Decyzja DKN.5131.5.2025

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691), art. 7 ust. 1 i 2, art. 60, art. 102 ust. 1 pkt 1 i ust. 3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. 2019 r. poz. 1781 ze zm.) oraz art. 57 ust. 1 lit. a) i h), art. 58 ust. 2 lit. i), art. 83 ust. 1 - 3 oraz art. 83 ust. 4 lit. a) w związku z art. 24 ust. 1, art. 25 ust. 1, art. 28 ust. 1 i 3 oraz art. 32 ust. 1 i 2, a także art. 83 ust. 5 lit. a) w związku z art. 5 ust. 1 lit. f) i art. 5 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, Str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) (dalej również jako „rozporządzenie 2016/679”),

po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie naruszenia przepisów o ochronie danych osobowych przez Starostę (…) (ul. (…), (…)-(…) Z.) oraz przez R. (…) w A. ((…)-(…) A., ul. (…)), wcześniej funkcjonujące pod nazwą M. (…) w A. ((…)-(…) A., ul. (…)), Prezes Urzędu Ochrony Danych Osobowych

1)

stwierdzając naruszenie przez Starostę (…) (ul. (…), (…)-(…) Z.) art. 24 ust. 1, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, polegające na:

a)

niewdrożeniu odpowiednich środków technicznych i organizacyjnych na podstawie przeprowadzonej analizy ryzyka uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst, cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych zapewniających bezpieczeństwo przetwarzania danych w związku z wykorzystywaniem komputerów przenośnych oraz ochronę praw osób, których dane dotyczą,

b)

niewdrożeniu odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo danych osobowych przetwarzanych z wykorzystaniem komputerów przenośnych, w szczególności w zakresie podatności, błędów, aktualizacji oraz ich możliwych skutków oraz podjętych działań minimalizujących ryzyko ich wystąpienia,

c)

braku weryfikacji podmiotu przetwarzającego, czy zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia 2016/679 i chroniło prawa osób, których dane dotyczą,

skutkujące naruszeniem zasady poufności (art. 5 ust. 1 lit. f) rozporządzenia 2016/679) oraz zasady rozliczalności (art. 5 ust. 2 rozporządzenia 2016/679),

nakłada na Starostę (…) (ul. (…), (…)-(…) Z.), za naruszenie art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, administracyjną karę pieniężną w wysokości 21 000 zł (słownie: dwudziestu jeden tysięcy złotych);

2)

stwierdzając naruszenie przez R. (…) w A. ((…)-(…) A., ul. (…)) art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679, polegające na:

a)

niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych w związku z wykorzystywaniem komputerów przenośnych, w celu ochrony zapisanych tam danych osobowych, w tym ich ochrony przed przypadkową utratą, zniszczeniem lub uszkodzeniem oraz ujawnieniem osobom nieuprawnionym,

b)

niewdrożeniu odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo danych osobowych przetwarzanych przy wykorzystaniu komputerów przenośnych,

nakłada na R. (…) w A. ((…)-(…) A., ul. (…)), za naruszenie art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679, administracyjną karę pieniężną w wysokości 12 500 zł (słownie: dwunastu tysięcy pięciuset złotych).

Uzasadnienie

1.

Starosta (…) (ul. (…), (…)-(…) Z.) (dalej również jako „Starosta” lub „Administrator”) 26 stycznia 2023 r. dokonał zgłoszenia Prezesowi Urzędu Ochrony Danych Osobowych (dalej również jako „Prezes UODO” lub „organ nadzorczy”) naruszenia ochrony danych osobowych, do którego doszło 22 stycznia 2023 r. (zarejestrowanego pod sygn.: (…)). Naruszenie ochrony danych osobowych było następstwem kradzieży laptopa służbowego pracownika M. (…) w A. (obecnie: R. (…) w A.).

2.

Przedmiotowe zgłoszenie naruszenia ochrony danych osobowych stało się dla organu nadzorczego impulsem do dokonania oceny realizacji przez Administratora spoczywających na nim obowiązków wynikających z przepisów rozporządzenia 2016/679 dotyczących właściwego zabezpieczenia danych oraz organizacji systemu ochrony danych osobowych. W związku z powyższym, Prezes UODO przeprowadził postępowanie wyjaśniające w tej sprawie, a następnie 5 marca 2025 r. wszczął z urzędu wobec Administratora postępowanie administracyjne w zakresie możliwości naruszenia przez Starostę obowiązków wynikających z przepisów art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i 2, art. 28 ust. 1 oraz art. 28 ust. 3 rozporządzenia 2016/679. 5 marca 2025 r. Prezes UODO wszczął także postępowanie administracyjne wobec R. (…) w A. ((…)-(…) A., ul. (…)) (dalej również jako „R. (…)” lub „Podmiot przetwarzający”) w zakresie możliwości naruszenia przez Podmiot przetwarzający obowiązków wynikających z przepisów art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679.

Prezes UODO, w wyniku przeprowadzonego postępowania wyjaśniającego oraz postępowania administracyjnego ustalił następujący stan faktyczny.

3.

Przedmiotem postępowania administracyjnego jest naruszenie przepisów art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1, art. 28 ust. 1 i 3 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, a nie identyfikacja przyczyn naruszenia ochrony danych osobowych z 22 stycznia 2023 r. Wobec tego ustalenia stanu faktycznego koncentrowały się w głównej mierze na zbadaniu, czy Administrator i Podmiot przetwarzający rzeczywiście wdrożyli adekwatne środki bezpieczeństwa mające gwarantować bezpieczeństwo w procesie przetwarzania danych osobowych, w szczególności czy wdrożenie tych środków zostało poprzedzone przeprowadzeniem analiz ryzyka. Ustalając stan faktyczny organ nadzorczy zbadał także, czy wdrożone środki podlegały regularnemu testowaniu, mierzeniu i ocenianiu skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania. Istotne było również zbadanie wzajemnych relacji pomiędzy Administratorem a Podmiotem przetwarzającym w kontekście wypełnienia obowiązków wynikających z rozporządzenia 2016/679. Z kolei ustalenia dotyczące naruszenia ochrony danych osobowych z 22 stycznia 2023 r. wskazują na skutki naruszenia przepisów, które zostały wskazane w sentencji niniejszej decyzji. Przedmiotem niniejszego postępowania administracyjnego nie było także badanie skuteczności konkretnego środka technicznego w postaci wykorzystania do przetwarzania danych osobowych oprogramowania Y..

I. Szczegóły dotyczące naruszenia ochrony danych osobowych z 22 stycznia 2023 r.

4.

Naruszenie ochrony danych osobowych nastąpiło na skutek kradzieży służbowego laptopa pracownika M. (…) w A.. Administrator opisał na czym polegało naruszenie wskazując, że „(…) w dniu (…).2023 r. (…) pomiędzy godz. 02:30 a 12.00 na zamkniętym parkingu podziemnym w C. został skradziony z bagażnika samochodu laptop służbowy pracownika M. (…) w A. (…)”. W przekazanym zgłoszeniu Administrator wskazał, że w konsekwencji ww. naruszenia ochrony danych osobowych doszło do utraty poufności danych osobowych. Administrator podał, że przybliżona liczba osób, których dotyczy naruszenie ochrony danych osobowych, to (…), a kategorie danych osobowych, które zostały naruszone, to: nazwiska i imiona, imiona rodziców, data urodzenia, adres zamieszkania lub pobytu, numer ewidencyjny PESEL, seria i numer dowodu osobistego, inne (numery ksiąg wieczystych). Administrator określił kategorie osób, których dane zostały naruszone wskazując, że dane dotyczą klientów podmiotów publicznych.

II. Ustalenia dotyczące analizy ryzyka przeprowadzonej przez Administratora i Podmiot przetwarzający.

5.

W piśmie z 9 lutego 2023 r. Administrator oświadczył, że nie przeprowadził analizy ryzyka, która uwzględniałaby zagrożenie w postaci kradzieży sprzętu komputerowego znajdującego się poza jego obszarem przetwarzania. Odstąpienie od przeprowadzenia takiej analizy ryzyka uzasadniał tym, że „(…) pracownicy Starostwa Powiatowego w Z. nie wykonują pracy w systemie zdalnym oraz komputery i laptopy służbowe nie opuszczają obszaru w którym są przetwarzane dane osobowe tj. siedziby Starostwa Powiatowego w Z. (…)”. Jednocześnie w ww. piśmie Administrator oświadczył, że otrzymał informację od Podmiotu przetwarzającego, że „(…) w M. (…) w A. została przeprowadzona analiza ryzyka (…) 2021 r. oraz (…) 2022 r. Nie uwzględniała ona zagrożenia w postaci kradzieży sprzętu komputerowego znajdującego się poza obszarem przetwarzania, ponieważ Administrator [tj. R. (…) - uwaga wł. Prezesa UODO] nie zezwalał na takie działanie i nie wydał pisemnej zgody na użytkowanie nośników z danymi osobowymi poza obszarem przetwarzania, co wynika z rozdziału (…) Polityki (…) M. (…) w A. (…)”.

6.

Wraz z pismem z 5 lutego 2024 r. Podmiot przetwarzający przekazał dokumenty potwierdzające, że przeprowadził analizę ryzyka przed wystąpieniem naruszenia ochrony danych osobowych. Dokumenty te potwierdzają przeprowadzenie analizy ryzyka w dniu (…) 2021 r. oraz (…) 2022 r. W części dotyczącej identyfikacji ryzyk związanych z przedmiotowym naruszeniem ochrony danych osobowych omawiane dokumenty nie odbiegają od siebie. W analizach ryzyka w sposób bardzo ogólny Podmiot przetwarzający wskazał na zagrożenia i podatności. Podmiot przetwarzający zidentyfikował takie zagrożenia jak między innymi: „działanie przypadkowe - zgubienia danych papierowych lub nośników danych (pendrive, dysk)”, „działanie umyślne - kradzież danych osobowych w miejscu przetwarzania danych osobowych”, „działanie umyślne - kradzież danych osobowych poza miejscem przetwarzania danych osobowych”. Jako działania mitygujące Podmiot przetwarzający wskazał, że (…). Ponadto, w piśmie z 5 lutego 2024 r. Podmiot przetwarzający opisując przeprowadzoną analizę ryzyka oświadczył, że „(…) w tabeli zawierającej podstawowe informacje na temat podejmowanego działania i mechanizmów kontrolnych w dwóch ostatnich kolumnach został wyszczególniony rodzaj danych osobowych pozyskiwanych od podmiotów zewnętrznych przekazywanych do ich przetwarzania przy realizacji prac (…). Z uwagi na to, że są to dane przetwarzane przez dużą liczbę pracowników uznano, iż z tego tytułu istnieje ogólne ryzyko naruszenia przetwarzanych danych. Natomiast jako ogólny opis środków bezpieczeństwa wskazano, iż (…). W dalszej części analizy ryzyka w tabeli dotyczącej identyfikacji zagrożeń i prawdopodobieństwa ich wystąpienia w wierszu 15 wskazano zagrożenie w postaci działania umyślnego polegającego na kradzieży danych osobowych poza miejscem przetwarzania danych osobowych wpisując odpowiedź tak w zakresie danych pozyskanych od zewnętrznych Administratorów Danych, pozyskanych w celu ich przetwarzania do realizacji prac (…). Chcę podkreślić, że przeprowadzona analiza ryzyka odnosi się do utraty danych osobowych, które mogą być zgromadzone i przetwarzane na różnego rodzaju nośnikach w tym również na komputerach przenośnych poza obszarem przetwarzania (…)”.

7.

Z przedłożonych dokumentów wynika zatem, że Podmiot przetwarzający był świadomy ryzyka wystąpienia naruszenia ochrony danych osobowych w związku z wykorzystywania przenośnych komputerów poza siedzibą jego organizacji.

III. Ustalenia dotyczące środków organizacyjnych i technicznych wdrożonych przez Administratora w celu zapewnienia adekwatnego poziomu bezpieczeństwa w procesie przetwarzania danych osobowych.

8.

Administrator przedłożył wyjaśnienia dotyczące zasad używania przenośnych komputerów, które obowiązują w jego organizacji. W piśmie z 9 lutego 2023 r. Administrator podał, że w Starostwie Powiatowym w Z. obowiązuje „(…)”, którego część (…) reguluje zasady wynoszenia nośników z danymi poza siedzibę Starostwa Powiatowego w Z.. Ponadto Administrator oświadczył, że w jego organizacji obowiązuje „Instrukcja (…)”, która w części (…) - „Procedura (…)” reguluje kwestie użytkowania komputerów przenośnych. Załącznikiem do niej jest Regulamin użytkowania komputerów przenośnych, z którą musi zapoznać się i podpisać pracownik przed rozpoczęciem użytkowania urządzenia poza siedzibą Starostwa. Jednocześnie Administrator wskazał, że „(…) laptopy, które są wykorzystywane przez pracowników Starostwa Powiatowego w Z. nie są wykorzystywane poza siedzibą Starostwa (…)”.

9.

Administrator przedstawił wyjaśnienia dotyczące zasad używania sprzętu komputerowego przez pracowników Podmiotu przetwarzającego. W piśmie z 9 lutego 2023 r. Administrator podał, że „(…) w M. (…) w A. opracowano oraz zarządzeniem nr (…) z dnia (…) czerwca 2018 r. wprowadzono zbiór przepisów w zakresie bezpieczeństwa danych osobowych. Polityka bezpieczeństwa w zakresie ochrony danych osobowych M. (…) w A. i Załączniki nr (…) do w/w Polityki «Instrukcja (…)», zał. nr (…) do w/w Polityki «Określenie (…)» i zał. nr (…) do w/w Polityki «Instrukcja (…)»(…)” [pisownia oryginalna - uwaga wł. Prezesa UODO]. Administrator wskazał jednocześnie, że „(…) powyższe dokumenty opisują procedury dotyczące użytkowania, transportu oraz zabezpieczenia komputerów przenośnych zawierające dane osobowe i postępowanie w przypadku naruszenia bezpieczeństwa danych osobowych. Natomiast każdy pracownik M. (…) w A. podpisuje «Klauzule (…)» oraz udzielane jest mu upoważnienie do przetwarzania danych osobowych (…)”.

10.

Administrator przekazał dokument o nazwie: „Polityka (…)” z 26 sierpnia 2018 r. W rozdziale (…) „Komputery (…)” wskazano:

„

(…)

1)

(…).

2)

(…).

3)

(…).

4)

(…).

5)

(…).”

11.

W piśmie z 9 lutego 2023 r. Administrator oświadczył, ponadto że „(…) pracownik, któremu został skradziony laptop naruszył zasady Polityki bezpieczeństwa, ponieważ nie miał zgody Administratora [tj. M. (…) w A. - uwaga wł. Prezesa UODO] na wyniesienie sprzętu poza obszar przetwarzania danych oraz pozostawił sprzęt bez nadzoru w samochodzie tym samym naruszył zasady bezpieczeństwa zawarte w rozdziale (…)”.

12.

Administrator przekazał organowi nadzorczemu szczegółowe wyjaśnienia dotyczące szyfrowania dysku twardego utraconego laptopa. W piśmie z 9 lutego 2023 r. Starosta wskazał, że „(…) z odpowiedzi M. (…) w A. wynika, iż dysk w skradzionym laptopie nie był zaszyfrowany. Natomiast wszystkie komputery w M. (…) w A. zgodnie z przyjętą polityką bezpieczeństwa zabezpieczone są (…). I tak Księgowość i Kadry przetwarzają dane osobowe w programie H. zakupionym od firmy H. Sp. z o.o. Natomiast (…) przetwarzają powierzone dane w programach Y. firmy (…) Sp. z o.o. lub w programie (…) firmy (…) Sp. z o. o. Na skradzionym laptopie dane były zapisane w pliku w formacie (…) w programie Y. i zabezpieczone były (…)”.

13.

W piśmie z 5 listopada 2024 r. Podmiot przetwarzający podał, że „(…) pliki (…) są zabezpieczone przed możliwością odczytu danych osobowych z wykorzystaniem demonstracyjnej wersji programu Y.. Dostęp do bazy danych fdp utworzonej przez pracownika R. (…) w A. ma (…)”.

IV. Ustalenia dotyczące relacji między Administratorem a Podmiotem przetwarzającym.

14.

Administrator przedstawił wyjaśnienia dotyczące relacji łączących go z Podmiotem przetwarzającym. W piśmie z 9 lutego 2023 r. wskazał on, że „(…) M. (…) w A. jest podmiotem przetwarzającym dla (…). W dniu 23 czerwca 2022 r. zostało zawarte porozumienie Nr (…) pomiędzy (…) a Województwem (…) - M. (…) w A. na mocy, którego zlecono ww. podmiotowi opracowanie projektu (…). Przed zawarciem ww. porozumieniem została zawarta w dniu 21 stycznia 2022 r. umowa powierzenia danych osobowych pomiędzy (…) a M. (…) w A. (…)”.

15.

Wraz z pismem z 7 kwietnia 2023 r. Administrator przekazał organowi nadzorczemu „Umowę powierzenia przetwarzania danych osobowych”, która została zawarta 21 stycznia 2022 r. w Z. pomiędzy (…) (określonym w tej umowie jako „Udostępniający”) a M. (…) w A. (określonym w tej umowie jako „Wykonawca”).

16.

W treści umowy powierzenia przetwarzania danych osobowych strony ustaliły między innymi, że:

a.

Udostępniający powierza Wykonawcy, w trybie art. 28 rozporządzenia 2016/679 dane osobowe do przetwarzania, wyłącznie w celu realizacji zadań wynikających z postanowienia Starosty Z. znak: (…) z 5 stycznia 2022 r. na zasadach i w zakresie określonym w niniejszej umowie (§ 1 ust. 1 umowy powierzenia przetwarzania danych osobowych);

b.

Wykonawca zobowiązuje się przetwarzać powierzone mu dane osobowe zgodnie z umową, rozporządzeniem 2016/679 oraz innymi przepisami prawa powszechnie obowiązującego, które chronią prawa osób, których dane dotyczą (§ 1 ust. 2 umowy powierzenia przetwarzania danych osobowych);

c.

Wykonawca będzie przetwarzał powierzone na podstawie umowy dane osobowe zwykłe właścicieli lub władających gruntami w postaci imion, nazwisk i adresów (§ 2 ust. 1 umowy powierzenia przetwarzania danych osobowych);

d.

Dane osobowe określone w ust. 1 przetwarzane będą w formie elektronicznej oraz papierowej. Przetwarzanie danych będzie obejmowało w szczególności takie operacje jak ich: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie (§ 2 ust. 2 umowy powierzenia przetwarzania danych osobowych);

e.

Wykonawca pomaga Udostępniającemu wywiązać się z obowiązków określonych w art. 32-36 rozporządzenia 2016/679 (§ 3 ust. 1 lit. e) umowy powierzenia przetwarzania danych osobowych);

f.

„(…) udostępnia Udostępniającemu wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w art. 28 RODO (…)” [pisownia oryginalna - uwaga wł. Prezesa UODO] (§ 3 ust. 1 lit. g) umowy powierzenia przetwarzania danych osobowych);

g.

Wykonawca jest odpowiedzialny za udostępnienie lub wykorzystanie danych osobowych niezgodnie z treścią umowy lub właściwymi przepisami prawa, a w szczególności za udostępnienie powierzonych do przetwarzania danych osobowych podmiotom nieupoważnionym. W przypadku udostępnienia lub wykorzystania danych osobowych niezgodnie z treścią umowy lub właściwymi przepisami prawa, Wykonawca odpowiada za szkody jakie powstaną u Udostępniającego lub osób trzecich w wyniku przetwarzania powierzonych danych osobowych niezgodnie z umową lub rozporządzeniem 2016/679, na zasadach ogólnych. Wykonawca ponosi odpowiedzialność za wszelkie działania i zaniechania osób zatrudnionych przy przetwarzaniu powierzonych danych osobowych, jak za własne działania i zaniechania (§ 4 ust. 1 - 3 umowy powierzenia przetwarzania danych osobowych);

h.

Udostępniający lub osoba przez niego upoważniona przez cały okres obowiązywania Umowy ma prawo do przeprowadzenia audytów lub inspekcji w godzinach pracy Zleceniobiorcy w zakresie poprawności zabezpieczenia i przetwarzania danych powierzonych Wykonawcy. Terminy poszczególnych audytów lub inspekcji zostaną uprzednio ustalone z Wykonawcą, jednak nie później niż w terminie 3 dni przed dokonaniem kontroli. Wykonawca zobowiązany jest do przedstawienia odpowiednich dokumentów do kontroli oraz wyjaśnień na piśmie na każde wezwanie Udostępniającego (§ 5 ust. 1 umowy powierzenia przetwarzania danych osobowych);

i.

Wykonawca zobowiązuje się do zachowania w tajemnicy wszelkich danych osobowych, informacji i materiałów przekazanych lub udostępnionych mu lub o których wiedzę powziął w związku z realizacją umowy, a także powstałych w wyniku jej wykonania informacji i materiałów w formie pisemnej, graficznej lub jakiejkolwiek innej formie. Informacje i materiały objęte tajemnicą nie mogą być bez uprzedniej pisemnej zgody Udostępniającego udostępniane jakiejkolwiek osobie trzeciej, ani też ujawnione w inny sposób, chyba że w dniu ich ujawnienia były powszechnie znane albo muszą być ujawnione zgodnie z powszechnie obowiązującymi przepisami prawa, orzeczeniem sądu lub organu państwowego (§ 7 ust. 1 umowy powierzenia przetwarzania danych osobowych).

17.

Administrator przedstawił organowi nadzorczemu wyjaśnienia dotyczące weryfikacji Podmiotu przetwarzającego. W piśmie z 7 kwietnia 2023 r. Administrator wskazał, że „(…) Starosta Z. nie weryfikował, czy M. (…) jako podmiot przetwarzający zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia 2016/679 i chroniło prawa osób, których dane dotyczą [art. 28 ust. 1 rozporządzenia 2016/679]. Powyższe działanie wynika między innymi, z faktu, iż zgodnie z art. 3 ust. 4 ustawy z dnia 26 marca 1982 r. o scaleniu i wymianie gruntów prace scaleniowo-wymienne koordynuje i wykonuje samorząd województwa przy pomocy jednostek organizacyjnych przekazanych mu na podstawie art. 25 ust. 1 pkt 3 ustawy z dnia 13 października 1998 r. - Przepisy wprowadzające ustawy reformujące administrację publiczną (Dz. U. poz. 872, z późn. zm.) lub jednostek utworzonych przez ten samorząd do realizacji tych zadań. Starosta Z. uznał, iż M. (…) jako jednostka wysoko wyspecjalizowana i powołana do tego typu zadań, posiada wszelkie niezbędne procedury zapewniające ochronę danych osobowych, a także z ww. podmiotem została zawarta umowa powierzenia przetwarzania danych osobowych, w której wykonawca wyraźnie i w sposób jednoznaczny gwarantował przestrzeganie zasad przetwarzania danych osobowych (…)”.

18.

W piśmie z 26 czerwca 2024 r. Administrator oświadczył, że „(…) podczas dotychczasowej wieloletniej współpracy z M. (…) w A. Powiat Z. nie miał podejrzeń i wątpliwości odnośnie przetwarzania danych osobowych przez tą jednostkę, więc nie korzystaliśmy z prawa do kontroli, o którym mowa w art. 28 ust. 3 lit. h) rozporządzenia 2016/679, wobec R. (…) w A. w związku z zawarciem umowy powierzenia przetwarzania danych osobowych z 21 stycznia 2022 r. (…)”.

