Decyzja DKE.561.4.2026

: Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691), art. 7 ust. 1 i 2, art. 60 i art. 101 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 ze zm.) oraz art. 57 ust. 1 lit. a), art. 58 ust. 2 lit. i), art. 83 ust. 1-2 i art. 83 ust. 6 w związku z art. 58 ust. 2 lit. d) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2, oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35),

: po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie nałożenia na pana B. E., zam.: ul. (…), (…)-(…) W., administracyjnej kary pieniężnej, Prezes Urzędu Ochrony Danych Osobowych,

: stwierdzając niewykonanie przez pana B. E., zam. ul. (…), (…)-(…) W., nakazu decyzji administracyjnej Prezesa Urzędu Ochrony Danych Osobowych z 21 października 2025 r. o sygn. DS.523.6546.2024.(…),

: nakłada na niego administracyjną karę pieniężną w kwocie 26 711 zł (słownie: dwadzieścia sześć tysięcy siedemset jedenaście złotych).

Uzasadnienie

I. Stan faktyczny

1.

Prezes Urzędu Ochrony Danych Osobowych, zwany dalej: „Prezesem UODO”, decyzją administracyjną z 21 października 2025 r. o sygn. DS.523.6546.2024.(…), zwaną dalej: „Decyzją nakazującą”, działając na podstawie art. 58 ust. 2 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 21 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2, oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) (zwanego dalej „rozporządzeniem 2016/679”), nakazał panu B. E. zam. ul. (…), (…)-(…) W. (zwanemu dalej również: „Administratorem” lub „Zobowiązanym”), zaprzestania przetwarzania danych osobowych następujących osób (zwanych dalej łącznie „Skarżącymi”):

1)

C. R. (2) (zam. w W. przy ul. (…)) i reprezentowanych przez niego:

–: P. F. (zam. w W. przy ul. (…)),

–: O. S. (zam. w W. przy ul. (…)),

–: F. E. i X. I. (zam. w W. przy ul. (…)),

–: T. J. (zam. w W. przy ul. (…)),

–: U. F. (zam. w W. przy ul. (…)),

–: W. W. (zam. w W. przy ul. (…)),

–: R. J. (zam. w W. przy ul. (…)),

2): C. K., B. K. i E. K. (zam. w W. przy ul. (…)),

3): W. B. (zam. w W. przy ul. (…)),

4): G. K. i C. K. (2) (zam. w W. przy ul. (…)),

5): E. I. (2) i E. I. (zam. w W. przy ul. (…)),

6): G. J. (zam. w W. przy ul. (…)),

7): I. J. (zam. w W. przy ul. (…)),

8): A. C., F. C., I. C. i I. K. (zam. w W. przy ul. (…)),

9): B. B., C. B. i J. B. (zam. w W. przy ul. (…)),

10): W. I. (zam. w W. przy ul. (…)) i C. R. (zam. w W. przy ul. (…)),

11): C. S. (zam. w W. przy ul. (…)),

12): H. E. (zam. w W. przy ul. (…)),

: w zakresie wizerunku oraz głosu, za pomocą monitoringu wizyjnego wykraczającego poza granice należącej do niego nieruchomości, w tym obejmującego drogę publiczną oraz nieruchomości Skarżących.

: Decyzję nakazującą skierowano na adres zamieszkania pana B. E., wskazany przez Skarżących, tj. na adres: ul. (…), (…)-(…) W., będący także adresem nieruchomości, na której zainstalowane zostały przez niego urządzenia monitoringu wizyjnego wykraczającego poza jej granice, w tym obejmującego drogę publiczną oraz nieruchomości Skarżących. Po dwukrotnej bezskutecznej awizacji pismo zwrócono do UODO, przy czym w oparciu o przepis art. 44 § 4 k.p.a., zostało uznane za doręczone panu B. E. z dniem 7 listopada 2025 r.

2.: Pan B. E. nie wniósł na Decyzję nakazującą skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w związku z czym stała się ona prawomocna 9 grudnia 2025 r.

3.: Celem ustalenia, czy nałożony Decyzją nakazującą obowiązek został przez pana B. E. wykonany, Prezes UODO pismem z 10 grudnia 2025 r. o sygn. DKE.560.277.2025.(…) wezwał go do złożenia wyjaśnień w tym zakresie i przedstawienia dowodów na wykonanie nakazu sformułowanego w tej decyzji. Pismo do pana B. E. skierowane zostało na adres: ul. (…), (…)-(…) W., to jest na adres jego miejsca zamieszkania. Pismem tym pan B. E. pouczony został także, że stwierdzenie nieprzestrzegania nakazu nałożonego przez Prezesa UODO skutkować może nałożeniem na niego administracyjnej kary pieniężnej, zgodnie z art. 83 ust. 6 rozporządzeniem 2016/679. Pismo, po dwukrotnej awizacji 15 grudnia 2025 r. i 23 grudnia 2025 r., nie zostało odebrane przez adresata i wróciło do nadawcy z adnotacją „ZWROT nie podjęto w terminie”, wobec czego w oparciu o przepis art. 44 § 4 k.p.a. zostało uznane za doręczone panu B. E. z dniem 29 grudnia 2025 r.

