Decyzja DKE.561.7.2025

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2025 r., poz. 1691), dalej: „k.p.a.”, w związku z art. 7 ust. 1 i 2 oraz art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), dalej: „u.o.d.o.”, oraz na podstawie art. 57 ust. 1 lit. a) i lit. h), art. 58 ust. 2 lit. b) w związku z art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2, oraz w Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35), dalej: „rozporządzenie 2016/679”,

po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na F. (…) S.A. z siedzibą w H. przy ul. (…), Prezes Urzędu Ochrony Danych Osobowych (dalej: „Prezes UODO” lub „organ nadzorczy”)

udziela upomnienia F. (…) S.A. z siedzibą w H. przy ul. (…), za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, polegające na braku współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań oraz niezapewnieniu dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań w postępowaniu o sygn. DS.523.2422.2024.

Uzasadnienie

Stan faktyczny

1.

Do Prezesa UODO wpłynęła skarga pana Z. Z., zam. w R. przy ul. (…) (dalej: „Skarżący”), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez F. (…) S.A. z siedzibą w H. przy ul. (…) (dalej: „Spółka”), polegające na przetwarzaniu tych danych bez podstawy prawnej. W związku z powyższym, celem rozpatrzenia zarzutów podniesionych przez Skarżącego, Prezes UODO wszczął postępowanie wyjaśniające o sygn. DS.523.2422.2024.

2.

W ramach ww. postępowania administracyjnego – działając na podstawie art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679 – Prezes UODO zwrócił się do Spółki i pismem z 28 maja 2024 r. wezwał ją do złożenia, w terminie 7 dni od dnia doręczenia przedmiotowego pisma, wyjaśnień w sprawie poprzez udzielenie odpowiedzi na następujące, szczegółowe pytania jej dotyczące:

„

a)

kiedy, z jakiego źródła, w jakim celu i zakresie oraz na jakiej podstawie prawnej Spółka pozyskała dane osobowe Skarżącego,

b)

czy aktualnie Spółka przetwarza dane osobowe Skarżącego, a jeśli tak, to jakie dane, w jakich celach oraz na jakiej podstawie prawnej; do kiedy i na jakiej podstawie prawnej dane te będą przetwarzane,

c)

czy Spółka udostępnia/ła dane osobowe Skarżącego podmiotom trzecim, a jeżeli tak to jakim (proszę wskazać pełną nazwę i adres siedziby/ imię, nazwisko i adres poczty tradycyjnej jeśli to osoba fizyczna), kiedy, w jakim zakresie i celu oraz na jakiej podstawie prawnej.”

Wzmiankowane pismo – skierowane na aktualny w dacie wysyłki adres siedziby Spółki ujawniony w Rejestrze Przedsiębiorców Krajowego Rejestru Sądowego, tj. ul. (…), (…) H. – zostało odebrane przez Spółkę 3 czerwca 2024 r. Mimo odbioru korespondencji Spółka nie przedłożyła żądanych przez organ nadzorczy informacji.

3.

W związku z powyższym Prezes UODO raz jeszcze – pismem z 23 lipca 2024 r. – wezwał Spółkę do przedstawienia wyjaśnień niezbędnych do merytorycznego rozparzenia ww. sprawy skargowej. Pismo to zostało odebrane przez Spółkę 26 lipca 2024 r.; Spółka jednak nie ustosunkowała się w żaden sposób do skierowanego do niej wezwania, nie przedstawiła również żadnego uzasadnienia swego zaniechania.

4.