19.

Działania kontrolne związane z powierzeniem przetwarzania danych osobowych Administrator przeprowadził dopiero po wystąpieniu naruszenia ochrony danych osobowych. Z pisma z 7 kwietnia 2023 r. wynika, że „(…) w dniu 24 marca 2023 r. Starosta Z. zobowiązał M. (…) do uzupełnienia listy kontrolnej dla organizacji będącej podmiotem przetwarzającym w celu przeprowadzenia audytu zgodnie z art. 28 ust. 3 lit. h RODO w odniesieniu do art. 32 RODO, a także zawnioskował o przekazanie informacji jakie działania zostały podjęte przez podmiot przetwarzający w celu wzmocnienia bezpieczeństwa danych osobowych po zaistniałym incydencie (…)”.

20.

Następnie wraz z pismem z 5 lipca 2023 r. Administrator przekazał organowi nadzorczemu kopię korespondencji, którą otrzymał od Podmiotu przetwarzającego, w tym uzupełnioną przez Podmiot przetwarzający listę kontrolną, o której mowa wyżej. W ww. liście kontrolnej Podmiot przetwarzający wskazał na szereg unormowań dotyczących przetwarzanych przez niego danych osobowych, które dotyczyły między innymi Polityki (…), instrukcji zarządzania systemem informatycznym w zakresie danych osobowych, analizy ryzyka oraz dobierania odpowiednich zabezpieczeń w celu ochrony danych osobowych. Jak wynika z tej korespondencji, Podmiot przetwarzający powiadomił Administratora, że „(…) 1) Został przeprowadzony doraźny przegląd wewnętrzny, podczas którego sprawdzone zostało, czy (…); 2) Została przeprowadzona analiza ryzyka; 3) Został przeprowadzony przegląd polityki bezpieczeństwa w celu wyeliminowania podobnych incydentów w przyszłości; 4) W drugim kwartale 2023 r. zgodnie z planem kontroli wewnętrznych, przeprowadzona zostanie kontrola w trzech komórkach organizacyjnych w zakresie zabezpieczenia danych osobowych. A w pozostałych komórkach organizacyjnych w trzecim i czwartym kwartale 2023 r. Podczas kontroli wdrażane będzie dodatkowe zabezpieczenie (…); 5) W miesiącu kwietniu 2023 r. zostały zamówione szkolenia pracowników i szkolenie IODO; 6) Obecnie trwają prace w celu dodatkowego zabezpieczenia (…) w A. (…)”.

V. Ustalenia dotyczące zasad regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych osobowych.

21.

Administrator nie dokonywał regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych, zapewniających bezpieczeństwo przetwarzania danych osobowych w Podmiocie przetwarzającym argumentując to faktem, że nie miał podejrzeń i wątpliwości odnośnie do przetwarzania danych osobowych przez tą jednostkę (por. pismo Administratora z 26 czerwca 2024 r.).

22.

Podmiot przetwarzający poinformował organ nadzorczy, że przed wystąpieniem naruszenia ochrony danych dokonywał regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych, które miały zapewnić bezpieczeństwo przetwarzania danych osobowych. W załączeniu przekazał protokoły potwierdzające okresowe przeglądy w tym zakresie (por. pismo z 9 lipca 2024 r.).

23.

W „Protokole (…)” z 7 października 2020 r. wskazano, że

„

(…) sprawdzono następujące urządzenia techniki komputerowej: Komputery stacjonarne, Laptopy, Zasilacze awaryjne, Drukarki, Plotery, Skanery, Przełączniki sieciowe, Rutery, Telefony, Projektory. W ramach przeglądu wykonano następujące działania:

1.

(…).

2.

(…).

3.

(…).

4.

(…).

5.

(…).

6.

(…).

7.

(…).

8.

(…).

9.

(…).

10.

(…)”.

24.

W „Protokole (…)” z 25 sierpnia 2022 r. wskazano, że

„

(… ) sprawdzono następujące urządzenia techniki komputerowej: Komputery stacjonarne, Laptopy, Zasilacze awaryjne, Drukarki, Plotery, Skanery, Przełączniki sieciowe, Rutery, Telefony, Projektory. W ramach przeglądu wykonano następujące działania:

1.

(…).

2.

(…).

3.

(…).

4.

(…).

5.

(…).

6.

(…).

7.

(…).

8.

(…).

9.

(…).

10.

(…)”.

25.

Administrator i Podmiot przetwarzający podjęli działania w omawianym obszarze po wystąpieniu naruszenia ochrony danych osobowych z 22 stycznia 2023 r. Działanie te zostały omówione w pkt IV oraz VI opisu stanu faktycznego.

VI. Ustalenie dotyczące środków bezpieczeństwa zastosowanych po naruszeniu ochrony danych osobowych.

26.

Administrator przekazał wyjaśnienia odnośnie do podjętych działań, których celem była mitygacja ryzyka ponownego wystąpienia podobnego zdarzenia w przyszłości. W piśmie z 9 lutego 2023 r. Administrator oświadczył, że „(…)” [pisownia oryginalna - uwaga wł. Prezesa UODO]. Ponadto Administrator oświadczył, że „(…) w Starostwie Powiatowym w Z. planowane jest przeprowadzenie szkolenia z zakresu cyberbezpieczeństwa dla pracowników przetwarzających dane osobowe, a także z powodu zmian w Kodeksie pracy dotyczących zasad wykonywania pracy zdalnej zostanie zaktualizowana Polityka Ochrony Danych Osobowych, tak aby dostosować ją do nowych zasad prawnych (…)”.

27.

Wraz z pismem z 12 lipca 2023 r. Administrator przekazał organowi nadzorczemu korespondencję z 7 lipca 2023 r., którą otrzymał od Podmiotu przetwarzającego.

28.

Z tej korespondencji wynika, że Podmiot przetwarzający poinformował Administratora o działaniach, które podjął po wystąpieniu naruszenia ochrony danych osobowych. Celem tych działań była „poprawa bezpieczeństwa ochrony danych osobowych po zaistniałym incydencie”. W tym piśmie Podmiot przetwarzający wskazał między innymi, że „(…)”.

29.

Podmiot przetwarzający oświadczył także, że zlecił podmiotowi zewnętrznemu przeprowadzenie szkoleń wszystkich pracowników na stanowiskach urzędniczych w zakresie „(…) podstawowych zasad bezpieczeństwa danych osobowych z elementami cyberbezpieczeństwa. Poza w/w szkoleniem Inspektor Ochrony Danych Osobowych oraz Kierownik (…) w dniach 20-21 kwietnia 2023 r. uczestniczyli w warsztatach RODO z analizy ryzyka i DPIA oraz z rejestru czynności (…)”.

30.

Podmiot przetwarzający poinformował Administratora o przeprowadzonych kontrolach i wskazał, że „(…) kontrola miała na celu ustalenie faktycznego stanu realizacji przez poszczególne komórki organizacyjne zadań wynikających z powszechnie obowiązujących przepisów prawa oraz przepisów wewnętrznych obowiązujących w R. (…) w A. oraz porównanie tego stanu ze stanem wymaganym (…)”.

31.

W omawianym piśmie wskazano szereg zabezpieczeń implementowanych przez Podmiot przetwarzający w obszarze IT. Jednym z zabezpieczeń, które wdrożono było (…).

32.

Wyjaśnienia w tym zakresie złożył także podmiot przetwarzający, który w piśmie z 5 lutego 2024 r. oświadczył, że „(…) od wystąpienia incydentu zostały podjęte następujące działania: (…)”.

33.

Organ nadzorczy dokonał oceny materiału dowodowego pod kątem zbadania jego wiarygodności i mocy dowodowej. Zgromadzone dowody cechują się spójnością i wzajemną korelacją, co oznacza, że układają się w logiczny opis działań Administratora i Podmiotu przetwarzającego. Wyjaśnienia i pozostałe materiały dowodowe wzajemnie się uzupełniają wskazując na określony sposób postępowania Administratora oraz Podmiotu przetwarzającego. Nie ma podstaw do kwestionowania ich wiarygodności, bowiem dowody nie noszą znamion fałszerstwa, są autentyczne oraz formalnie poprawne. Moc dowodowa zgromadzonego materiału jest wystarczająca dla wydania rozstrzygnięcia w przedmiocie niniejszego postępowania administracyjnego.

34.

Strony niniejszego postępowania administracyjnego zostały przed wydaniem przedmiotowej decyzji poinformowane o przysługujących im uprawnieniach wynikających z art. 10 § 1 oraz art. 73 § 1 Kpa^[1], w tym o możliwości zapoznania się z materiałem dowodowym, wypowiedzenia się co do zebranych dowodów, materiałów i zgłoszonych żądań, a także o prawie przeglądania akt sprawy oraz sporządzania z nich notatek, kopii lub odpisów.

W tym stanie faktycznym, po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje:

35.

Zgodnie z art. 34 u.o.d.o.^[2], Prezes UODO jest organem właściwym w sprawie ochrony danych i organem nadzorczym w rozumieniu rozporządzenia 2016/679. Stosownie do art. 57 ust. 1 lit. a) i h) rozporządzenia 2016/679, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia oraz prowadzi postępowania w sprawie naruszenia niniejszego rozporządzenia, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego.

I. Zasady bezpieczeństwa przetwarzania danych osobowych.

36.

Art. 5 rozporządzenia 2016/679 formułuje zasady dotyczące przetwarzania danych osobowych, które muszą być respektowane przez wszystkich administratorów, tj. podmioty, które samodzielnie lub wspólnie z innymi ustalają cele i sposoby przetwarzania danych osobowych. Zgodnie z art. 5 ust. 1 lit. f) rozporządzenia 2016/679, dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („poufność i integralność”). Stosownie zaś do art. 5 ust. 2 rozporządzenia 2016/679, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie („rozliczalność”). Konkretyzację zasady poufności, o której mowa w art. 5 ust. 1 lit. f) rozporządzenia 2016/679, stanowią dalsze przepisy tego aktu prawnego. Zgodnie z art. 24 ust. 1 rozporządzenia 2016/679, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane.

37.

W myśl art. 25 ust. 1 rozporządzenia 2016/679, uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze wynikające z przetwarzania, administrator - zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania - wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi niniejszego rozporządzenia oraz chronić prawa osób, których dane dotyczą.

38.

Z treści art. 32 ust. 1 rozporządzenia 2016/679 wynika, że administrator i podmiot przetwarzający jest zobowiązany do zastosowania środków technicznych i organizacyjnych odpowiadających ryzyku naruszenia praw i wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia. Przepis precyzuje, że decydując o środkach technicznych i organizacyjnych należy wziąć pod uwagę stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze. W myśl art. 32 ust. 2 rozporządzenia 2016/679, administrator oceniając, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia w szczególności ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

39.

Jak wskazuje art. 24 ust. 1 rozporządzenia 2016/679, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze są czynnikami, które administrator ma obowiązek uwzględniać w procesie budowania systemu ochrony danych, również w szczególności z punktu widzenia pozostałych obowiązków wskazanych w art. 25 ust. 1, art. 32 ust. 1 czy art. 32 ust. 2 rozporządzenia 2016/679. Wskazane przepisy uszczegóławiają zasadę poufności określoną w art. 5 ust. 1 lit. f) rozporządzenia 2016/679, a przestrzeganie tej zasady jest konieczne dla prawidłowej realizacji zasady rozliczalności wynikającej z art. 5 ust. 2 rozporządzenia 2016/679.

II. Zarządzanie ryzykiem w procesie przetwarzania danych osobowych. Niewdrożenie przez Administratora i Podmiot przetwarzający adekwatnych środków technicznych i organizacyjnych mających gwarantować bezpieczeństwo w procesie przetwarzania danych osobowych. Naruszenie art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679 skutkujące także naruszeniem art. 5 ust. 1 lit. f), a w konsekwencji również art. 5 ust. 2 rozporządzenia 2016/679.

40.

Jedną z podstaw prawnej ochrony danych osobowych wprowadzoną rozporządzeniem 2016/679 jest obowiązek zapewnienia bezpieczeństwa przetwarzanych danych, określony między innymi w przytoczonym powyżej art. 32 ust. 1 rozporządzenia 2016/679. Podkreślić należy, że rozporządzenie 2016/679 wprowadziło podejście, w którym zarządzanie ryzykiem jest fundamentem działań związanych z ochroną danych osobowych i ma charakter ciągłego procesu. Obok ryzyka naruszenia praw lub wolności osób fizycznych należy także uwzględnić stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania.

41.

Ustalenie odpowiednich środków technicznych i organizacyjnych jest procesem dwuetapowym. W pierwszej kolejności istotnym jest określenie poziomu ryzyka, jakie wiąże się z przetwarzaniem danych osobowych uwzględniając przy tym kryteria wskazane w art. 32 ust. 1 rozporządzenia 2016/679, a następnie dobór takich środków technicznych i organizacyjnych, które zapewnią odpowiedni poziom bezpieczeństwa względem tego ryzyka. W stosownych przypadkach należy wdrożyć takie środków jak pseudonimizacja i szyfrowanie danych osobowych, zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania, zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego oraz regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania. Na konieczność wdrożenia odpowiednich środków bezpieczeństwa wskazuje także art. 24 ust. 1 oraz art. 25 ust. 1 rozporządzenia 2016/679.

42.

Podmiot, który przetwarza dane osobowe, zobligowany jest nie tylko do zapewnienia zgodności z wytycznymi ww. rozporządzenia poprzez jednorazowe wdrożenie organizacyjnych i technicznych środków bezpieczeństwa, ale również do zapewnienia ciągłości monitorowania poziomu zagrożeń oraz zapewnienia rozliczalności w zakresie poziomu oraz adekwatności wprowadzonych zabezpieczeń. Oznacza to, że koniecznością staje się możliwość udowodnienia przed organem nadzorczym, że wprowadzone rozwiązania, mające na celu zapewnienie bezpieczeństwa danych osobowych, są adekwatne do poziomu ryzyka, jak również uwzględniają charakter danej organizacji oraz wykorzystywanych mechanizmów przetwarzania danych osobowych. Administrator samodzielnie ma przeprowadzić szczegółową analizę prowadzonych procesów przetwarzania danych i dokonać oceny ryzyka, a następnie zastosować takie środki i procedury, które będą adekwatne do oszacowanego ryzyka. Konsekwencją takiej orientacji jest rezygnacja z list wymagań, w zakresie bezpieczeństwa narzuconych przez prawodawcę, na rzecz samodzielnego doboru zabezpieczeń w oparciu o analizę zagrożeń. Administratorom nie wskazuje się konkretnych środków i procedur w zakresie bezpieczeństwa.

43.

W świetle powyższego wskazać należy, że przeprowadzona analiza ryzyka powinna zostać udokumentowana oraz uzasadniona na podstawie przede wszystkim określenia stanu faktycznego, istniejącego w momencie jej przeprowadzania. Należy wziąć pod uwagę w szczególności charakterystykę zachodzących procesów, aktywa, podatności, zagrożenia oraz istniejące zabezpieczenia, w ramach zachodzących procesów przetwarzania danych osobowych. Nie można również w trakcie tego procesu pominąć zakresu oraz charakteru danych osobowych przetwarzanych w toku realizowanych czynności, albowiem właśnie od zakresu oraz charakteru ujawnionych danych zależeć będą potencjalne negatywne skutki dla osoby fizycznej w przypadku wystąpienia naruszenia ochrony jej danych osobowych.

44.

Aby analiza ryzyka została przeprowadzona w sposób właściwy, winny być zdefiniowane dla każdego z aktywów zagrożenia, mogące wystąpić w procesach przetwarzania danych.

45.

Określenie aktywa używane jest dla wskazania wszystkiego, co stanowi wartość dla administratora danych. Pewne aktywa stanowić będą wartość wyższą od innych, i również z tej perspektywy winny być oceniane i zabezpieczane. Bardzo istotne są również wzajemne powiązania występujących aktywów, np. poufność aktywów (danych osobowych) zależna będzie od rodzaju i sposobu przetwarzania tych danych. Ustalenie wartości aktywów jest konieczne do oszacowania skutków ewentualnego incydentu (naruszenia ochrony danych osobowych). Jest oczywistym, że szeroki zakres danych osobowych lub przetwarzanie danych osobowych, o których mowa w art. 9 ust. 1 lub art. 10 rozporządzenia 2016/679, może spowodować (w przypadku wystąpienia naruszenia ochrony danych osobowych) daleko idące negatywne skutki dla osób, których dane dotyczą, więc winny one być oceniane jako aktywa o wysokiej wartości, a co za tym idzie stopień ich ochrony powinien być odpowiednio wysoki.

46.

Określenie istniejących lub stosowanych zabezpieczeń jest konieczne, między innymi w tym celu, aby ich nie powielać. Należy również bezwzględnie sprawdzić skuteczność funkcjonowania tych zabezpieczeń, ponieważ istnienie zabezpieczenia niesprawdzonego, po pierwsze, może wyeliminować jego wartość, po drugie zaś może dać fałszywe poczucie bezpieczeństwa oraz może skutkować pominięciem (niewykryciem) krytycznej podatności, która wykorzystana spowoduje bardzo negatywne skutki, w tym w szczególności może doprowadzić do naruszenia ochrony danych osobowych.

47.

Zgodnie z normą ISO/IEC 27000, podatność jest określana jako słabość bądź luka w zabezpieczeniach, która wykorzystana przez dane zagrożenie może zakłócać funkcjonowanie, a także może prowadzić do incydentów bądź naruszeń ochrony danych osobowych. Identyfikowanie zagrożeń polega na określaniu, jakie zagrożenia i z jakiego kierunku (powodu) mogą się pojawić^[3].

48.

Metodą przeprowadzenia analizy ryzyka jest np. zdefiniowanie poziomu ryzyka jako iloczynu prawdopodobieństwa i skutków wystąpienia danego incydentu. Zazwyczaj wykorzystuje się macierz ryzyka, która pozwala zobrazować poziomy ryzyka w sposób wizualny, przedstawiając poziomy ryzyka, dla których organizacja definiuje odpowiednie działania.

49.

Analiza ryzyka oraz zarządzanie ryzykiem są procesami wymagającymi współpracy wszystkich zainteresowanych stron i jako takie wymagają przede wszystkim zaplanowania, zorganizowania, kierowania oraz kontrolowania zasobów wykorzystywanych do przetwarzania, realizacji samych czynności przetwarzania oraz badania i wykrywania ewentualnych podatności oraz luk w systemie bezpieczeństwa.

50.

Konieczność przeprowadzenia analizy ryzyka podkreślana jest także w orzecznictwie sądowym. W tym przedmiocie wypowiedział się WSA w Warszawie, między innymi w wyroku z 13 maja 2021 r., sygn. akt II SA/Wa 2129/20, gdzie podniósł, że „Administrator danych powinien zatem przeprowadzić analizę ryzyka i ocenić, z jakimi zagrożeniami ma do czynienia”. Wojewódzki Sąd Administracyjny w Warszawie w uzasadnieniu wyroku z 26 sierpnia 2020 r., sygn. akt II SA/Wa 2826/19 (utrzymanym wyrokiem NSA z 28 lutego 2024 r., sygn. akt II OSK 3839/21), wskazał, że „(…) Przepis ten [art. 32 rozporządzenia 2016/679] nie wymaga od administratora danych wdrożenia jakichkolwiek środków technicznych i organizacyjnych, które mają stanowić środki ochrony danych osobowych, ale wymaga wdrożenia środków adekwatnych. Taką adekwatność oceniać należy pod kątem sposobu i celu, w jakim dane osobowe są przetwarzane, ale też należy brać pod uwagę ryzyko związane z przetwarzaniem tych danych osobowych, które to ryzyko charakteryzować się może różną wysokością. Przyjęte środki mają mieć charakter skuteczny, w konkretnych przypadkach niektóre środki będą musiały być środkami o charakterze niwelującym niskie ryzyko, inne - muszą niwelować ryzyko wysokie, ważne jednak jest, aby wszystkie środki (a także każdy z osobna) były adekwatne i proporcjonalne do stopnia ryzyka (…) czynności o charakterze techniczno-organizacyjnym leżą w gestii administratora danych osobowych, ale nie mogą być dobierane w sposób całkowicie swobodny i dobrowolny, bez uwzględnienia stopnia ryzyka oraz charakteru chronionych danych osobowych (…)”.

51.

Obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych w celu nadania przetwarzaniu niezbędnych zabezpieczeń z uwagi na przyjęty sposób przetwarzania danych osobowych wynika także wprost z art. 25 ust. 1 rozporządzenia 2016/679. Przepis ten nakazuje administratorowi danych uwzględnienie ochrony danych w szczególności w fazie projektowania. Z tego wynika, że Administrator - nie wykluczając możliwości wykorzystywania do przetwarzania danych osobowych komputerów przenośnych poza siedzibą jego organizacji przez osoby działające w imieniu Podmiotu przetwarzającego - powinien już na tym etapie określić (i wdrożyć) odpowiednie środki bezpieczeństwa. Zawarcie umowy powierzenia nie zwalnia bowiem Administratora z tego obowiązku. Jak wskazał Naczelny Sąd Administracyjny w wyroku z 5 lipca 2024 r., sygn. akt III OSK 2654/22, „(…) administrator miał obowiązek "wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku". Poprzez wdrożenie takich środków należy rozumieć wprowadzenie zabezpieczeń, które będą adekwatne do przyjętego ryzyka, ergo będą zapobiegać naruszeniu zasad przetwarzania danych osobowych w normalnych warunkach. W realiach niniejszej sprawy nie chodziło więc o zapobieżenie zagubienia nośników z danymi osobowymi, lecz o zapobieżenie ich ujawnienia na wypadek takiego zagubienia”.

52.

Odnosząc powyższe rozważenia do stanu faktycznego przedmiotowej sprawy wskazać należy, że skoro Administrator i Podmiot przetwarzający dopuścili możliwość przetwarzania danych osobowych w związku z realizacją określonego zadania, to dla prawidłowej realizacji obowiązków wynikających z wyżej powołanych przepisów rozporządzenia 2016/679 powinni w pierwszej kolejności przeprowadzić analizę ryzyka i na jej podstawie określić oraz wdrożyć adekwatne środki zapewniające bezpieczeństwo w procesie przetwarzania danych osobowych. Analiza ta powinna wskazywać na ryzyka związane z ww. czynnościami przetwarzania danych osobowych oraz powinna przewidywać odpowiednie środki bezpieczeństwa w celu zapewnienia adekwatnego poziomu ochrony danych osobowych.

53.

W omawianym przypadku przeprowadzenie takiej analizy było szczególnie istotne z uwagi na specyfikę zadań realizowanych przez Podmiot przetwarzający na zlecenie Administratora. Administrator zlecając opracowanie projektu (…) zawarł z R. (…) umowę powierzenia przetwarzania danych osobowych. Administrator i Podmiot przetwarzający byli zatem świadomi, że zlecenie scalenia gruntów wiążę się z przetwarzaniem danych osobowych.

54.

Z uwagi na charakter zleconego zadania oraz narzędzia wykorzystywanego do jego wykonania (w omawianym przypadku komputera przenośnego), Administrator i Podmiot przetwarzający powinni zidentyfikować możliwość utraty poufności danych osobowych znajdujących się na komputerze w związku z ich przetwarzaniem poza siedzibą organizacji Podmiotu przetwarzającego, tym bardziej, że do zabezpieczenia przetwarzanych przy jego wykorzystaniu danych nie skorzystano z mechanizmu szyfrowania, o czym jest mowa w art. 32 ust. 1 lit. a) rozporządzenia 2016/679.