4.: W związku z brakiem odpowiedzi na ww. wezwanie, pismem z 21 stycznia 2026 r. o sygn. DKE.560.277.2025.(…) skierowane zostało do pana B. E. upomnienie, o którym mowa w art. 15 § 1 ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. z 2026 r., poz. 268 ze zm.). Pismem tym Prezes UODO wezwał pana B. E. do wykonania nakazu Decyzji nakazującej i do udokumentowania jego wykonania pod groźbą skierowania sprawy na drogę egzekucji administracyjnej. Pismo wysłane zostało na wyżej wskazany adres zamieszkania pana B. E.. Po dwukrotnej awizacji 27 stycznia 2026 r. i 4 lutego 2026 r. pismo zostało zwrócone do nadawcy z adnotacją „ZWROT nie podjęto w terminie”, wobec czego - na podstawie art. 44 § 4 k.p.a. - zostało uznane za doręczone adresatowi w dniu 10 lutego 2026 r. Pan B. E. nie udzielił Prezesowi UODO odpowiedzi na upomnienie i nie przedstawił żadnych dowodów potwierdzających wykonanie Decyzji nakazującej.

5.: W dniu 28 grudnia 2025 r. do Urzędu Ochrony Danych Osobowych wpłynęła „skarga” jednego ze Skarżących - pana C. R. (2) - „na dalsze niezgodne z prawem przetwarzanie danych osobowych poprzez monitoring wizyjny pomimo wydania decyzji Prezesa UODO”. Pismem tym Skarżący poinformował Prezesa UODO, że „[p]omimo wydania powyższej decyzji oraz upływu terminu na jej wykonanie, administrator danych nie zastosował się do jej treści. Monitoring, który został przez funkcjonariuszy policji zdjęty, pan B. E. ponownie zamontował kamery, które nadal obejmuje obszary, które nie należą do jego posesji, w tym nasze nieruchomości oraz przestrzeń publiczną” [pisownia oryginalna]. Do swojego pisma Skarżący dołączył dokumentację fotograficzną wskazującą na nieprzestrzeganie przez pana B. E. nakazu Decyzji nakazującej.

6.: W dniu 28 grudnia 2025 r. w serwisie https://(…), na kanale (…), opublikowany został materiał zatytułowany „(…)”.^[1] W materiale tym zarówno pan C. R. (2), jak i inni Skarżący, wskazują, że pan B. E. nadal - już po wydaniu przez Prezesa UODO Decyzji nakazującej - monitoruje otoczenie swojej nieruchomości, nagrywa swoich sąsiadów i wykorzystuje nagrania z monitoringu w kolejnych zgłoszeniach do organów ścigania.

II. Postępowanie

7.: Biorąc pod uwagę okoliczności ustalone w trakcie postępowania w sprawie sprawdzenia wykonania nakazu Decyzji nakazującej, Prezes UODO, pismem z 4 marca 2026 r. o sygn. DKE.561.4.2026.(…), wszczął postępowanie administracyjne w przedmiocie nałożenia na pana B. E. administracyjnej kary pieniężnej za nieprzestrzeganie nakazu nałożonego przez organ nadzorczy - na podstawie art. 58 ust. 2 lit. c rozporządzenia 2016/679 - decyzją z 21 października 2025 r. wydaną w sprawie o sygn. DS.523.6546.2024.(…).

8.: Pismo informujące o wszczęciu niniejszego postępowania wysłane zostało do pana B. E. na adres jego zamieszkania, tj. na adres: ul. (…), (…)-(…) W.. W treści pisma zawarte było pouczenie, że nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy podlega administracyjnej karze pieniężnej w wysokości do 20 000 000 euro, na podstawie art. 83 ust. 6 rozporządzenia 2016/679.

9.: Pismem z 4 marca 2026 r. Prezes UODO wezwał równocześnie pana B. E. - celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej w niniejszym postępowaniu - do przedstawienia informacji o osiągniętych przez niego dochodach za rok 2025., w postaci np. kopii informacji podatkowej PIT-11, kopii zeznania podatkowego PIT-36 lub PIT-37 lub - w przypadku braku tych lub podobnych dokumentów podatkowych - oświadczenia o osiągniętych w tym okresie przychodach i dochodach. Organ pouczył także pana B. E., że może on przedstawić również inne informacje o swojej sytuacji finansowej, czy o stanie majątkowym, które mogą być istotne dla wymierzenia kary w wysokości proporcjonalnej do możliwości jej uiszczenia przez niego. Prezes UODO poinformował ponadto pana B. E., że nieprzedstawienie tego rodzaju dokumentów i informacji skutkować będzie ustaleniem przez Prezesa UODO podstawy wymiaru kary w sposób szacunkowy - na podstawie art. 101a ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 ze zm.), zwanej dalej: „u.o.d.o.”.

10.: Jednocześnie Prezes UODO poinformował pana B. E., że jeżeli udzieli on - terminie 14 dni od dnia doręczenia pisma - wyczerpujących wyjaśnień, o udzielenie których zwrócił się do niego Prezes UODO pismem z 10 grudnia 2025 r., oraz przedstawi dowody wykonania Decyzji nakazującej, okoliczność ta może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszym postępowaniu lub też może spowodować odstąpienie od jej nałożenia.

