Decyzja DKE.561.1.2026

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego^[1] (zwanej dalej: „k.p.a.”) w związku z art. 7 ust. 1 i 2, art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych^[2] (zwanej dalej: „u.o.d.o.”), a także na podstawie art. 57 ust. 1 lit. a) i lit. h), art. 58 ust. 2 lit. b) w związku z art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwanego dalej: „rozporządzeniem 2016/679”^[3],

po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na Panią H. D. prowadzącą działalność gospodarczą pod firmą W. (…) z siedzibą w K. przy ul. (…), Prezes Urzędu Ochrony Danych Osobowych (dalej: „Prezes UODO” lub „organ nadzorczy”),

udziela upomnienia Pani H. D. prowadzącej działalność gospodarczą pod firmą W. (…) z siedzibą w K. przy ul. (…), za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, polegające na braku współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań oraz na niezapewnieniu Prezesowi UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań w postępowaniach o sygn. DS.523.613.2025 oraz DS.523.853.2025.

Uzasadnienie

I. Stan faktyczny.

1.

Do Prezesa UODO wpłynęła skarga Pani G. T., zam. w A. przy ul. (…) na nieprawidłowości w procesie przetwarzania jej danych osobowych przez lekarza H. D. (numer (…), adres ul. (…), (…)-(…) K.) (dalej jako: „Przedsiębiorca” lub „Strona”) polegające na nieuprawnionym uzyskaniu w dniu 25 maja 2025 r. dostępu do jej danych osobowych zlokalizowanych na (…). W związku z powyższym, Prezes UODO wszczął postępowanie wyjaśniające o sygn. DS.523.613.2025.

2.

Prezes UODO - pismami z 25 lipca 2025 r. oraz 26 sierpnia 2025 r. zwracał się o złożenie wyjaśnień w sprawie, w szczególności w zakresie:

1)

czy, a jeżeli tak, to na jakiej podstawie prawnej (proszę wskazać konkretny przepis prawa), w jakim celu, w jakim zakresie (proszę wymienić dane osobowe) i z jakiego źródła pozyskała Pani dane osobowe Skarżącej (w tym jej numer PESEL) wykorzystane celem uzyskania 25 maja 2025 r. dostępu do jej danych osobowych zlokalizowanych w (…);

2)

czy, a jeżeli tak, to na jakiej podstawie prawnej (proszę wskazać konkretny przepis prawa), w jakim celu, w jakim zakresie (proszę wymienić dane osobowe) obecnie przetwarza Pani dane osobowe Skarżącej, o których mowa w ww. pkt 1;

3)

czy, a jeżeli tak, to na jakiej podstawie prawnej (proszę wskazać konkretny przepis prawa), w jakim celu, w jakim zakresie (proszę wymienić dane osobowe) uzyskała Pani 25 maja 2025 r. dostęp do danych osobowych Skarżącej zgromadzonych w (…);

4)

czy, a jeżeli tak, to na jakiej podstawie prawnej (proszę wskazać konkretny przepis prawa), w jakim celu, w jakim zakresie (proszę wymienić dane osobowe) obecnie przetwarza Pani dane osobowe Skarżącej, o których mowa w ww. pkt 3.

Pismo Prezesa UODO z 25 lipca 2025 r., skierowane na adres dla doręczeń, ujawniony w Centralnej Informacji i Ewidencji Działalności Gospodarczej, po dwukrotnej prawidłowej awizacji zostało zwrócone do Urzędu Ochrony Danych Osobowych z adnotacją: „zwrot nie podjęto w terminie”, przy czym należało uznać je - na podstawie art. 44 k.p.a. - za prawidłowo doręczone.

W związku ze zwrotem niepodjętego pisma, Prezes UODO 26 sierpnia 2025 r. ponownie zwrócił się o złożenie wyjaśnień. Wezwanie z 26 sierpnia 2025 r. zostało skutecznie doręczone i odebrane. Mimo odbioru ww. korespondencji Strona nie ustosunkowała się w żaden sposób do skierowanego do niej wezwania, nie przedstawiła również żadnego uzasadnienia swego zaniechania.

