Decyzja DOKE.561.15.2023

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2023 r., poz. 775 t.j.) w związku z art. 7 ust. 1 i 2 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz na podstawie art. 57 ust. 1 lit. a) i lit. h), art. 58 ust. 2 lit. b) w związku z art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23 maja 2018, str. 2, oraz w Dz. Urz. UE L 74 z 4 marca 2021, str. 35), zwanego dalej „Rozporządzeniem 2016/679”,

po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na M. spółka jawna z siedzibą w Z. (…), Prezes Urzędu Ochrony Danych Osobowych

udziela upomnienia M. spółka jawna z siedzibą w Z. (…) za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679, polegające na braku współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ramach wykonywania przez niego jego zadań oraz niezapewnieniu Prezesowi Urzędu Ochrony Danych Osobowych dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań w postępowaniu o sygn. DS.523.4539.2022.

Uzasadnienie

Stan faktyczny

1.

Do Prezesa Urzędu Ochrony Danych Osobowych (zwanego dalej: „Prezesem UODO”) wpłynęła skarga Pani K. L. prowadzącej działalność gospodarczą pod firmą C. z siedzibą w M., przy ul. (…) (reprezentowanej przez adw. M. U.) (zwanej dalej: „Skarżącą”) na nieprawidłowości w procesie przetwarzania jej danych osobowych przez K. sp. j. z siedzibą w W., polegające na niespełnieniu żądania Skarżącej o usunięcie jej danych osobowych. W związku z powyższym, celem rozpatrzenia zarzutów podnoszonych przez Skarżącą, Prezes UODO wszczął postępowanie wyjaśniające o sygn. DS.523.4539.2022. W toku postępowania wyjaśniającego Prezes UODO ustalił, że administratorem danych osobowych Skarżącej w zakresie objętym skargą jest M. sp. j. z siedzibą w Z., zwana dalej „Spółką.”

2.

W ramach wyżej wskazanego postępowania – działając na podstawie art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679 – Prezes UODO pismem z 10 stycznia 2023 r. wezwał Spółkę do ustosunkowania się do treści skargi oraz złożenia wyjaśnień:

1)

kiedy (należy wskazać dokładną datę), na jakiej podstawie prawnej (należy wymienić konkretny przepis/-y prawa), w jakim celu i w jakim zakresie (należy wymienić konkretny zakres danych) Spółka pozyskała dane osobowe Skarżącej,

2)

czy, a jeśli tak, to na jakiej podstawie prawnej (należy wskazać konkretny przepis/-y prawa), w jakim celu, w jakim zakresie (należy wymienić konkretny zakres danych), Spółka przetwarzała lub aktualnie przetwarza dane osobowe Skarżącej.

Uwaga: Jeżeli dane osobowe przetwarzane są na podstawie art. 6 ust. 1 lit. c RODO należy wskazać konkretny przepis prawa, z którego wynika obowiązek przetwarzania danych,

3)

czy, a jeżeli tak, to kiedy, na jakiej podstawie prawnej (należy wskazać konkretny przepis/-y prawa), w jakim celu i w jakim zakresie (należy wymienić konkretny zakres danych) Spółka udostępniła dane osobowe Skarżącej na rzecz K.,

4)

czy Skarżąca zwróciła się do Spółki z żądaniem usunięcia jej danych osobowych, a jeżeli tak, to jaka była odpowiedź Spółki (wzywam do przesłania dotychczasowej korespondencji ze Skarżącą w tym zakresie).

Wezwanie to, wysłane na ujawniony w Krajowym Rejestrze Sądowym adres siedziby Spółki, tj. Z. (…), zostało odebrane przez „pełnomocnika adresata” (zgodnie z informacją na zwrotnym potwierdzeniu odbioru) Pana K. S. 16 stycznia 2023 r. Mimo odbioru korespondencji, Spółka nie ustosunkowała się w żaden sposób do żądania organu ochrony danych osobowych.