11.: Pismo z 4 marca 2026 r. informujące o wszczęcia niniejszego postępowania, po dwukrotnej awizacji 10 marca 2026 r. i 18 marca 2026 r., zostało zwrócone do Urzędu Ochrony Danych Osobowych z adnotacją „ZWROT nie podjęto w terminie”, wobec czego na podstawie art. 44 § 4 k.p.a., zostało uznane za doręczone panu B. E. w dniu 24 marca 2026 r.

12.: Do dnia wydania niniejszej decyzji pan B. E. nie odpowiedział na żadne z kierowanych do niego, zarówno w postępowaniu sprawdzającym wykonanie decyzji o sygn. DKE.560.277.2025.(…), jak i w niniejszym postępowaniu o sygn. DKE.561.4.2026.(…), pism Prezesa UODO. Nie przedstawił też żadnych dowodów potwierdzających wykonanie nakazu Decyzji nakazującej.

: Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie Prezes UODO zważył, co następuje.

III. Przepisy

13.: Zgodnie z art. 60 u.o.d.o. postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa UODO. Z kolei art. 7 ust. 1 u.o.d.o. stanowi, że w sprawach nieuregulowanych w tej ustawie do postępowań administracyjnych przed Prezesem UODO (w tym w postępowaniach w przedmiocie nałożenia administracyjnej kary pieniężnej, o których mowa w Rozdziale 11 u.o.d.o.) stosuje się przepisy k.p.a. Zgodnie z art. 7 ust. 2 u.o.d.o. postępowania te są postępowaniami jednoinstancyjnymi.

14.: Stosownie do art. 57 ust. 1 rozporządzenia 2016/679, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium (w tym Prezes UODO na terytorium Rzeczypospolitej Polskiej) między innymi monitoruje i egzekwuje stosowanie rozporządzenia (art. 57 ust. 1 lit. a) oraz prowadzi postępowania w sprawie jego stosowania (art. 57 ust. 1 lit. h).

15.: Dla umożliwienia realizacji tak określonych zadań, Prezesowi UODO przysługuje szereg uprawnień naprawczych określonych w art. 58 ust. 2 rozporządzenia 2016/679. Przepis art. 58 ust. 2 lit i) rozporządzenia 2016/679 daje Prezesowi UODO uprawnienie do zastosowania, oprócz lub zamiast innych środków, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679, administracyjnej kary pieniężnej na podstawie art. 83 tego aktu prawnego.

16.: Zgodnie z art. 83 ust. 6 rozporządzenia 2016/679 nieprzestrzeganie nakazu orzeczonego na podstawie art. 58 ust. 2 tego rozporządzenia podlega administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

17.: Na podstawie wyrażonej w art. 5 ust. 2 rozporządzenia 2016/679 zasady rozliczalności administrator jest odpowiedzialny za przestrzeganie zasad określonych w ust. 1 tego przepisu (w tym - zgodnie z tzw. zasadą legalności - za przetwarzanie danych osobowych „zgodnie z prawem”) i musi być w stanie wykazać ich przestrzeganie. Zastosowanie zasady rozliczalności w niniejszej sprawie oznacza, że Przedsiębiorca zobowiązany jest - w szczególności w postępowaniu przed Prezesem UODO - udowodnić wykonanie nakazu decyzji, które to wykonanie byłoby równoznaczne z przywróceniem przetwarzania przez niego danych osobowych do stanu zgodnego z prawem. Takie implikacje zasady rozliczalności potwierdza doktryna prawa ochrony danych osobowych, zgodnie z którą: „Stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać można jako nałożenie na administratora ciężaru dowodowego w zakresie przestrzegania zasad przetwarzania danych osobowych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad. Dowodami takimi mogą być przede wszystkim dokumenty dotyczące przetwarzania i ochrony danych.” (P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2018).

18.

Oceniając czy, a jeśli tak, to w jakim wymiarze powinna być nałożona administracyjna kara pieniężna, organ nadzorczy ma obowiązek uwzględnić następujące okoliczności (przesłanki wymiaru kary) określone w art. 83 ust. 2 rozporządzenia 2016/679:

a): charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody;

b): umyślny lub nieumyślny charakter naruszenia;

c): działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;

d): stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32;

e): wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego;

f): stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków;

g): kategorie danych osobowych, których dotyczyło naruszenie;

h): sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie;

i): jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków;

j): stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42;

k): wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięto straty.

19.: Ponadto organ nadzorczy, zgodnie z art. 83 ust. 1 rozporządzenia 2016/679, zapewnia by stosowane administracyjne kary pieniężne były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.

20.: Celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej podmiot wobec, którego toczy się postępowanie zobowiązany jest na żądanie Prezesa UODO dostarczyć mu w terminie 30 dni od dnia doręczenia żądania danych niezbędnych do określenia tejże podstawy (art. 101 art. 1 u.o.d.o). Natomiast, w przypadku niedostarczenia tych danych przez podmiot podlegający ukaraniu, Prezes UODO ustala podstawę wymiaru administracyjnej kary pieniężnej w sposób szacunkowy, uwzględniając wielkość podmiotu, specyfikę prowadzonej przez niego działalności lub ogólnodostępne dane finansowe dotyczące podmiotu (art. 101a ust. 2 u.o.d.o.).

21.: Zgodnie z art. 103 u.o.d.o. równowartość wyrażonych w euro kwot, o których mowa w art. 83 rozporządzenia 2016/679, oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku, gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia - według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego.