55.

Ze zgromadzonego materiału dowodowego wynika, że przed wystąpieniem naruszenia ochrony danych osobowych Administrator nie przeprowadził analizy ryzyka dla omawianego procesu, bowiem dał wiarę oświadczeniom Podmiotu przetwarzającego, że ten taką analizę przeprowadził. Odstąpienie od przeprowadzenia takiej analizy ryzyka Administrator uzasadniał tym, że jego pracownicy nie wykonują pracy w systemie zdalnym oraz komputery i laptopy służbowe nie opuszczają obszaru, w którym są przetwarzane dane osobowe, tj. siedziby jego organizacji. Administrator podał także, że przyczyną nieuwzględnienia zagrożenia w postaci kradzieży sprzętu komputerowego znajdującego się poza obszarem przetwarzania było to, że pracownicy Administratora, jak i pracownicy Podmiot przetwarzającego, nie przetwarzali lub nie mieli zgody na przetwarzanie danych osobowych poza siedzibami organizacji.

56.

Administrator nie podjął także żadnych samodzielnych działań związanych z przeprowadzeniem analizy ryzyka, która uwzględniałaby ryzyka związane z niewłaściwą realizacją umowy powierzenia przetwarzania danych (i związane np. z wykorzystywaniem przenośnych komputerów służbowych przez pracowników Podmiotu przetwarzającego poza jego siedzibą w sposób niezgodny z zasadami przyjętymi przez ten podmiot). Administrator nie weryfikował także, czy taką analizę przeprowadził Podmiot przetwarzający.

57.

Obowiązkiem Administratora jest także konieczność przestrzegania zasady rozliczalności, o której mowa w art. 5 ust. 2 rozporządzenia 2016/679. W orzecznictwie wskazuje się, że „(…) rozporządzenie 2016/679 nie przesądza jednak o tym, jak administrator powinien realizować obowiązki wynikające z zasady rozliczalności zawartej w art. 5 ust. 2 ww. rozporządzenia, niemniej jednak wskazuje na konieczność rozliczania się z przestrzegania przepisów, raportowania ich realizacji oraz przedstawiania dowodów świadczących o prawidłowym wykonywaniu obowiązków. Zasada rozliczalności zobowiązuje administratorów do demonstrowania podjęcia wszelkich środków mających na celu zapewnienie zgodności z obowiązkiem ochrony danych osobowych. W świetle ww. zasady to administrator, a nie organ nadzorczy zajmujący się ochroną danych osobowych, odpowiada za opracowanie, aktualizowanie i utrzymywanie wszystkich procedur i dokumentów związanych z ochroną danych osobowych, a także za stworzenie możliwości dowodowych wykazujących zgodność przetwarzania z przepisami (…)” (wyrok WSA w Warszawie z 1 lutego 2022 r., sygn. II SA/Wa 2106/21, LEX nr 3392761). Powyższe potwierdza orzeczenie WSA w Warszawie z 10 lutego 2021 r., sygn. II SA/Wa 2378/20: „Zasada rozliczalności bazuje więc na prawnej odpowiedzialności administratora za właściwe wypełnianie obowiązków i nakłada na niego obowiązek wykazania zarówno przed organem nadzorczym, jak i przed podmiotem danych, dowodów na przestrzeganie wszystkich zasad przetwarzania danych”. Podobnie kwestię zasady rozliczalności interpretuje WSA w Warszawie w wyroku z 26 sierpnia 2020 r., sygn. II SA/Wa 2826/19 (utrzymanym w mocy wyrokiem Naczelnego Sądu Administracyjnego z 28 lutego 2024 r., sygn. akt III OSK 3839/21): „Biorąc pod uwagę całość norm rozporządzenia 2016/679, podkreślić należy, że administrator ma znaczną swobodę w zakresie stosowanych zabezpieczeń, jednocześnie jednak ponosi odpowiedzialność za naruszenie przepisów o ochronie danych osobowych. Z zasady rozliczalności wprost wynika, że to administrator danych powinien wykazać, a zatem udowodnić, że przestrzega przepisów określonych w art. 5 ust. 1 rozporządzenia 2016/679”.

58.

Wskazać należy, że obowiązek rozliczalności w sposób szczególny kształtuje zasady ustalenia prawdy obiektywnej. Art. 5 ust. 2 rozporządzenia 2016/679 jest bowiem przepisem, na podstawie którego ciężar dowodu co do przestrzegania zasad dotyczących przetwarzania danych spoczywa na stronie postępowania będącej administratorem. Jak wyjaśnił NSA w wyroku z 8 stycznia 2025 r. (sygn. akt III OSK 4868/21), „Stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać należy jako nałożenie na administratora ciężaru dowodowego w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad”. Ponadto, WSA w Warszawie w wyroku z 5 października 2023 r., sygn. akt II SA/Wa 502/23, wskazał, że „organ nadzorczy nie jest zobowiązany do wskazywania Administratorowi rozwiązań technicznych i organizacyjnych, które powinien on wdrożyć, aby przetwarzanie danych osobowych odbywało się zgodnie z prawem. To zadaniem Administratora jest wprowadzenie tych środków, a następnie - jeżeli pojawi się taka konieczność - wykazanie, że przestrzega on zasad przetwarzania danych osobowych określonych w rozporządzeniu 2016/679, zgodnie z zasadą rozliczalności (art. 5 ust. 2 ww. rozporządzenia)”.

59.

W przedmiotowej sprawie Administrator nie wykazał (wbrew obowiązkowi przewidzianemu w art. 5 ust. 2 rozporządzenia 2016/679), że podjął działania związane z koniecznością przeprowadzenia rzetelnej analizy ryzyka, a tym samym naruszył on także zasadę rozliczalności.

60.

Podkreślić należy, że adresatem normy określonej w art. 32 rozporządzenia 2016/679 jest zarówno administrator, jak i podmiot przetwarzający. Ponadto, jak wynika z treści art. 28 ust. 3 lit. c) rozporządzenia 2016/679, podmiot przetwarzający podejmuje wszelkie środki wymagane na mocy art. 32 rozporządzenia 2016/679. Natomiast wydane przez Europejską Radę Ochrony Danych (EROD) Wytyczne 07/2020 w sprawie pojęć administratora i podmiotu przetwarzającego na gruncie RODO^[4] (dalej również jako: „Wytyczne 07/2020”) wskazują na konkretne obowiązki administratora i podmiotu przetwarzającego wobec zapewnienia środków bezpieczeństwa powierzonym danym osobowym. W pkt 135 ww. wytycznych EROD wskazuje, że „Przechodząc do konkretnych obowiązków, podmiot przetwarzający ma po pierwsze obowiązek pomagać administratorowi w spełnieniu obowiązku przyjęcia odpowiednich środków technicznych i organizacyjnych w celu zapewnienia bezpieczeństwa przetwarzania. Chociaż obowiązek ten może się do pewnego stopnia pokrywać z wymogiem, aby podmiot przetwarzający sam przyjął odpowiednie środki bezpieczeństwa, w przypadku gdy operacje przetwarzania prowadzone przez podmiot przetwarzający wchodzą w zakres RODO, pozostają one dwoma odrębnymi obowiązkami, ponieważ jeden odnosi się do środków własnych podmiotu przetwarzającego, a drugi do środków administratora”. Jak wskazał Naczelny Sąd Administracyjny w wyroku z 9 lutego 2023 r., sygn. akt III OSK 3945/21: „Na gruncie RODO prawodawca odszedł od statycznego określenia wymaganych od administratora środków technicznych i organizacyjnych na rzecz dynamicznej oceny przyjętych środków bezpieczeństwa. Powyższe oznacza, że to na administratorze i podmiocie przetwarzającym spoczywa obowiązek określenia odpowiednich (adekwatnych) środków bezpieczeństwa, z zachowaniem kompetencji organu nadzorczego do weryfikacji przyjętego poziomu zabezpieczeń”.

61.

Ze zgromadzonego materiału wynika, że Podmiot przetwarzający przeprowadził analizę ryzyka, która co prawda uwzględniała zagrożenia dla danych osobowych w razie kradzieży lub zagubienia nośników danych, jednakże zabezpieczenia mające na celu utrzymanie założonego przez Podmiot przetwarzający poziomu ryzyka, określono w sposób bardzo ogólny. (…).

62.

Określone w taki sposób przez Podmiot przetwarzający środki bezpieczeństwa mające na celu minimalizację ryzyka związanego z kradzieżą lub zagubieniem nośników danych mogłyby jednak ewentualnie zostać uznane za adekwatne, ale tylko wobec tych nośników, które nie opuszczają siedziby organizacji Podmiotu przetwarzającego.

63.

Jednakże w związku z tym, że - zgodnie z „Polityką (…)” z 26 sierpnia 2018 r. - przewidziano możliwość oraz określono zasady wykorzystywania komputerów przenośnych poza siedzibą jego organizacji (por. pkt 10 niniejszej decyzji), Podmiot przetwarzający powinien określić również i inne środki bezpieczeństwa, tj. takie, które będą minimalizować ryzyka dla przetwarzanych danych osobowych związane z kradzieżą lub zagubieniem nośników wynoszonych poza jego organizację, w tym te opisane w art. 32 ust. 1 lit. a) rozporządzenia 2016/679.

64.

W omawianym przypadku ta ogólnikowość analizy ryzyka w znacznym stopniu przyczyniła się do materializacji ryzyka. Jak twierdził Podmiot przetwarzający, komputer (wyniesiony poza jego organizację) był zabezpieczony przed nieautoryzowanym dostępem (…). W ocenie organu nadzorczego Podmiot przetwarzający zatem nie uwiarygodnił, że wprowadzone przez niego zabezpieczenia są adekwatne do poziomu zidentyfikowanego ryzyka dla operacji przetwarzania danych osobowych związanych z zadaniem zleconym mu przez Administratora, związanego z kradzieżą lub zagubieniem nośników danych, które opuściły siedzibę Podmiotu przetwarzającego. Założenie, że „dane znajdujące się na nośnikach są (…)”, może stanowić jeden z elementów zabezpieczeń. Jednak w sytuacji, w której dodatkowym mitygantem jest jedynie zabezpieczenie komputera (…), pojawiają się wątpliwości, czy tak przyjęte rozwiązania można uznać za adekwatne w kontekście powszechnie znanych podatności.

65.

Jak już powyżej wskazano, Podmiot przetwarzający dopuścił wykorzystywanie komputerów przenośnych w procesie przetwarzania danych osobowych poza swoją organizacją. Wobec powyższego, powinien on wdrożyć dodatkowe zabezpieczenia w postaci uruchomienia szyfrowania danych znajdujących się na takim komputerze. Obowiązek ten wynika z powołanego już wcześniej art. 32 ust. 1 lit. a) rozporządzenia 2016/679. Nie ulega wątpliwości, że wynoszenie poza organizację komputerów przenośnych wykorzystywanych do przetwarzania danych osobowych jest właśnie takim stosownym przypadkiem, wymagającym zastosowania szyfrowania.

66.

Biorąc pod uwagę charakter działalności Podmiotu przetwarzającego, w szczególności wobec faktu, że realizuje te działania również poza siedzibą swojej organizacji, to właśnie brak nadzoru nad komputerem (lub innym nośnikiem danych) jest zagrożeniem dla bezpieczeństwa przetwarzania danych osobowych. Natomiast samo (…) nie gwarantuje bezpieczeństwa w procesie przetwarzania danych osobowych.

67.

Bez znaczenia dla rozstrzygnięcia przedmiotowego postępowania jest to, czy dostęp do programów obsługi danych (takiego jak Y.) był zabezpieczony (…). Jak już wskazano, przedmiotem postępowania administracyjnego nie jest zbadanie przyczyn i skutków naruszenia ochrony danych osobowych z 22 stycznia 2023 r. Podmiot przetwarzający powinien założyć, że dane osobowe mogą być również zawarte w plikach przechowywanych w pamięci komputera, np. w postaci zrzutów z ekranu lub w dokumentach tekstowych. Bez znaczenia jest to, czy praktyka przechowywania tych danych poza dedykowanym systemem (np. Y.) jest zgodna z uregulowaniami podmiotu przetwarzającego, czy też jest następstwem działania pracownika.

68.

Podmiot przetwarzający, jak pokazuje niniejszy przypadek, nie może ograniczać się tylko do założenia, że pracownik będzie wykorzystywał powierzony mu komputer zgodnie z przyjętymi regulacjami. Uwzględniając reguły logiki i doświadczenia życiowego wskazać należy, że najsłabszym elementem systemu bezpieczeństwa jest działanie użytkownika tego systemu. Bardzo często dochodzi do materializacji ryzyk dla danych osobowych, a w konsekwencji do naruszeń ochrony danych osobowych, będących następstwem błędnego lub celowego działania pracownika. Z tego właśnie powodu Podmiot przetwarzający powinien przeprowadzić analizę ryzyka, zidentyfikować podatności (w tym przypadku niestosowanie się pracownika do przyjętych procedur) i wdrożyć adekwatne środki gwarantujące bezpieczeństwo w procesie przetwarzania danych osobowych. Dla zobrazowania tej kwestii, poprzez analogię, można wskazać, że podmiot przetwarzający dane osobowe powinien stosować aktualne oprogramowanie antywirusowe, właśnie po to, aby zabezpieczyć dane znajdujące się w jego zasobach na wypadek nieprzestrzegania przez użytkownika zasad wykorzystywania sprzętu komputerowego (np. atak ransowmare w następstwie pobrania na komputer służbowy zainfekowanego pliku przesłanego na prywatną skrzynkę pracownika). Przeprowadzenie analizy uwzględniającej ryzyko niestosowania procedur przez pracowników, a następnie wdrożenie adekwatnych środków bezpieczeństwa nie powinno stanowić dla Podmiotu przetwarzającego nadmiernego obciążenia organizacyjnego, technicznego i finansowego.

69.

Podsumowując, w odniesieniu do komputerów przenośnych wynoszonych poza organizację Administratora i/lub Podmiotu przetwarzającego, z uwagi na zagrożenia z tym związane, w celu przeciwdziałania potencjalnym skutkom naruszenia i zapobieżenia ewentualnej utracie poufności danych osobowych znajdujących się na takim urządzeniu, administrator lub podmiot przetwarzający, stosownie do przepisów rozporządzenia 2016/679 (w szczególności art. 32 ust. 1 lit. a) rozporządzenia 2016/679), zobowiązany jest zastosować dodatkowe zabezpieczenia w postaci np. szyfrowania danych znajdujących się na komputerach. Określenie tych dodatkowych zabezpieczeń powinno - jak już wskazano - nastąpić w wyniku przeprowadzonej analizy ryzyka, po prawidłowej identyfikacji zagrożeń dla danych osobowych przetwarzanych przy użyciu komputerów przenośnych użytkowanych poza organizacją administratora lub podmiotu przetwarzającego. W analizie ryzyka Podmiot przetwarzający nie przewidział wprowadzenia szyfrowania, jako środka mającego zapewnić adekwatny poziom bezpieczeństwa i tym samym też go nie wprowadził. Podmiot przetwarzający nie wypełnił zatem obowiązku wskazanego w art. 32 ust. 1 lit. a) rozporządzenia 2016/679.

70.

Zadaniem Prezesa UODO nie jest co prawda wskazywanie podmiotom przetwarzającym konkretnych środków technicznych i organizacyjnych mających gwarantować bezpieczeństwo w procesie przetwarzania danych osobowych, ale jak wynika z przedłożonych wyjaśnień, Podmiot przetwarzający już po naruszeniu ochrony danych osobowych wdrożył środek mitygujący ryzyko w postaci szyfrowania dysków twardych komputerów przenośnych za pomocą oprogramowania (…). Można założyć, że gdyby tego rodzaju zabezpieczenie zostało wdrożone przed incydentem z 22 stycznia 2023 r. ryzyko wystąpienia poważnych skutków zostałoby zmitygowane, tj. gdyby laptop został skradziony dlatego, że pracownik nie sprawował nad nim nadzoru, prawdopodobieństwo odczytania danych znajdujących się na komputerze byłoby zdecydowanie niższe.

71.

Nieprzeprowadzenie analizy ryzyka w sposób pozwalający na dobór adekwatnych środków bezpieczeństwa oznacza, że Administrator naruszył art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, co skutkuje także naruszeniem przez Administratora zasady poufności (art. 5 ust. 1 lit. f) rozporządzenia 2016/679) oraz zasady rozliczalności (art. 5 ust. 2 rozporządzenia 2016/679). Natomiast Podmiot przetwarzający naruszył art. 32 ust. 1 i 2 rozporządzenia 2016/679.

III. Rola Administratora i Podmiotu przetwarzającego w procesie przetwarzania danych osobowych.

III a. Naruszenie przez Administratora art. 28 ust. 1 rozporządzenia 2016/679.

72.

Jeżeli przetwarzanie ma być dokonywane w imieniu administratora, to zgodnie z brzmieniem art. 28 ust. 1 rozporządzenia 2016/679, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia 2016/679 i chroniło prawa osób, których dane dotyczą. Zgodnie z art. 28 ust. 3 rozporządzenia 2016/679, przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Ta umowa lub inny instrument prawny stanowią w szczególności, że podmiot przetwarzający:

a)

przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora - co dotyczy też przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej - chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego, któremu podlega podmiot przetwarzający; w takim przypadku przed rozpoczęciem przetwarzania podmiot przetwarzający informuje administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny;

b)

zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;

c)

podejmuje wszelkie środki wymagane na mocy art. 32;

d)

przestrzega warunków korzystania z usług innego podmiotu przetwarzającego, o których mowa w ust. 2 i 4;

e)

biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III;

f)

uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga administratorowi wywiązać się z obowiązków określonych w art. 32-36;

g)

po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji administratora usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych;

h)

udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.

73.

W związku z obowiązkiem określonym w akapicie pierwszym lit. h) podmiot przetwarzający niezwłocznie informuje administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie niniejszego rozporządzenia lub innych przepisów Unii lub państwa członkowskiego o ochronie danych.

74.

Korzystanie z usług podmiotu przetwarzającego nie zwalnia administratora z obowiązku zapewnienia bezpieczeństwa w procesie przetwarzania danych osobowych. Odpowiedzialność w tym zakresie spoczywa bowiem przede wszystkim na administratorze danych. Na konieczność weryfikacji podmiotu przetwarzającego zwracają uwagę Wytyczne 07/2020. Wskazuje się w nich, że „(…) gwarancje «zapewniane» przez podmiot przetwarzający to te, które podmiot przetwarzający jest w stanie wykazać w sposób zadowalający administratora, ponieważ są to jedyne gwarancje, które administrator może skutecznie uwzględnić przy ocenie wypełniania swoich obowiązków. Często będzie to wymagało wymiany odpowiedniej dokumentacji [np. polityki prywatności, warunków świadczenia usług, rejestru czynności przetwarzania, polityki zarządzania dokumentacją, polityki bezpieczeństwa informacji, sprawozdań z zewnętrznych audytów ochrony danych, uznanych międzynarodowych certyfikatów, takich jak normy ISO 27000] (…) Ocena administratora, czy gwarancje są wystarczające, jest formą oceny ryzyka, która w znacznym stopniu zależy od rodzaju przetwarzania powierzonego podmiotowi przetwarzającemu i musi być dokonywana indywidualnie dla każdego przypadku, z uwzględnieniem charakteru, zakresu, kontekstu i celów przetwarzania, a także zagrożeń dla praw i wolności osób fizycznych. W związku z tym EROD nie może przedstawić wyczerpującej listy dokumentów lub działań, które podmiot przetwarzający musi wykazać lub udowodnić w danym scenariuszu, ponieważ w dużej mierze zależy to od konkretnych okoliczności przetwarzania (…)”.

75.

Analogicznie jak w przypadku konieczności przeprowadzenia analizy ryzyka, obowiązek weryfikacji podmiotu przetwarzającego ma charakter ciągły. Skutki zaniechania przez administratora obowiązku ciągłej weryfikacji gwarancji, o których mowa w art. 28 ust. 1 rozporządzenia 2016/679, mogą bezpośrednio dotknąć osób fizycznych, których dane osobowe zostały powierzone podmiotowi przetwarzającemu. Na konieczność ciągłości weryfikacji podmiotu przetwarzającego jednoznacznie wskazują Wytyczne 07/2020, w których podnosi się, że „(…) 99: Obowiązek korzystania wyłącznie z usług podmiotów przetwarzających "zapewniających wystarczające gwarancje" zawarty w art. 28 ust. 1 RODO jest obowiązkiem ciągłym. Nie kończy się w momencie zawarcia umowy lub innego aktu prawnego przez administratora i podmiot przetwarzający. Administrator powinien raczej w odpowiednich odstępach czasu weryfikować gwarancje podmiotu przetwarzającego, w tym w stosownych przypadkach przez audyty i inspekcje (…)”.

76.

Wskazać zatem należy, że na podstawie art. 28 ust. 3 lit. h) rozporządzenia 2016/679 administrator ma prawo przeprowadzania audytów, w tym inspekcji, w podmiocie przetwarzającym. Celem tych działań administratora powinna być stała weryfikacja podmiotu przetwarzającego, czy ten wywiązuje się ze wszystkich obowiązków określonych w art. 28 ust. 3 rozporządzenia 2016/679. Stosowanie ww. środków związane jest z obowiązkiem administratora danych wynikającym z art. 28 ust. 1 rozporządzenia 2016/679. Oznacza to, że wykonywanie działań kontrolnych ma również potwierdzić, czy podmiot przetwarzający nadal zapewnia gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia 2016/679 i chroniło prawa osób, których dane dotyczą.

77.

Mając zatem na uwadze, że weryfikacja podmiotu przetwarzającego musi mieć charakter procesu ciągłego, brak okresowego i systematycznego przeprowadzania audytów bądź inspekcji prowadzi do sytuacji, w której administrator nie będzie posiadał wiedzy, czy podmiot przetwarzający realizuje swoje zadania zgodnie z wymogami przepisów prawa oraz postanowieniami zawartej umowy powierzenia.

78.

Zdaniem organu nadzorczego obowiązek ten nie oznacza konieczności permanentnego i kompleksowego audytowania całokształtu działalności podmiotu przetwarzającego, lecz wymaga podjęcia adekwatnych, możliwych do wykazania działań weryfikacyjnych odnoszących się do procesu powierzenia i ryzyk istotnych dla danego przetwarzania

79.

Uprawnienie wynikające z art. 28 ust. 3 lit. h) rozporządzenia 2016/679 daje zatem administratorowi narzędzia, dzięki którym może zapewnić, że proces przetwarzania danych podlegających powierzeniu będzie zgodny z normami określonymi w rozporządzeniu 2016/679, a przedłożenie dowodów potwierdzających wykonanie takich działań kontrolnych - zgodnie z zasadą rozliczalności - może dowodzić, że administrator podjął działania mające na celu weryfikację podmiotu przetwarzającego, że ten wdrożył odpowiednie środki techniczne i organizacyjne, by przetwarzanie spełniało wymogi rozporządzenia 2016/679 i chroniło prawa osób, których dane dotyczą. Omawiane uprawnienie administratora należy traktować jako jeden z istotniejszych środków bezpieczeństwa, jakie powinien on zastosować w celu prawidłowego wywiązania się ze swoich obowiązków wynikających z art. 32 ust. 1 rozporządzenia 2016/679. Administrator powinien bowiem w czasie korzystania przez niego z usług podmiotu przetwarzającego dysponować wiedzą, czy i w jaki sposób podmiot, któremu powierzył przetwarzanie danych osobowych, spełnia wymogi określone w rozporządzeniu 2016/679.