3.

Przedmiotową korespondencją (zob. pkt 2 uzasadnienia niniejszej decyzji) Przedsiębiorca został pouczony o tym, że brak złożenia wyjaśnień w ww. zakresie może skutkować nałożeniem na niego administracyjnej kary pieniężnej zgodnie z art. 83 ust. 5 lit. e) rozporządzenia 2016/679.

4.

Powyższe okoliczności stanu faktycznego niniejszej sprawy Prezes UODO ustalił na podstawie całokształtu korespondencji urzędowej, którą Prezes UODO kierował do Przedsiębiorcy, i która znajduje się w aktach sprawy o sygn. DS.523.613.2025. Korespondencja ta dokumentuje w sposób pełny i wyczerpujący całokształt prób uzyskania przez Prezesa UODO dostępu do informacji potrzebnych do realizacji jego zadań - w tym przypadku do rozpatrzenia sprawy o sygn. DS.523.613.2025, a z drugiej strony odzwierciedla brak reakcji Przedsiębiorcy na żądania Prezesa UODO.

II. Postępowanie.

5.

W związku z nieudzieleniem przez Przedsiębiorcę informacji niezbędnych do rozstrzygnięcia sprawy o sygn. DS.523.613.2025, Prezes UODO wszczął wobec Strony z urzędu - na podstawie art. 83 ust. 4 lit. a) i art. 83 ust. 5 lit. e) rozporządzenia 2016/679 - niniejsze postępowanie administracyjne o sygn. DKE.561.1.2026.(…) w przedmiocie nałożenia na Przedsiębiorcę administracyjnej kary pieniężnej za naruszenie art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679. O wszczęciu postępowania Strona poinformowana została pismem z 2 lutego 2026 r. Pismem tym Przedsiębiorca został wezwany, celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej w oparciu o art. 101a ust. 1 u.o.d.o., do przedstawienia informacji o osiągniętych przez niego dochodach za 2025 r. w postaci np. zeznania podatkowego PIT. Strona poinformowana została, na czym polega zarzucane mu naruszenie. Została również pouczona o sankcjach grożących za to naruszenie, a także o istniejącej nadal możliwości złożenia wyjaśnień, których żądał od niej Prezes UODO w postępowaniu o sygn. DS.523.613.2025, co mogłoby wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszej sprawie, bądź spowodować odstąpienie od jej nałożenia. Pismo to skierowane zostało na aktualny adres stałego miejsca wykonywania przez Przedsiębiorcę działalności gospodarczej. Przesyłki nie podjęto z placówki pocztowej.

6.

W toku prowadzonego postępowania o sygn. DKE.561.1.2026.(…) ustalono, że zachowanie Strony polegające na braku współpracy z Prezesem UODO oraz nieudzieleniu informacji niezbędnych do realizacji ustawowych zadań organu nadzorczego nie miało charakteru incydentalnego i ograniczonego wyłącznie do jednego postępowania administracyjnego. Zgromadzony materiał dowodowy wskazuje bowiem, że analogiczne zachowanie Strony wystąpiło również w innym postępowaniu prowadzonym przez Prezesa UODO, w ramach którego Strona nie zapewniła organowi dostępu do danych osobowych oraz informacji niezbędnych do wykonywania przez organ przysługujących mu kompetencji nadzorczych.

7.

W toczącym się przed Prezesem UODO postępowaniu administracyjnym o sygn. DS.523.853.2025, zainicjowanym skargą Pani S. C., zam. w U. (…)-(…) przy ul. (…), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez lekarza H. D. polegające na uzyskaniu 19 stycznia 2025 r. nieuprawnionego dostępu do danych osobowych Skarżącej zlokalizowanych na (…), Prezes UODO - pismami z 3 października 2025 r. oraz 27 listopada 2025 r. zwracał się o złożenie wyjaśnień w sprawie, w analogicznym zakresie jak w pkt. 2 ppkt 1-4 niniejszego uzasadnienia.