3.

Wobec powyższego – pismem z 31 marca 2023 r. – Prezes UODO ponownie zwrócił się do Spółki z wezwaniem do złożenia wyjaśnień niezbędnych dla dokonania oceny zasadności skargi. Spółkę pouczono jednocześnie, że brak wyczerpującej odpowiedzi na niniejsze wezwanie skutkować może nałożeniem na Spółkę administracyjnej kary pieniężnej, zgodnie z art. 83 ust. 5 lit. e) Rozporządzenia 2016/679. Pomimo odbioru pisma w dniu 4 kwietnia 2023 r., Spółka nie przedłożyła żądanych wyjaśnień.

4.

Pismem z 25 maja 2023 r. Prezes UODO ponownie zwrócił się do Spółki z wezwaniem do złożenia wyjaśnień. Spółkę po raz kolejny pouczono również, że brak odpowiedzi na wezwanie Prezesa UODO skutkować może zastosowaniem wobec Spółki określonych w art. 83 ust. 5 lit. e) Rozporządzenia 2016/679 sankcji. Wezwanie to, zostało prawidłowo doręczone Spółce w dniu 30 maja 2023 r. Pomimo odbioru korespondencji, Spółka nie podjęła żadnych działań w celu przedłożenia żądanych wyjaśnień.

5.

Powyższe okoliczności stanu faktycznego Prezes UODO ustalił na podstawie całokształtu korespondencji urzędowej, wystosowanej przez Prezesa UODO do Spółki, znajdującej się w aktach postępowania o sygn. DS.523.4539.2022. Korespondencja ta odzwierciedla całokształt prób uzyskania przez Prezesa UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań – to jest do rozpatrzenia sprawy o sygn. DS.523.4539.2022. Z drugiej zaś strony, stanowi bezpośredni dowód braku współpracy Spółki z Prezesem UODO w ramach wykonywania przez niego jego zadań.

Postępowanie

6.

W związku z nieudzieleniem przez Spółkę informacji niezbędnych do rozstrzygnięcia sprawy o sygn. DS.523.4539.2022, Prezes UODO wszczął z urzędu – na podstawie art. 83 ust. 5 lit. e) Rozporządzenia 2016/679 – niniejsze postępowanie administracyjne o sygn. DOKE.561.15.2023, w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej, w związku z naruszeniem art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679. O wszczęciu postępowania Spółka została poinformowana pismem z 1 września 2023 r. (znak: DOKE.561.15.2023), doręczonym Spółce 8 września 2023 r. Pismem tym, Spółka została zobowiązana – celem ustalenia podstawy wymiaru kary, w oparciu o art. 101a ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781, zwanej dalej „u.o.d.o.”) – do dostarczenia informacji o wysokości obrotu i wyniku finansowego osiągniętego przez Spółkę w 2022 r. Spółkę poinformowano również, że okoliczność złożenia wyczerpujących wyjaśnień, o które Prezes UODO uprzednio zwracał się do Spółki w postępowaniu o sygn. DS.523.4539.2022, może wpłynąć łagodząco na wymiar wymierzonej w niniejszym postępowaniu administracyjnej kary pieniężnej bądź spowodować odstąpienie od jej nałożenia.

7.

W odpowiedzi na informację o wszczęciu przez Prezesa UODO postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej – pismem z 8 września 2023 r. – Spółka, złożyła wyjaśnienia w sprawie. W kwestii skargi Pani K. L. Spółka wskazała, że „W dniu 02.08.2021 firma M. Sp. j. przyjęła zlecenie transportowe o numerze (…) od firmy L., której właścicielem jest K. L. Zlecenie zostało pozyskane za pośrednictwem giełdy transportowej T. i dostarczone drogą mailową przez firmę L. Po wykonaniu usługi firma M. wystawiła fakturę o numerze (…). Po upływie wymaganego terminu, firma M. nie odnotowała żadnej płatności na swoim koncie. W związku z tym sprawę przekazano firmie K. w celu odzyskania należności. Po pewnym czasie Pani K. L. skontaktowała się z nami. Okazało się, że należności za wykonaną usługę zostały wysłane z prywatnego konta Pani K. L. Księgowy firmy M., Pan Z. L., nie odnotował tej płatności w systemie. Firma K. została poinformowana przez firmę M. o konieczności zaniechania dalszej windykacji. Kontakt telefoniczny w tej sprawie prowadził Pan Z. L., który niestety zmarł w tym roku.”