80.

W przedmiotowej sprawie została zawarta umowa powierzenia przetwarzania danych osobowych w związku z tym, że Podmiot przetwarzający był odpowiedzialny za opracowanie projektu (…). Administrator jednak nie weryfikował, czy Podmiot przetwarzający zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia 2016/679 i chroniło prawa osób, których dane dotyczą. Swoją bierność w omawianym zakresie Administrator uzasadniał tym, że Podmiot przetwarzający jest jednostką wyspecjalizowaną i powołaną do realizacji zadań, które mu zlecono (por. pismo Administratora z 7 kwietnia 2023 r.)

81.

W ocenie organu nadzorczego argumentacja przedstawiona przez Administratora nie jest przekonująca. Administrator nie powinien a priori zakładać, że Podmiot przetwarzający wdrożył adekwatne środki bezpieczeństwa tylko dlatego, że jest jednostką wyspecjalizowaną w realizacji określonych zadań. Norma prawna wynikająca z art. 28 ust. 1 rozporządzenia 2016/679 nakłada na Administratora obowiązek podjęcia określonych działań, których celem jest zapewnienie gwarancji wdrożenia adekwatnych środków bezpieczeństwa w procesie przetwarzania danych osobowych. Administrator, powierzając przetwarzanie danych osobowych innemu podmiotowi, nie może opierać się jedynie na swoich przekonaniach, jeśli nie zostały one poparte przeprowadzeniem procesu weryfikacji tego podmiotu.

82.

W podobnym tonie wypowiedział się Wojewódzki Sąd Administracyjny, który w wyroku z 3 lipca 2025 r., sygn. akt II SA/Wa 2056/24, orzekł, że „(…) Każdego administratora obowiązuje przewidziany w art. 28 ust. 1 RODO wymóg korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Z obowiązku przeprowadzenia takiej oceny nie zwalnia fakt wieloletniej współpracy i korzystania z usług danego podmiotu przetwarzającego przed dniem 25 maja 2018 r., tj. przed rozpoczęciem stosowania przepisów RODO. (…) Przy czym samo podpisanie umowy powierzenia przetwarzania danych osobowych bez dokonania odpowiedniej oceny podmiotu przetwarzającego nie może być postrzegane przez pryzmat należytej realizacji przez Administratora obowiązku przeprowadzenia postępowania weryfikującego podmiot przetwarzający pod kątem spełnienia przez niego wymogów RODO. Długotrwała współpraca stron, niepoparta okresowym, systematycznym przeprowadzaniem audytów bądź inspekcji, nie gwarantuje, że podmiot przetwarzający zrealizuje w sposób prawidłowy zadania wymagane przepisami prawa oraz wynikające z zawartej umowy powierzenia”.

83.

Administrator nie tylko nie realizował ciągłego procesu weryfikacji Podmiotu przetwarzającego, ale również nie przeprowadził jakiejkolwiek, nawet jednorazowej, weryfikacji tego podmiotu. Podkreślenia wymaga, że status Podmiotu przetwarzającego, jako jednostki wyspecjalizowanej do realizacji zadań zleconych przez Administratora, nie poparty okresowym, systematycznym przeprowadzaniem audytów bądź inspekcji, nie gwarantuje, że Podmiot przetwarzający wdrożył adekwatne środki techniczne i organizacyjne gwarantujące bezpieczeństwo w procesie przetwarzania danych osobowych.

84.

Brak regularnych audytów, w tym inspekcji, w Podmiocie przetwarzającym oznacza zatem naruszenie przez Administratora nie tylko przepisu art. 28 ust. 1 rozporządzenia 2016/679, lecz także przepisu art. 25 ust. 1 rozporządzenia 2016/679, który obliguje go do wdrażania odpowiednich środków technicznych i organizacyjnych, zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania. Ciągłość wpisana w ten obowiązek może więc w praktyce przejawiać się m.in. w konieczności zapewnienia regularnego monitoringu zastosowanych zabezpieczeń oraz prowadzenia stałego nadzoru nad podmiotem przetwarzającym poprzez np. audyty i inspekcje, o których mowa w art. 28 ust. 3 lit. h) rozporządzenia 2016/679, i których w okolicznościach niniejszej sprawy zabrakło.

85.

Zgodnie z Wytycznymi 07/2020, 135: Przechodząc do konkretnych obowiązków, podmiot przetwarzający ma obowiązek, po pierwsze, pomagać administratorowi w wywiązywaniu się z obowiązku przyjęcia odpowiednich środków technicznych i organizacyjnych w celu zapewnienia bezpieczeństwa przetwarzania. Chociaż może to w pewnym stopniu pokrywać się z wymogiem, zgodnie z którym podmiot przetwarzający sam przyjmuje odpowiednie środki bezpieczeństwa, w przypadku gdy operacje przetwarzania prowadzone przez podmiot przetwarzający wchodzą w zakres RODO, pozostają one dwoma odrębnymi obowiązkami, ponieważ jeden odnosi się do własnych środków podmiotu przetwarzającego, a drugi odnosi się do administratora danych. 138: Obowiązek pomocy nie polega na przeniesieniu odpowiedzialności, ponieważ obowiązki te są nakładane na administratora danych. Na przykład, chociaż ocena skutków dla ochrony danych może być w praktyce przeprowadzana przez podmiot przetwarzający, administrator pozostaje odpowiedzialny za obowiązek przeprowadzenia oceny, a podmiot przetwarzający jest zobowiązany do udzielenia pomocy administratorowi „w razie potrzeby i na żądanie”. W związku z tym to administrator musi podjąć inicjatywę w celu przeprowadzenia oceny skutków dla ochrony danych, a nie podmiot przetwarzający.

86.

Z art. 32 rozporządzenia 2016/679, interpretowanego w świetle wyżej zacytowanych wytycznych, wynika, że obowiązki wdrożenia środków organizacyjnych i technicznych nałożono zarówno na podmioty przetwarzające, jak i na administratorów danych. Fakt zawarcia umowy i powierzenia pewnych czynności przetwarzania danych osobowych podmiotowi przetwarzającemu nie zwalnia zatem administratora, co należy ponownie powtórzyć, z obowiązku wdrożenia odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 32 rozporządzenia 2016/679, nie zwalnia również administratora danych z obowiązku prowadzenia stałego nadzoru nad podmiotem przetwarzającym w tym zakresie.

87.

W konsekwencji, w ocenie Prezesa UODO, zastosowane przez Administratora środki techniczne i organizacyjne jedynie w bardzo ograniczonym stopniu odpowiadały wymogom określonym w art. 32 rozporządzenia 2016/679, w związku z faktem, że Administrator nie egzekwował od Podmiotu przetwarzającego realizacji postanowień łączącej ich umowy powierzenia oraz nie weryfikował Podmiotu przetwarzającego w zakresie ochrony danych osobowych.

88.

Dopiero po wystąpieniu naruszenia ochrony danych osobowych Administrator podjął działania weryfikacyjne, które można uznać za wystarczające (por. pkt VI opisu stanu faktycznego). Przeprowadzenie przez Administratora w sposób właściwy audytów po wystąpieniu naruszenia ochrony danych osobowych nie wpływa na negatywną ocenę Prezesa UODO dotychczasowych jego działań, a stanowi jedynie przesłankę do odstąpienia od wydania nakazu dostosowania operacji przetwarzania danych osobowych do wymogów określonych w rozporządzeniu 2016/679. Nieprawidłowości opisane powyżej świadczą o tym, że Administrator naruszył art. 28 ust. 1 rozporządzenia 2016/679.

III b. Naruszenie przez Podmiot przetwarzający art. 32 ust. 1 i 2 rozporządzenia 2016/679 w związku z art. 28 ust. 3 lit. c) rozporządzenia 2016/6/79.

89.

Jednocześnie należy wskazać, że fakt niewdrożenia adekwatnych środków bezpieczeństwa wynikający z braku właściwej współpracy między administratorem a podmiotem przetwarzającym nie oznacza, że odpowiedzialność za naruszenie przepisów rozporządzenia 2016/679 należy przypisać tylko Administratorowi. Zgodnie z wyrokiem Wojewódzkiego Sądu Administracyjnego w Warszawie z 5 października 2021 r., sygn. akt II SA/Wa 528/21, „(…) zastępca [reprezentant] administratora jest odrębnym podmiotem prawa, działającym za reprezentowanego, na podstawie umocowania udzielonego w zawartej z administratorem umowie o powierzeniu przetwarzania. Jeżeli czynności przetwarzania wykonuje podmiot przetwarzający, a nie administrator, to co do zasady do działania tego zastępcy należałoby odnosić przepisy określające obowiązki związane z przetwarzaniem. Rozporządzenie nr 2016/679 rozkłada jednakże te obowiązki pomiędzy administratora i podmiot przetwarzający, co oznacza, że administrator powierzając przetwarzanie danych innemu podmiotowi nie jest zwolniony całkowicie z odpowiedzialności za niedopełnienie prawnych wymagań dotyczących przetwarzania. Przepisy rozporządzenia kierują niektóre obowiązki do administratora danych (art. 5 ust. 2), inne zaś są adresowane jednocześnie do administratora i do podmiotu przetwarzającego (art. 32 ust. 1 i 2). Ponadto podmiot przetwarzający ma odrębne obowiązki w tym zakresie (art. 28 rozporządzenia). Co prawda te obowiązki podmiotu przetwarzającego powinny być umieszczone w zawartej między stronami umowie o przetwarzanie danych. Niemniej jednak obligatoryjne dla stron wprowadzenie ich do umowy nie odbiera im charakteru publicznoprawnego, nie czyni obowiązkami wyłącznie obligacyjnymi, co ma oczywiście zasadnicze znaczenie dla określenia odpowiedzialności za ich naruszenie i co znajduje potwierdzenie w art. 83 ust. 4 lit. a rozporządzenia. Trzeba podkreślić, że podmiot przetwarzający jest obowiązany do współdziałania z administratorem, a nawet do udzielania mu pomocy w wywiązywaniu się z jego obowiązków określonych w art. 32-36 (art. 28 rozporządzenia). Nałożenie zarówno na administratora, jak i na podmiot przetwarzający dość ogólnego obowiązku zapewnienia bezpieczeństwa danych (art. 32 ust. 1) nie implikuje oczywiście konieczności podejmowania przez te podmioty działań tego samego rodzaju i nie rodzi po ich stronie odpowiedzialności za naruszenia, niezależnie od tego, któremu z nich można je przypisać. Nie ma tu mowy o jakimkolwiek solidarnym, w rozumieniu prawnym wykonywaniu przez strony obowiązków dotyczących zapewnienia bezpieczeństwa przetwarzania danych i solidarnej odpowiedzialności za naruszenie tych obowiązków (…)”.

90.

W przedmiotowej sprawie Podmiot przetwarzający nie tylko nie wspierał Administratora w realizacji jego obowiązków określonych w art. 32-36 rozporządzenia 2016/679, ale w gruncie rzeczy przez swoją - opisaną wcześniej - nierzetelność przyczynił się naruszenia przez Administratora przepisów rozporządzenia 2016/679.

91.

Skutkiem omawianej nierzetelności jest naruszenie przez Podmiot przetwarzający art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679.

IV. Obowiązek regularnego testowania, mierzenia i oceniania skuteczności środków bezpieczeństwa przetwarzania danych osobowych. Naruszenie art. 32 ust. 2 lit. d) rozporządzenia 2016/679, skutkujące także naruszeniem przez Administratora art. 5 ust. 1 lit. f) oraz art. 5 ust. 2 rozporządzenia 2016/679.

92.

Kontynuując rozważania dotyczące środków bezpieczeństwa należy pamiętać, że rola administratora i podmiotu przetwarzającego nie ogranicza się tylko do jednorazowego opracowania i wdrożenia środków organizacyjnych i technicznych mających zapewnić przetwarzanie danych osobowych zgodne z zasadami wyrażonymi w rozporządzeniu 2016/679. Konieczność bieżącej weryfikacji adekwatności tych środków jest szczególnie ważna w przypadku przetwarzania danych osobowych poza siedzibą organizacji podmiotu, który je przetwarza. W przypadku zdarzenia takiego, jak to zaistniałe w przedmiotowej sprawie (kradzież laptopa zawierającego dane osobowe), bardzo istotne jest przeanalizowanie prawidłowości przestrzegania przez Administratora i Podmiot przetwarzający ich obowiązków wynikających z art. 32 ust. 1 lit. d) rozporządzenia 2016/679, tj. regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

93.

Regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych, mających zapewnić bezpieczeństwo przetwarzania jest podstawowym obowiązkiem każdego administratora i podmiotu przetwarzającego wynikającym z art. 32 ust. 1 lit. d) rozporządzenia 2016/679. Każdy z nich zobowiązany jest więc do weryfikacji zarówno doboru, jak i poziomu skuteczności stosowanych środków technicznych, na każdym etapie przetwarzania. Kompleksowość tej weryfikacji powinna być oceniana przez pryzmat adekwatności do ryzyk i proporcjonalności w stosunku do stanu wiedzy technicznej, kosztów wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania. Testowanie, mierzenie i ocenianie, aby stanowiło realizację wymogu wynikającego z art. 32 ust. 1 lit. d) rozporządzenia 2016/679, musi być dokonywane w sposób regularny, świadomie zaplanowany, zorganizowany i udokumentowany (w związku z zasadą rozliczalności - art. 5 ust. 2 rozporządzenia 2016/679) w określonych przedziałach czasowych, niezależnie od zmian w organizacji i przebiegu procesów przetwarzania danych.

94.

Nowe ryzyka lub zagrożenia mogą zmaterializować się lub zostać ujawnione również samoistnie, w sposób całkowicie niezależny od administratora i jest to fakt, który również powinien być brany pod uwagę zarówno podczas budowania systemu ochrony danych osobowych, jak i w czasie jego realizowania. To zaś z kolei definiuje konieczność prowadzenia regularnej weryfikacji całego systemu ochrony danych osobowych zarówno pod kątem adekwatności, jak i skuteczności wdrożonych rozwiązań organizacyjnych i technicznych. Badanie prawdopodobieństwa wystąpienia danego zdarzenia nie powinno opierać się wyłącznie na podstawie częstotliwości występowania zdarzeń w danej organizacji, albowiem fakt nie wystąpienia danego zdarzenia w przeszłości wcale nie oznacza, że nie może ono zaistnieć w przyszłości.

95.

Na konieczność realizacji przez administratorów i pomioty przetwarzające omawianego obowiązku zwrócił również uwagę Wojewódzki Sąd Administracyjny w Warszawie, który w wyroku z 21 października 2021 r., sygn. akt II SA/Wa 272/21, wskazał, że „(…) rację miał również Prezes UODO, wskazując w uzasadnieniu zaskarżonej decyzji, że brak w przyjętych przez Spółkę procedurach uregulowań zapewniających regularne testowanie, mierzenie i ocenianie skuteczności zastosowanych środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych przyczynił się do wystąpienia naruszenia ochrony danych osobowych. Trafnie także wskazuje organ, że w postępowaniu wykazano, że Spółka nie przeprowadzała testów nastawionych na weryfikację zabezpieczeń aplikacji (…) oraz WebAPI systemu (…), dotyczących podatności systemu informatycznego związanej z zaistniałym naruszeniem danych osobowych (…) dokonywanie testów wyłącznie w sytuacji pojawiającego się zagrożenia, bez wprowadzenia procedury, która by określała harmonogram działań zapewniających regularne testowanie, mierzenie i ocenianie skuteczności wdrożonych środków jest niewystarczające. Spółka bowiem, jak wynika ze zgromadzonego materiału, mimo przyjętych rozwiązań nie była w stanie wykryć podatności ze względu na brak regularnych testów wdrożonego przez Spółkę systemu (…) Nie sposób w tym kontekście zakwestionować więc ocen Prezesa UODO, że regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania jest podstawowym obowiązkiem każdego administratora oraz podmiotu przetwarzającego wynikającym z art. 32 ust. 1 lit. d RODO (…)”. Z kolei w wyroku z 6 czerwca 2023 r., sygn. akt II SA/Wa 1939/22, Wojewódzki Sąd Administracyjny w Warszawie wskazał, że „(…) powinność regularnego testowania środków technicznych i organizacyjnych, zabezpieczenia przetwarzania danych osobowych, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w rozumieniu art. 32 ust. 1 zd. wstępne RODO, wynika wprost z brzmienia lit. d wskazanego art. 32 ust. 1, zaś powinność dokumentowania czynności w danym zakresie statuuje zasada rozliczalności (art. 5 ust. 2 RODO)”. Podobnie wypowiedział się Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 21 czerwca 2023 r., sygn. akt II SA/Wa 150/23. Na powyższe zwraca również uwagę Wojewódzki Sad Administracyjny w W. w wyroku z 27 lutego 2024 r., sygn. akt II SA/Wa 1404/23, wskazując, że „(…) wdrożenie (…) środków technicznych i organizacyjnych nie jest działaniem jednorazowym, ale powinno przybrać postać procesu, w ramach którego administrator [i podmiot przetwarzający] dokonuje przeglądu i w razie potrzeby uaktualnia przyjęte wcześniej zabezpieczenia” oraz „(…) wdrażanie zabezpieczeń ma stanowić ciągły proces, a nie jednorazowe działanie (…)”.

96.

W przedmiotowej sprawie Podmiot przetwarzający zadeklarował, że przeprowadzał działania w ramach regularnego testowania, mierzenia i oceniania skuteczności środków bezpieczeństwa przetwarzania danych osobowych. Jednakże działania te ograniczały się tylko do zweryfikowania środków technicznych. Mimo wezwania organu nadzorczego, Podmiot przetwarzający nie uwiarygodnił, że dokonywał regularnego testowania, mierzenia i oceniania skuteczności środków organizacyjnych mających na celu zapewnienia odpowiedniego poziomu bezpieczeństwa w procesie przetwarzania danych osobowych. Z jego wyjaśnień wynika między innymi, że nie zweryfikował, czy komputery przenośne, które wykorzystywano w procesie przetwarzania danych osobowych, rzeczywiście znajdowały się pod nadzorem uprawnionego użytkownika. W omawianym przypadku przeprowadzenia takiej weryfikacji było szczególnie istotne, bowiem w analizie ryzyka Podmiot przetwarzający uwzględnił, że komputery powinny być nadzorowane przez upoważnione osoby i przechowywane w zamkniętych pomieszczeniach. Co więcej, w polityce bezpieczeństwa Podmiotu przetwarzającego wskazano, że „(…) (…) (…) (…) (…)”. Skoro Podmiot przetwarzający zarówno w analizie ryzyka, jak i w polityce bezpieczeństwa, zdefiniował środki organizacyjne mające na celu ograniczenia ryzyka naruszenia ochrony danych osobowych (w tym zakaz wynoszenia sprzętu komputerowego poza obszar przetwarzania bez jego wiedzy i zgody oraz zakaz pozostawiania urządzeń bez nadzoru oraz bez odpowiedniego zabezpieczenia), to powinien regularnie testować, mierzyć i oceniać ich skuteczność. Tego jednak nie uczynił. Dokonywanie regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania należy do obowiązków Podmiotu przetwarzającego wynikających z art. 32 ust. 1 lit. d) rozporządzenia 2016/679, z którego to obowiązku nie wywiązał się on w sposób właściwy.

97.

W przedmiotowym zakresie wyjaśnienia złożył także Administrator. Oświadczył on, że nie dokonywał regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych, zapewniających bezpieczeństwo przetwarzania danych osobowych dla omawianego procesu.

98.

Bez względu na rzetelność działań podjętych przez Podmiot przetwarzający w omawianym zakresie, Administrator nie został zwolniony z obowiązku samodzielnego przeprowadzenia regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych. Administrator powinien co najmniej sprawdzić, czy działania Podmiotu przetwarzającego w omawianym zakresie zostały prawidłowo przeprowadzone. Jak już wskazano Administrator - stosownie do art. 28 ust. 3 lit. h) rozporządzenia 2016/679 - powinien przeprowadzać audyty bądź inspekcje w Podmiocie przetwarzającym, czego w przedmiotowej sprawie Administrator nie uczynił.

99.

Z powyższego wynika zatem, że Administrator nie wykazał (wbrew obowiązkowi przewidzianemu w art. 5 ust. 2 rozporządzenia 2016/679) ani faktu, ani sposobu przeprowadzania w sposób regularny testów dotyczących weryfikacji zabezpieczeń systemów informatycznych służących do przetwarzania danych osobowych. Dokonane ustalenia nie dają podstawy do stwierdzenia, że środki techniczne i organizacyjne stosowane przez Administratora w celu zapewnienia bezpieczeństwa danych osobowych były adekwatne do stanu wiedzy technicznej, kosztów wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania; środki te w ocenie Prezesa UODO nie były w odpowiedni sposób poddawane przeglądom i uaktualniane, co w konsekwencji nie zapewniało skutecznej realizacji zasad ochrony danych.

100.

W konsekwencji, Administrator i Podmiot przetwarzający nie wywiązali się z obowiązku, o którym mowa w art. 32 ust. 1 lit. d) rozporządzenia 2016/679, a przy tym Administrator naruszył również zasadę poufności (art. 5 ust. 1 lit. f) rozporządzenia 2016/679) oraz zasadę rozliczalności (art. 5 ust. 2 rozporządzenia 2016/679).

101.

Dodać należy, że organ nadzorczy nie kwestionuje samych przeglądów technicznych. Problem dotyczy tego, że przeglądy obejmowały głównie zabezpieczenia techniczne, natomiast nie wykazano testowania skuteczności środków organizacyjnych, takich jak nadzór nad urządzeniami przenośnymi, zasady wynoszenia sprzętu poza obszar przetwarzania czy zakaz pozostawiania urządzeń bez nadzoru.

V. Podsumowanie stwierdzonych naruszeń przepisów rozporządzenia 2016/679.

102.

W przedmiotowej sprawie nie ma podstaw do stwierdzenia, że stosowane przez Administratora oraz Podmiot przetwarzający środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa danych osobowych były adekwatne do stanu wiedzy technicznej, kosztów wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania, co w konsekwencji nie zapewniało skutecznej realizacji zasad ochrony danych.

103.

Administrator nie przeprowadził analizy ryzyka dla omawianego procesu, natomiast ogólnikowa analiza ryzyka przeprowadzona przez Podmiot przetwarzający nie przewidywała odpowiednich środków bezpieczeństwa związanych z przetwarzaniem danych osobowych poza siedzibą organizacji, w tym tych określonych w art. 32 ust. 1 lit. a) rozporządzenia 2016/679. Powyższe oznacza, że Administrator naruszył art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, co skutkuje także naruszeniem przez Administratora zasady poufności (art. 5 ust. 1 lit. f) rozporządzenia 2016/679) oraz zasady rozliczalności (art. 5 ust. 2 rozporządzenia 2016/679).

104.

