Decyzja DKE.561.13.2025

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego^[1] (zwanej dalej: „k.p.a.”) w związku z art. 7 ust. 1 i 2, art. 60 oraz art. 101 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych^[2] (zwanej dalej: „u.o.d.o.”), a także na podstawie art. 57 ust. 1 lit. a) i lit. h), art. 58 ust. 2 lit. i), art. 83 ust. 1 i 2 oraz art. 83 ust. 5 lit. e) w związku z art. 58 ust. 1 lit. a) i lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwanego dalej: „rozporządzeniem 2016/679”^[3],

po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na D. (…) z siedzibą w S. przy ul. (…), Prezes Urzędu Ochrony Danych Osobowych,

stwierdzając naruszenie przez D. (…) z siedzibą w S. przy ul. (…), przepisów art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, polegające na niezapewnieniu Prezesowi Urzędu Ochrony Danych Osobowych dostępu do informacji niezbędnych do realizacji jego zadań, to jest do prowadzenia postępowania o sygn. DKN.5101.155.2025,

nakłada na D. (…) z siedzibą w S. przy ul. (…), administracyjną karę pieniężną w kwocie 10 082 zł (słownie: dziesięć tysięcy osiemdziesiąt dwa złote).

Uzasadnienie

I. Stan faktyczny.

1.

Do Prezesa Urzędu Ochrony Danych Osobowych (zwanego dalej: „Prezesem UODO”, „organem nadzorczym”) wpłynęła informacja wskazująca na możliwość wystąpienia nieprawidłowości w procesie przetwarzania danych osobowych mogących skutkować ryzykiem naruszenia praw lub wolności osób, których dane dotyczą. Z pozyskanej informacji wynikało, że członkowie obwodowych komisji wyborczych podczas wyborów prezydenckich w 2025 roku mieli weryfikować poza spisem wyborców – za pomocą aplikacji mobilnej D. (…) (zwanego dalej „D.”, „Stroną”) – uprawnienie osób głosujących na podstawie zaświadczeń o prawie do głosowania poza miejscem zamieszkania, podczas gdy aplikacja nie została autoryzowana przez Krajowe Biuro Wyborcze. W związku z koniecznością pozyskania informacji, które są niezbędne Prezesowi UODO do oceny okoliczności związanych z powyższym zdarzeniem, Prezes UODO prowadził postępowanie wyjaśniające o sygn. DKN.5101.155.2025.

2.

W ramach postępowania o sygn. DKN.5101.155.2025 – działając na podstawie art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679 – Prezes UODO pismami z 12 czerwca 2025 r. oraz 16 lipca 2025 r. wezwał D. do wskazania:

„

1)

czy opisana wyżej sytuacja ma lub miała miejsce;

2)

konkretnych kategorii danych osobowych, które były pozyskiwane przez administratora za pomocą formularza dostępnego pod adresem https://(…);

3)

proszę o wskazanie informacji, czy oprócz danych wprowadzonych przez użytkownika, administrator zbierał dodatkowe informacje, takie jak np. adres IP, dane o urządzeniu lub lokalizacja – a jeżeli tak, proszę o wskazanie konkretnych kategorii pozyskiwanych dodatkowo informacji;

4)

miejsca, w którym administrator fizycznie przechowuje dane pozyskiwane za pomocą formularza (tj. np. serwery w UE, USA, chmura, etc.);

5)

czy dane są szyfrowane podczas przechowywania i przesyłania, a jeżeli tak, proszę o przekazanie szczegółowego opisu w zakresie sposobu ich szyfrowania;

6)

czy administrator stosuje mechanizmy zabezpieczające przed nieautoryzowanym dostępem do danych osobowych pozyskiwanych za pomocą formularzy – a jeżeli tak, proszę o przedstawienie szczegółowego opisu w tym zakresie;

7)

okresu retencji danych osobowych przetwarzanych za pośrednictwem opisywanej aplikacji;

8)

w jakim celu i na jakiej podstawie zbierane są dane użytkowników – proszę o wskazanie konkretnych podstaw prawnych wykorzystywanych przez administratora w ww. celu;

9)

czy użytkownik może zażądać usunięcia swoich danych, a jeżeli tak, w jakiej formie to następuje i w jaki sposób administrator informuje o powyższym uprawnieniu użytkowników;

10)

czy dane osobowe są lub były wykorzystywane wyłącznie do obsługi formularza, czy także do innych celów (np. marketing, analizy, profilowanie) – a jeżeli tak, proszę o jednoznaczne wskazanie tych celów oraz wskazanie, czy użytkownik był informowany o wszystkich celach przetwarzania jego danych”.

3.

Zarówno wezwanie z 12 czerwca 2025 r., jak i wezwanie z 16 lipca 2025 r. skierowano na adres siedziby D. ujawniony w Krajowym Rejestrze Sądowym (zwanym dalej: „KRS”), tj. ul. (…), (…)-(…) S.. Po dwukrotnej bezskutecznej awizacji oba pisma zwrócono do Urzędu Ochrony Danych Osobowych z adnotacją „ZWROT nie podjęto w terminie”, przy czym należy uznać je za doręczone Stronie – zgodnie z art. 44 § 1 i 4 w związku z art. 45 k.p.a. – w trybie doręczenia zastępczego, odpowiednio 30 czerwca 2025 r. i 1 sierpnia 2025 r.