8.

Pisma Prezesa UODO skierowane na adres dla doręczeń, ujawniony w Centralnej Informacji i Ewidencji Działalności Gospodarczej, po dwukrotnej prawidłowej awizacji zostały zwrócone do Urzędu Ochrony Danych Osobowych z adnotacją: „zwrot nie podjęto w terminie”, przy czym należało uznać je - na podstawie art. 44 k.p.a. - za prawidłowo doręczone.

9.

W ocenie organu opisane w pkt 7-8 działania Strony, polegające na nieudzieleniu żądanych informacji oraz niezapewnieniu dostępu do danych osobowych i informacji wymaganych przez Prezesa UODO, wyczerpują znamiona naruszenia art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679, co uzasadnia objęcie ich zakresem niniejszego postępowania. W konsekwencji, ponieważ zachowanie Strony polegające na niezapewnieniu dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań, w zakresie przedmiotowym obejmowało podobne zachowanie - niniejsze postępowanie o sygn. DKE.561.1.2026.(…) zostało rozszerzone o okoliczności zachowania Strony w postępowaniu o sygn. DS.523.853.2025.

10.

O rozszerzeniu postępowania o sygn. DKE.561.1.2026.(…) Przedsiębiorca poinformowany został pismem z 20 lutego 2026 r. Przesyłki nie podjęto z placówki pocztowej.

11.

Wobec nieskuteczności doręczenia korespondencji za pośrednictwem operatora pocztowego, organ podjął czynności zmierzające do nawiązania kontaktu ze Stroną drogą elektroniczną. W następstwie tego Strona przekazała wyjaśnienia odnoszące się do przedmiotu postępowania o sygn. DS.523.613.2025 (data wpływu do organu nadzorczego 15 kwietnia 2026 r.) a następnie także w postępowaniu o sygn. DS.523.853.2025 (data wpływu do organu nadzorczego 19 maja 2026 r.). Wyjaśnienia te zostały włączone do materiału dowodowego i uwzględnione w toku rozstrzygania tych spraw.

12.

Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

III. Przepisy prawne.

13.

Zgodnie z art. 57 ust. 1 lit. a) rozporządzenia 2016/679 Prezes UODO, jako organ nadzorczy w rozumieniu art. 51 rozporządzenia 2016/679, na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO m. in. prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego (art. 57 ust. 1 lit. h) rozporządzenia 2016/679).

14.

Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a) rozporządzenia 2016/679) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e) rozporządzenia 2016/679).

15.

Naruszenie przepisów rozporządzenia 2016/679, skutkujące naruszeniem uprawnień organu określonych w art. 58 ust. 1, podlega - zgodnie z art. 83 ust. 5 lit. e) rozporządzenia 2016/679 - administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

16.

Dodatkowo zarówno administrator, jak i podmiot przetwarzający obowiązani są na żądanie organu nadzorczego współpracować z nim w ramach wykonywania przez niego jego zadań, o czym stanowi art. 31 rozporządzenia 2016/679. Niewywiązanie się z tego obowiązku zagrożone jest, zgodnie z art. 83 ust. 4 lit. a) rozporządzenia 2016/679, administracyjną karą pieniężną w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

17.

Prezesowi UODO przysługuje ponadto szereg określonych w art. 58 ust. 2 rozporządzenia 2016/679 uprawnień naprawczych, w tym prawo udzielenia upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów rozporządzenia 2016/679 przez operacje przetwarzania. Zgodnie z motywem 148 rozporządzenia 2016/679, aby egzekwowanie jego przepisów było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne - oprócz lub zamiast odpowiednich środków nakładanych na mocy rozporządzenia 2016/679 przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte przez administratora dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.