Administrator oraz Podmiot przetwarzający nie dokonywali regularnego testowania, mierzenia i oceniania skuteczności środków bezpieczeństwa przetwarzania danych osobowych. Oznacza, że to Administrator i Podmiot przetwarzający naruszyli art. 32 ust. 1 lit. d) rozporządzenia 2016/679, a przy tym Administrator naruszył również zasadę poufności (art. 5 ust. 1 lit. f) rozporządzenia 2016/679) oraz zasadę rozliczalności (art. 5 ust. 2 rozporządzenia 2016/679).

105.

Podmiot przetwarzający nie zrealizował rzetelnie swoich obowiązków wynikających z zawartej umowy powierzenia przetwarzania danych osobowych. Tym samym naruszył art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679.

106.

Natomiast Administrator nie weryfikował adekwatności środków technicznych i organizacyjnych wdrożonych przez Podmiot przetwarzający, które miały zapewnić bezpieczeństwo w procesie przetwarzania danych osobowych, co oznacza, że Administratora naruszył art. 28 ust. 1 rozporządzenia 2016/679.

107.

Obowiązki w zakresie wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z rozporządzeniem 2016/679 oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak aby spełniać wymogi rozporządzenia 2016/679, zostały nałożone na Administratora (i tylko na Administratora) przepisami art. 24 ust. 1 i art. 25 ust. 1 rozporządzenia 2016/679. Wobec braku zastosowania przez Administratora adekwatnych środków bezpieczeństwa, o czym wyżej mowa, uznać należy, że Administrator naruszył także i te przepisy rozporządzenia 2016/679. Konsekwencją zaś ich naruszenia jest konieczność stwierdzenia, że naruszona została również przez Administratora zasada poufności wyrażona w art. 5 ust. 1 lit. f) rozporządzenia 2016/679, a w konsekwencji również zasada rozliczalności, o której mowa w art. 5 ust. 2 rozporządzenia 2016/679.

108.

Prawidłowe i skuteczne zabezpieczenie danych osobowych zostało w rozporządzeniu 2016/679 podniesione do rangi ogólnej zasady, co świadczy o tym, że kwestia zapewnienia poufności danych powinna być traktowana w sposób szczególny i priorytetowy przez Administratora. Tymczasem, jak już wykazano w uzasadnieniu niniejszej decyzji, Administrator i Podmiot przetwarzający nie wdrożyli odpowiednich środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych osobowych.

109.

Z przedłożonych przez Administratora i Podmiot przetwarzający wyjaśnień wynika, że wdrożenie odpowiednich procedur i rozwiązań nastąpiło dopiero po wystąpieniu przedmiotowego naruszenia ochrony danych osobowych (por. pkt VI uzasadnienia faktycznego). Fakt wprowadzenia zmian w obszarze zabezpieczeń komputerów przenośnych wykorzystywanych do przetwarzania danych osobowych nie zmienia negatywnej oceny tego aspektu procesu przetwarzania danych osobowych realizowanego przez Podmiot przetwarzający w imieniu Administratora, a stanowi jedynie przesłankę za odstąpieniem od nakazania ww. podmiotom dokonania zmian w tym obszarze celem dostosowania operacji przetwarzania danych do wymogów rozporządzenia 2016/679.

110.

Organ nadzorczy podkreśla, że samo formalne ustanowienie polityk, procedur, haseł dostępowych oraz okresowych przeglądów technicznych nie przesądza jeszcze o adekwatności środków bezpieczeństwa w rozumieniu art. 32 rozporządzenia 2016/679. Adekwatność ta wymaga oceny, czy przyjęte środki odpowiadały konkretnemu ryzyku związanemu z danym sposobem przetwarzania, w tym w niniejszej sprawie z wykorzystywaniem komputerów przenośnych oraz możliwością utraty kontroli nad takim urządzeniem. W sprawie nie chodzi zatem o przyjęcie, że sam fakt kradzieży laptopa dowodzi naruszenia rozporządzenia 2016/679, lecz o to, że zgromadzony materiał dowodowy wykazał brak środków odpowiadających temu ryzyku, w szczególności brak szyfrowania dysków komputerów przenośnych oraz brak skutecznej weryfikacji przestrzegania środków organizacyjnych dotyczących wynoszenia i nadzorowania sprzętu.

VI. Administracyjne kary pieniężne.

111.

Postępowanie administracyjne prowadzone przez Prezesa UODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej w celu zastosowania uprawnień naprawczych określonych w art. 58 ust. 2 rozporządzenia 2016/679.

112.

Mając na uwadze powyższe, jak również stwierdzone w niniejszym postępowaniu naruszenia przepisów o ochronie danych osobowych, Prezes UODO - korzystając z uprawnienia określonego w art. 58 ust. 2 lit. i) rozporządzenia 2016/679, zgodnie z którym każdemu organowi nadzorczemu przysługuje uprawnienie do zastosowania, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)-h) oraz lit. j) tego rozporządzenia, administracyjnej kary pieniężnej na mocy art. 83 - stwierdził, że w rozpatrywanej sprawie zmaterializowały się przesłanki uzasadniające nałożenie tak na Administratora, jak i na Podmiot przetwarzający, administracyjnej kary pieniężnej.

113.

Stosownie do art. 83 ust. 4 lit. a) rozporządzenia 2016/679, naruszenia przepisów dotyczących obowiązków administratora i podmiotu przetwarzającego, o których mowa w art. 8, 11, 25 - 39 oraz 42 i 43 podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

114.

Z kolei zgodnie z art. 83 ust. 5 lit. a) rozporządzenia 2016/679, naruszenia przepisów dotyczących podstawowych zasad przetwarzania, w tym warunków zgody, o których to zasadach i warunkach mowa w art. 5, 6, 7 oraz 9, podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

115.

Art. 102 ust. 1 pkt 1 u.o.d.o. stanowi natomiast, że Prezes UODO może nałożyć, w drodze decyzji, administracyjne kary pieniężne w wysokości do 100 000 złotych, na jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1-12 i 14 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2025 r. poz. 1483). Limit ten niewątpliwie znajdzie zastosowanie w niniejszej sprawie zarówno do Starosty, jako organu władzy publicznej (a konkretnie organu administracji rządowej), jak i do R. (…) jako samorządowej jednostki budżetowej. Administracyjne kary pieniężne, o których mowa w ust. 1 i 2, Prezes Urzędu nakłada na podstawie i na warunkach określonych w art. 83 rozporządzenia 2016/679 (art. 102 ust. 3 u.o.d.o.).

116.

Jednocześnie należy wskazać, że zgodnie z art. 83 ust. 1 rozporządzenia 2016/679 każdy organ nadzorczy zapewnia, by stosowane na mocy tego artykułu za naruszenia rozporządzenia administracyjne kary pieniężne, o których mowa w ust. 4, 5 i 6, były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.

117.

Zgodnie natomiast z art. 83 ust. 2 rozporządzenia 2016/679, administracyjne kary pieniężne nakłada się, zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)-h) oraz j). Decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na:

a)

charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody;

b)

umyślny lub nieumyślny charakter naruszenia;

c)

działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;

d)

stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32;

e)

wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego;

f)

stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków;

g)

kategorie danych osobowych, których dotyczyło naruszenie;

h)

sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie;

i)

jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków;

j)

stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42; oraz

k)

wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

VII. Zachowania podlegające administracyjnym karom pieniężnym i zastosowanie art. 83 ust. 3 rozporządzenia 2016/679.

118.

Stosownie do brzmienia art. 83 ust. 3 rozporządzenia 2016/679, jeżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów niniejszego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie.

119.

Wobec stwierdzenia, że zarówno Administrator, jak i Podmiot przetwarzający dopuścili się w analizowanym stanie faktycznym naruszeń wielu przepisów rozporządzenia 2016/679 (tj. w przypadku Administratora - art. 24 ust. 1, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2, co skutkowało również naruszeniem art. 5 ust. 1 lit. f) i art. 5 ust. 2 rozporządzenia 2016/679, zaś w przypadku Podmiotu przetwarzającego - art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679), Prezes UODO zobowiązany był uwzględnić przytoczoną w poprzedzającym akapicie regulację celem rozważenia, czy okoliczności niniejszej sprawy determinują skorzystanie przez organ nadzorczy wyłącznie z jednego, czy też z kilku środków naprawczych przewidzianych w art. 58 ust. 2 rozporządzenia 2016/679 - a precyzyjniej, czy organ powinien nałożyć na Administratora i Podmiot przetwarzający wyłącznie po jednej administracyjnej karze pieniężnej, stanowiącej odpowiedź na wszystkie popełnione przez te podmioty naruszenia, czy też odrębne i samoistne kary dla każdego z tych naruszeń rozpatrywanych osobno. W tym celu Prezes UODO skorzystał z metodyki obliczania administracyjnych kar pieniężnych przyjętej w Wytycznych 04/2022^[5], zgodnie z którą pierwszym krokiem do dalszych obliczeń jest „ocena zastosowania art. 83 ust. 3 [rozporządzenia 2016/679]” (zob. pkt 17 Wytycznych 04/2022). W myśl Wytycznych 04/2022, Prezes UODO podjął więc próbę udzielenia odpowiedzi na następujące pytania (zob. pkt 24 Wytycznych 04/2022):

a)

czy okoliczności wskazują na jedno zachowanie, czy też na wiele zachowań podlegających karze,

b)

w przypadku jednego zachowania, czy zachowanie to stanowi jedno naruszenie czy większą liczbę naruszeń,

c)

w przypadku jednego zachowania, które stanowi wiele naruszeń, czy przypisanie jednego naruszenia wyklucza przypisanie innego naruszenia, czy też należy je przypisać równolegle.

120.

Wykładnia pojęcia „jednego zachowania” została przedstawiona, w nawiązaniu do art. 83 ust. 3 rozporządzenia 2016/679, w którym mowa jest o „tych samych lub powiązanych operacjach przetwarzania”, w Wytycznych 04/2022. Jak wskazano w punkcie 28 Wytycznych 04/2022, „[t]ermin «powiązane» odnosi się do zasady, zgodnie z którą jedno zachowanie może składać się z kilku części, które są realizowane na skutek jednego aktu woli i są kontekstowo (w szczególności jeśli chodzi o tożsamość osoby, której dane dotyczą, cel i charakter przetwarzania), przestrzennie i czasowo tak blisko powiązane, że z obiektywnego punktu widzenia można uznać je za jedno spójne zachowanie”.

121.

Wskazany w art. 83 ust. 3 rozporządzenia 2016/679 termin „operacje przetwarzania” został wyjaśniony w art. 4 pkt 2 rozporządzenia, w którym „przetwarzanie” zdefiniowano jako „operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie”. Wobec powyższego operację przetwarzania stanowić będzie każde działanie, któremu poddawane są dane aż do momentu ich usunięcia, utraty lub zniszczenia.

VII a. Zastosowanie art. 83 ust. 3 rozporządzenia 2016/679 do naruszeń przypisanych Administratorowi.

122.

Odnosząc przedstawioną w punkcie 117 uzasadnienia niniejszej decyzji wykładnię pojęcia „jednego zachowania” do naruszeń rozporządzenia 2016/679 przypisanych Administratorowi, Prezes UODO uznał, że stwierdzone zaniechania Starosty stanowią „jedno spójne zachowanie” w rozumieniu przedstawionym przez EROD w Wytycznych 04/2022. Uzasadniając takie stanowisko należy zauważyć, że co prawda nie sposób przyjąć, iż omawiane naruszenia przepisów rozporządzenia 2016/679 są skutkiem jednego aktu woli Administratora (Starosta podjął bowiem odrębną decyzję dotyczącą braku weryfikacji Podmiotu przetwarzającego pod kątem gwarancji bezpieczeństwa przetwarzania powierzanych danych oraz decyzję o nieprzeprowadzeniu analizy ryzyka, mającej na celu wdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania, a także decyzję o zaniechaniu regularnego testowania, mierzenia i oceniania skuteczności stosowanych rozwiązań), jednak wszystkie podjęte przez Administratora decyzje, będące źródłem przypisanych mu naruszeń, są ze sobą tak ściśle kontekstowo powiązane, że z obiektywnego punktu widzenia można je uznać za jedno zachowanie. Uzasadnionym jest zatem wniosek, iż wskazane powyżej odrębne decyzje (akty woli) Administratora stanowią kolejne etapy procesu decyzyjnego, który w założeniu miał prowadzić do konkretnego celu - zapewnienia bezpieczeństwa przetwarzania danych osobowych powierzonych Podmiotowi przetwarzającemu.

123.

Powyższe stanowisko o jedności zachowania Administratora, prowadzącego do materializacji przypisanych mu naruszeń art. 24 ust. 1, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2, a w konsekwencji także art. 5 ust. 1 lit. f) i art. 5 ust. 2 rozporządzenia 2016/679, potwierdza fakt, że do naruszeń tych doszło w ramach powiązanych operacji przetwarzania. Świadczy o tym tożsamość zarówno celu, zakresu, jak i charakteru przetwarzania. Wszystkie aspekty stwierdzonych w niniejszej sprawie naruszeń (brak weryfikacji Podmiotu przetwarzającego, nieprzeprowadzenie analizy ryzyka uwzględniającej możliwość utraty poufności danych osobowych znajdujących się na komputerze przenośnym w związku z ich przetwarzaniem poza siedzibą organizacji Podmiotu przetwarzającego, co skutkowało niewdrożeniem adekwatnych środków technicznych i organizacyjnych, a także brak regularnego testowania, mierzenia i oceniania skuteczności zastosowanych środków bezpieczeństwa) są bowiem rozpatrywane w odniesieniu do procesu przetwarzania danych osobowych w imieniu Administratora przez Podmiot przetwarzający w celu przeprowadzenia postępowania scaleniowego, zgodnie z zawartą umową powierzenia przetwarzania danych osobowych z 21 stycznia 2022 r. Stwierdzone w przedmiotowej sprawie naruszenia przepisów rozporządzenia 2016/679 odnoszą się również do tego samego zakresu danych, tj. danych osobowych właścicieli lub władających gruntami (…) niezbędnych do przeprowadzenia postępowania scaleniowego.

124.

Organ nadzorczy wziął również pod uwagę fakt, że stwierdzone naruszenia przepisów rozporządzenia 2016/679 mają bezpośredni związek z konkretnym sposobem przetwarzania danych (będącym jednym z czynników składających się na charakter przetwarzania), tj. z przetwarzaniem danych osobowych na komputerach przenośnych poza siedzibą organizacji Podmiotu przetwarzającego. Podjęcie przez Administratora decyzji o dokonaniu weryfikacji Podmiotu przetwarzającego pod kątem gwarancji bezpieczeństwa przetwarzania danych oraz o przeprowadzeniu analizy ryzyka uwzględniającej zagrożenia związane z niewłaściwą realizacją umowy powierzenia przetwarzania danych (np. z wykorzystywaniem przenośnych komputerów służbowych przez pracowników Podmiotu przetwarzającego poza jego siedzibą w sposób niezgodny z zasadami przyjętymi przez ten podmiot), pozwoliłoby na przyjęcie stosownych środków technicznych i organizacyjnych, a następnie monitorowanie ich skuteczności i tym samym ewentualne uniknięcie incydentów takich jak ten inicjujący niniejsze postępowanie lub chociażby znaczne zminimalizowanie wiążącego się z nimi ryzyka.

125.

W ocenie organu nadzorczego tożsame jest również źródło wszystkich przypisanych Administratorowi naruszeń - ich przyczyną było bowiem zaniechanie realnej kontroli nad Podmiotem przetwarzającym. Powodem braku podjęcia działań zmierzających do weryfikacji Podmiotu przetwarzającego, a także niewdrożenia odpowiednich środków technicznych i organizacyjnych oraz zaniechania regularnego testowania ich skuteczności było przekonanie Administratora co do tego, że R. (…) „jako jednostka wysoko wyspecjalizowana i powołana do tego typu zadań, posiada wszelkie niezbędne procedury zapewniające ochronę danych osobowych”, a także fakt zawarcia z umowy powierzenia przetwarzania danych osobowych, w której Podmiot przetwarzający „wyraźnie i w sposób jednoznaczny gwarantował przestrzeganie zasad przetwarzania danych osobowych” (zob. pkt 17 uzasadnienia niniejszej decyzji). Przyjęcie zatem z góry założenia o wdrożeniu przez Podmiot przetwarzający środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych osobowych, pociągnęło za sobą podjęcie decyzji o braku weryfikacji tego podmiotu, nieprzeprowadzeniu analizy ryzyka, mającej na celu wdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania, a także o zaniechaniu regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych. Istnienie błędnego przekonania po stronie Administratora było zatem wspólnym motywem podjęcia przez niego wszystkich decyzji prowadzących do przypisanych mu naruszeń.

126.

Mając na uwadze przedstawioną powyżej argumentację należy przyjąć, że do naruszenia przez Administratora przepisów art. 24 ust. 1, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2, a w konsekwencji także art. 5 ust. 1 lit. f) oraz art. 5 ust. 2 rozporządzenia 2016/679 doprowadziło „jedno spójne zachowanie” w rozumieniu przedstawionym przez EROD w Wytycznych 04/2022. Jednoczesnego podkreślenia wymaga, że żadne z tych naruszeń nie wyklucza możliwości przypisania Staroście innego z nich. W szczególności stwierdzenie naruszenia przepisów określających podstawowe, ogólne zasady przetwarzania, o których mowa w art. 5 rozporządzenia 2016/679, nie wyklucza możliwości przypisania Administratorowi (i nałożenia za to sankcji finansowej) naruszenia przepisów szczegółowych stanowiących konkretyzację tych zasad, tj. art. 24 ust. 1, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679. Administracyjna kara pieniężna nie jest przy tym nakładana za naruszenie obowiązku określonego w art. 24 ust. 1, w związku z tym, że nie jest on wymieniony w art. 83 ust. 4 - 6 rozporządzenia 2016/679. Prezes UODO ustalił zatem, że odpowiedzialność Starosty w niniejszym postępowaniu powinna kształtować się „równolegle” w stosunku do wszystkich popełnionych naruszeń, tj. z zastosowaniem przepisu art. 83 ust. 3 rozporządzenia 2016/679.

127.

Konsekwencją powyższego jest konieczność rozstrzygnięcia które z naruszeń jest „najpoważniejszym” w myśl art. 83 ust. 3 rozporządzenia 2016/679. Wskazówki dotyczące identyfikacji „najpoważniejszego naruszenia” zostały zawarte w Wytycznych 04/2022. Zgodnie ze stanowiskiem tam wyrażonym, „sformułowanie «wysokość kary za najpoważniejsze naruszenie» odnosi się do ustawowych maksymalnych kwot kar pieniężnych” określonych w art. 83 ust. 4 - 6 rozporządzenia 2016/679 (zob. pkt 43 Wytycznych 04/2022). Tym samym najpoważniejszym naruszeniem w indywidualnej sprawie będzie to, dla którego prawodawca unijny przewidział wyższy próg maksymalnego zagrożenia administracyjną karą pieniężną.

128.

Zarzucane Administratorowi naruszenia art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679 stypizowane zostały w art. 83 ust. 4 lit. a) rozporządzenia 2016/679, zaś naruszenia art. 5 ust. 1 lit. f) i art. 5 ust. 2 rozporządzenia 2016/679 stypizowane są w art. 83 ust. 5 lit a). Administracyjna kara pieniężna wymierzona łącznie za naruszenie wszystkich powyższych przepisów - stosownie do brzmienia art. 83 ust. 3 rozporządzenia 2016/679 - nie może przekraczać wysokości kary za najpoważniejsze z nich. Mając jednak na uwadze limit kar określony w art. 102 ust. 1 pkt 1 u.o.d.o., wskazać należy, że nałożona na Starostę administracyjna kara pieniężna nie może wykroczyć poza kwotę 100 000 zł.

VII b. Zastosowanie art. 83 ust. 3 rozporządzenia 2016/679 do naruszeń przypisanych Podmiotowi przetwarzającemu.

129.

Rozpatrując naruszenia przepisów rozporządzenia 2016/679 przypisane Podmiotowi przetwarzającemu pod kątem wykładni pojęcia „jednego zachowania”, przedstawionej w punkcie 117 uzasadnienia niniejszej decyzji, wskazać należy, że zaniechania R. (…) również stanowią „jedno spójne zachowanie” w rozumieniu przedstawionym przez EROD w Wytycznych 04/2022. Za taką interpretacją przemawia fakt, że naruszenia - polegające z jednej strony na braku zastosowania odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych przetwarzanych z wykorzystaniem komputerów przenośnych oraz ochronę praw osób, których dane dotyczą, z drugiej zaś na braku wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności ww. środków mających zapewnić bezpieczeństwo przetwarzania - choć nie są w ocenie organu nadzorczego efektem jednego aktu woli Podmiotu przetwarzającego, stanowią wypadkową długotrwałych zaniedbań w sferze nie tylko wdrażania, ale i egzekwowania stosowania środków ochrony danych osobowych przetwarzanych przez pracowników z wykorzystaniem komputerów przenośnych, które byłyby adekwatne do zidentyfikowanych zagrożeń. Zaniedbań tych R. (…) dopuścił się już na etapie określania sposobów przetwarzania, czego wyrazem był wadliwy sposób przeprowadzenia analizy ryzyka związanego ze stosowanymi procesami przetwarzania w obszarze wykorzystania komputerów przenośnych poza siedzibą organizacji Podmiotu przetwarzającego. Zaniedbania te były następnie kontynuowane w czasie samego procesu przetwarzania.

130.

O tożsamości zachowania prowadzącego do stwierdzonych naruszeń przepisów rozporządzenia 2016/679 świadczy również fakt, że naruszenia zmaterializowały się w ramach tych samych operacji przetwarzania. W przedmiotowej sprawie wspólny jest przede wszystkim sposób przetwarzania - naruszenia dotyczą przetwarzania danych osobowych przy pomocy komputerów przenośnych poza siedzibą organizacji Podmiotu przetwarzającego.

131.

W ocenie organu nadzorczego wspólna jest również przyczyna przypisanych Podmiotowi przetwarzającemu naruszeń przepisów rozporządzenia 2016/679. Ich źródłem była bowiem błędnie przeprowadzona analiza ryzyka, w której przyjęto, że dla zagrożenia w postaci kradzieży lub zagubienia nośników danych (w tym komputerów przenośnych) odpowiednim zabezpieczeniem będzie (…). Przekonanie, że taki sposób zabezpieczenia będzie wystarczający dla zapewnienia bezpieczeństwa przetwarzanych danych, skutkowało brakiem wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania z użyciem komputerów przenośnych poza siedzibą organizacji podmiotu, a także niewdrożeniem odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania skuteczności stosowanych rozwiązań.

132.

Podsumowując, stwierdzić należy, że niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania oraz brak środków zapewniających regularne testowanie, mierzenie i ocenianie stosowanych rozwiązań technicznych i organizacyjnych jest jednym zachowaniem R. (…) (dotyczącym tych samych - w rozumieniu art. 83 ust. 3 rozporządzenia 2016/679 - operacji przetwarzania) naruszającym przepisy art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) rozporządzenia 2016/679.

133.

Zarzucane Podmiotowi przetwarzającemu naruszenia art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679 stypizowane zostały w art. 83 ust. 4 lit. a) rozporządzenia 2016/679. Mając jednak na uwadze limit kar określony w art. 102 ust. 1 pkt 1 u.o.d.o., wskazać należy, że nałożona na R. (…) administracyjna kara pieniężna nie może wykroczyć poza kwotę 100 000 zł.

