Decyzja DKE.561.3.2025

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572) zwanej dalej „k.p.a.”, w związku z art. 7 ust. 1 i 2 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) zwanej dalej „u.o.d.o.” oraz na podstawie art. 57 ust. 1 lit. a) i lit. h), art. 58 ust. 2 lit. b) w związku z art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23 maja 2018, str. 2, oraz w Dz. Urz. UE L 74 z 4 marca 2021, str. 35), zwanego dalej „rozporządzeniem 2016/679”,

po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na Panią H. S. oraz Pana G. S., zamieszkałych w C. przy ul. (…), Prezes Urzędu Ochrony Danych Osobowych

udziela upomnienia Pani H. S. oraz Panu G. S. za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, polegające na braku współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ramach wykonywania przez niego jego zadań oraz niezapewnieniu Prezesowi Urzędu Ochrony Danych Osobowych dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań w postępowaniu o sygn. DS.523.5488.2023.

Uzasadnienie

Stan faktyczny

1.

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pana R. M. na nieprawidłowości w procesie przetwarzania jego danych osobowych polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej za pomocą monitoringu wizyjnego. W związku z powyższym, Prezes Urzędu Ochrony Danych Osobowych (zwany dalej: „Prezesem UODO”) wszczął postępowanie wyjaśniające o sygn. DS.523.5488.2023.

2.

W ramach wyżej wskazanego postępowania w dniu 10 kwietnia 2024 r. do Urzędu wpłynęło pismo Pani H. S. oraz Pana G. S. (zwanych dalej: „Stronami”) z wyjaśnieniami w sprawie. Przedstawione wyjaśnienia w ocenie organu nadzorczego okazały się jednak niepełne i wymagające uzupełnienia.

3.

Pismem z 5 czerwca 2024 r. – Prezes UODO zwrócił się do Stron o złożenie (w terminie 7 dni od dnia doręczenia ww. pisma) wyjaśnień uzupełniających oraz uzupełnienia materiału dowodowego, które są niezbędne do wydania decyzji administracyjnej o treści:

1)

która dokładnie część budynku widocznego na zdjęciu należy do Pana R. M. (proszę zaznaczyć na zdjęciu),

2)

z której strony jest wjazd na drogę publiczną.

4.

Pomimo skutecznie doręczonego pisma, Strony nie ustosunkowały się w żaden sposób do żądania organu nadzorczego w terminie wyznaczonym na dokonanie czynności, do podjęcia których były wzywane.

5.

Wobec powyższego, Prezes UODO pismem z 11 września 2024 r., ponownie zwrócił się do Stron z wezwaniem do złożenia szczegółowych odpowiedzi na zadane wcześniej pytania, a także wskazania modelu urządzenia wideodomofonu i funkcjonalności (czy zamontowany na nieruchomości wideodomofon ma wbudowany mikrofon). Wezwania do złożenia uzupełniających wyjaśnień zostały skutecznie doręczone i odebrane. Mimo odbioru ww. korespondencji do Prezesa UODO nie wpłynęły żadne wyjaśnienia w sprawie.

6.

Każde z ww. skierowanych do Stron pism Prezesa UODO zawierało pouczenie o tym, że brak złożenia wyjaśnień w żądanym przez organ nadzorczy zakresie skutkować może nałożeniem administracyjnej kary pieniężnej, zgodnie z art. 83 ust. 5 lit. e) rozporządzenia 2016/679.

7.

Powyższe okoliczności stanu faktycznego Prezes UODO ustalił na podstawie całokształtu korespondencji urzędowej, wystosowanej przez Prezesa UODO do Stron, znajdującej się w aktach postępowania o sygn. DS.523.5488.2023. Korespondencja ta odzwierciedla całokształt prób uzyskania przez Prezesa UODO dostępu do informacji niezbędnych do realizacji jego zadań – to jest do rozpatrzenia sprawy o sygn. DS.523.5488.2023. Z drugiej zaś strony obrazuje brak reakcji Stron na kierowane żądania Prezesa UODO. W ocenie organu nadzorczego stanowi to bezpośredni dowód braku współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań.

Postępowanie

8.

W związku z nieudzieleniem przez Strony informacji niezbędnych do rozstrzygnięcia sprawy o sygn. DS.523.5488.2023, Prezes UODO wszczął z urzędu – na podstawie art. 83 ust. 5 lit. e) rozporządzenia 2016/679 – niniejsze postępowanie administracyjne o sygn. DKE.561.3.2025, w przedmiocie nałożenia na Strony administracyjnej kary pieniężnej, w związku z naruszeniem art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679. O wszczęciu postępowania Strony zostały poinformowane odrębnymi pismami z 5 lutego 2025 r., doręczonymi w dniu 11 lutego 2025 r. Pismami tymi, Strony zostały zobowiązane – celem ustalenia podstawy wymiaru kary, w oparciu o art. 101a ust. 1 u.o.d.o. – do dostarczenia informacji o wysokości osiągniętych dochodów za rok 2024 w postaci np. kopii zeznania podatkowego PIT lub oświadczenia o osiągniętym wyniku finansowym. Strony poinformowano również, że okoliczność złożenia wyczerpujących wyjaśnień, o które Prezes UODO uprzednio zwracał się w postępowaniu o sygn. DS.523.5488.2023, może wpłynąć łagodząco na wymiar wymierzonej w niniejszym postępowaniu administracyjnej kary pieniężnej bądź spowodować odstąpienie od jej nałożenia. Ponadto poinformowano o możliwości wypowiedzenia się – przed wydaniem decyzji administracyjnej, co do zebranych dowodów i materiałów oraz zgłoszonych żądań.

9.

W odpowiedzi na informację o wszczęciu przez Prezesa UODO postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej, Strony we wspólnych wyjaśnieniach z 18 lutego 2025 r. ustosunkowały się szczegółowo do zadawanych uprzednio pytań w postępowaniu o sygn. DS.523.5488.2023 dołączając wydruki z kamery monitoringu wraz z opisem i wskazaniem na model urządzenia.

10.

W kwestii naruszenia art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679, Strony wyjaśniły, że brak odpowiedzi na pisma z 5 czerwca 2024 r. i 11 września 2024 r. wynikał z nałożenia się wielu czynników (problemy zdrowotne, zawodowe i rodzinne). Ponadto Strony wskazały, że w okresie kiedy pisma były kierowane trwał już proces sprzedaży nieruchomości, co wiązało się z przygotowaniem prezentacji dla klientów, skutkiem czego doszło do zaniedbania w odpowiedzi na kierowaną korespondencję. W związku z zaistniałą sytuacją Strony zapewniły, że brak odpowiedzi nie był zamierzony oraz zadeklarowały chęć dalszej współpracy z organem nadzorczym przedkładając stosowne wyjaśnienia w sprawie.

Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Przepisy prawne

11.

Zgodnie z art. 57 ust. 1 lit. a) rozporządzenia 2016/679, Prezes UODO, jako organ nadzorczy w rozumieniu art. 51 rozporządzenia 2016/679, na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO m. in. prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego (art. 57 ust. 1 lit. h) rozporządzenia 2016/679).

12.

Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a) rozporządzenia 2016/679) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e) rozporządzenia 2016/679).

13.

Naruszenie przepisów rozporządzenia 2016/679, skutkujące naruszeniem uprawnień organu określonych w art. 58 ust. 1, podlega – zgodnie z art. 83 ust. 5 lit. e) rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

14.

Dodatkowo zarówno administrator, jak i podmiot przetwarzający obowiązani są na żądanie organu nadzorczego współpracować z nim w ramach wykonywania przez niego jego zadań, o czym stanowi art. 31 rozporządzenia 2016/679. Niewywiązanie się z tego obowiązku zagrożone jest, zgodnie z art. 83 ust. 4 lit. a) rozporządzenia 2016/679, administracyjną karą pieniężną w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

15.

Prezesowi UODO przysługuje ponadto szereg określonych w art. 58 ust. 2 rozporządzenia 2016/679 uprawnień naprawczych, w tym prawo udzielenia upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów rozporządzenia 2016/679 przez operacje przetwarzania. Zgodnie z motywem 148 rozporządzenia 2016/679, aby egzekwowanie przepisów rozporządzenia 2016/679 było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy rozporządzenia 2016/679 przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte przez administratora dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.

16.