Dopiero pismem z 5 grudnia 2024 r. (wniesionym do organu nadzorczego za pośrednictwem platformy ePUAP) pan G. D., inspektor ochrony danych w Spółce, złożył częściowe wyjaśnienia w sprawie. Zważywszy jednak na fakt, że pan G. D. nie przedłożył dokumentu pełnomocnictwa wskazującego na jego umocowanie do reprezentowania Spółki w postępowaniu prowadzonym przez organ nadzorczy, Prezes UODO – pismem z 24 stycznia 2025 r. – wezwał go do uzupełnienia wskazanego braku formalnego pisma z 5 grudnia 2024 r., poprzez przedłożenie oryginału lub urzędowo poświadczonego odpisu pełnomocnictwa udzielonego mu do działania w imieniu i na rzecz Spółki w postępowaniu o sygn. DS.523.2422.2024, pod rygorem pozostawienia pisma bez rozpoznania. Wezwanie to, wysłane na adres indywidualnej skrzynki podawczej ePUAP inspektora (tj. (…)), nie zostało odebrane przez adresata, przy czym należało uznać je za prawidłowo doręczone w dniu 8 lutego 2025 r. na podstawie art. 41 ust. 1 pkt 3 oraz art. 42 ust. 2 w związku z art. 147 ust. 3 pkt 1 i ust. 6 ustawy z dnia 28 listopada 2020 r. o doręczeniach elektronicznych (Dz. U. z 2026 r., poz. 3).

5.

Mimo prawidłowego doręczenia pisma wskazanego w pkt 4 uzasadnienia decyzji, a nadto bezpośredniego kontaktu telefonicznego pracownika UODO z panem G. D. (nawiązanego następczo wobec wzmiankowanego doręczenia), zarówno inspektor ochrony danych Spółki, jak i sama Spółka nie spełnili zadość żądaniu sformułowanemu przez organ nadzorczy w piśmie z 24 stycznia 2025 r. W konsekwencji powyższego Prezes UODO nie mógł zaliczyć w poczet materiału dowodowego sprawy o sygn. DS.523.2422.2024 wyjaśnień Spółki zawartych w piśmie z 5 grudnia 2024 r.

6.

Wystosowane do Spółki pisma Prezesa UODO z 28 maja 2024 r. oraz z 23 lipca 2024 r. zawierały pouczenie o tym, że brak złożenia wyjaśnień potrzebnych do merytorycznego rozpoznania sprawy o sygn. DS.523.2422.2024, skutkować może nałożeniem na Spółkę administracyjnej kary pieniężnej zgodnie z art. 83 ust. 5 lit. e) rozporządzenia 2016/679.

7.

Powyższe okoliczności stanu faktycznego Prezes UODO ustalił na podstawie treści korespondencji urzędowej, prowadzonej pomiędzy organem nadzorczym a Spółką, znajdującej się w aktach postępowania o sygn. DS.523.2422.2024. Korespondencja ta odzwierciedla z jednej strony całokształt prób uzyskania przez Prezesa UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań – to jest do rozpatrzenia sprawy o sygn. DS.523.2422.2024. Z drugiej zaś, stanowi bezpośredni dowód braku współpracy Spółki z Prezesem UODO w ramach wykonywania przez niego jego zadań.

Postępowanie

8.

W związku z nieudzieleniem przez Spółkę informacji niezbędnych do zbadania sprawy o sygn. DS.523.2422.2024, Prezes UODO wszczął z urzędu – na podstawie art. 83 ust. 5 lit. e) rozporządzenia 2016/679 – niniejsze postępowanie administracyjne o sygn. DKE.561.7.2025.(…) w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej, w związku z naruszeniem art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679. O wszczęciu postępowania Spółka została poinformowana pismem z 19 maja 2025 r. (znak: DKE.561.7.2025.(…)), doręczonym jej 21 maja 2025 r. Pismem tym, celem ustalenia podstawy wymiaru kary, Spółka zobowiązana została – w oparciu o art. 101a ust. 1 u.o.d.o. – do dostarczenia sprawozdania finansowego lub innego dokumentu przedstawiającego wysokość obrotu lub wyniku finansowego osiągniętego przez nią w 2024 r. Spółkę poinformowano również, że okoliczność złożenia wyczerpujących wyjaśnień, o które Prezes UODO uprzednio zwracał się do niej w postępowaniu o sygn. DS.523.2422.2024, może wpłynąć łagodząco na wymiar wymierzonej w niniejszym postępowaniu administracyjnej kary pieniężnej bądź spowodować odstąpienie od jej nałożenia.

9.