IV. Ocena prawna

22.: Materiał dowodowy zebrany w sprawie obejmuje całokształt korespondencji wymienianej między Prezesem UODO a Administratorem w toku postępowania sprawdzającego o sygn. DKE.560.277.2025.(…). Obrazuje on próbę uzyskania przez Prezesa UODO od pana B. E. informacji o wykonaniu nakazu (pismo z 10 grudnia 2025 r. - zob. pkt 3 uzasadnienia niniejszej decyzji) oraz próbę doprowadzenia do dobrowolnego wykonania przez Zobowiązanego tego nakazu (upomnienie z 21 stycznia 2026 r. - zob. pkt 4 uzasadnienia niniejszej decyzji). W materiale dowodowym znajduje się również pismo Prezesa UODO z 4 marca 2026 r. (zob. pkt 7-10 uzasadnienia niniejszej decyzji) informujące pana B. E. o wszczęciu niniejszego postępowania w przedmiocie nałożenia na niego administracyjnej kary pieniężnej, która to kara ze swej istoty ma mieć charakter dyscyplinujący i naprawczy - w niniejszej sprawie ma na celu przede wszystkim doprowadzić do wykonania nakazu Decyzji nakazującej (i wykazanie tego przed Prezesem UODO). W związku z tym, że oba postępowania, zarówno postępowanie sprawdzające wykonanie Decyzji nakazującej (sygn. DKE.560.277.2025.(…)), jak niniejsze postępowanie w przedmiocie nałożenia kary za niewykonanie nakazu Decyzji nakazującej (sygn. DKE.561.4.2026.(…)), miały formę wyłącznie pisemną, pisma te obrazują w pełni (w sposób wyczerpujący) zarówno fakt skierowania do Zobowiązanego żądania wykonania nakazu Decyzji nakazującej oraz żądania udowodnienia tej okoliczności, jak i fakt niewywiązania się przez pana B. E. z tych obowiązków. Powyższe nie tylko pozwalało, ale i zobowiązywało Prezesa UODO, w stanie faktycznym istniejącym na dzień wydania niniejszej decyzji, do przyjęcia, że Decyzja nakazująca nie została przez pana B. E. wykonana.

23.: W tym miejscu zauważyć należy po pierwsze, że charakter nałożonego na pana B. E. - w Decyzji nakazującej - obowiązku (usunięcie z systemu monitoringu wszystkich danych osobowych powyżej wskazanych osób w zakresie ich wizerunków i głosów oraz niemonitorowania ich w przyszłości) determinuje sposób ustalenia jego wykonania w postępowaniu przed Prezesem UODO w tym sensie, że musi ono nastąpić z udziałem pana B. E.. Tylko Zobowiązany dysponuje bowiem systemem monitoringu za pomocą, którego pozyskuje on w sposób nieuprawniony dane ww. osób i tylko on może wywiązać się obowiązku na niego nałożonego przez Prezesa UODO, wskazując datę i sposób dokonania trwałego usunięcia danych, sposób dokonania odpowiednich czynności oraz przedstawienia dowodu na ich dokonanie. Usunięcie danych osobowych miało bowiem nastąpić z wewnętrznych zasobów Zobowiązanego, tj. z jego systemu monitoringu, do których - co oczywiste - Prezes UODO nie ma w żaden sposób dostępu.

24.: Po drugie natomiast, poza wyżej wskazanym praktycznym aspektem kwestii wykazania wykonania nakazu Decyzji nakazującej, zauważyć i podkreślić należy również ciążący na Zobowiązanym, a wynikający ze sformułowanej w art. 5 ust. 2 rozporządzenia 2016/679 zasady „rozliczalności”, obowiązek prawny wykazania przestrzegania podstawowych zasad przetwarzania danych osobowych, wśród których znajduje się zasada „zgodności z prawem” przetwarzania danych osobowych (art. 5 ust. 1 lit. a) rozporządzenia 2016/679). Nie powinno budzić żadnych wątpliwości, że „zgodność z prawem”, o której mówi powołana zasada, oznacza również zgodność z prawomocnymi orzeczeniami Prezesa UODO, które to orzeczenia mają charakter „naprawczy” - mają na celu przywrócenie stanu zgodnego z prawem. Na taki charakter uprawnień Prezesa UODO (w tym uprawnienia do nakazania administratorowi dostosowania operacji przetwarzania do przepisów rozporządzenia 2016/679) wskazuje wprost przepis art. 58 ust. 2 tego aktu prawnego, mówiąc o jego „uprawnieniach naprawczych”. W wymiarze procesowym z zasady „rozliczalności” wywieść należy zasadę, zgodnie z którą ciężar udowodnienia wykonania nakazu Prezesa UODO (czy inaczej, zgodnie z terminologią zastosowaną w art. 83 ust. 6 rozporządzenia 2016/679, przestrzegania „nakazu orzeczonego przez organ nadzorczy”) spoczywa na adresacie tego nakazu - w niniejszej sprawie na Administratorze. W konsekwencji więc, w sytuacji gdy adresat nakazu decyzji nie wykaże - prawidłowo wezwany do tego - wykonania nałożonego na niego obowiązku, przyjąć należy, że obowiązek ten nie został przez niego wykonany.