Stosownie do art. 60 u.o.d.o. postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa UODO. Z kolei art. 7 ust. 1 u.o.d.o. stanowi, że w sprawach nieuregulowanych w tej ustawie do postępowań administracyjnych przed Prezesem UODO (w tym w postępowaniach w przedmiocie nałożenia administracyjnej kary pieniężnej, o których mowa w Rozdziale 11 u.o.d.o.) stosuje się przepisy k.p.a. Zgodnie z art. 7 ust. 2 u.o.d.o. postępowania te są postępowaniami jednoinstancyjnymi.

Ocena prawna

17.

Odnosząc wyżej wskazane podstawy prawne do ustalonego w niniejszej sprawie stanu faktycznego należy uznać, że Strony poprzez nieudzielenie merytorycznej odpowiedzi na wezwania Prezesa UODO do złożenia wyjaśnień w postępowaniu o sygn. DS.523.5488.2023 naruszyły obowiązek współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań oraz zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań, które to obowiązki wynikają wprost z art. 31 oraz art. 58 ust. 1. lit. a) i e) rozporządzenia 2016/679. Uniemożliwianie uzyskania dostępu do informacji, których Prezes UODO żądał od Stron, a które niewątpliwie były w ich posiadaniu, stało na przeszkodzie wnikliwemu rozpatrzeniu sprawy i skutkowało nieuzasadnionym przedłużaniem postępowania, co stoi z kolei w sprzeczności z podstawowymi zasadami rządzącymi postępowaniem administracyjnym – określonymi w art. 12 ust. 1 k.p.a. - zasadami wnikliwości i szybkości postępowania.

18.

W niniejszej sprawie Prezes UODO – korzystając z uprawnienia, o którym mowa w art. 58 ust. 1 lit. a) rozporządzenia 2016/679 – skierował do Stron żądanie udzielenia informacji niezbędnych mu w postępowaniu o sygn. DS.523.5488.2023, Strony takich informacji mu nie udzieliły – wbrew ciążącemu na nich na mocy art. 58 ust. 1 lit. e) rozporządzenia 2016/679 obowiązkowi – aż do chwili wszczęcia niniejszego postępowania. Uzasadnia to w ocenie Prezesa UODO bezsprzecznie, że miało miejsce w niniejszej sprawie naruszenie obu wskazanych wyżej przepisów rozporządzenia 2016/679.

19.

Prezes UODO dwukrotnie wzywał Strony do złożenia uzupełniających wyjaśnień w sprawie o sygn. DS.523.5488.2023. Wezwania 5 czerwca 2024 r. oraz 11 września 2024 r. zostały skutecznie doręczone i odebrane odpowiednio 12 czerwca 2024 r. oraz 23 września 2024 r. Strony nie udzieliły merytorycznej odpowiedzi na zadawane pytania. Dopiero w efekcie wszczęcia postępowania administracyjnego w przedmiocie nałożenia na Strony administracyjnej kary pieniężnej, podjęły one współpracę z Prezesem UODO oraz złożyły szczegółowe wyjaśnienia w sprawie o sygn. DS.523.5488.2023.

20.

Mimo zaniedbania Stron, Prezes UODO stanął na stanowisku, że stwierdzone naruszenie, polegające na braku współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań oraz niezapewnieniu Prezesowi UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań – jakkolwiek wysoce naganne – zostało przez Strony usunięte po powzięciu informacji o niniejszym postępowaniu w przedmiocie nałożenia administracyjnej kary pieniężnej, tj. z chwilą wpłynięcia do UODO w dniu 21 lutego 2025 r. wyjaśnień Stron. Postawa Stron pozwala przyjąć, że zarówno w niniejszym postępowaniu, jak i w ewentualnych przyszłych postępowaniach wszczętych przez Prezesa UODO, Strony będą wywiązywać się z obowiązku współpracy z Prezesem UODO.

21.

Mając na uwadze powyższe, Prezes UODO uznał za uzasadnione udzielenie Stronom upomnienia w zakresie stwierdzonego naruszenia art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, przyjmując jednocześnie, że w świetle kryteriów określonych w art. 83 ust. 2 rozporządzenia 2016/679 będzie ono skuteczne i wystarczające. Należy jednak zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec Stron będzie uwzględnione przy ocenie przesłanek warunkujących zasadność wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 rozporządzenia 2016/679 i poczytywane będzie na ich niekorzyść.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął jak w sentencji niniejszej decyzji.