18.

Stosownie do art. 60 u.o.d.o. postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa UODO. Z kolei art. 7 ust. 1 u.o.d.o. stanowi, że w sprawach nieuregulowanych w tej ustawie do postępowań administracyjnych przed Prezesem UODO (w tym w postępowaniach w przedmiocie nałożenia administracyjnej kary pieniężnej, o których mowa w Rozdziale 11 u.o.d.o.) stosuje się przepisy k.p.a. Zgodnie z art. 7 ust. 2 u.o.d.o. postępowania te są postępowaniami jednoinstancyjnymi.

19.

W myśl art. 44 k.p.a., w razie niemożności doręczenia pisma w sposób wskazany w art. 42 i 43 k.p.a., operator pocztowy w rozumieniu ustawy z dnia 23 listopada 2012 r. Prawo pocztowe przechowuje pismo przez okres 14 dni w swojej placówce pocztowej - w przypadku doręczania pisma przez operatora pocztowego (§ 1). Zawiadomienie o pozostawieniu pisma wraz z informacją o możliwości jego odbioru w terminie siedmiu dni, licząc od dnia pozostawienia zawiadomienia w miejscu określonym w § 1, umieszcza się w oddawczej skrzynce pocztowej lub, gdy nie jest to możliwe, na drzwiach mieszkania adresata, jego biura lub innego pomieszczenia, w którym adresat wykonuje swoje czynności zawodowe, bądź w widocznym miejscu przy wejściu na posesję adresata (§ 2). W przypadku niepodjęcia przesyłki w tym terminie, pozostawia się powtórne zawiadomienie o możliwości odbioru przesyłki w terminie nie dłuższym niż czternaście dni od daty pierwszego zawiadomienia (§ 3). Doręczenie uważa się za dokonane z upływem 14 dnia od daty pierwszej próby doręczenia a pismo pozostawia się w aktach sprawy (§ 4).

IV. Ocena prawna.

20.

Odnosząc przytoczone powyżej przepisy rozporządzenia 2016/679 do ustalonego w niniejszej sprawie stanu faktycznego stwierdzić należy, że Strona postępowania o sygn. DS.523.613.2025 oraz DS.523.853.2025, poprzez brak udzielenia odpowiedzi na wezwania Prezesa UODO do złożenia wyjaśnień, naruszyła obowiązek współpracy z organem nadzorczym oraz obowiązek zapewnienia Prezesowi UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań, to jest obowiązki wynikające z art. 31 oraz z art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679. W tym przypadku informacje istotne dla dalszego kierunku postępowania stanowiły wszelkie dane dotyczące okoliczności przetwarzania danych osobowych Skarżących w obu prowadzonych przez organ postępowaniach. Uniemożliwienie uzyskania dostępu do ww. informacji, których Prezes UODO żądał od Strony, a które niewątpliwie były w jej posiadaniu, stało na przeszkodzie wszechstronnemu i terminowemu rozpatrzeniu sprawy, skutkując nieuzasadnionym przedłużaniem postępowania, co naruszyło z kolei podstawowe zasady rządzące postępowaniem administracyjnym - określone w art. 12 ust. 1 k.p.a. zasady wnikliwości i szybkości postępowania.

21.