W reakcji na informację o wszczęciu przez Prezesa UODO postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej – pismem z 25 listopada 2025 r. – Spółka złożyła obszerne wyjaśnienia w sprawie. W kwestii zarzutów podnoszonych przez pana Z. Z. we wniesionej do organu nadzorczego skardze Spółka wyjaśniła, że dane osobowe Skarżącego pozyskała 2 listopada 2017 r. z Centralnej Ewidencji i Informacji o Działalności Gospodarczej. Zakres pozyskanych danych obejmował przy tym następujące ich kategorie: imię i nazwisko, dane adresowe, numer telefonu, identyfikatory NIP i REGON. Dane osobowe Skarżącego Spółka przetwarzała „w celu prowadzenia katalogów (…) w serwisach Spółki: (…) i (…), marketingu produktów i usług własnych Spółki, zapewnienia aktualności i wiarygodności danych (…) w bazach informacyjnych”. Podstawą prawną przetwarzania ww. danych osobowych w okresie od 1 listopada 2017 r. do 24 maja 2018 r. „był art. 39b ustawy o swobodzie działalności gospodarczej”, z kolei od 25 maja 2018 r. – „art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora, polegający na prowadzeniu katalogów (…) oraz marketingu usług administratora”. Spółka wskazała ponadto, że „po otrzymaniu sprzeciwu od Pana Z. Z.: [dotycząca go] wizytówka informacyjna bezzwłocznie została zlikwidowana ze wszystkich serwisów publikacyjnych Spółki”, zaś jego „dane zostały trwale wyłączone z procesów publikacji”. Aktualnie „podstawą prawną dalszego przetwarzania jest art. 6 ust. 1 lit. f RODO”, jako że przesłankę legalizującą to przetwarzanie stanowi „prawnie uzasadniony interes administratora w celu obrony przed potencjalnymi roszczeniami lub dochodzeniem roszczeń wynikających z Kodeksu cywilnego”. Spółka oświadczyła również, że „dane osobowe Skarżącego będą przetwarzane przez Spółkę przez okres niezbędny do prowadzenia i zakończenia postępowania administracyjnego przed PUODO, a następnie - w przypadku wniesienia przez Skarżącego lub Spółkę środków zaskarżenia - do czasu prawomocnego zakończenia postępowania sądowoadministracyjnego. Oprócz powyższego, dane osobowe będą przechowywane przez okres przedawnienia ewentualnych roszczeń przysługujących [Skarżącemu] wobec Spółki na podstawie Kodeksu cywilnego, zgodnie z art. 118 k.c. Po upływie powyższych okresów dane osobowe zostaną usunięte.” Jak wyjaśniła Spółka, dane osobowe Skarżącego nie były przez nią udostępniane podmiotom trzecim.

10.

W kwestii naruszenia art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679 Spółka oświadczyła, iż brak właściwej współpracy z Prezesem UODO, wyrażający się w udzieleniu odpowiedzi na pisma organu nadzorczego z wyraźnym opóźnieniem, wynikał „(…) z niedawnych zmian osobowych w strukturach organizacyjnych Spółki, które spowodowały przejściowe trudności w obiegu informacji i przekazaniu pełnej wiedzy dotyczącej prowadzonych spraw. Po zidentyfikowaniu tej sytuacji sprawa otrzymała dla Spółki charakter priorytetowy.” Jednocześnie Spółka zapewniła, że „pozostaje w pełnej gotowości do dalszej współpracy z Prezesem Urzędu Ochrony Danych Osobowych oraz do udzielenia wszelkich dodatkowych wyjaśnień, jeżeli okażą się one potrzebne.”

11.

Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Przepisy prawne

12.

Zgodnie z art. 57 ust. 1 lit. a) rozporządzenia 2016/679 Prezes UODO, jako organ nadzorczy w rozumieniu art. 51 rozporządzenia 2016/679, na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO m. in. prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego (art. 57 ust. 1 lit. h) rozporządzenia 2016/679).

13.

Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a) rozporządzenia 2016/679) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e) rozporządzenia 2016/679).

14.

Naruszenie przepisów rozporządzenia 2016/679, skutkujące naruszeniem uprawnień organu określonych w art. 58 ust. 1, podlega – zgodnie z art. 83 ust. 5 lit. e) rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

15.

Dodatkowo zarówno administrator, jak i podmiot przetwarzający obowiązani są na żądanie organu nadzorczego współpracować z nim w ramach wykonywania przez niego jego zadań, o czym stanowi art. 31 rozporządzenia 2016/679. Niewywiązanie się z tego obowiązku zagrożone jest, zgodnie z art. 83 ust. 4 lit. a) rozporządzenia 2016/679, administracyjną karą pieniężną w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

16.

Prezesowi UODO przysługuje ponadto szereg określonych w art. 58 ust. 2 rozporządzenia 2016/679 uprawnień naprawczych, w tym prawo udzielenia upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów rozporządzenia 2016/679 przez operacje przetwarzania. Zgodnie z motywem 148 rozporządzenia 2016/679, aby egzekwowanie jego przepisów było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy rozporządzenia 2016/679 przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte przez administratora dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.

17.

Stosownie do art. 60 u.o.d.o. postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa UODO. Z kolei art. 7 ust. 1 u.o.d.o. stanowi, że w sprawach nieuregulowanych w tej ustawie do postępowań administracyjnych przed Prezesem UODO (w tym w postępowaniach w przedmiocie nałożenia administracyjnej kary pieniężnej, o których mowa w Rozdziale 11 u.o.d.o.) stosuje się przepisy k.p.a. Zgodnie z art. 7 ust. 2 u.o.d.o. postępowania te są postępowaniami jednoinstancyjnymi.

Ocena prawna

18.

Odnosząc przytoczone powyżej przepisy rozporządzenia 2016/679 do ustalonego w niniejszej sprawie stanu faktycznego stwierdzić należy, że Spółka, jako strona postępowania o sygn. DS.523.2422.2024, poprzez brak udzielenia odpowiedzi na wezwania Prezesa UODO do złożenia wyjaśnień, naruszyła obowiązek współpracy z organem nadzorczym oraz obowiązek zapewnienia Prezesowi UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań, to jest obowiązki wynikające z art. 31 oraz 58 ust. 1. lit. a) i lit. e) rozporządzenia 2016/679. W tym przypadku informacje istotne dla dalszego kierunku postępowania stanowiły wszelkie dane dotyczące okoliczności przetwarzania danych osobowych pana Z. Z. – w tym zwłaszcza: daty ich pozyskania, celu, zakresu oraz podstawy prawnej ich przetwarzania przez Spółkę, planowanego okresu przetwarzania oraz ewentualnego udostępnienia podmiotom trzecim. Uniemożliwienie uzyskania dostępu do ww. informacji, których Prezes UODO żądał od Spółki, a które niewątpliwie były w jej posiadaniu (na co bezsprzecznie wskazuje treść wyjaśnień Spółki, ostatecznie złożonych przez nią w piśmie z 25 listopada 2025 r.), stało na przeszkodzie wszechstronnemu i terminowemu rozpatrzeniu sprawy, skutkując nieuzasadnionym przedłużaniem postępowania, co naruszyło z kolei podstawowe zasady rządzące postępowaniem administracyjnym – określone w art. 12 ust. 1 k.p.a. zasady wnikliwości i szybkości postępowania.

19.