25.: Współodpowiedzialność strony za przebieg postępowania dowodowego oraz konsekwencje braku jej współpracy z organem administracyjnym w ustalaniu stanu faktycznego sprawy podkreślają doktryna prawa administracyjnego oraz orzecznictwo sądów administracyjnych, co przedstawia poniższy wywód.

26.: „Z art. 7 wynika, że organ administracji nie może ograniczyć się do oczekiwania na przedstawienie przez stronę dowodów potwierdzających jej żądanie, ale że powinien aktywnie dążyć do wyjaśnienia sprawy (zob. np. wyrok NSA z 17 maja 1994 r., SA/Lu 1921/93, LEX nr 26517; wyrok NSA z 4 czerwca 1998 r., I SA/Kr 1052/97, LEX nr 33618; wyrok NSA z 25 czerwca 1999 r., I SA 1551/98, LEX nr 48556). Nie wyklucza to obowiązku strony współprzyczynienia się do zapewnienia pełnego i wyczerpującego zebrania i rozpatrzenia materiału dowodowego - w drodze złożenia wyjaśnień lub przytoczenia innych dowodów w sprawie (wyrok NSA z 4 grudnia 1996 r., SA/Ld 2620/95, LEX nr 27407). W orzecznictwie wskazuje się wręcz, że ciążąca na organach powinność zbadania wszystkich okoliczności istotnych w sprawie w żaden sposób nie może usprawiedliwiać bierności zainteresowanej strony oraz nie zwalnia jej z obowiązku współdziałania z organem w wyjaśnieniu sprawy (wyrok NSA z 16 kwietnia 2019 r., I OSK 1711/17). Na stronie postępowania administracyjnego ciąży obowiązek udowodnienia okoliczności, na podstawie których wywodzi korzystne dla siebie skutki prawne (wyrok NSA z 29 września 2020 r., II OSK 1452/20, LEX nr 3075574). Tak więc strona powinna przekazać organowi dowody dotyczące okoliczności, których wykazanie leży w jej interesie, pod rygorem negatywnych dla niej skutków procesowych. [...] Strona nie może ograniczać się do formułowania twierdzeń co do okoliczności faktycznych oczekując, że to organ ma w takim wypadku obowiązek poszukiwania dowodów, by te twierdzenia wykazać. Obowiązek gromadzenia i poszukiwania dowodów, spoczywający na organach administracji, nie może być uznany za nieograniczony. Nie sposób żądać, aby organy poszukiwały dowodów w nieskończoność, albo podejmowały szczególne dochodzenie w celu wykrycia dowodów, o których istnieniu nic nie wiadomo, albo których odnalezienie jest wyjątkowo mało prawdopodobne z uwagi na upływ czasu.” (P. M. Przybysz [w:] Kodeks postępowania administracyjnego. Komentarz aktualizowany, LEX/el. 2024, art. 7., https://sip.lex.pl/#/commentary/587751055/754389/przybysz-piotr-marek-kodeks-postepowania-administracyjnego-komentarz-aktualizowany?cm=URELATIONS).

27.: Warta przywołania w tym miejscu jest ponadto teza wyroku Naczelnego Sądu Administracyjnego z 29 czerwca 2018 r., I OSK 274/18, zgodnie z którą „[rjealizując zasadę prawdy obiektywnej (art. 7 k.p.a. i art. 77 § 1 k.p.a.) organ jest wprawdzie zobowiązany do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego, jednakże strona nie jest zwolniona od obowiązku współdziałania w wyjaśnianiu okoliczności faktycznych sprawy. Powinna ona bowiem przedstawić w sprawie wszystkie informacje niezbędne do ustalenia jej stanu faktycznego, jak również wskazać dowody mające, jej zdaniem, znaczenie w sprawie i udostępnić dowody znajdujące się w jej posiadaniu” (Lex nr 2542783). W takim jak niniejsze szczególnym postępowaniu, którego przedmiotem jest ocena wykonania nakazu polegającego na dokonaniu operacji w wewnętrznych zasobach (bazach danych) administratora, teza powyższa ma - w ocenie Prezesa UODO - szczególne zastosowanie.

28.: Podsumowując powyższe stwierdzić należy, że pan B. E. - jako administrator danych osobowych Skarżących i jako adresat Decyzji nakazującej - nie wykazał w żaden sposób wykonania nakazu tej decyzji, pomimo kierowanych do niego przez Prezesa UODO wezwań poprzedzających wszczęcie niniejszego postępowania. To pozwala stwierdzić, że Zobowiązany nie wykonał nakazu skierowanej do niego decyzji administracyjnej Prezesa UODO o sygn. DS.523.6546.2024.(…), czym naruszył przepis art. 58 ust. 2 lit. d) rozporządzenia 2016/679. Zaistniały więc w ocenie Prezesa UODO przesłanki uzasadniające nałożenie na pana B. E. - na mocy art. 83 ust. 6 rozporządzenia 2016/679 - administracyjnej kary pieniężnej w związku z nieprzestrzeganiem nakazu orzeczonego na podstawie art. 58 ust. 2 rozporządzenia 2016/679.