VIII. Uzasadnienie nałożenia i ustalenie wysokości administracyjnej kary pieniężnej nałożonej na Administratora.

VIII a. Przesłanki wymiaru administracyjnej kary pieniężnej nałożonej na Administratora.

134.

Decydując o nałożeniu na Starostę administracyjnej kary pieniężnej Prezes UODO - stosownie do treści art. 83 ust. 2 lit. a) - k) rozporządzenia 2016/679 - wziął pod uwagę następujące okoliczności stanowiące o konieczności zastosowania w niniejszej sprawie tego rodzaju sankcji oraz wpływające obciążająco na wymiar nałożonej administracyjnej kary pieniężnej.

135.

Charakter, waga i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody (art. 83 ust. 2 lit. a) rozporządzenia 2016/679).

Administracyjna kara pieniężna jest nakładana na Administratora za naruszenie art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679. Stwierdzone naruszenia mają w ocenie Prezesa UODO znaczną wagę i poważny charakter. Dokonując analizy przesłanki z art. 83 ust. 2 lit. a) rozporządzenia 2016/679, na wstępie przypomnieć należy, że nawet w sytuacji powierzenia przetwarzania danych osobowych, Administrator w dalszym ciągu pozostaje odpowiedzialny za wdrożenie odpowiednich środków technicznych i organizacyjnych, tak aby przetwarzanie odbywało się zgodnie z przepisami rozporządzenia 2016/679. W niniejszej sprawie Administrator zaniechał realnego nadzoru nad Podmiotem przetwarzającym, co miało miejsce nie tylko na etapie poprzedzającym powierzenie przetwarzania danych (w odniesieniu do zaniechania weryfikacji Podmiotu przetwarzającego pod kątem gwarancji bezpieczeństwa przetwarzania), ale utrzymywało się w całym okresie przetwarzania danych przez R. (…) (w odniesieniu do niewdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych, a także do braku weryfikacji skuteczności stosowanych środków).

Oceniając charakter oraz wagę naruszenia ww. przepisów rozporządzenia 2016/679 konieczne jest uwzględnienie, że zaniechania Starosty doprowadziły do pogwałcenia podstawowych zasad przetwarzania danych osobowych, które w ramach całego systemu ochrony danych mają charakter fundamentalny, wyznaczający jego ramy. W doktrynie wskazuje się, iż „[z]asady ogólne przetwarzania danych odgrywają szczególną rolę wśród norm prawnych dotyczących ochrony danych. Zasady te nie są jedynie ideami, wartościami czy postulatami odczytywanymi z całokształtu przepisów o ochronie danych osobowych, a mają charakter normatywny - są wiążącymi normami prawa, wyznaczającymi określony sposób postępowania. (…) Mają one szczególne znaczenie dla stosowania i interpretacji przepisów o ochronie danych osobowych. Z faktu uznania w akcie normatywnym określonych norm prawnych za zasady wywieść można wniosek, że prawodawca pragnął w ten sposób podkreślić ich znaczenie i uczynić z nich swoiste normy nadrzędne nad pozostałymi normami określonymi w tych przepisach”^[6]. Doniosłość zasad dotyczących przetwarzania danych osobowych, w tym zasady poufności oraz zasady rozliczalności, którym sprzeniewierzył się Administrator, potwierdza fakt przewidzenia przez prawodawcę za ich naruszenie wyższego maksymalnego progu administracyjnej kary pieniężnej, tj. kary w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.

Okolicznością obciążającą w niniejszej sprawie jest również charakter przetwarzania realizowanego przez organ publiczny, które odbywało się w ramach zadań z zakresu administracji publicznej. Administrator jako organ administracji publicznej powinien odznaczać się znajomością prawa oraz dawać gwarancję poszanowania praw i wolności obywateli. Mimo ciążącego na Staroście obowiązku proaktywnego podejścia do kwestii bezpieczeństwa przetwarzania danych osobowych, Administrator, powierzając przetwarzanie danych Podmiotowi przetwarzającemu, zaniechał jakichkolwiek działań, które miałyby na celu zapewnienie zgodności przetwarzania z rozporządzeniem 2016/679.

Za okoliczność obciążającą należy również uznać liczbę poszkodowanych osób, których dane dotyczą. Jak wskazano powyżej, wszystkie stwierdzone w niniejszej sprawie naruszenia przepisów rozporządzenia 2016/679 dotyczą powierzonego Podmiotowi przetwarzającemu procesu przetwarzania danych osobowych w celu przeprowadzenia postępowania scaleniowego, zgodnie z zawartą umową powierzenia przetwarzania danych osobowych z 21 stycznia 2022 r. W świetle zgromadzonego materiału dowodowego należy uznać, że Administrator powierzył Podmiotowi przetwarzającemu dane osobowe co najmniej (…) osób. Takiej bowiem liczby osób dotyczył incydent z 22 stycznia 2023 r. (dowód - pismo Administratora z 9 lutego 2023 r.). Incydent z 22 stycznia 2023 r. (do którego wystąpienia mogły się potencjalnie przyczynić rozpatrywane w przedmiotowej sprawie zaniechania po stronie Administratora) pociągał za sobą wysokie ryzyko negatywnych skutków dla osób, których dane dotyczą. Starosta w toku postępowania nie przedstawił dowodów zezwalających na przyjęcie, iż żaden nieuprawniony podmiot nie zapoznał się z danymi przetwarzanymi na skradzionym komputerze przenośnym, co potencjalnie skutkować może w przyszłości ich bezprawnym wykorzystaniem. Jednocześnie w toku postępowania nie ujawniły się co prawda żadne dowody wskazujące na to, że podmioty, do których danych dostęp mogły uzyskać osoby trzecie, doznały szkody majątkowej, jednak uznać należy, że sama już potencjalna możliwość naruszenia poufności ich danych osobowych stanowi dla nich szkodę niemajątkową (krzywdę), np. poprzez naruszenie ich dóbr osobistych, takich jak dobrostan psychiczny czy prawo do prywatności. Osoby fizyczne, których dane potencjalnie pozyskano w sposób nieuprawniony w wyniku naruszenia ochrony danych osobowych, mogą bowiem odczuwać obawę przed utratą kontroli nad swoimi danymi osobowymi czy kradzieżą tożsamości i związanymi z tym oszustwami na ich szkodę. Tymczasem jak wskazał Trybunał Sprawiedliwości Unii Europejskiej, „obawa przed ewentualnym wykorzystaniem przez osoby trzecie w sposób stanowiący nadużycie danych osobowych, jaką żywi osoba, której dane dotyczą, w następstwie naruszenia tego rozporządzenia może sama w sobie stanowić «szkodę niemajątkową»”^[7] w rozumieniu art. 82 ust. 1 rozporządzenia 2016/679.

Na niekorzyść Starosty należy również zaliczyć długi czas trwania naruszeń przepisów rozporządzenia 2016/679 stwierdzonych w niniejszym postępowaniu. Materiał dowody zgromadzony w sprawie pozwala na przyjęcie, że stan niezgodności przetwarzania z przepisami rozporządzenia 2016/679 trwał od 21 stycznia 2022 r. (tj. od dnia zawarcia umowy powierzenia przetwarzania danych osobowych - zob. pkt 14 uzasadnienia niniejszej decyzji) aż do grudnia 2023 r. Administrator przedstawił co prawda informacje i dowody pozwalające na ustalenie, że 24 marca 2023 r. zobowiązał R. (…) do uzupełnienia listy kontrolnej dla organizacji będącej podmiotem przetwarzającym w celu przeprowadzenia audytu zgodnie z art. 28 ust. 3 lit. h) rozporządzenia 2016/679 w odniesieniu do art. 32 rozporządzenia 2016/679 (zob. pkt 19 uzasadnienia niniejszej decyzji), jednak w ocenie organu nadzorczego czas zakończenia naruszeń przepisów rozporządzenia 2016/679 przypisanych Administratorowi, należy wiązać z momentem wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych powierzonych na podstawie umowy z 21 stycznia 2022 r. Działania takie, polegające m.in. na (…), zostały zakończone w grudniu 2023 r. (zob. pkt 32 uzasadnienia niniejszej decyzji). Naruszenie utrzymywało się zatem przez niemal 2 lata, co należy poczytywać jako kryterium obciążające, wpływające w znacznym stopniu zarówno na decyzję organu o nałożeniu administracyjnej kary pieniężnej w niniejszej sprawie, jak i jej wysokość.

Mając na względzie wyżej wskazane okoliczności, przesłankę określoną w art. 83 ust. 2 lit. a) rozporządzenia 2016/679, rozpatrywaną w sposób całościowy, organ ocenił jako w znacznym stopniu obciążającą.

136.

Nieumyślny charakter naruszenia (art 83 ust. 2 lit. b) rozporządzenia 2016/679).

Analizując przesłankę z art 83 ust. 2 lit. b) rozporządzenia 2016/679 Prezes UODO uwzględnił stanowisko wyrażone przez EROD, zgodnie z którym umyślność „obejmuje zarówno wiedzę, jak i celowe działanie, w związku z cechami charakterystycznymi czynu zabronionego” (zob. pkt 55 Wytycznych 04/2022).

Przenosząc powyższe na grunt niniejszej sprawy podkreślić należy, że swoje zaniechania w zakresie weryfikacji Podmiotu przetwarzającego Starosta tłumaczył przekonaniem co do tego, że R. (…) jako jednostka wysoko wyspecjalizowana posiada wszelkie niezbędne procedury zapewniające ochronę danych osobowych, a także faktem zawarcia umowy powierzenia przetwarzania danych osobowych, w której Podmiot przetwarzający gwarantował przestrzeganie zasad przetwarzania (zob. pkt 17 uzasadnienia niniejszej decyzji). Wyjaśniając okoliczność braku przeprowadzenia analizy ryzyka dla procesu przetwarzania danych powierzonych R. (…), Administrator oświadczył, iż dał wiarę oświadczeniom Podmiotu przetwarzającego, że ten taką analizę przeprowadził. Odstąpienie od przeprowadzenia analizy ryzyka Administrator uzasadniał również tym, że jego pracownicy nie wykonują pracy w systemie zdalnym, a komputery i laptopy służbowe nie opuszczają obszaru, w którym są przetwarzane dane osobowe, tj. siedziby jego organizacji. Administrator podał także, że przyczyną nieuwzględnienia zagrożenia w postaci kradzieży sprzętu komputerowego znajdującego się poza obszarem przetwarzania było to, że pracownicy Administratora, jak i pracownicy Podmiotu przetwarzającego, nie przetwarzali lub nie mieli zgody na przetwarzanie danych osobowych poza siedzibami organizacji (zob. pkt 55 uzasadnienia niniejszej decyzji). Wskazane powyżej okoliczności były również przyczyną niewdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych, a także braku wdrożenia środków technicznych i organizacyjnych mających na celu regularne testowanie, mierzenie i ocenianie skuteczności stosowanych rozwiązań.

Tym samym należy przyjąć, iż po stronie Administratora zmaterializował się element „wiedzy”, niezbędny do przypisania odpowiedzialności za popełnione naruszenia przepisów rozporządzenia 2016/679. Starosta nie negował swojej świadomości co do konieczności weryfikacji Podmiotu przetwarzającego pod kątem gwarancji bezpieczeństwa przetwarzanych danych. Administrator nie zaprzeczał również, że zdawał sobie sprawę z konieczności stosowania środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych oraz ich regularnego testowania. Jednocześnie jednak, biorąc pod uwagę ustalony stan faktyczny, w ocenie organu nadzorczego brak jest podstaw do przypisania Administratorowi woli (zamiaru) naruszenia przepisów rozporządzenia 2016/679. W ocenie Prezesa UODO Starosta nie działał umyślnie i nie miał na celu naruszenia rozporządzenia 2016/679, niemniej dopuścił się licznych zaniechań skutkujących znacznym zwiększeniem ryzyka dla bezpieczeństwa przetwarzania danych osobowych, co świadczy o rażącym niedbalstwie i stanowi istotną okoliczność wpływającą obciążająco na wysokość administracyjnej kary pieniężnej.

137.

Kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679).

Stwierdzone w przedmiotowej sprawie naruszenia przepisów rozporządzenia 2016/679 dotyczą wszystkich danych osobowych przekazanych przez Administratora Podmiotowi przetwarzającemu w celu przeprowadzenia postępowania scaleniowego. Były to zatem co najmniej dane, których poufność została potencjalnie naruszona na skutek incydentu z 22 stycznia 2023 r. Jak wynika ze zgłoszenia przekazanego przez Starostę Prezesowi UODO, naruszenie z 22 stycznia 2023 r. dotyczyło następujących danych osobowych: nazwiska i imiona, imiona rodziców, data urodzenia, adres zamieszkania lub pobytu, numer ewidencyjny PESEL, seria i numer dowodu osobistego, inne (numery ksiąg wieczystych) (zob. pkt 4 uzasadnienia niniejszej decyzji).

Jak wskazano już w punkcie 132 uzasadnienia niniejszej decyzji, w przedmiotowej sprawie nie ma dowodu, że doszło na naruszenia poufności danych, ale sam fakt naruszenia tak szerokiego zakresu danych osobowych przesądza o konieczności uznania tej przesłanki jako obciążającej. W tym kontekście szczególnie istotne jest, że naruszeniem objęty został m.in. numer ewidencyjny PESEL, czyli jedenastocyfrowy symbol numeryczny, jednoznacznie identyfikujący osobę fizyczną, zawierający m.in. datę urodzenia oraz oznaczenie płci, a więc ściśle powiązany ze sferą prywatną osoby fizycznej oraz podlegający również, jako krajowy numer identyfikacyjny, wyjątkowej ochronie na gruncie art. 87 rozporządzenia 2016/679.

W tym miejscu warto przywołać Wytyczne 04/2022, w których to wskazano: „[j]eśli chodzi o wymóg uwzględnienia kategorii danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) RODO), w RODO wyraźnie wskazano rodzaje danych, które podlegają szczególnej ochronie, a tym samym bardziej rygorystycznej reakcji przy nakładaniu kar pieniężnych. Dotyczy to co najmniej rodzajów danych objętych art. 9 i 10 RODO oraz danych nieobjętych zakresem tych artykułów, których rozpowszechnianie natychmiast powoduje szkody lub dyskomfort osoby, której dane dotyczą (np. danych dotyczących lokalizacji, danych dotyczących komunikacji prywatnej, krajowych numerów identyfikacyjnych lub danych finansowych, takich jak zestawienia transakcji lub numery kart kredytowych). Ogólnie rzecz biorąc, im większej liczby takich kategorii danych dotyczy naruszenie lub im bardziej wrażliwe są dane, tym większą wagę organ nadzorczy może przypisać temu czynnikowi. Znaczenie ma również ilość danych dotyczących każdej osoby, której dane dotyczą, ponieważ wraz z ilością danych dotyczących każdej osoby, której dane dotyczą, wzrasta skala naruszenia prawa do prywatności i ochrony danych osobowych” (zob. pkt 57 - 58 Wytycznych 04/2022).

Co przy tym istotne, nieuprawnione ujawnienie takiego rodzaju danych jak numer ewidencyjny PESEL, który wraz z imieniem i nazwiskiem jednoznacznie identyfikuje osobę fizyczną, może realnie i negatywnie wpływać na ochronę praw lub wolności tej osoby. Jak wskazał WSA w Warszawie w wyroku z 1 lipca 2022 r. o sygn. akt II SA/Wa 4143/21 (utrzymany w mocy wyrokiem NSA z 3 grudnia 2025 r. o sygn. akt III OSK 2416/22) „[w] przypadku naruszenia takich danych, jak imię, nazwisko oraz numer PESEL, możliwa jest bowiem kradzież lub sfałszowanie tożsamości skutkująca negatywnymi konsekwencjami dla osób, których dane dotyczą”.

138.

Ustalając wysokość administracyjnej kary pieniężnej, Prezes UODO uwzględnił na korzyść Administratora w ramach przesłanki „innych łagodzących czynników, mających zastosowanie do okoliczności sprawy” (art. 83 ust. 2 lit. k) rozporządzenia 216/679), fakt podjęcia działań ukierunkowanych na podniesienie poziomu bezpieczeństwa przetwarzania danych oraz okoliczność ustania stanu naruszenia przepisów rozporządzenia 2016/679 przed wydaniem niniejszej decyzji. Z wyjaśnień złożonych przez Starostę w toku postępowania wynika, że po wystąpieniu naruszenia ochrony danych, Administrator zobowiązał Podmiot przetwarzający do uzupełnienia listy kontrolnej w celu przeprowadzenia audytu oraz zawnioskował o udzielenie informacji o tym, jakie działania zostały podjęte w celu wzmocnienia bezpieczeństwa danych, a także zorganizował szkolenia dla pracowników Starostwa Powiatowego w Z. z zakresu cyberbezpieczeństwa (zob. pkt 19 - 20 oraz 26 uzasadnienia niniejszej decyzji). Zauważyć jednak należy, że fakt usunięcia stanu naruszenia przepisów rozporządzenia 2016/679 w przeważającej mierze wynikał z działań podjętych przez Podmiot przetwarzający, który w lutym 2023 r. przeprowadził ponowną analizę ryzyka, a następnie w okresie od maja do grudnia 2023 r. wdrożył na jej podstawie środki techniczne i organizacyjne mitygujące ryzyko związane z kradzieżą danych poza miejscem ich przetwarzania, jak (…). Z uwagi zatem na fakt, iż usunięcie stanu naruszenia przepisów rozporządzenia 2016/679 wiązało się z podjęciem przez Administratora bardzo ograniczonego zakresu czynności (tj. skierowania listy kontrolnej do Pomiotu przetwarzającego i przeprowadzenia szkolenia pracowników), zaś szereg działań, które miały wpływ na ustanie stanu naruszenia również po stronie Starosty, podjęty został przez Podmiot przetwarzający, przesłankę tę potraktowano jako mającą wpływ na obniżenie wysokości wymierzonej Administratorowi kary pieniężnej, jednak w ograniczonym stopniu.

139.

Inne, niżej wskazane okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, po dokonaniu oceny ich wpływu na stwierdzone w niniejszej sprawie naruszenia, zostały przez Prezesa UODO uznane za neutralne w jego ocenie, to znaczy niemające ani obciążającego ani łagodzącego wpływu na wymiar orzeczonej administracyjnej kary pieniężnej.

140.

Działania podjęte w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą (art. 83 ust. 2 lit. c) rozporządzenia 2016/679).

W kontekście tej przesłanki znaczenie ma cel, jakiemu ma służyć działanie administratora, czyli zminimalizowanie szkody poniesionej przez osoby, których dane dotyczą. Prezes UODO nie odnotował w niniejszym przypadku tego typu działań Starosty. Samo bowiem polecenie Podmiotowi przetwarzającemu, aby przekazał informacje o zaistniałym zdarzeniu osobom, których dane zostały objęte incydentem (dowód - pismo Administratora z 9 lutego 2023 r.) nie może być w przedmiotowej sprawie uznane za działanie w celu zminimalizowania szkody poniesionej przez te osoby. Działanie takie stanowi wyłącznie wypełnienie obowiązku prawnego, który spoczywa na Administratorze, zgodnie z art. 34 ust. 1 rozporządzenia 2016/679, a którego brak realizacji sankcjonowany jest na gruncie art. 83 ust. 4 lit. a) rozporządzenia 2016/679. W tym kontekście podkreślenia wymaga, że zwykłe dopełnienie przez Administratora ww. obowiązaniu poinformowania podmiotów danych o wystąpieniu naruszenia ochrony danych osobowych nie może być uznane jako czynnik łagodzący i mający wpływ na obniżenie wysokości nałożonej administracyjnej kary pieniężnej.

141.

Stopień odpowiedzialności administratora z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i 32 rozporządzenia 2016/679 (art. 83 ust. 2 lit. d) rozporządzenia 2016/679).

W niniejszej sprawie Prezes UODO stwierdził między innymi naruszenie przez Administratora art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679. Niewątpliwie Starosta ponosi odpowiedzialność za brak wdrożenia odpowiednich środków technicznych i organizacyjnych, które potencjalnie mogłyby zapobiec naruszeniu ochrony danych osobowych, do którego doszło 22 stycznia 2023 r. Prawodawca przewidział bowiem w motywie 74 rozporządzenia 2016/679, iż „[n]ależy nałożyć na administratora obowiązki i ustanowić odpowiedzialność prawną administratora za przetwarzanie danych osobowych przez niego samego lub w jego imieniu. W szczególności administrator powinien mieć obowiązek wdrożenia odpowiednich i skutecznych środków oraz powinien być w stanie wykazać, że czynności przetwarzania są zgodne z niniejszym rozporządzeniem oraz, że są skuteczne”. Oczywistym jest, że w rozważanym kontekście charakteru, celu i zakresu przetwarzania danych osobowych, w tym przetwarzania dokonywanego w imieniu Administratora przez Podmiot przetwarzający, Starosta nie zrobił wszystkiego, czego można by było od niego oczekiwać (zob. rozdział III lit. d Wytycznych w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia nr 2016/679 przyjętych 3 października 2017 r., dalej również jako "Wytyczne WP 253"), co świadczy o braku wywiązania się z obowiązków przewidzianych w art. 25 oraz art. 32 rozporządzenia 2016/679. W analizowanym stanie faktycznym okoliczność ta stanowi jednak o samej istocie naruszenia przepisów rozporządzenia 2016/679, co skutkuje uznaniem, iż nie jest ona wyłącznie czynnikiem wpływającym łagodząco lub obciążająco na jego ocenę. Z tego też względu brak odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 25 i art. 32 rozporządzenia 2016/679, nie może zostać uznany w niniejszej sprawie za okoliczność mogącą dodatkowo wpłynąć na surowszą ocenę naruszenia i wymiar administracyjnej kary pieniężnej nałożonej na Starostę.

142.

Wszelkie stosowne wcześniejsze naruszenia ze strony administratora (art. 83 ust. 2 lit. e) rozporządzenia 2016/679).

Prezes UODO nie stwierdził po stronie Administratora jakichkolwiek wcześniejszych naruszeń przepisów o ochronie danych osobowych, w związku z czym brak jest podstaw do traktowania tej okoliczności jako obciążającej. Jednocześnie jednak obowiązkiem każdego administratora jest przestrzeganie przepisów prawa, z uwagi na co brak wcześniejszych naruszeń nie może być traktowany jako okoliczność łagodząca przy wymierzaniu sankcji. Taka ocena zgodna jest ze stanowiskiem wyrażonym przez EROD w Wytycznych 04/2022, zgodnie z którym „[b]rak wcześniejszych naruszeń nie może (…) zostać uznany za okoliczność łagodzącą, ponieważ przestrzeganie przepisów [rozporządzenia 2016/679] stanowi normę. Brak wcześniejszych naruszeń można uznać za okoliczność o charakterze neutralnym” (zob. pkt 94 Wytycznych 04/2022).

143.

Stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) rozporządzenia 2016/679).