8.

W kwestii naruszenia art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679, Spółka oświadczyła, „(…) po pierwszym piśmie od Państwa i wyjaśnieniu całej sytuacji z Panią K. L., skarżąca zdecydowała się wycofać skargę wobec firmy M. Sp. j. Przyjęliśmy zatem, że sprawa została wyjaśniona a dalsze kroki z naszej strony nie są konieczne.”

9.

W dniu 21 września 2023 r. w sprawie o sygn. DS.523.4539.2022 wpłynęło pismo Skarżącej reprezentowanej przez adw. M. U. zawierające oświadczenie o cofnięciu skargi w całości wraz z wnioskiem o umorzenie postępowania.

Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Przepisy prawne

10.

Zgodnie z art. 57 ust. 1 lit. a) Rozporządzenia 2016/679, Prezes UODO, jako organ nadzorczy w rozumieniu art. 51 Rozporządzenia 2016/679, na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO m. in. rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f) Rozporządzenia 2016/679) oraz prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego (art. 57 ust. 1 lit. h) Rozporządzenia 2016/679).

11.

Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 Rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a) Rozporządzenia 2016/679) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e) Rozporządzenia 2016/679).

12.

Naruszenie przepisów Rozporządzenia 2016/679, skutkujące naruszeniem uprawnień organu określonych w art. 58 ust. 1, podlega – zgodnie z art. 83 ust. 5 lit. e) Rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

13.

Dodatkowo zarówno administrator, jak i podmiot przetwarzający obowiązani są na żądanie organu nadzorczego współpracować z nim w ramach wykonywania przez niego jego zadań, o czym stanowi art. 31 Rozporządzenia 2016/679. Niewywiązanie się z tego obowiązku zagrożone jest, zgodnie z art. 83 ust. 4 lit. a) Rozporządzenia 2016/679, administracyjną karą pieniężną w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

14.

Prezesowi UODO przysługuje ponadto szereg określonych w art. 58 ust. 2 Rozporządzenia 2016/679 uprawnień naprawczych, w tym prawo udzielenia upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów Rozporządzenia 2016/679 przez operacje przetwarzania. Zgodnie z motywem 148 Rozporządzenia 2016/679, aby egzekwowanie przepisów Rozporządzenia 2016/679 było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy Rozporządzenia 2016/679 przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte przez administratora dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.

15.

Stosownie do art. 60 u.o.d.o. postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa UODO. Z kolei art. 7 ust. 1 u.o.d.o. stanowi, że w sprawach nieuregulowanych w tej ustawie do postępowań administracyjnych przed Prezesem UODO (w tym w postępowaniach w przedmiocie nałożenia administracyjnej kary pieniężnej, o których mowa w Rozdziale 11 u.o.d.o.) stosuje się przepisy ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2023 r. poz. 775 z późn. zm., zwanej dalej: „k.p.a.”). Zgodnie z art. 7 ust. 2 u.o.d.o. postępowania te są postępowaniami jednoinstancyjnymi.

Ocena prawna

16.

Odnosząc wyżej wskazaną podstawę prawną do ustalonego w niniejszej sprawie stanu faktycznego należy uznać, że Spółka – będąc administratorem danych osobowych – poprzez nieudzielenie odpowiedzi na wezwania Prezesa UODO do złożenia wyjaśnień w postępowaniu o sygn. DS.523.4539.2022 naruszyła obowiązek współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań oraz zapewnienia Prezesowi UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań, które to obowiązki wynikają wprost z art. 31 oraz art. 58 ust. 1. lit. a) i e) Rozporządzenia 2016/679.

17.

Prezes UODO trzykrotnie wzywał Spółkę do złożenia wyjaśnień w sprawie o sygn. DS.523.4539.2022. Wezwania z 10 stycznia 2023 r., 31 marca 2023 r. oraz 25 maja 2023 r. zostały skutecznie doręczone i odebrane odpowiednio 16 stycznia 2023 r., 4 kwietnia 2023 r. oraz 30 maja 2023 r. – co uzasadnia przekonanie, że Spółka miała możliwość zapoznania się z treścią kierowanych do niej pism oraz udzielenia na nie odpowiedzi w zakreślonym przez organ ochrony danych osobowych terminie. Brak reakcji Spółki na przedmiotową korespondencję, bezsporny wobec zgromadzonego w niniejszej sprawie materiału dowodowego, poskutkował koniecznością wszczęcia postępowania administracyjnego w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej, w efekcie którego dopiero Spółka podjęła współpracę z Prezesem UODO oraz złożyła wyjaśnienia w sprawie o sygn. DS.523.4539.2022.

18.

W ocenie Prezesa UODO przedstawione przez Spółkę w piśmie z 8 września 2023 r. uzasadnienie braku odpowiedzi na wezwania (zob. pkt 8 uzasadnienia niniejszej decyzji) nie stanowi przesłanki wyłączającej odpowiedzialność Spółki. Ustalenia Spółki w bezpośrednich kontaktach ze Skarżącą nie zwalniały z wypełnienia przez Spółkę obowiązków nałożonych przepisami Rozporządzenia 2016/679. Do obowiązków Spółki należało udzielenie odpowiedzi na wezwania organu ochrony danych osobowych. Doręczenie korespondencji wystosowanej do Spółki w postępowaniu o sygn. DS.523.4539.2022, spowodowało rozpoczęcie biegu terminów na dokonanie czynności, do których Spółka została wezwana przez Prezesa UODO – w tym wypadku do złożenia wyjaśnień niezbędnych organowi nadzorczemu do realizacji jego zadań. Brak jakiejkolwiek aktywności Spółki w tym zakresie niewątpliwie obciąża Spółkę.

19.

Mimo oczywistego zaniedbania po stronie Spółki, Prezes UODO stanął na stanowisku, że stwierdzone naruszenie, polegające na braku współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań oraz niezapewnieniu Prezesowi UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań – jakkolwiek wysoce naganne – zostało przez Spółkę usunięte niezwłocznie po powzięciu informacji o niniejszym postępowaniu w przedmiocie nałożenia administracyjnej kary pieniężnej, tj. z chwilą wpłynięcia do UODO w dniu 11 września 2023 r. wyjaśnień Spółki. Składając wyjaśnienia, Spółka wykazała aktywną postawę oraz gotowość do dalszej współpracy z organem nadzorczym, zarówno w niniejszym postępowaniu, jak i w ewentualnych przyszłych postępowaniach wszczętych przez Prezesa UODO, których Spółka byłaby stroną. Prowadzi to do wniosku, że brak odpowiedzi Spółki na wezwania Prezesa UODO miał charakter wyłącznie incydentalny.

20.

Mając na uwadze powyższe, Prezes UODO uznał za uzasadnione udzielenie Spółce upomnienia w zakresie stwierdzonego naruszenia art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679, przyjmując jednocześnie, że w świetle kryteriów określonych w art. 83 ust. 2 Rozporządzenia 2016/679 będzie ono skuteczne i wystarczające. Należy jednak zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec Spółki będzie uwzględnione przy ocenie przesłanek warunkujących zasadność wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 Rozporządzenia 2016/679 i poczytywane będzie na jej niekorzyść.

21.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął jak w sentencji niniejszej decyzji.