V. Przesłanki wymiaru administracyjnej kary pieniężnej

29.: Stosownie do treści art. 83 ust. 2 rozporządzenia 2016/679 administracyjne kary pieniężne nakłada się zależnie od okoliczności każdego indywidualnego przypadku. Zwraca się przy tym w każdym przypadku na szereg okoliczności wymienionych w punktach od a) do k) wskazanego wyżej przepisu. Decydując o nałożeniu w niniejszej sprawie na Administratora administracyjnej kary pieniężnej oraz ustalając jej wysokość, Prezes UODO wziął - spośród nich - pod uwagę następujące okoliczności wpływające obciążająco na ocenę naruszenia (zob. pkt 30-44 uzasadnienia niniejszej decyzji):

Charakter, waga i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody (art. 83 ust. 2 lit. a) rozporządzenia 2016/679).

30.: Naruszenie podlegające administracyjnej karze pieniężnej w niniejszym postępowaniu (nieprzestrzeganie nakazu orzeczonego przez Prezesa UODO na podstawie art. 58 ust. 2 rozporządzenia 2016/679) godzi w system mający na celu ochronę jednego z podstawowych praw osoby fizycznej, jakim jest prawo do ochrony jej danych osobowych, czy też szerzej - do ochrony jej prywatności. Istotnym elementem tego systemu, którego ramy określone zostały przepisami rozporządzenia 2016/679, są organy nadzorcze, na które nałożone zostały zadania związane z ochroną i egzekwowaniem praw osób fizycznych w tym zakresie. W celu umożliwienia realizacji tych zadań organy nadzorcze wyposażone zostały w szereg uprawnień naprawczych, które zostały wymienione z art. 58 ust. 2 rozporządzenia 2016/679. Lekceważenie przez Administratora orzeczonego wobec niego przez Prezesa UODO nakazu, będącego w istocie skonkretyzowaniem obowiązku przewidzianego przepisami rozporządzenia 2016/679, oznacza lekceważenie przepisów o ochronie danych osobowych i roli Prezesa UODO w systemie ochrony danych określonym przepisami rozporządzenia 2016/679.

31.: Wagę ocenianego w niniejszej sprawie naruszenia (w wymiarze abstrakcyjnym, oderwanym od realiów niniejszej sprawy) podkreśla sam unijny prawodawca, który zaliczył je do kategorii naruszeń zagrożonych karą wyższą z dwóch przewidzianych w rozporządzeniu 2016/679 - z maksymalną wysokością do 20 000 000 euro lub - w przypadku przedsiębiorstwa - do 4% ich obrotu z poprzedniego roku obrotowego. Oceniając naruszenia rozporządzenia 2016/679 jedynie miarą wysokości ich zagrożenia sankcją finansową, stwierdzić więc należy, że nie ma w tym akcie prawnym naruszeń „poważniejszych” - zagrożonych wyższym wymiarem kary.

32.: W wymiarze indywidualnym (w okolicznościach tej konkretnej sprawy) na wagę naruszenia obciążający wpływ mają charakter, zakres i cel przetwarzania dokonywanego przez Administratora wbrew nakazowi Decyzji nakazującej. Stwierdzić należy przede wszystkim, że przetwarzanie polegające na monitorowaniu skarżących za pomocą monitoringu wizyjnego wykraczającego poza należącą do niego nieruchomość jest działaniem bezprawnym, skoro w Decyzji nakazującej Prezes UODO nakazał jego zaprzestania. Zakres tego przetwarzania, pomimo jego lokalnego tylko charakteru, należy uznać za szeroki; monitorowaniu (ciągłemu, długotrwałemu) podlegają bowiem praktycznie wszyscy członkowie lokalnej społeczności - mieszkańcy ulicy (…) W.. Takie działanie Administratora, oceniane w odniesieniu do niewielkiego rozmiaru tej lokalnej wspólnoty, należy ocenić zdecydowanie negatywnie. Zaburza ono jej funkcjonowanie ingerując głęboko w życie jej członków i wywołując negatywne skutki zarówno w sferze prywatnej - indywidualnej, jak i sferze społecznej.

33.: Podkreślić należy bezprawny, i wynikający - w ocenie prezesa UODO - ze złej woli Administratora, cel tego rodzaju przetwarzania. Jego szeroki zakres świadczy o tym, że celem tym nie jest ochrona życia, zdrowia i mienia Administratora. Celem tym nie może być również ochrona porządku publicznego, w szczególności wykrywanie przestępstw i wykroczeń i ściganie ich sprawców; skoro zadanie to nie leży w kompetencji podmiotów prywatnych (to wyłączna kompetencja właściwych organów państwowych). Sposób użycia przez Administratora nagrań z monitoringu wskazuje natomiast, że przetwarzanie to ma na celu nękanie osób podlegających monitoringowi i utrudnianie im normalnego funkcjonowania przez m.in. inicjowanie na szeroką skalę (często niezasadnie) postępowań w przedmiocie rzekomych przestępstw i wykroczeń popełnianych przez te osoby.

34.: Podkreślić należy, że niewykonanie nakazu Decyzji nakazującej dotyczy dużej - w odniesieniu do rozmiaru lokalnej społeczności - liczby osób. Następstwem naruszenia stwierdzonego w niniejszej sprawie (niewykonania nakazu Prezesa UODO) jest dalsze bezprawne przetwarzanie przez Administratora danych osobowych co najmniej trzydziestu osób, czyli stosunkowo dużej części mieszkańców ulicy, na której stosowany jest przedmiotowy monitoring. Skutki działania Administratora dla tych osób są zaś zdecydowanie negatywne. Nadal powstają i kumulują się bowiem po ich stronie szkody niemajątkowe (krzywdy) będące wynikiem ciągłego i trwającego do chwili obecnej podlegania obserwacji, utrwalania tej obserwacji w postaci nagrań i wykorzystywania tych nagrań przez Administratora.

35.: Stosowanie przez Administratora - wbrew nakazowi Prezesa UODO sformułowanego w Decyzji nakazującej - monitoringu wizyjnego skierowanego w kierunku drogi publicznej i obejmującego również swoim zasięgiem sąsiednie nieruchomości, powoduje u osób objętych monitorowaniem poczucie ciągłej obserwacji i nadzorowania ich życia prywatnego wraz z danymi o ich lokalizacji. Wizerunek oraz głos Skarżących jest bowiem rejestrowany w miejscu ich zamieszkania oraz w miejscach codziennego przebywania i poruszania się w związku z normalnym korzystaniem z drogi publicznej. Monitorowani są więc każdego dnia podczas zwykłych codziennych czynności życiowych. Administrator nie ma takiego prawa, aby monitorować ww. obszary za pomocą tak inwazyjnej metody, jaką jest stałe monitorowanie i przetwarzanie danych osobowych osób, które tam przebywają - w każdej sytuacji i każdego dnia.

36.: Wagę naruszenia zwiększa ponadto okoliczność, że stan naruszenia jest długotrwały - obejmuje okres od 9 grudnia 2025 r. (od daty uprawomocnienia się Decyzji nakazującej, w której to dacie decyzja ta winna być już wykonana) do chwili obecnej. Blisko półroczny, niczym nieusprawiedliwiony, stan niewykonania nakazu Prezesa UODO należny uznać za długi i potraktować jako kolejną okoliczność wpływającą obciążająco na wymiar orzeczonej administracyjnej kary pieniężnej.

37.: Podsumowując ocenę wszystkich poszczególnych okoliczności objętych przesłanką wskazaną przez prawodawcę w art. 83 ust. 2 lit. a) rozporządzenia 2016/679, stwierdzić należy, ich łączny wpływ na określenie rodzaju i wysokości zastosowanej przez Prezesa UODO sankcji jest zdecydowanie obciążający.

Nieumyślny charakter naruszenia (art. 83 ust. 2 lit. b) rozporządzenia 2016/679).

38.: Grupa Robocza Art. 29 w wytycznych w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia 2016/679 przyjętych 3 października 2017 r., odnosząc się do umyślnego lub nieumyślnego charakteru naruszenia, wskazała, że zasadniczo „umyślność” obejmuje zarówno wiedzę, jak i celowe działanie, w związku z cechami charakterystycznymi czynu zabronionego, podczas gdy „nieumyślność” oznacza brak zamiaru spowodowania naruszenia, pomimo niedopełnienia przez administratora albo podmiot przetwarzający wymaganego prawem obowiązku staranności. Umyślne naruszenia są poważniejsze niż te nieumyślne, co nie oznacza, że te drugie - szczególnie jeśli wynikają z rażącego niedbalstwa administratora lub podmiotu przetwarzającego - nie zasługują na negatywną ocenę i ukaranie sankcją finansową.

39.: W związku z tym, że Decyzja nakazująca nie została faktycznie przez Administratora odebrana (została uznana za doręczoną mu w oparciu o art. 44 § 4 k.p.a.), brak jest podstaw do uznania, że niewykonanie jej nakazu miało charakter celowy. W ocenie Prezesa UODO dokonane przez Administratora naruszenie miało charakter nieumyślny, jednakże w związku z tym, że było ono następstwem rażącego i długotrwałego zaniedbania obowiązku odbioru kierowanej do niego korespondencji urzędowej, okoliczność ta winna być oceniana negatywnie i uznana za obciążającą w kontekście zarówno zasadności wymierzenia mu kary pieniężnej, jak i ustalenia jej wysokości. Rażący charakter zaniedbania Administratora wynika z tego, że niewątpliwie posiadał on wiedzę o wielu toczących się z jego udziałem (najczęściej inicjowanych przez niego) postępowaniach (przed organami ścigania i przed Prezesem UODO). Powinien był więc dołożyć należytych starań, by podejmować kierowaną do niego - w ramach tych postępowań - korespondencję, tak by wywiązać się z ciążących na nim obowiązków procesowych. Wszelkie skutki zaniechania tego obowiązku - w tym brak wiedzy o treści skierowanego do niego w treści Decyzji nakazującej nakazu Prezesa UODO - obciążają wyłącznie Administratora i nie stanowią okoliczności mogącej wyłączyć jego odpowiedzialność za naruszenie stwierdzone w niniejszej sprawie.

Kategorie danych osobowych, których dotyczy naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679).

40.: W pierwszej kolejności wskazać należy, że naruszenie stwierdzone w niniejszej sprawie, chociaż formalnie dotyczy niewykonania przez Administratora obowiązku skierowanego do Prezesa UODO (niewykonania jego nakazu), a nie wobec osób, których dane przetwarza, odnosi się też do konkretnych procesów przetwarzania, a więc i do konkretnych danych osobowych podlegających temu przetwarzaniu. Skutkiem niewykonania przez Administratora nakazu Decyzji nakazującej jest dalsze przetwarzanie przez niego - wbrew nakazowi Prezesa UODO - konkretnych danych osobowych, które można przypisać - zgodnie z art. 83 ust. 2 lit. g) rozporządzenia 2016/679 - do konkretnych kategorii, i w oparciu o tę klasyfikację ocenić w kontekście ustalenia właściwej sankcji za naruszenie dotyczące tych danych osobowych.

41.: Dane osobowe w postaci wizerunku i głosu konkretnych osób, a także informacji lokalizujących miejsce ich przebywania w konkretnym czasie, nie są danymi szczególnej kategorii; nie są objęte szczególnymi rygorami przetwarzania, o których mowa w szczególności w art. 9 i 10 rozporządzenia 2016/679. Niemniej jednak - w tych konkretnych okolicznościach sprawy - wizerunek i głos Skarżących oraz informacje o miejscu ich przebywania w konkretnym czasie, przetwarzane w połączeniu z danymi identyfikującymi ich tożsamość (imieniem, nazwiskiem, adresem zamieszkania) pozostającymi w dyspozycji Administratora, należy uznać za dane w pewien sposób wrażliwe. Ich przetwarzanie w sposób stosowany przez Administratora, i w określonym przez niego celu, powoduje szereg negatywnych dla nich konsekwencji - od dyskomfortu psychicznego związanego z poczuciem inwigilowania przez osobę nieuprawnioną aż po stres i wysiłek związany z koniecznością uczestniczenie w zainicjowanych przez Administratora postępowaniach przed organami ścigania i organami wymiaru sprawiedliwości.

42.: Powyższe uzasadnia - w ocenie Prezesa UODO - uznanie, że wrażliwy charakter danych osobowych, których dotyczy naruszenie (wynikający z kontekstu sposobu i celu ich przetwarzania przez Administratora), ma obciążający wpływ na ocenę naruszenia podlegającego ocenie w niniejszej sprawie.

Stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit f) rozporządzenia 2016/679).

43.: Oceniając współpracę Administratora z Prezesem UODO w niniejszym postępowaniu należy wskazać, że Administrator nie podjął żadnej współpracy z Prezesem UODO. W szczególności Administrator nie zareagował na skierowaną do niego korespondencję; nie odebrał żadnej korespondencji, choć w wyniku tylu skarg złożonych przez osoby, których prawa zostały naruszone, mógł spodziewać się wezwania organu ochrony danych w celu wyjaśnienia okoliczności sprawy. Administrator nie przedstawił wyjaśnień i dowodów, o przedstawienie których Prezes UODO zwracał się do niego w swoich pismach; nie przedstawił zatem informacji, które pozwoliłby na stwierdzenie wykonania nakazu decyzji, co mogłoby być potraktowane jako działanie w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych skutków.

Działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przez podmioty danych (art. 83 ust. 2 lit. c) rozporządzenia 2016/679)

44.: W niniejszej sprawie Prezes UODO stwierdził zaistnienie po stronie Skarżących szkody niemajątkowej (krzywdy) wynikającej z dalszego - dokonywanego wbrew prawomocnemu nakazowi Decyzji nakazującej - przetwarzania ich danych osobowych za pomocą monitoringu wizyjnego. Administrator nie podjął żadnych działań mających na celu zminimalizowanie tych szkód. Przeciwnie, kontynuowanie przez niego bezprawnego przetwarzania wizerunku i głosu Skarżących za pomocą systemu monitoringu wizyjnego powoduje zwiększenie poziomu odczuwanych przez nich (w sposób uzasadniony) dyskomfortu, obawy, stresu i poczucia bezsilności wobec bezprawnych działań Administratora. Zaniechanie podjęcia przez Administratora takich działań, których to działań oczekiwać i wymagać można od odpowiedzialnego za swoje zachowania administratora, jest okolicznością wpływającą obciążająco na dokonaną przez Prezesa UODO ocenę naruszenia.

45.: Pozostałe okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679 (zob. pkt 46-52 uzasadnienia niniejszej decyzji), po dokonaniu oceny ich wpływu na stwierdzone w niniejszej sprawie naruszenie, zostały uznane przez Prezesa UODO za neutralne dla jego oceny, to znaczy jako niemające ani obciążającego, ani łagodzącego wpływu na wymiar orzeczonej administracyjnej kary pieniężnej.

Stopień odpowiedzialności administratora z uwzględnieniem wdrożonych przez niego środków technicznych i organizacyjnych (art. 83 ust. 2 lit. d) rozporządzenia 2016/679)

46.: Stwierdzone w niniejszej sprawie naruszenie nie ma związku ze środkami organizacyjnymi i technicznymi wdrożonymi przez Administratora w celu zapewnienia ochrony danych osobowych oraz bezpieczeństwa przetwarzania. Odpowiedzialność za te środki (za ich stan, adekwatność do zidentyfikowanego ryzyka przetwarzania, skuteczność, itp.) nie może być więc przedmiotem dokonywanej przez Prezesa UODO oceny naruszenia.

Wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego (art 83 ust 2 lit. e rozporządzenia 2016/679)

47.: Prezes UODO nie stwierdził dokonanych przez Administratora jakichkolwiek wcześniejszych naruszeń w zakresie ochrony danych osobowych, w szczególności tych mających za przedmiot nieprzestrzeganie nakazu orzeczonego przez Prezesa UODO na podstawie art. 58 ust. 2 rozporządzenia 2016/679. