administracyjnej kary pieniężnej, dokonana została przez Prezesa UODO w sposób szacunkowy – w oparciu o ogólnie dostępne, dotyczące Spółki, dane finansowe za lata 2020-2021.

40.

Ustalając wymiar administracyjnej kary pieniężnej Prezes UODO wziął pod uwagę dane finansowe dotyczące Spółki dostępne w serwisie Krajowego Rejestru Sądowego (www.gov.pl/web/sprawiedliwosc/przegladarka-dokumentow-finansowych). Z danych tych wynika, że obrót (przychód netto ze sprzedaży) Spółki w dwóch ostatnich latach, za które Spółka złożyła sprawozdania finansowe w KRS, wynosił: w 2020 r.: (…) zł, w 2021 r.: (…) zł. Natomiast zysk netto, który Spółka osiągnęła w 2021 r. wyniósł (…) zł. Poziom przychodów osiągnięty w 2021 r. świadczy o stabilnej sytuacji finansowej Spółki, a wykazywany w tym okresie zysk netto – o dużej rentowności prowadzonej przez Spółkę działalności. Ze sprawozdania działalności Spółki wynika, że kondycja Spółki jest dobra, Spółka nie posiada żadnych przeterminowanych zobowiązań wobec kontrahentów krajowych i zagranicznych, jak również wobec Skarbu Państwa, a płynność finansowa jest zachowana.

41.

Ustalając wysokość orzeczonej niniejszą decyzją administracyjnej kary pieniężnej Prezes UODO zważył wszystkie trzy zasady wskazane w art. 83 ust. 1 Rozporządzenia 2016/679 w kontekście przedstawionych danych opisujących wielkość i skalę działalności Spółki oraz jej sytuację finansową. W jego ocenie kara w wysokości 36.558 zł odpowiada tym zasadom. Jej dotkliwość w wymiarze finansowym zdyscyplinuje Spółkę do prawidłowej współpracy z Prezesem UODO, zarówno w dalszym toku postępowania o sygn. DKN.5130.3205.2021, jak i w ewentualnych innych postępowaniach prowadzonych w przyszłości z jej udziałem przed Prezesem UODO. W wymiarze dyscyplinującym Spółkę kara będzie więc skuteczna. Przez swoją dolegliwość spełni też funkcję odstraszającą; będzie jasnym sygnałem zarówno dla Spółki, jak i dla innych podmiotów zobowiązanych na mocy przepisów Rozporządzenia 2016/679 do współpracy z Prezesem UODO, że lekceważenie obowiązków związanych z zapewnieniem dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań, stanowi naruszenie o dużej wadze i jako takie podlegać będzie sankcjom finansowym. Nałożona na Spółkę kara w tej konkretnej, określonej w sentencji niniejszej decyzji wysokości, jest również – w ocenie Prezesa UODO – proporcjonalna do wagi stwierdzonego naruszenia oraz do możliwości jej poniesienia przez Spółkę (nie zagrozi bytowi Spółki i możliwości dalszego prowadzenia przez nią dotychczasowej działalności).

42.

Określona w sentencji niniejszej decyzji kwota administracyjnej kary pieniężnej, stanowiąca równowartość 8.000 EUR, ustalona została w złotych – zgodnie z art. 103 u.o.d.o. (vide pkt 23 uzasadnienia niniejszej decyzji) – przy zastosowaniu średniego kursu euro z dnia 28 stycznia 2022 r. (gdzie 1 EUR 4,5697 PLN).

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął jak w sentencji.