W toku postępowania skargowego o sygn. DS.523.2422.2024 Prezes UODO dwukrotnie – pismami z 28 maja 2024 r. oraz z 23 lipca 2024 r. – wzywał Spółkę do przedłożenia informacji niezbędnych do dokonania oceny zasadności podnoszonych przez Skarżącego zarzutów, dotyczących nieprawidłowości przetwarzania jego danych osobowych. Żadne z wystosowanych do Spółki pism, doręczonych jej odpowiednio: 3 czerwca 2024 r. oraz 26 lipca 2024 r., nie doczekało się odpowiedzi ze strony Spółki. Okoliczność doręczenia ww. korespondencji uzasadnia tymczasem przekonanie, że Spółka miała obiektywną możliwość zapoznania się z jej treścią oraz udzielenia na nią odpowiedzi w zakreślonym przez organ nadzorczy terminie. Dopiero pismem z 5 grudnia 2024 r. inspektor ochrony danych Spółki, pan G. D., złożył fragmentaryczne wyjaśnienia w sprawie – jednocześnie jednak nie przedłożył do akt postępowania o sygn. DS.523.2422.2024 dokumentu pełnomocnictwa, potwierdzającego fakt jego umocowania do działania w imieniu i na rzecz Spółki. Stanu tego nie zmieniło wezwanie go do usunięcia wzmiankowanego braku formalnego (zob. pkt 4 uzasadnienia decyzji), ani nawiązany z nim bezpośrednio kontakt telefoniczny (zob. pkt 5 uzasadnienia decyzji). Opisywane zaniechanie Spółki, bezsporne wobec zgromadzonego w niniejszej sprawie materiału dowodowego, spowodowało konieczność wszczęcia niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej, w którego rezultacie dopiero Spółka wznowiła współpracę z Prezesem UODO i pismem z 25 listopada 2025 r. udzieliła żądanych wyjaśnień – co pozwoliło Prezesowi UODO na dalsze prowadzenie czynności w sprawie o sygn. DS.523.2422.2024.

20.

W świetle powyższych ustaleń nie budzi wątpliwości fakt, że Spółka swoim zachowaniem dopuściła się naruszenia przepisów rozporządzenia 2016/679. Przedstawione przez Spółkę uzasadnienie braku odpowiedzi na wezwania Prezesa UODO, choć wiarygodne oraz mające istotny wpływ na ocenę zachowania Spółki w kontekście wyboru zastosowanej wobec niej w niniejszym postępowaniu sankcji, nie zdejmuje z niej odpowiedzialności za stwierdzone zaniechanie. Wynika to z faktu, że na Spółce spoczywa ciężar zapewnienia takiego obiegu korespondencji, który zezwoli na efektywne oraz terminowe wywiązywanie się z nałożonych na nią obowiązków, w tym również obowiązków wynikających z przepisów o ochronie danych osobowych. Wewnętrzna polityka kadrowa czy zachodzące w strukturach Spółki zmiany osobowe czy też organizacyjne pozostają bez wpływu na ocenę jej zachowania w niniejszej sprawie.

21.

Mimo oczywistego zaniedbania po stronie Spółki, Prezes UODO stanął na stanowisku, że stwierdzone naruszenie, polegające na braku współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań oraz niezapewnieniu Prezesowi UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań – jakkolwiek naganne – zostało przez Spółkę usunięte jeszcze w trakcie trwania niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej, tj. z chwilą wpłynięcia do UODO wyjaśnień Spółki datowanych na 25 listopada 2025 r. Składając szczegółowe wyjaśnienia Spółka wykazała aktywną postawę oraz gotowość do dalszej współpracy z organem nadzorczym w celu wszechstronnego wyjaśnienia wysuwanych pod jej adresem zarzutów. Prowadzi to do wniosku, że brak odpowiedzi Spółki na wezwania Prezesa UODO nie wynikał ze złej woli osób ją reprezentujących i nie miał na celu świadomego utrudniania prowadzonego przez organ nadzorczy postępowania. W ocenie Prezesa UODO, samo już wszczęcie postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej oraz realna perspektywa wymierzenia kary finansowej stały się dla Spółki wyraźnym sygnałem tego, iż dalsze uchylanie się od obowiązków nałożonych przepisami rozporządzenia 2016/679, nieuchronnie prowadziło będzie do zastosowania wobec niej najsurowszej, przewidzianej tymi przepisami sankcji.

22.

Mając powyższe na uwadze, Prezes UODO uznał za uzasadnione udzielenie Spółce upomnienia w zakresie stwierdzonego naruszenia art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, przyjmując jednocześnie, że w świetle kryteriów określonych w art. 83 ust. 2 rozporządzenia 2016/679 będzie ono skuteczne i wystarczające. Należy jednak zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec Spółki będzie uwzględnione przy ocenie przesłanek warunkujących zasadność wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 rozporządzenia 2016/679 i poczytywane będzie na jego niekorzyść.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął jak w sentencji niniejszej decyzji.