4.

W każdym z powyższych pism D. zostało pouczone o tym, że brak odpowiedzi na wezwania organu nadzorczego może skutkować nałożeniem na D. administracyjnej kary pieniężnej zgodnie z art. 83 ust. 5 lit. e) rozporządzenia 2016/679.

5.

D. nie udzieliło odpowiedzi na żadne ze wskazanych wyżej wezwań Prezesa UODO.

6.

Powyższy stan faktyczny Prezes UODO ustalił na podstawie korespondencji urzędowej kierowanej do D., która znajduje się w aktach sprawy o sygn. DKN.5101.155.2025. Korespondencja ta odzwierciedla całokształt prób uzyskania przez Prezesa UODO dostępu do informacji potrzebnych do realizacji jego zadań, tj. do rozpatrzenia sprawy o sygn. DKN.5101.155.2025, i jednocześnie stanowi bezpośredni dowód braku reakcji D. na żądania Prezesa UODO.

7.

W celu nawiązania kontaktu ze D., w dniu 21 października 2025 r., pracownik Departamentu Kar i Egzekucji UODO skontaktował się telefonicznie z Prezesem D., panem F. T.. Strona poinformowała, że nie otrzymała kierowanych do niej pism i poprosiła o ich ponowne przesłanie na wskazany przez nią adres, tj. (…). Wobec powyższego 24 października 2025 r. do Strony skierowano kopię pisma z 12 czerwca 2025 r. oraz kopię pisma z 16 lipca 2025 r. wraz z pismem przewodnim, w którym wyznaczono termin 14 dni na złożenie wyjaśnień oraz pouczono Stronę o rygorze wszczęcia postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej za naruszenie art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679 w przypadku niezłożenia żądanych wyjaśnień. Korespondencja przesłana na adres siedziby D.: ul. (…), (…)-(…) S., została odebrana przez Stronę 31 października 2025 r. Korespondencja przesłana na adres wskazany przez D.: (…), została zaś – po dwukrotnej awizacji – zwrócona do Urzędu Ochrony Danych Osobowych z adnotacją „ZWROT nie podjęto w terminie”; na podstawie art. 44 § 1 i 4 w związku z art. 45 k.p.a. została ona uznana za doręczoną D. z dniem 12 listopada 2025 r.

II. Postępowanie.

8.

W związku z nieudzieleniem przez D. informacji niezbędnych do rozstrzygnięcia sprawy o sygn. DKN.5101.155.2025, Prezes UODO wszczął wobec niego z urzędu – na podstawie art. 83 ust. 5 lit. e) rozporządzenia 2016/679 – niniejsze postępowanie administracyjne o sygn. DKE.561.13.2025.(…) w przedmiocie nałożenia administracyjnej kary pieniężnej za naruszenie art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679. O wszczęciu postępowania D. poinformowane zostało pismem z 4 grudnia 2025 r. W piśmie tym D. zostało zobowiązane – w celu ustalenia podstawy wymiaru administracyjnej kary pieniężnej w oparciu o art. 101a ust. 1 u.o.d.o. – do przedstawienia sprawozdania finansowego lub innego dokumentu przedstawiającego wysokość obrotu i wyniku finansowego osiągniętego przez D. w 2024 roku. D. poinformowano również o tym, że udzielenie wyczerpujących wyjaśnień, o które Prezes UODO uprzednio zwracał się do niego w postępowaniu o sygn. DKN.5101.155.2025, może wpłynąć łagodząco na wymiar wymierzonej administracyjnej kary pieniężnej orzeczonej w niniejszym postępowaniu lub spowodować odstąpienie od jej nałożenia. Ponadto, D. zostało poinformowane o możliwości wypowiedzenia się – przed wydaniem decyzji administracyjnej – co do zebranych dowodów i materiałów oraz zgłoszonych żądań.

9.

Wskazane wyżej pismo skierowane zostało na dwa adresy D., tj. na adres siedziby D. – ul. (…), (…)-(…) S. – (znak pisma: DKE.561.13.2025.(…)) oraz na adres do korespondencji wskazany przez Prezesa D. – (…) – (znak pisma: DKE.561.13.2025.(…)). Zgodnie z informacją zamieszczoną przez operatora pocztowego na zwrotnym potwierdzeniu odbioru, przesyłka skierowana na adres: (…), została doręczona w dniu 27 grudnia 2025 r. Prezesowi D., panu F. T., który złożył na tym potwierdzeniu swój podpis. Z kolei przesyłka skierowana na adres: ul. (…), (…)-(…) S., po dwukrotnej bezskutecznej awizacji, została zwrócona do UODO z adnotacją „Zwrot do nadawcy nie podjęto w terminie”. Należy zatem uznać ją za prawidłowo doręczoną Stronie – na podstawie art. 44 § 1 i 4 w związku z art. 45 k.p.a. – z dniem 29 grudnia 2025 r.

10.

Do dnia wydania niniejszej decyzji D. nie odpowiedziało na żadne z pism kierowanych do niego zarówno w postępowaniu o sygn. DKN.5101.155.2025, jak i w niniejszym postępowaniu o sygn. DKE.561.13.2025.(…).

Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

III. Przepisy prawa.

11.

Zgodnie z art. 57 ust. 1 lit. a) rozporządzenia 2016/679, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 rozporządzenia 2016/679 – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO prowadzi m.in. postępowania w sprawie stosowania rozporządzenia 2016/679, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego (art. 57 ust. 1 lit. h) rozporządzenia 2016/679).

12.

Stosownie do art. 60 u.o.d.o. postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa UODO. Z kolei art. 7 ust. 1 u.o.d.o. stanowi, że w sprawach nieuregulowanych w tej ustawie do postępowań administracyjnych przed Prezesem UODO (w tym w postępowaniach w przedmiocie nałożenia administracyjnej kary pieniężnej, o których mowa w Rozdziale 11 u.o.d.o.) stosuje się przepisy k.p.a. Zgodnie z art. 7 ust. 2 u.o.d.o. postępowania te są postępowaniami jednoinstancyjnymi.

13.

Dla umożliwienia realizacji zadań organu nadzorczego, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a) rozporządzenia 2016/679) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e) rozporządzenia 2016/679).

14.

Naruszenie przepisów rozporządzenia 2016/679 polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych osobowych i informacji, skutkujące naruszeniem uprawnień organu określonych w art. 58 ust. 1 tego aktu prawnego, podlega – zgodnie z art. 83 ust. 5 lit. e) in fine rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 euro, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

15.

Oceniając, czy, a jeśli tak, to w jakim wymiarze powinna być nałożona administracyjna kara pieniężna, organ nadzorczy ma obowiązek uwzględnić następujące okoliczności (przesłanki wymiaru kary) określone w art. 83 ust. 2 rozporządzenia 2016/679:

a)

charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody,

b)

umyślny lub nieumyślny charakter naruszenia,

c)

działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą,

d)

stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32,

e)

wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego,

f)

stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków,

g)

kategorie danych osobowych, których dotyczyło naruszenie,

h)

sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie,

i)

jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków,

j)

stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42,

k)

wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

16.

Ponadto organ nadzorczy – zgodnie z art. 83 ust. 1 rozporządzenia 2016/679 – zapewnia, by stosowane administracyjne kary pieniężne były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające (zasady wymiaru kary).

17.

W celu ustalenia podstawy wymiaru administracyjnej kary pieniężnej podmiot, wobec którego toczy się postępowanie w sprawie nałożenia administracyjnej kary pieniężnej zobowiązany jest na żądanie Prezesa UODO dostarczyć mu, w terminie 30 dni od dnia otrzymania żądania, danych niezbędnych do określenia tejże podstawy (art. 101a ust. 1 u.o.d.o.). Natomiast w przypadku niedostarczenia tych danych przez podmiot podlegający ukaraniu, Prezes UODO ustala podstawę wymiaru administracyjnej kary pieniężnej w sposób szacunkowy, uwzględniając wielkość podmiotu, specyfikę prowadzonej przez niego działalności lub ogólnie dostępne dane finansowe dotyczące podmiotu (art. 101a ust. 2 u.o.d.o.).

18.

Równowartość wyrażonych w euro kwot, o których mowa w art. 83 rozporządzenia 2016/679, oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku, gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia – według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego (art. 103 u.o.d.o.).

19.

Zgodnie z art. 45 k.p.a. jednostkom organizacyjnym i organizacjom społecznym doręcza się pisma w lokalu ich siedziby do rąk osób uprawnionych do odbioru pism. Przepis art. 44 k.p.a. stosuje się odpowiednio.

20.

Z kolei w myśl art. 44 k.p.a., w razie niemożności doręczenia pisma w sposób wskazany w art. 42 i 43 k.p.a., operator pocztowy w rozumieniu ustawy z dnia 23 listopada 2012 r. Prawo pocztowe przechowuje pismo przez okres 14 dni w swojej placówce pocztowej – w przypadku doręczenia pisma przez operatora pocztowego (§ 1). Zawiadomienie o pozostawieniu pisma wraz z informacją o możliwości jego odbioru w terminie siedmiu dni, licząc od dnia pozostawienia zawiadomienia w miejscu określonym w § 1, umieszcza się w oddawczej skrzynce pocztowej lub, gdy nie jest to możliwe, na drzwiach mieszkania adresata, jego biura lub innego pomieszczenia, w którym adresat wykonuje swoje czynności zawodowe, bądź w widocznym miejscu przy wejściu na posesję adresata (§ 2). W przypadku niepodjęcia przesyłki w terminie, pozostawia się powtórne zawiadomienie o możliwości odbioru przesyłki w terminie nie dłuższym niż czternaście dni od daty pierwszego zawiadomienia (§ 3). Doręczenie uważa się za dokonane z upływem 14 dnia od daty pierwszej próby doręczenia a pismo pozostawia się w aktach sprawy (§ 4).

21.

Zgodnie z art. 41 k.p.a., w toku postępowania strony oraz ich przedstawiciele i pełnomocnicy mają obowiązek zawiadomić organ administracji publicznej o każdej zmianie swojego adresu (§ 1). W razie zaniedbania obowiązku określonego w § 1 doręczenie pisma pod dotychczasowym adresem ma skutek prawny (§ 2).

22.