Analizując tę przesłankę organ nadzorczy uwzględnił fakt, że działania o charakterze naprawczym (polegające na skierowaniu do Podmiotu przetwarzającego listy kontrolnej oraz przeprowadzeniu szkolenia pracowników), zrealizowane zostały jeszcze przed wszczęciem niniejszego postępowania administracyjnego. Jednocześnie w przedmiotowej sprawie Prezes UODO nie kierował wobec Starosty żadnych zaleceń, wytycznych, ani rekomendacji w zakresie stosowanych przez niego rozwiązań w obszarze bezpieczeństwa przetwarzania danych osobowych, a wszelka aktywność Administratora - następcza wobec naruszenia ochrony danych osobowych - podejmowana była przez niego dobrowolnie i w sposób niezależny od stanowiska organu nadzorczego. W tym stanie faktycznym brak jest podstaw do tego, by ww. działania Administratora rozpatrywać w kontekście współpracy z organem nadzorczym. Okoliczność podjęcia wyżej wskazanych działań naprawczych zwiększających bezpieczeństwo przetwarzania danych osobowych, Prezes UODO uwzględnił natomiast - na jego korzyść - w ramach oceny przesłanki określonej w art. 83 ust. 2 lit. k) rozporządzenia 2016/679 (zob. pkt 135 uzasadnienia niniejszej decyzji).

144.

Sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator zgłosił naruszenie (art. 83 ust. 2 lit. h) rozporządzenia 2016/679).

Prezes UODO stwierdził naruszenie przez Starostę przepisów o ochronie danych osobowych z urzędu - w rezultacie postępowania zainicjowanego zgłoszeniem naruszenia ochrony danych osobowych dokonanym przez Administratora 26 stycznia 2023 r. Dokonując zgłoszenia Administrator realizował ciążący na nim obowiązek prawny. Brak jest zatem podstaw do uznania, że fakt ten powinien być poczytywany na jego korzyść. Jak słusznie wskazuje EROD w Wytycznych 04/2022 „[o]koliczność ta nie ma znaczenia, gdy administrator podlega szczególnym obowiązkom w zakresie zgłaszania naruszeń (np. obowiązkowi zgłaszania naruszenia ochrony danych osobowych określonemu w art. 33 [rozporządzenia 2016/679]). W takich przypadkach fakt dokonania zgłoszenia należy uznać za okoliczność neutralną” (zob. pkt 98 Wytycznych 04/2022).

145.

Jeżeli wobec administratora, którego sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków (art. 83 ust. 2 lit. i) rozporządzenia 2016/679).

Przed wydaniem niniejszej decyzji Prezes UODO nie stosował wobec Administratora w rozpatrywanej sprawie środków określonych w art. 58 ust. 2 rozporządzenia 2016/679. Oznacza to, że Administrator nie miał obowiązku podejmowania jakichkolwiek działań związanych ze stosowaniem tychże środków. W odmiennej sytuacji, organ nadzorczy poddałby ocenie takie działania, które mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia przepisów rozporządzenia 2016/679.

146.

Stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42 (art. 83 ust. 2 lit. j) rozporządzenia 2016/679).

Starosta na dzień wydania niniejszej decyzji nie stosuje zatwierdzonych kodeksów postępowania ani zatwierdzonych mechanizmów certyfikacji, o których mowa w przepisach rozporządzenia 2016/679. Przyjęcie powyższych środków, wdrożenie oraz stosowanie nie jest jednak - jak stanowią przepisy rozporządzenia 2016/679 - obowiązkowe dla administratora. Oznacza to, że okoliczność ich niestosowania nie może być poczytywana na jego niekorzyść. Odmienna sytuacja miałaby miejsce, gdyby Administrator przyjął i stosował tego rodzaju instrument, który gwarantuje wyższy niż standardowy poziom ochrony przetwarzanych danych osobowych. W takim przypadku okoliczność ta mogłaby być oceniona na jego korzyść.

147.

Wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty (art. 83 ust. 2 lit. k) rozporządzenia 2016/679).

Prezes UODO, wszechstronnie rozpatrując sprawę, nie odnotował innych, niż opisane powyżej okoliczności mogących mieć wpływ na ocenę naruszenia przepisów rozporządzenia 2016/679 i na wysokość orzeczonej administracyjnej kary pieniężnej. Nie stwierdzono również, aby Administrator w związku z naruszeniem przepisów rozporządzenia 2016/679 odniósł jakiekolwiek korzyści finansowe lub uniknął tego rodzaju strat. Brak jest więc podstaw do traktowania tej okoliczności jako obciążającej.

b.

VIII b. Ustalenie wysokości administracyjnej kary pieniężnej nałożonej na Administratora zgodnie z Wytycznymi 04/2022.

148.

Ustalając wysokość administracyjnej kary pieniężnej nałożonej na Starostę, Prezes UODO w sposób ograniczony zastosował metodykę przyjętą przez EROD w Wytycznych 04/2022. Ograniczony zakres stosowania tych wytycznych do obliczania kar orzekanych wobec organów i podmiotów publicznych wynika z braku możliwości przyjęcia obrotu (przychodów) takiego podmiotu jako miernika jego wielkości pozwalającego miarkować wysokość kary, tak by była ona skuteczna, proporcjonalna i odstraszająca. Jak wskazuje EROD w pkt 10 swoich wytycznych, jeżeli na podstawie prawa krajowego organy nadzorcze mają uprawnienie do nakładania administracyjnych kar pieniężnych na organy i podmioty publiczne, wytyczne te mają zastosowanie do ich obliczania z wyjątkiem rozdziału 4.3 tego dokumentu („Obrót przedsiębiorstwa do celów nałożenia skutecznej, odstraszającej i proporcjonalnej kary pieniężnej”). Tam natomiast gdzie prawo krajowe przewiduje dla organów i podmiotów publicznych ustawowe maksymalne kwoty kar (inne niż wynikające z art. 83 ust. 4-6 rozporządzenia 2016/679) zastosowania nie będzie znajdował rozdział 6 wytycznych („Prawnie określona maksymalna wysokość kary pieniężnej i odpowiedzialność przedsiębiorstw”). Mając na uwadze powyższe Prezes UODO przeprowadził niżej przedstawiony proces kalkulacji kary orzekanej wobec Administratora.

149.

Za prawnie określoną maksymalną kwotę kary możliwą do orzeczenia wobec Starosty Prezes UODO przyjął - stosownie do art. 102 ust. 1 pkt 1 u.o.d.o. - kwotę 100 000 zł, przy czym kwota ta znajduje zastosowanie niezależnie od tego, którego przepisu rozporządzenia 2016/679 dotyczy naruszenie.

150.

Prezes UODO dokonał kategoryzacji stwierdzonego w niniejszej sprawie naruszenia przepisów rozporządzenia 2016/679 (zob. Rozdział 4.1 Wytycznych 04/2022). Naruszenia przepisów art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679 należą - zgodnie z art. 83 ust. 4 lit. a) rozporządzenia 2016/679 - do kategorii naruszeń zagrożonych karą o maksymalnej wysokości do 10 000 000 EUR lub do 2% obrotu przedsiębiorstwa z poprzedniego roku obrotowego. Z kolei naruszenia przepisów art. 5 ust. 1 lit. f) i ust. 2 rozporządzenia 2016/679 należą (zgodnie z art. 83 ust. 5 lit. a) rozporządzenia 2016/679) do kategorii naruszeń zagrożonych karą wyższą z dwóch przewidzianych w tym akcie prawnym wymiarów kar (z maksymalną wysokości do 20 000 000 EUR lub do 4% obrotu przedsiębiorstwa z poprzedniego roku obrotowego - są więc in abstracto „najpoważniejszymi” z naruszeń przewidzianych rozporządzeniem 2016/679.

151.

Organ nadzorczy ocenił stwierdzone w niniejszej sprawie naruszenie przepisów rozporządzenia 2016/679 jako naruszenie o wysokim poziomie powagi (zob. Rozdział 4.2. Wytycznych 04/2022). W ramach tej oceny wzięte zostały pod uwagę te przesłanki spośród wymienionych w art. 83 ust. 2 rozporządzenia 2016/679, które dotyczą strony przedmiotowej naruszenia (składają się na „powagę” naruszenia), to jest: charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) rozporządzenia 2016/679), nieumyślny charakter naruszenia (art. 83 ust. 2 lit. b) rozporządzenia 2016/679) oraz kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679). Szczegółowa ocena tych okoliczności przedstawiona została powyżej (zob. pkt 132 - 134 uzasadnienia niniejszej decyzji). W tym miejscu wskazać należy, że rozważenie ich łącznego wpływu na ocenę stwierdzonego w niniejszej sprawie naruszenia przepisów rozporządzenia 2016/679 traktowanego jako całość prowadzi do wniosku, że poziom jego powagi (rozumianej zgodnie z Wytycznymi 04/2022) jest wysoki. Konsekwencją tego jest zaś przyjęcie - jako kwoty wyjściowej do obliczenia kary - wartości mieszczącej się w przedziale od 20% do 100% maksymalnej wysokości kary możliwej do orzeczenia wobec Starosty (zob. pkt 60 tiret trzeci Wytycznych 04/2022), to jest - zważywszy na maksymalną kwotę w wysokości 100 000 zł określoną dla organów i podmiotów publicznych - od kwoty 20 000 zł do kwoty 100 000 zł. Za adekwatną, uzasadnioną okolicznościami niniejszej sprawy, kwotę wyjściową Prezes UODO uznał kwotę 30 000 zł (30 % prawnie określonej maksymalnej wysokości kary możliwej do wymierzenia Staroście).

152.

Organ nadzorczy dokonał oceny wpływu na stwierdzone naruszenie przepisów rozporządzenia 2016/679 pozostałych (poza tymi uwzględnionymi wyżej w ocenie powagi naruszenia) okoliczności wskazanych w art. 83 ust. 2 rozporządzenia 2016/679 (zob. Rozdział 5 Wytycznych EROD 04/2022). Okoliczności te, mogące mieć obciążający lub łagodzący wpływ na ocenę naruszenia, odnoszą się do strony podmiotowej naruszenia (tj. do samego podmiotu będącego sprawcą naruszenia oraz do jego zachowania przed naruszeniem, w jego trakcie i po jego zaistnieniu) oraz ewentualnie do innych okoliczności mogących mieć znaczenie dla jego oceny. Szczegółowa analiza i uzasadnienie wpływu każdej z tych przesłanek na ocenę naruszenia przedstawione zostały powyżej (zob. pkt 135 - 144 uzasadnienia decyzji). Prezes UODO uznał, że okolicznością łagodzącą w niniejszej sprawie jest przesłanka przewidziana w art. 83 ust. 2 lit. k) rozporządzenia 2016/679 przejawiająca się w podjęciu przez Administratora działań ukierunkowanych na podniesienie poziomu bezpieczeństwa przetwarzania danych osobowych (zob. pkt 135 uzasadnienia niniejszej decyzji). Organ nadzorczy przeprowadzając analizę w niniejszej sprawie nie uwzględnił żadnej okoliczności obciążającej, mającej wpływ na zwiększenie wymiaru sankcji. Podkreślenia wymaga, że co prawda stan naruszenia przepisów rozporządzenia 2016/679 ustał przed wydaniem niniejszej decyzji, co świadczy o odpadnięciu jednego z głównych celów kary, jakim jest przywrócenie stanu zgodnego z prawem. Aktualne pozostają jednak cel represyjny (ukaranie za niezgodne z prawem zachowanie) oraz cel prewencyjny (skuteczne zniechęcenie zarówno Starosty, jak i innych administratorów do popełniania w przyszłości naruszeń przepisów rozporządzenia 2016/679). Ze względu na zaistnienie w sprawie wskazanej powyżej okoliczności łagodzącej, Prezes UODO oceniając jej wpływ na stwierdzone naruszenie przepisów rozporządzenia 2016/679 (przy uwzględnieniu, że usunięcie naruszenia wiązało się z podjęciem przez Administratora ograniczonego zakresu czynności, tj. skierowania listy kontrolnej do Pomiotu przetwarzającego i przeprowadzenia szkolenia pracowników, zaś szereg działań, które miały wpływ na ustanie stanu naruszenia również po stronie Starosty, podjęty został przez Podmiot przetwarzający - zob. pkt 135 uzasadnienia niniejszej decyzji), uznał za zasadne zmniejszenie o 30 % ustalonej wyżej kwoty kary (zob. pkt 148 uzasadnienia niniejszej decyzji) - do kwoty 21 000 zł.

153.

Zgodnie z art. 83 ust. 1 rozporządzenia 2016/679, każdy organ nadzorczy zapewnia, by administracyjne kary pieniężne stosowane za naruszenia tego rozporządzenia były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające. Natomiast Wytyczne 04/2022 wskazują, że ostatnim krokiem kalkulacji kary dokonywanej zgodnie z przedstawioną tam metodologią powinno być przeanalizowanie, czy ostateczna kwota obliczonej kary pieniężnej spełnia te wymogi oraz odpowiednie zwiększenie lub zmniejszenie kary pieniężnej (zob. rozdział 7 Wytycznych). Dokonując takiej analizy w niniejszej sprawie Prezes UODO uznał, że ustalona zgodnie z powyższymi zasadami wysokość kary nie wymaga dodatkowej korekty ze względu na skuteczność, proporcjonalność i odstraszający charakter kary (art. 83 ust. 1 rozporządzenia 2016/679).

154.

Prezes UODO stwierdził, że administracyjna kara pieniężna w kwocie 21 000 zł, nałożona w tych konkretnych, indywidualnych okolicznościach sprawy, będzie skuteczna ponieważ pozwoli na osiągnięcie jej celu prewencyjnego, jakim jest zapobieżenie w przyszłości naruszeniom przepisów rozporządzenia 2016/679 - takim samym lub podobnym do stwierdzonego w niniejszej sprawie - dokonywanym zarówno przez Administratora, jak i przez inne podmioty. Dodatkowo orzeczona kara, jako środek o charakterze represyjnym, zezwoli na realne ukaranie Starosty za jego bezprawne, utrzymujące się długotrwale zachowanie.

155.

Zdaniem organu nadzorczego orzeczona kara będzie również proporcjonalna do stwierdzonych naruszeń przepisów rozporządzenia 2016/679, w tym zwłaszcza do ich charakteru i wagi. W tym kontekście należy przede wszystkim zauważyć, że Starosta dopuścił się pogwałcenia podstawowych zasad przetwarzania danych osobowych, które w ramach całego systemu ochrony danych mają charakter fundamentalny, wyznaczający jego ramy. Proporcjonalność zastosowanej sankcji wyraża się również w tym, że ustalona przez organ nadzorczy kwota kary nie będzie stanowić dla Starosty nadmiernego obciążenia. W szczególności jej zapłata nie wpłynie na zdolność Administratora do wywiązywania się przez niego z ustawowych zadań. Zdaniem Prezesa UODO Starosta powinien i jest w stanie ponieść konsekwencje swoich zaniedbań w sferze ochrony danych osobowych, stąd uzasadnione będzie nałożenie na niego administracyjnej kary pieniężnej w wysokości 21 000 zł.

156.

W ocenie Prezesa UODO administracyjna kara pieniężna w wysokości 21 000 zł spełni również w tych konkretnych okolicznościach sprawy funkcję prewencyjną, albowiem wskaże tak Staroście, jak i innym administratorom (w szczególności zaś innym jednostkom sektora finansów publicznych), że organ nadzorczy - stojąc na straży przepisów o ochronie danych osobowych - będzie z pełną mocą egzekwował odpowiedzialność ww. podmiotów za stwierdzone naruszenia przepisów rozporządzenia 2016/679. Tym samym zastosowana w niniejszym postępowaniu sankcja zniechęci zarówno samego Administratora, jak i innych podobnych mu administratorów do popełniania w przyszłości takich samych lub zbliżonych przedmiotowo naruszeń.

157.

Zdaniem organu nadzorczego wymierzenie w niniejszej sprawie administracyjnej kary pieniężnej było konieczne. Zastosowanie wobec Starosty jakiegokolwiek innego środka naprawczego przewidzianego w art. 58 ust. 2 rozporządzenia 2016/679, w szczególności zaś poprzestanie na upomnieniu (art. 58 ust. 2 lit. b) rozporządzenia 2016/679), nie spełniałoby bowiem wymogu proporcjonalności, rozumianego jako konieczność zastosowania przez organ nadzorczy środka, który adekwatny jest w szczególności do wagi stwierdzonych nieprawidłowości. Odstąpienie od nałożenia administracyjnej kary pieniężnej nie gwarantowałoby również tego, że Administrator nie dopuści się w przyszłości kolejnych naruszeń w zakresie ochrony danych osobowych. W ocenie organu nadzorczego jedynie administracyjna kara pieniężna zezwoli w przedmiotowej sprawie na skuteczne egzekwowanie przepisów rozporządzenia 2016/679.

IX. Uzasadnienie nałożenia i ustalenie wysokości administracyjnej kary pieniężnej nałożonej na Podmiot przetwarzający.

IX a. Przesłanki wymiaru administracyjnej kary pieniężnej nałożonej na Podmiot przetwarzający

158.

Decydując o nałożeniu na R. (…) administracyjnej kary pieniężnej, Prezes UODO - stosownie do treści art. 83 ust. 2 lit. a) - k) rozporządzenia 2016/679 - wziął pod uwagę następujące okoliczności stanowiące o konieczności zastosowania w niniejszej sprawie tego rodzaju sankcji oraz wpływające obciążająco na wymiar nałożonej kary.

159.

Charakter, waga i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody (art. 83 ust. 2 lit. a) rozporządzenia 2016/679).

Administracyjna kara pieniężna jest nakładana na Podmiot przetwarzający za naruszenie art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679. Dokonując oceny przesłanki z art. 83 ust. 2 lit. a) rozporządzenia 2016/679 należy podkreślić, że naruszone przez R. (…) przepisy określają fundamentalne obowiązki, jakie spoczywają na każdym podmiocie przetwarzającym, co potwierdza znaczną wagę i poważny charakter naruszenia.

Organ nadzorczy rozpatrując przedmiotową sprawę miał na uwadze, iż obowiązek przewidziany w art. 32 ust. 1 i 2 rozporządzenia 2016/679 „nie ma charakteru obowiązku rezultatu”^[8], bowiem „dobór adekwatnych środków opiera się na ocenie ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia oraz na zasadzie proporcjonalności uwzględniającej stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania”^[9]. W ocenie Prezesa UODO nic nie stoi jednak na przeszkodzie przypisaniu R. (…) odpowiedzialności za naruszenie tego przepisu, bowiem Podmiot przetwarzający identyfikując w analizie ryzyka zagrożenie w postaci kradzieży danych osobowych poza miejscem przetwarzania danych, które jak twierdził odnosiło się „do utraty danych osobowych, które mogą być zgromadzone i przetwarzane na różnego rodzaju nośnikach w tym również na komputerach przenośnych poza obszarem przetwarzania” (zob. pkt 6 uzasadnienia niniejszej decyzji) nie wprowadził środków technicznych adekwatnych do wykrytego zagrożenia. Co przy tym istotne, środek techniczny (…) znajdujących się na komputerze przenośnym uznać należy za adekwatny w takiej sytuacji i nie wykraczający poza zasadę proporcjonalności - rozwiązanie takie zostało wprost przewidziane przez prawodawcę w art. 32 ust.1 lit a) rozporządzenia 2016/679 i nie można uznać go za wykraczające poza możliwości (np. finansowe) Podmiotu przetwarzającego, skoro zostało wprowadzone niezwłocznie po wystąpieniu incydentu z 22 stycznia 2023 r.

Za okoliczność obciążającą należy również uznać liczbę poszkodowanych osób, których dane dotyczą. Do naruszenia przepisów rozporządzenia 2016/679, stwierdzonych w niniejszym postępowaniu po stronie Podmiotu przetwarzającego (polegającego z jednej strony na braku zastosowania odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych przetwarzanych z wykorzystaniem komputerów przenośnych oraz ochronę praw osób, których dane dotyczą, z drugiej zaś na braku wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności ww. środków) doszło w ramach operacji przetwarzania realizowanych na rzecz Starosty. Ze zgromadzonego materiału dowodowego wynika, iż Administrator powierzył Podmiotowi przetwarzającemu dane osobowe co najmniej (…) osób - takiej bowiem liczby osób dotyczył incydent z 22 stycznia 2023 r. (dowód - pismo Administratora z 9 lutego 2023 r.). Liczba poszkodowanych osób, których dane dotyczą była zatem znaczna.

Dla oceny analizowanej przesłanki pod kątem rozmiaru szkody poniesionej przez osoby, których dane dotyczą aktualna pozostaje argumentacja przedstawiona w punkcie 132 uzasadnienia niniejszej decyzji. Jak wskazał już organ nadzorczy, w toku postępowania nie ujawniły się co prawda żadne dowody wskazujące na to, że podmioty, do których danych dostęp mogły uzyskać osoby trzecie, doznały szkody majątkowej, jednak uznać należy, że sama już potencjalna możliwość naruszenia poufności ich danych osobowych stanowi dla nich szkodę niemajątkową (krzywdę), np. poprzez naruszenie ich dóbr osobistych, takich jak dobrostan psychiczny czy prawo do prywatności.

Okolicznością obciążającą w niniejszej sprawie jest również długi czas trwania naruszenia. Należy bowiem przyjąć, że stan niezgodności przetwarzania z przepisami rozporządzenia 2016/679 trwał od 21 stycznia 2022 r. (tj. od dnia zawarcia umowy powierzenia przetwarzania danych osobowych - zob. pkt 14 uzasadnienia niniejszej decyzji) aż do grudnia 2023 r., kiedy to zgodnie z wyjaśnieniami Podmiotu przetwarzającego zakończone zostały działania wdrażające środki techniczne i organizacyjne, mające zapewnić bezpieczeństwo przetwarzania danych (zob. pkt 32 uzasadnienia niniejszej decyzji). Okoliczność utrzymywania się stanu naruszenia przepisów rozporządzenia 2016/679 przez okres niemal 2 lat należy poczytywać jako kryterium wpływające w znacznym stopniu obciążająco zarówno na decyzję organu o nałożeniu administracyjnej kary pieniężnej, jak i na wysokość samej kary.

Mając na względzie wyżej wskazane okoliczności, przesłankę określoną w art. 83 ust. 2 lit. a) rozporządzenia 2016/679, rozpatrywaną w sposób całościowy, organ ocenił jako w znacznym stopniu obciążającą.

160.

Nieumyślny charakter naruszenia (art 83 ust. 2 lit. b) rozporządzenia 2016/679).

Analizując tę przesłankę Prezes UODO wziął pod uwagę fakt przeprowadzenia przez Podmiot przetwarzający analizy ryzyka (jak się ostatecznie okazało sporządzonej w sposób błędny - zob. pkt 61 - 70 uzasadnienia niniejszej decyzji), w której uwzględnione zostało ryzyko sprecyzowane jako „kradzież danych osobowych poza miejscem przetwarzania danych osobowych”. Co przy tym istotne, również sam Podmiot przetwarzający w toku postępowania nie negował, iż zdawał sobie sprawę z ryzyka wynikającego z przetwarzania danych osobowych m.in. na komputerach przenośnych poza obszarem jego organizacji wskazując, iż „przeprowadzona analiza ryzyka odnosi się do utraty danych osobowych, które mogą być zgromadzone i przetwarzane na różnego rodzaju nośnikach w tym również na komputerach przenośnych poza obszarem przetwarzania” (zob. pkt 6 uzasadnienia niniejszej decyzji). Po stronie Podmiotu przetwarzającego zmaterializował się zatem element „wiedzy”, niezbędny do przypisania mu winy z tytułu popełnionych naruszeń.

Jednocześnie jednak, biorąc pod uwagę podjęte przez R. (…) działania, brak jest podstaw do przypisania mu woli (zamiaru) naruszenia przepisów rozporządzenia 2016/679. Jak wskazano powyżej, Podmiot przetwarzający przeprowadził analizę ryzyka, w której uwzględnił zagrożenie dla bezpieczeństwa przetwarzanych danych w postaci potencjalnej utraty ich poufności w wyniku kradzieży przenośnych nośników danych poza obszarem przetwarzania, jednak analiza ta została przeprowadzona w sposób błędny. Jedynym zabezpieczeniem, które przewidziano dla tak zidentyfikowanego zagrożenia było bowiem (…). Przyjęcie, iż tak określone środki techniczne i organizacyjne będą adekwatne, świadczy o rażącym niedbalstwie po stronie R. (…), zwłaszcza mając na uwadze, iż prawodawca unijny wprost wskazał w art. 32 ust. 1 lit. a) m.in. na zabezpieczenie (…). Błędnie przeprowadzona analiza ryzyka pociągnęła za sobą także brak wdrożenia środków technicznych i organizacyjnych, które umożliwiłyby efektywne testowanie, mierzenie i ocenę skuteczności stosowanych rozwiązań.

Zaniechania, których dopuścił się Podmiot przetwarzający mogły przyczynić się do zwiększenia ryzyka naruszenia poufności danych (w przedmiotowej sprawie ryzyko to uległo materializacji, o czym świadczy incydent z 22 stycznia 2023 r.). Wadliwie przeprowadzona analiza ryzyka, będąca pierwszym krokiem w procesie identyfikacji, oceny i zarządzania ryzykiem związanym z przetwarzaniem danych, pociągnęła za sobą dalsze nieprawidłowości w tejże sferze. Zdaniem organu nadzorczego, wyżej wskazane okoliczności świadczą o tym, że w omawianym przypadku R. (…) mogło i powinno było przewidzieć, że przyjęte rozwiązania nie zapewniają odpowiedniego stopnia bezpieczeństwa danych osobowych przetwarzanych przy użyciu komputerów przenośnych poza siedzibą jego organizacji. W ocenie organu nadzorczego naruszenie rozporządzenia 2016/679 nie było jednak celem Podmiotu przetwarzającego - R. (…) działało w błędnym przekonaniu, że zastosowane środki techniczne i organizacyjne będą wystarczające. Świadczy to o nieumyślnym charakterze przypisanych Podmiotowi przetwarzającemu naruszeń przepisów rozporządzenia 2016/679 - podmiot ten nie miał na celu naruszenia przepisów rozporządzenia 2016/679, jednak na skutek swojego rażącego niedbalstwa nie wprowadził adekwatnych środków technicznych i organizacyjnych, które zapewniałyby bezpieczeństwo przetwarzania danych oraz możliwość regularnej oceny stosowanych rozwiązań. Stanowi to okoliczność wpływającą obciążająco na wysokość administracyjnej kary pieniężnej.

161.

Kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679)

Odnosząc przesłankę z art. 83 ust. 2 lit. g) rozporządzenia 2016/679 do naruszeń przepisów rozporządzenia 2016/679 przypisanych Podmiotowi przetwarzającemu, należy wskazać, że dotyczyły one wszystkich danych osobowych przekazanych przez Administratora Podmiotowi przetwarzającemu w celu przeprowadzenia postępowania scaleniowego. Były to zatem co najmniej dane, których poufność została potencjalnie naruszona na skutek incydentu z 22 stycznia 2023 r. Jak wynika ze zgłoszenia przekazanego przez Starostę Prezesowi UODO, naruszenie z 22 stycznia 2023 r. dotyczyło następujących danych osobowych: nazwiska i imiona, imiona rodziców, data urodzenia, adres zamieszkania lub pobytu, numer ewidencyjny PESEL, seria i numer dowodu osobistego, inne (numery ksiąg wieczystych) (zob. pkt 4 uzasadnienia niniejszej decyzji). W tym kontekście aktualne pozostają przy tym wszystkie rozważania przedstawione w punkcie 134 uzasadnienia niniejszej decyzji.

162.

Ustalając wysokość administracyjnej kary pieniężnej Prezes UODO uwzględnił na korzyść Podmiotu przetwarzającego w ramach przesłanki „innych łagodzących czynników, mających zastosowanie do okoliczności sprawy” (art. 83 ust. 2 lit. k) rozporządzenia 216/679), fakt podjęcia działań, które doprowadziły do usunięcia stanu naruszenia przepisów rozporządzenia 2016/679. Podmiot przetwarzający po stwierdzeniu naruszenia ochrony danych osobowych podjął szereg działań mających na celu poprawę bezpieczeństwa przetwarzania danych osobowych, na które wskazano w pkt 26 - 32 uzasadnienia niniejszej decyzji. W szczególności należy zwrócić uwagę na fakt przeprowadzenia przez Podmiot przetwarzający ponownej analizy ryzyka oraz wprowadzenie (…). Działania te zostały podjęte przez Podmiot przetwarzający spontanicznie, a ich skutkiem było usunięcie stanu naruszenia przepisów rozporządzenia 2016/679.

163.

Inne, niżej wskazane okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, po dokonaniu oceny ich wpływu na stwierdzone w niniejszej sprawie naruszenie przepisów rozporządzenia 2016/679, którego dopuścił się Podmiot przetwarzający, zostały przez Prezesa UODO uznane za neutralne w jego ocenie, to znaczy niemające ani obciążającego ani łagodzącego wpływu na wymiar orzeczonej administracyjnej kary pieniężnej.

164.

Działania podjęte w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą (art. 83 ust. 2 lit. c) rozporządzenia 2016/679).

W kontekście tej przesłanki znaczenie ma cel, jakiemu ma służyć działanie podmiotu przetwarzającego, czyli zminimalizowanie szkody poniesionej przez osoby, których dane dotyczą. Prezes UODO nie odnotował w niniejszym przypadku tego typu okoliczności. Skierowanie przez R. (…) na polecenie Administratora zawiadomienia do osób, których dane dotyczą o naruszeniu ochrony ich danych osobowych (dowód - pismo Administratora z 9 lutego 2023 r.) nie może być w przedmiotowej sprawie uznane za działanie w celu zminimalizowania szkody poniesionej przez te osoby. Działanie takie stanowi wyłącznie formę pomocy udzielonej Administratorowi w wypełnianiu ciążących na nim obowiązków, zgodnie z art. 28 ust. 3 lit. f) rozporządzenia 2016/679 i jako takie nie może zostać uznane za czynnik łagodzący i mający wpływ na obniżenie wysokości nałożonej administracyjnej kary pieniężnej.

165.

Stopień odpowiedzialności podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i art. 32 rozporządzenia 2016/679 (art. 83 ust. 2 lit. d) rozporządzenia 2016/679)

Prezes UODO stwierdził w niniejszej sprawie naruszenie przez Podmiot przetwarzający przepisu art. 32 ust. 1 i 2 w zw. z art. 28 ust. 3 rozporządzenia 2016/679. W ocenie organu nadzorczego na Podmiocie przetwarzającym ciąży w wysokim stopniu odpowiedzialność za niewdrożenie odpowiednich środków technicznych i organizacyjnych, które potencjalnie mogłyby zapobiec naruszeniu ochrony danych osobowych z 22 stycznia 2023 r. Oczywistym jest, że w rozważanym kontekście charakteru, celu i zakresu przetwarzania danych osobowych Podmiot przetwarzający nie „zrobił wszystkiego, czego można by było od niego oczekiwać” (zob. pkt 77 Wytycznych 04/2022), a tym samym nie wywiązał się z nałożonych na niego przepisem art. 32 rozporządzenia 2016/679 obowiązków.

W niniejszej sprawie okoliczność ta stanowi jednak o istocie samego naruszenia przepisów rozporządzenia 2016/679, a nie jest jedynie czynnikiem wpływającym - łagodząco lub obciążająco - na jego ocenę. Z tego też względu brak odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 32 rozporządzenia 2016/679, nie może zostać przez Prezesa UODO uznany w niniejszej sprawie za okoliczność mogącą dodatkowo wpłynąć na surowszą ocenę naruszenia i wymiar nałożonej na Podmiot przetwarzający administracyjnej kary pieniężnej.

166.

Wszelkie stosowne wcześniejsze naruszenia ze strony podmiotu przetwarzającego (art. 83 ust. 2 lit. e) rozporządzenia 2016/679).

Prezes UODO nie stwierdził po stronie Podmiotu przetwarzającego jakichkolwiek wcześniejszych naruszeń przepisów o ochronie danych osobowych, w związku z czym brak jest podstaw do traktowania tej okoliczności jako obciążającej. Jednocześnie jednak obowiązkiem każdego podmiotu przetwarzającego jest przestrzeganie przepisów prawa, z uwagi na co brak wcześniejszych naruszeń nie może być traktowany jako okoliczność łagodząca przy wymierzaniu sankcji (zob. pkt 94 Wytycznych 04/2022).

167.

Stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) rozporządzenia 2016/679)

Analizując tę przesłankę organ nadzorczy uwzględnił fakt, że działania o charakterze naprawczym zostały podjęte przez Podmiot przetwarzający przed doręczeniem pisma Prezesa UODO, w którym został poinformowany o prowadzonym postępowaniu wyjaśniającym i przed wszczęciem niniejszego postępowania. Jednocześnie w przedmiotowej sprawie Prezes UODO nie kierował wobec R. (…) żadnych zaleceń, wytycznych, ani rekomendacji w zakresie najlepszych praktyk w obszarze bezpieczeństwa przetwarzania danych osobowych, a wszelka aktywność Podmiotu przetwarzającego - następcza wobec naruszenia ochrony danych osobowych - podejmowana była dobrowolnie i w sposób niezależny od stanowiska organu nadzorczego. W tym stanie faktycznym brak jest podstaw do tego, by ww. działania rozpatrywać w kontekście współpracy z organem nadzorczym. Okoliczność podjęcia w sposób spontaniczny działań mających na celu zwiększenie bezpieczeństwa ochrony danych, które doprowadziły do usunięcia stanu naruszenia przepisów rozporządzenia 2016/679, Prezes UODO uwzględnił natomiast na korzyść Podmiotu przetwarzającego w ramach oceny przesłanki określonej w art. 83 ust. 2 lit. k) rozporządzenia 2016/679.

168.

Sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie podmiot przetwarzający zgłosił naruszenie (art. 83 ust. 2 lit. h) rozporządzenia 2016/679)

Prezes UODO stwierdził naruszenie przez Podmiot przetwarzający przepisów o ochronie danych osobowych z urzędu - w rezultacie postępowania zainicjowanego zgłoszeniem naruszenia ochrony danych osobowych dokonanym przez Administratora 26 stycznia 2023 r. Zgodnie z Wytycznymi 04/2022 „[w] przypadku gdy organ nadzorczy dowiedział się o naruszeniu na przykład w wyniku skargi lub w toku postępowania, co do zasady element ten należy uznać […] za okoliczność neutralną” (zob. pkt 99 Wytycznych 04/2022).

169.

Jeżeli wobec podmiotu przetwarzającego, którego sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków (art. 83 ust. 2 lit. i) rozporządzenia 2016/679)

Przed wydaniem niniejszej decyzji Prezes UODO nie stosował wobec Podmiotu przetwarzającego w rozpatrywanej sprawie środków określonych w art. 58 ust. 2 rozporządzenia 2016/679. Oznacza to, że Podmiot przetwarzający nie miał obowiązku podejmowania jakichkolwiek działań związanych ze stosowaniem tychże środków. W odmiennej sytuacji, organ nadzorczy poddałby ocenie takie działania, które mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia.

170.

Stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42 (art. 83 ust. 2 lit. j) rozporządzenia 2016/679)

R. (…) na dzień wydania niniejszej decyzji nie stosuje zatwierdzonych kodeksów postępowania ani zatwierdzonych mechanizmów certyfikacji, o których mowa w przepisach rozporządzenia 2016/679. Przyjęcie powyższych środków, wdrożenie oraz stosowanie nie jest jednak - jak stanowią przepisy rozporządzenia 2016/679 - obowiązkowe dla administratora. Oznacza to, że okoliczność ich niestosowania nie może być poczytywana na jego niekorzyść. Odmienna sytuacja miałaby miejsce, gdyby Podmiot przetwarzający przyjął i stosował tego rodzaju instrument, który gwarantuje wyższy niż standardowy poziom ochrony przetwarzanych danych osobowych. W takim przypadku okoliczność ta mogłaby być oceniona na jego korzyść

171.

Wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty (art. 83 ust. 2 lit. k) rozporządzenia 2016/679).

Prezes UODO wszechstronnie rozpatrując sprawę nie odnotował innych niż opisane powyżej okoliczności mogących mieć wpływ na ocenę naruszenia przepisów rozporządzenia 2016/679 i na wysokość orzeczonej administracyjnej kary pieniężnej. Nie stwierdzono również, aby Podmiot przetwarzający w związku z naruszeniem przepisów rozporządzenia 2016/679 odniósł jakiekolwiek korzyści finansowe lub uniknął tego rodzaju strat. Brak jest więc podstaw do traktowania tej okoliczności jako obciążającej.

IX b. Ustalenie wysokości administracyjnej kary pieniężnej nałożonej na Podmiot przetwarzający zgodnie z Wytycznymi 04/2022.

172.

Ustalając wysokość administracyjnej kary pieniężnej nałożonej na R. (…) Prezes UODO w sposób ograniczony zastosował metodykę przyjętą przez EROD w Wytycznych 04/2022 - zob. pkt 145 uzasadnienia niniejszej decyzji.

173.

Za prawnie określoną maksymalną kwotę kary możliwą do orzeczenia wobec R. (…) Prezes UODO przyjął - stosownie do art. 102 ust. 1 pkt 1 u.o.d.o. - kwotę 100 000 zł, przy czym kwota ta znajduje zastosowanie niezależnie od tego, którego przepisu rozporządzenia 2016/679 dotyczy naruszenie.

174.

Prezes UODO dokonał kategoryzacji stwierdzonego w niniejszej sprawie naruszenia przepisów rozporządzenia 2016/679 (zob. Rozdział 4.1 Wytycznych 04/2022). Stwierdzone w niniejszej sprawie naruszenie art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679 należy - zgodnie z art. 83 ust. 4 lit. a) rozporządzenia 2016/679 - do kategorii naruszeń zagrożonych karą niższą z dwóch przewidzianych w rozporządzeniu 2016/679 wymiarów kar (z maksymalną wysokością do 10 000 000 EUR lub do 2% całkowitego rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego). Zostało więc ono in abstracto (w oderwaniu od indywidualnych okoliczności konkretnej sprawy) uznane przez prawodawcę unijnego za mniej poważne niż naruszenia wskazane w art. 83 ust. 5 i 6 rozporządzenia 2016/679.

175.

Organ nadzorczy ocenił stwierdzone w niniejszej sprawie naruszenie rozporządzenia 2016/679 jako naruszenie o wysokim poziomie powagi (zob. Rozdział 4.2. Wytycznych 04/2022). W ramach tej oceny wzięte zostały pod uwagę te przesłanki spośród wymienionych w art. 83 ust. 2 rozporządzenia 2016/679, które dotyczą strony przedmiotowej naruszenia przepisów rozporządzenia 2016/679 (składają się na „powagę” naruszenia), to jest: charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) rozporządzenia 2016/679), nieumyślny charakter naruszenia (art. 83 ust. 2 lit. b) rozporządzenia 2016/679) oraz kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679). Szczegółowa ocena tych okoliczności przedstawiona została powyżej (zob. pkt 156 - 158 uzasadnienia niniejszej decyzji). W tym miejscu wskazać należy, że rozważenie ich łącznego wpływu na ocenę stwierdzonego w niniejszej sprawie naruszenia przepisów rozporządzenia 2016/679 traktowanego jako całość prowadzi do wniosku, że poziom jego powagi (rozumianej zgodnie z Wytycznymi 04/2022) jest wysoki. Konsekwencją tego jest zaś przyjęcie - jako kwoty wyjściowej do obliczenia kary - wartości mieszczącej się w przedziale od 20% do 100% maksymalnej wysokości kary możliwej do orzeczenia wobec R. (…) (zob. pkt 60 tiret trzeci Wytycznych 04/2022), to jest - zważywszy na maksymalną kwotę w wysokości 100 000 zł określoną dla organów i podmiotów publicznych - od kwoty 20 000 zł do kwoty 100 000 zł. Za adekwatną, uzasadnioną okolicznościami niniejszej sprawy, kwotę wyjściową Prezes UODO uznał kwotę 25 000 zł (25 % prawnie określonej maksymalnej wysokości kary możliwej do wymierzenia R. (…)).

176.

Organ nadzorczy dokonał oceny wpływu na stwierdzone naruszenie przepisów rozporządzenia 2016/679 pozostałych (poza tymi uwzględnionymi wyżej w ocenie powagi naruszenia) okoliczności wskazanych w art. 83 ust. 2 rozporządzenia 2016/679 (zob. Rozdział 5 Wytycznych EROD 04/2022). Okoliczności te, mogące mieć obciążający lub łagodzący wpływ na ocenę tego naruszenia, odnoszą się do jego strony podmiotowej (tj. do samego podmiotu będącego sprawcą tego naruszenia oraz do jego zachowania przed naruszeniem przepisów rozporządzenia 2016/679 , w jego trakcie i po jego zaistnieniu) oraz ewentualnie do innych okoliczności mogących mieć znaczenie dla jego oceny. Szczegółowa analiza i uzasadnienie wpływu każdej z tych przesłanek na ocenę naruszenia przestawione zostały powyżej (zob. pkt 159 - 168 uzasadnienia decyzji). Prezes UODO uznał, że okolicznością łagodzącą w niniejszej sprawie jest przesłanka przewidziana w art. 83 ust. 2 lit. k) rozporządzenia 2016/679 przejawiająca się w podjęciu przez Podmiot przetwarzający działań ukierunkowanych na podniesienie poziomu bezpieczeństwa przetwarzania danych osobowych, które doprowadziły do usunięcia stanu naruszenia przepisów rozporządzenia 2016/679 (zob. pkt 159 uzasadnienia niniejszej decyzji). Organ nadzorczy przeprowadzając analizę w niniejszej sprawie nie uwzględnił żadnej okoliczności obciążającej, mającej wpływ na zwiększenie wymiaru sankcji. Fakt usunięcia stanu naruszenia przez Podmiot przetwarzający świadczy o odpadnięciu jednego z głównych celów kary, jakim jest przywrócenie stanu zgodnego z prawem. Aktualne pozostają jednak cel represyjny (ukaranie za niezgodne z prawem zachowanie) oraz cel prewencyjny (skuteczne zniechęcenie zarówno R. (…), jak i innych podmiotów przetwarzających do popełniania w przyszłości naruszeń przepisów rozporządzenia 2016/679). Ze względu na zaistnienie w sprawie wskazanej powyżej okoliczności łagodzącej (podjęcie działań ukierunkowanych na podniesienie poziomu bezpieczeństwa przetwarzania, które doprowadziły do usunięcia stanu naruszenia przepisów rozporządzenia 2016/679), a tym samym odpadnięcie jednego z podstawowych celów kary, jakim jest przywrócenie stanu zgodnego z prawem Prezes UODO uznał za zasadne zmniejszenie o 50 % ustalonej wyżej kwoty kary (zob. pkt 172 uzasadnienia niniejszej decyzji) - do kwoty 12 500 zł.

177.

Zgodnie z art. 83 ust. 1 rozporządzenia 2016/679, każdy organ nadzorczy zapewnia, by administracyjne kary pieniężne stosowane za naruszenia tego rozporządzenia były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające. Natomiast Wytyczne 04/2022 wskazują, że ostatnim krokiem kalkulacji kary dokonywanej zgodnie z przedstawioną tam metodologią powinno być przeanalizowanie, czy ostateczna kwota obliczonej kary pieniężnej spełnia te wymogi oraz odpowiednie zwiększenie lub zmniejszenie kary pieniężnej (zob. rozdział 7 Wytycznych). Dokonując takiej analizy w niniejszej sprawie Prezes UODO uznał, ze ustalona zgodnie z powyższymi zasadami wysokość kary nie wymaga dodatkowej korekty ze względu na skuteczność, proporcjonalność i odstraszający charakter kary (art. 83 ust. 1 rozporządzenia 2016/679).

178.

Prezes UODO stwierdził, że administracyjna kara pieniężna w kwocie 12 500 zł, nałożona w tych konkretnych, indywidualnych okolicznościach sprawy, będzie skuteczna ponieważ pozwoli na osiągnięcie jej celu prewencyjnego, jakim jest zapobieżenie w przyszłości naruszeniom przepisów rozporządzenia 2016/679 - takim samym lub podobnym do stwierdzonego niniejszej sprawie - dokonywanym zarówno przez Podmiot przetwarzający, jak i przez inne podmioty. Dodatkowo orzeczona kara, jako środek o charakterze represyjnym, zezwoli na realne ukaranie R. (…) za jego bezprawne, utrzymujące się długotrwale zachowanie.

179.

Zdaniem organu nadzorczego orzeczona kara będzie również proporcjonalna do stwierdzonych naruszeń przepisów rozporządzenia 2016/679, w tym zwłaszcza do ich charakteru i wagi. Proporcjonalność zastosowanej sankcji wyraża się również w tym, że ustalona przez organ nadzorczy kwota kary nie będzie stanowić dla R. (…) nadmiernego obciążenia. W szczególności jej zapłata nie wpłynie na zdolność Podmiotu przetwarzającego do wywiązywania się z powierzonych zadań. Zdaniem Prezesa UODO R. (…) powinno i jest w stanie ponieść konsekwencje swoich zaniedbań w sferze ochrony danych osobowych, stąd uzasadnione będzie nałożenie administracyjnej kary pieniężnej w wysokości 12 500 zł.

180.

W ocenie Prezesa UODO administracyjna kara pieniężna w wysokości 12 500 zł spełni również w tych konkretnych okolicznościach sprawy funkcję prewencyjną, albowiem wskaże tak R. (…), jak i innym podmiotom przetwarzającym (w szczególności zaś innym jednostkom sektora finansów publicznych), że organ nadzorczy - stojąc na straży przepisów o ochronie danych osobowych - będzie z pełną mocą egzekwował odpowiedzialność ww. podmiotów za stwierdzone naruszenia przepisów rozporządzenia 2016/679. Tym samym zastosowana w niniejszym postępowaniu sankcja zniechęci zarówno sam Podmiot przetwarzający, jak i inne podobne mu podmioty do popełniania w przyszłości takich samych lub zbliżonych przedmiotowo naruszeń.

181.

Zdaniem organu nadzorczego wymierzenie w niniejszej sprawie administracyjnej kary pieniężnej było konieczne. Zastosowanie wobec R. (…) jakiegokolwiek innego środka naprawczego przewidzianego w art. 58 ust. 2 rozporządzenia 2016/679, w szczególności zaś poprzestanie na upomnieniu (art. 58 ust. 2 lit. b) rozporządzenia 2016/679), nie spełniałoby bowiem wymogu proporcjonalności, rozumianego jako konieczność zastosowania przez organ nadzorczy środka, który adekwatny jest w szczególności do wagi stwierdzonych nieprawidłowości. Odstąpienie od nałożenia administracyjnej kary pieniężnej nie gwarantowałoby również tego, że Podmiot przetwarzający nie dopuści się w przyszłości kolejnych naruszeń w zakresie ochrony danych osobowych. W ocenie organu nadzorczego jedynie administracyjna kara pieniężna zezwoli w przedmiotowej sprawie na skuteczne egzekwowanie przepisów rozporządzenia 2016/679.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.