W toku postępowania skargowego o sygn. DS.523.613.2025, jak również DS.523.853.2025 Prezes UODO wzywał Stronę do przedłożenia informacji niezbędnych do dokonania oceny zasadności podnoszonych przez Skarżących zarzutów, dotyczących nieprawidłowości przetwarzania ich danych osobowych. Żadne z wystosowanych do Strony pism nie doczekało się odpowiedzi. Okoliczność doręczenia jednej z wystosowanych korespondencji (w postępowaniu o sygn. DS.523.613.2025 - wezwanie z 26 sierpnia 2025 r.) uzasadnia tymczasem przekonanie, że Strona miała obiektywną możliwość zapoznania się z jej treścią oraz udzielenia na nią odpowiedzi w zakreślonym przez organ nadzorczy terminie. Dopiero kontakt za pośrednictwem poczty elektronicznej skłonił Stronę do pojęcia współpracy z organem nadzorczym. Opisywane zaniechanie Strony, bezsporne wobec zgromadzonego w niniejszej sprawie materiału dowodowego, spowodowało konieczność wszczęcia niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej, w którego rezultacie dopiero Strona udzieliła żądanych wyjaśnień - co pozwoliło Prezesowi UODO na dalsze prowadzenie czynności w sprawie o sygn. DS.523.613.2025, jak również DS.523.853.2025.

22.

W świetle powyższych ustaleń nie budzi wątpliwości fakt, że Strona swoim zachowaniem dopuściła się naruszenia przepisów rozporządzenia 2016/679. Brak odbioru korespondencji przez Stronę nie zdejmuje z niej odpowiedzialności za stwierdzone zaniechanie. Wynika to z faktu, że to na Stronie spoczywa ciężar zapewnienia takiego obiegu korespondencji, który zezwoli na efektywne oraz terminowe wywiązywanie się z nałożonych na nią obowiązków, w tym również obowiązków wynikających z przepisów o ochronie danych osobowych. Ryzyko organizacyjne związane z funkcjonowaniem wewnętrznego obiegu dokumentów obciąża wyłącznie Stronę i nie może być przerzucane na inne podmioty ani prowadzić do ograniczenia skuteczności obowiązujących przepisów prawa. W konsekwencji brak odbioru korespondencji z placówki pocztowej, niezależnie od jego przyczyn, pozostaje bez wpływu na ocenę zachowania Strony w niniejszej sprawie, albowiem okoliczność ta wynika wyłącznie z nieprawidłowej organizacji procesu odbioru korespondencji i nie może stanowić usprawiedliwienia dla niewykonania lub nieterminowego wykonania ciążących na niej obowiązków.

23.

Mimo oczywistego zaniedbania po stronie Przedsiębiorcy, Prezes UODO stanął na stanowisku, że stwierdzone naruszenie, polegające na braku współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań oraz niezapewnieniu Prezesowi UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań - jakkolwiek naganne - zostało przez Stronę usunięte jeszcze w trakcie trwania niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej, tj. z chwilą wpłynięcia do UODO wyjaśnień w obu prowadzonych przez organ postępowań skargowych. Składając szczegółowe wyjaśnienia Strona wykazała aktywną postawę oraz gotowość do dalszej współpracy z organem nadzorczym w celu wszechstronnego wyjaśnienia wysuwanych pod jej adresem zarzutów. Prowadzi to do wniosku, że brak odpowiedzi Strony na wezwania Prezesa UODO nie wynikał ze złej woli i nie miał na celu świadomego utrudniania prowadzonego przez organ nadzorczy postępowania. W ocenie Prezesa UODO, samo już wszczęcie postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej oraz realna perspektywa wymierzenia kary finansowej stały się dla Strony wyraźnym sygnałem tego, iż dalsze uchylanie się od obowiązków nałożonych przepisami rozporządzenia 2016/679, nieuchronnie prowadziło będzie do zastosowania wobec niej najsurowszej, przewidzianej tymi przepisami sankcji.

24.

Mając powyższe na uwadze, Prezes UODO uznał za uzasadnione udzielenie Stronie upomnienia w zakresie stwierdzonego naruszenia art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, przyjmując jednocześnie, że w świetle kryteriów określonych w art. 83 ust. 2 rozporządzenia 2016/679 będzie ono skuteczne i wystarczające. Należy jednak zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec Strony będzie uwzględnione przy ocenie przesłanek warunkujących zasadność wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 rozporządzenia 2016/679 i poczytywane będzie na jego niekorzyść.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął jak w sentencji niniejszej decyzji.