Natomiast stosownie do art. 17 oraz art. 53a ustawy z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym^[4] domniemywa się, że dane wpisane do tego rejestru są prawdziwe, a podmiot podlegający obowiązkowi wpisu do rejestru (…) jest obowiązany zgłaszać swój adres i siedzibę oraz ich zmiany, niezależnie od obowiązków wynikających z odrębnych przepisów, chyba że ustawa stanowi inaczej.

IV. Ocena prawna.

23.

Odnosząc przytoczone powyżej przepisy rozporządzenia 2016/679 oraz innych aktów prawa krajowego do ustalonego w niniejszej sprawie stanu faktycznego, rozważyć należy w pierwszej kolejności, czy D. jest adresatem obowiązków, o których mowa w art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, naruszenie których podlega administracyjnej karze pieniężnej na podstawie art. 83 ust. 5 lit. e) rozporządzenia 2016/679. Wskazane wyżej przepisy rozporządzenia 2016/679 nakładają obowiązek procesowy – w ramach prowadzonych przez Prezesa UODO postępowań – na administratorów i na podmioty przetwarzające. Z akt sprawy o sygn. DKN.5101.155.2025 wynika, że do wystąpienia nieprawidłowości w procesie przetwarzania danych osobowych, mogących skutkować ryzykiem naruszenia praw i wolności osób, których dane dotyczą, mogło dojść w związku z wykorzystaniem aplikacji mobilnej D. służącej do weryfikacji zaświadczeń pozwalających na głosowanie w dowolnym lokalu wyborczym. Ustalenie dokładnej roli D. w procesie przetwarzania danych osobowych w przedmiotowej aplikacji jest przedmiotem postępowania o sygn. DKN.5101.155.2025. Do jego rozstrzygnięcia niezbędne są informacje, których – pomimo żądań Prezesa UODO – D. nie udziela. W niniejszym postępowaniu ustalenie to nie ma jednak znaczenia, ponieważ każdy administrator i każdy podmiot przetwarzający zobowiązany jest dostarczyć organowi nadzorczemu wszelkich informacji potrzebnych mu do realizacji jego zadań, w tym do rozstrzygania toczących się przed nim spraw.

24.

D., nie udzielając odpowiedzi na wezwania Prezesa UODO do złożenia wyjaśnień, naruszyło obowiązek zapewnienia Prezesowi UODO dostępu do wszelkich danych osobowych i informacji potrzebnych do realizacji jego zadań. W postępowaniu wyjaśniającym o sygn. DKN.5101.155.2025 istotne były okoliczności dotyczące zaistnienia zdarzenia zgłoszonego Prezesowi UODO oraz okoliczności związane z przetwarzaniem danych osobowych w aplikacji mobilnej D., m.in. kategorie i zakres przetwarzanych danych osobowych, sposób przetwarzania i przechowywania tych danych oraz ich ochrona (zob. pkt 2 uzasadnienia decyzji). Uniemożliwienie Prezesowi UODO uzyskania dostępu do powyższych informacji utrudniło mu podjęcie dalszych działań w sprawie, a tym samym nie pozwoliło na podjęcie działań mających na celu ochronę praw osób, których dane były przetwarzane w ramach zgłoszonego zdarzenia.

25.

W postępowaniu o sygn. DKN.5101.155.2025, celem ustalenia okoliczności zgłoszonej organowi nadzorczemu możliwości wystąpienia nieprawidłowości w procesie przetwarzania danych osobowych mogących skutkować ryzykiem naruszenia praw lub wolności osób, których dane dotyczą – działając w oparciu o art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679 – Prezes UODO dwukrotnie wezwał D. do udzielenie potrzebnych informacji w tym zakresie (zob. pkt 2 uzasadnienia decyzji). Oba skierowane do D. pisma wysłano na aktualny wówczas adres siedziby D. ujawniony w KRS i doręczono na zasadzie fikcji doręczenia zastępczego (zob. pkt 3 uzasadnienia decyzji). D. nie udzieliło na nie żadnej odpowiedzi. Stanu tego nie zmieniło ani doręczenie D. kopii uprzednio skierowanych do niego wezwań (zob. pkt 7 uzasadnienia decyzji), ani też wszczęcie przez Prezesa UODO niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej (sygn. DKE.561.13.2025.(…)). Pismo z 4 grudnia 2025 r., skierowane – w ramach tego postępowania – zarówno na adres siedziby D., jak i na adres do korespondencji wskazany przez Prezesa D., zostało skutecznie doręczone Stronie, lecz pozostało bez jakiejkolwiek odpowiedzi (zob. 8-10 uzasadnienia decyzji).

26.

Powyższe okoliczności przemawiają za uznaniem, że w okolicznościach niniejszej sprawy D. miało obiektywnie zapewnioną możliwość zapoznania się z treścią żądania skierowanego do niego przez organ nadzorczy, jak również udzielenia na nie odpowiedzi. Wobec tego brak złożenia stosownych wyjaśnień w postępowaniu o sygn. DKN.5101.155.2025 obciąża wyłącznie Stronę. Nadto, w ocenie Prezesa UODO, bierna postawa D. świadczy o jego lekceważącym stosunku zarówno wobec organu państwowego, prowadzonego przez niego postępowania oraz w efekcie – wobec demokratycznego państwa prawa.

27.

Lekceważącej postawy Strony nie zmieniły również rozmowy telefoniczne przeprowadzone z prezesem D. przez pracownika UODO. Mimo wyczerpania wszelkich środków służących pozyskaniu informacji potrzebnych do wszechstronnego wyjaśnienia sprawy o sygn. DKN.5101.155.2025 – które to informacje bez wątpienia pozostają w dyspozycji Strony – ta do chwili wydania niniejszej decyzji administracyjnej nie podjęła współpracy z organem ochrony danych osobowych i nie udzieliła mu żadnych żądanych przez niego informacji.

28.

Brak złożenia wyjaśnień, których Prezes UODO żądał od D., jest przeszkodą w obiektywnym, wnikliwym i wszechstronnym rozpatrzeniu sprawy o sygn. DKN.5101.155.2025. W związku z powyższym należy uznać, że zaistniały przesłanki uzasadniające nałożenie na D. – na mocy art. 83 ust. 5 lit. e) rozporządzenia 2016/679 – administracyjnej kary pieniężnej za naruszenie przepisów art. 58 ust. 1 lit. a) i lit. e) tego rozporządzenia, polegające na niezapewnieniu dostępu do wszelkich informacji niezbędnych Prezesowi UODO do realizacji jego zadań wykonywanych w ramach postępowania o sygn. DKN.5101.155.2025. Skutkiem braku dostępu do informacji było nieuzasadnione przedłużenie czasu trwania postępowania wyjaśniającego odnośnie do okoliczności zgłoszonej organowi nadzorczemu możliwości wystąpienia nieprawidłowości w procesie przetwarzania danych osobowych opisanej w pkt 1 uzasadnienia niniejszej decyzji. To zaś naruszyło prawa osób dotkniętych zgłoszonym zdarzeniem do uzyskania skutecznej i szybkiej ochrony prawnej ze strony organu nadzorczego.

V. Administracyjna kara pieniężna.

Przesłanki wymiaru administracyjnej kary pieniężnej.

29.

Stosownie do treści art. 83 ust. 2 rozporządzenia 2016/679 administracyjną karę pieniężną nakłada się zależnie od okoliczności każdego indywidualnego przypadku. Decydując o nałożeniu na D. administracyjnej kary pieniężnej Prezes UODO – zgodnie z art. 83 ust. 2 lit. a)-k) rozporządzenia 2016/679 (zob. pkt 15 uzasadnienia decyzji) – wziął pod uwagę następujące okoliczności sprawy, stanowiące o konieczności zastosowania w niniejszej sprawie tego rodzaju sankcji oraz wpływające obciążająco na wymiar nałożonej administracyjnej kary pieniężnej.

30.

Charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) rozporządzenia 2016/679).

Naruszenie podlegające administracyjnej karze pieniężnej w niniejszej sprawie godzi w system mający na celu ochronę jednego z podstawowych praw osoby fizycznej, jakim jest prawo do ochrony jej danych osobowych, czy też szerzej – do ochrony jej prywatności. Istotnym elementem tego systemu, którego ramy określone zostały przepisami rozporządzenia 2016/679, są organy nadzorcze, na które nałożone zostały zadania związane z ochroną i egzekwowaniem praw osób fizycznych w tym zakresie. W celu umożliwienia realizacji tych zadań organy nadzorcze wyposażone zostały w szereg uprawnień kontrolnych, uprawnień umożliwiających prowadzenie postępowań administracyjnych oraz uprawnień naprawczych. Natomiast na administratorów i podmioty przetwarzające nałożone zostały, skorelowane z uprawnieniami organów nadzorczych, określone obowiązki, w tym obowiązek zapewnienia tym organom dostępu do danych osobowych i informacji niezbędnych do realizacji ich zadań. Wagę naruszenia tych obowiązków podkreślił sam prawodawca unijny, przewidując za ich naruszenie karę wyższą z dwóch określonych przepisami rozporządzenia 2016/679 – karę do 20 000 000 euro, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Postępowanie D. w niniejszej sprawie, polegające na uniemożliwieniu dostępu do żądanych przez Prezesa UODO informacji i danych osobowych należy uznać za godzące w cały system ochrony danych osobowych, a w związku z tym mające znaczną wagę i naganny charakter. Wagę naruszenia zwiększa dodatkowo okoliczność, że dokonane przez D. naruszenie nie jest zdarzeniem jednorazowym i incydentalnym. Stwierdzone bezprawne zachowanie D. jest ciągłe i długotrwałe. Trwa ono bowiem ponad 10 miesięcy, to jest od dnia, w którym upłynął 14-dniowy terminu na złożenie wyjaśnień, wyznaczony w pierwszym – doręczonym Stronie 30 czerwca 2025 r. (zob. pkt 3 uzasadnienia decyzji) – wezwaniu skierowanym do niej w postępowaniu o sygn. DKN.5101.155.2025 (a więc od 15 lipca 2025 r.) do dnia wydania decyzji administracyjnej kończącej niniejsze postępowanie.

31.

Umyślny charakter naruszenia (art. 83 ust. 2 lit. b) rozporządzenia 2016/679).

W ocenie Prezesa UODO po stronie D. zaistniał świadomy i celowy brak woli współpracy w zapewnieniu organowi nadzorczemu dostępu do wszelkich informacji niezbędnych do rozstrzygnięcia sprawy, o które Prezes UODO zwracał się do niego dwukrotnie. Nieudzielenie odpowiedzi na kierowaną do D. korespondencję w sprawie o sygn. DKN.5101.155.2025 Prezes UODO odbiera jako celowe działanie utrudniające mu lub nawet uniemożliwiające dokonanie oceny zgłoszonej mu możliwości wystąpienia nieprawidłowości w procesie przetwarzania danych osobowych opisanej w pkt 1 uzasadnienia decyzji. Podkreślenia wymaga, że przed wszczęciem niniejszego postępowania – na skutek nawiązania przez pracownika Departamentu Kar i Egzekucji UODO kontaktu telefonicznego z Prezesem D. – Stronę bezpośrednio poinformowano o toczącym się postępowaniu o sygn. DKN.5101.155.2025 oraz skutecznie doręczono jej kopie pism kierowanych do niej w tym postępowaniu (zob. pkt 7 uzasadnienia decyzji). W związku z tym należy uznać, że D. było świadome treści żądań Prezesa UODO oraz konsekwencji nieudzielenia organowi nadzorczemu wyjaśnień w sprawie. Co więcej, reakcja D. nie nastąpiła nawet po otrzymaniu informacji o wszczęciu postępowania w przedmiocie nałożenia na niego administracyjnej kary pieniężnej o sygn. DKE.561.13.2025.(…) (zob. pkt 8-10 uzasadnienia decyzji), a taki stan świadczy jednoznacznie o świadomym i celowym braku woli współpracy z Prezesem UODO. Okoliczność ta winna być oceniana negatywnie i uznana za obciążającą w kontekście ustalenia zarówno zasadności wymierzenia, jak i wysokości orzeczonej kary pieniężnej.

32.

Stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) rozporządzenia 2016/679).

Zarówno w niniejszym postępowaniu w przedmiocie nałożenia na D. administracyjnej kary pieniężnej, jak i w postępowaniu o sygn. DKN.5101.155.2025, D. nie podjęło w żadnym stopniu współpracy z Prezesem UODO. W szczególności D. nie przedstawiło informacji żądanych przez organ nadzorczy w postępowaniu o sygn. DKN.5101.155.2025, co mogłoby być potraktowane jako działanie mające na celu usunięcie stwierdzonego w niniejszej sprawie stanu naruszenia lub złagodzenia jego negatywnych skutków. Takie zachowanie D. skutkuje utrudnieniem i nieuzasadnionym przedłużeniem prowadzonego przez Prezesa UODO postępowania wyjaśniającego o sygn. DKN.5101.155.2025. Trwanie D. w stanie naruszenia (brak woli przywrócenia stanu zgodnego z prawem polegającego na wywiązywaniu się z ciążących na nim obowiązków procesowych w postępowaniu przed Prezesem UODO) wpływa – w ocenie Prezesa UODO – obciążająco na ocenę stwierdzonego naruszenia.

33.

W ocenie Prezesa UODO żadna z okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, nie przemawia za złagodzeniem ustalonego – z uwzględnieniem wyżej wskazanych okoliczności obciążających – wymiaru kary orzeczonej niniejszą decyzją administracyjną.

34.

Inne, niżej wskazane okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, po dokonaniu oceny ich wpływu na stwierdzone w niniejszej sprawie naruszenie, zostały przez Prezesa UODO uznane za neutralne, to znaczy niemające ani obciążającego ani łagodzącego wpływu na wymiar orzeczonej administracyjnej kary pieniężnej:

a)

wszelkie stosowne wcześniejsze naruszenia ze strony D. (art. 83 ust. 2 lit. e) rozporządzenia 2016/679). Prezes UODO nie stwierdził, aby D. dopuściło się wcześniej jakichkolwiek naruszeń przepisów o ochronie danych osobowych, w związku z czym brak jest podstaw do traktowania tej okoliczności jako obciążającej. A ponieważ taki stan (wywiązywanie się z obowiązków wynikających z przepisów o ochronie danych osobowych) jest normą – standardem wymaganym od administratorów i podmiotów przetwarzających – nie może mieć on również wpływu łagodzącego na dokonaną przez Prezesa UODO ocenę naruszenia.

b)

sposób w jaki organ nadzorczy dowiedział się o naruszeniu (art. 83 ust. 2 lit. h) rozporządzenia 2016/679). Informację o stwierdzonym w niniejszej sprawie naruszeniu Prezes UODO uzyskał z urzędu analizując przebieg toczącego się przed nim postępowania o sygn. DKN.5101.155.2025. Jest to naturalny sposób powzięcia informacji o tego rodzaju naruszeniu, wynikający z kompetencji Prezesa UODO do oceny przebiegu tego postępowania i oceny, jakie informacje są mu niezbędne do rozstrzygnięcia prowadzonej sprawy. Brak jest więc podstaw do negatywnej oceny faktu, że informacja o naruszeniu nie pochodzi od D.; fakt ten nie może być jednak też uwzględniony na korzyść D., skoro nie brał on żadnego udziału w uzyskaniu przez Prezesa UODO informacji o naruszeniu.

c)

przestrzeganie wcześniej zastosowanych w tej samej sprawie środków, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679 (art. 83 ust. 2 lit. i) rozporządzenia 2016/679). Przed wydaniem niniejszej decyzji Prezes UODO nie stosował wobec D. w rozpatrywanej sprawie żadnych środków wymienionych w art. 58 ust. 2 rozporządzenia 2016/679, w związku z czym D. nie miało obowiązku podejmowania żadnych działań związanych z ich stosowaniem, a które to działania, poddane ocenie Prezesa UODO, mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia.

d)

stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji (art. 83 ust. 2 lit. j) rozporządzenia 2016/679). D. nie stosuje instrumentów, o których mowa w art. 40 i art. 42 rozporządzenia 2016/679. Ich przyjęcie, wdrożenie i stosowanie nie jest jednak – jak stanowią przepisy rozporządzenia 2016/679 – obowiązkowe dla administratorów, w związku z czym okoliczność ich niestosowania nie może być w niniejszej sprawie poczytana na niekorzyść D.. Na korzyść D. natomiast mogłaby być uwzględniona okoliczność przyjęcia i stosowania tego rodzaju instrumentów jako środków gwarantujących wyższy niż standardowy poziom ochrony przetwarzanych danych osobowych.

e)

osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty (art. 83 ust. 2 lit. k) rozporządzenia 2016/679). Prezes UODO nie stwierdził, aby D., w związku z nieudzieleniem żądanych od niego informacji, odniosło jakiekolwiek korzyści finansowe lub uniknęło tego rodzaju strat. Brak jest więc podstaw do traktowania tej okoliczności jako obciążającej D.. Stwierdzenie zaistnienia wymiernych korzyści finansowych wynikających z naruszenia przepisów rozporządzenia 2016/679 należałoby ocenić zdecydowanie negatywnie. Natomiast nieosiągnięcie przez D. takich korzyści, jako stan naturalny, niezależny od jego woli i jego działania, jest okolicznością, która z istoty rzeczy nie może być dla niego łagodząca. Potwierdza to samo sformułowanie przepisu art. 83 ust. 2 lit. k) rozporządzenia 2016/679, który nakazuje organowi nadzorczemu zwrócić należytą uwagę na korzyści „osiągnięte” – zaistniałe po stronie podmiotu dokonującego naruszenia.

f)

inne obciążające lub łagodzące czynniki (art. 83 ust. 2 lit. k) rozporządzenia 2016/679). Prezes UODO, wszechstronnie rozpatrując sprawę, nie odnotował innych niż opisane powyżej okoliczności mogących mieć wpływ na ocenę naruszenia i na wysokość orzeczonej administracyjnej kary pieniężnej.

35.

Pozostałe okoliczności wymienione w art. 83 ust. 2 rozporządzenia 2016/679 nie mogły być wzięte pod uwagę przez Prezesa UODO (i nie mogły tym samym być potraktowane jako łagodzące bądź obciążające) ze względu na charakter naruszenia, który dotyczy relacji administratora z organem nadzorczym, a nie z osobami, których dane dotyczą. Są to:

a)

liczba poszkodowanych osób i rozmiar poniesionej przez nie szkody (art. 83 ust. 2 lit. a) rozporządzenia 2016/679) – ze względu na to, że naruszenie (nieudzielenie przez D. Prezesowi UODO dostępu do niezbędnych informacji) nie wiąże się z naruszeniem danych osobowych żadnej osoby, w konsekwencji nie można stwierdzić, że w sprawie wystąpiły szkody po stronie osób fizycznych;

b)

działania podjęte przez D. w celu zminimalizowania szkód poniesionych przez osoby, których dane dotyczą (art. 83 ust. 2 lit. c) rozporządzenia 2016/679) – ze względu na to, że w sprawie nie można stwierdzić by wystąpiły szkody po stronie osób fizycznych, brak jest obowiązku i możliwości podjęcia przez D. jakichkolwiek działań mających na celu ich zminimalizowanie;

c)

stopień odpowiedzialności D. z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i 32 rozporządzenia 2016/679 (art. 83 ust. 2 lit. d) rozporządzenia 2016/679) – ze względu na to, że naruszenie w samej swojej istocie nie wiąże się ze środkami technicznymi i organizacyjnym wdrożonymi przez D. w celu zapewnienia ochrony danych osobowych oraz bezpieczeństwa ich przetwarzania;

d)

kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679) – ze względu na to, że naruszenie polegające na braku współpracy z Prezesem UODO oraz na niezapewnieniu dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań nie wiąże się z naruszeniem żadnych danych osobowych.

Wysokość administracyjnej kary pieniężnej.

36.

Aby zapewnić spójne podejście do nakładania administracyjnych kar pieniężnych, Europejska Rada Ochrony Danych przyjęła Wytyczne 04/2022, które zalecają przy wyliczeniu wysokości kary rozważenie m.in. obrotu przedsiębiorstwa. Biorąc jednak pod uwagę, że D. nie jest przedsiębiorcą, ustalenie wysokości nałożonej administracyjnej kary pieniężnej nie nastąpiło poprzez odniesienie się do całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.

37.

Ustalając wysokość kary, która powinna być dla Strony dolegliwa (a tym samym skuteczna i odstraszająca), ale jednocześnie możliwa do uiszczenia bez nadmiernego uszczerbku dla jej działalności, Prezes UODO wziął pod uwagę specyfikę, zakres i skalę prowadzonej przez D. działalności, oszacował jego możliwości finansowe, i na tej podstawie dokonał ustalenia wysokości administracyjnej kary pieniężnej. D. zarejestrowane jest od (…) w Rejestrze (…) Krajowego Rejestru Sądowego pod nr KRS (…). Nie jest wpisane do Rejestru (…). Celem działania D. jest m.in. kultywowanie i kontynuowanie polskich tradycji samorządowych, wolnościowych, niepodległościowych, społecznikowskich, spółdzielczych i państwotwórczych, krzewienie tradycji i historii związanych z wolnymi wyborami, kontrolą władzy państwowej, spółdzielczej i samorządowej i obywatelską troską o ojczyznę. D. funkcjonuje nieprzerwanie od (…) r., jednak jego wzmożona działalność zauważalna jest przede wszystkim w okresie okołowyborczym. D. publikuje artykuły na stronie internetowej, pod adresem https://(…), w których relacjonuje swoją działalność oraz przedstawia stanowiska w sprawach związanych z obszarem swoich zainteresowań. Działalność D. ma charakter ogólnokrajowy, na co wskazuje utworzenie oddziałów wojewódzkich oraz prowadzenie szkoleń i spotkań dla nowych członków na terenie całej Polski. W związku z tym, że do wiodących zainteresowań D. należy kwestia uczciwości wyborów, działalność Strony jest szeroko komentowana w środkach masowego przekazu, jednakże głównie w okresie okołowyborczym. Strona udostępnia na swojej stronie internetowej numer konta bankowego, przeznaczony do wpłat darowizny na cele statutowe. W związku powyższym skalę prowadzonej przez D. działalności należy ocenić jako średnią. Ponadto należy wskazać, że w przestrzeni internetowej – w tym w Przeglądarce dokumentów finansowych KRS, Krajowym Rejestrze Zadłużonych, Rejestrze podatników VAT – brak jest jakichkolwiek informacji na temat sytuacji finansowej D.. Mając jednak na względzie, że Strona prowadzi aktywnie działalność, i posiada źródła finansowania tej działalności, należy uznać, iż posiada środki umożliwiające uiszczenie administracyjnej kary pieniężnej. W tych okolicznościach, za adekwatną kwotę administracyjnej kary pieniężnej wymierzonej wobec D. Prezes UODO uznał kwotę 10 082 zł stanowiącą równowartość 2 400 euro (zgodnie ze średnim kursem euro z dnia 28 stycznia 2026 r., gdzie 1 euro = 4,2009 zł – zob. pkt 18 uzasadnienia decyzji).

38.

Prezes UODO uznał, że ustalona powyżej wysokość administracyjnej kary pieniężnej odpowiada dyrektywom wymiaru kary wskazanym w art. 83 ust. 1 rozporządzenia 2016/679, czyli będzie skuteczna, odstraszająca i proporcjonalna. Niewątpliwie kara pieniężna w wysokości 10 082 zł będzie karą skuteczną, gdyż przez swą dolegliwość osiągnie cel represyjny, jakim jest ukaranie D. za bezprawne zachowanie. Jednocześnie doprowadzi – w ocenie Prezesa UODO – do stanu, w którym D. w przyszłości będzie wywiązywało się ze swoich obowiązków z zakresu ochrony danych osobowych, w szczególności w zakresie zapewniania Prezesowi UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań w postępowaniu o sygn. DKN.5101.155.2025. Wskazana wyżej kara będzie również karą odstraszającą, stanowiącą jasny sygnał dla D. oraz innych podmiotów, zobowiązanych na mocy przepisów rozporządzenia 2016/679 do współpracy z Prezesem UODO, że lekceważenie obowiązków związanych ze współpracą z nim (w szczególności utrudnianie dostępu do danych osobowych i informacji potrzebnych do realizacji jego zadań) stanowi naruszenie podlegające sankcjom finansowym. Określona powyżej kara będzie również proporcjonalna do stwierdzonego naruszenia przepisu art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, bowiem została określona na takim poziomie, aby z jednej strony stanowiła adekwatną reakcję organu nadzorczego na stopień naruszenia obowiązków D., nie powodując z drugiej strony dużego uszczerbku dla prowadzonej przez nie działalności. Warto przy tym podkreślić, że kwota nałożonej administracyjnej kary pieniężnej to jedynie 0,012% maksymalnej wysokości kary, którą Prezes UODO mógł, zgodnie z art. 83 ust. 5 rozporządzenia 2016/679, nałożyć na D. za stwierdzone w niniejszej sprawie naruszenie.

39.

Uwzględniając wszystkie omówione wyżej okoliczności, Prezes UODO uznał, że nałożenie na D. administracyjnej kary pieniężnej jest konieczne i uzasadnione wagą, charakterem oraz zakresem zarzucanego jej naruszenia art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679. Stwierdzić należy, że zastosowanie jakiegokolwiek innego środka naprawczego przewidzianego w art. 58 ust. 2 rozporządzenia 2016/679, w szczególności zaś poprzestanie na upomnieniu (art. 58 ust. 2 lit. b) rozporządzenia 2016/679), nie byłoby proporcjonalne do stwierdzonych nieprawidłowości oraz nie gwarantowałoby tego, że D. w przyszłości nie dopuści się kolejnych zaniedbań.

Mając powyższe na uwadze Prezes UODO orzekł jak w sentencji niniejszej decyzji.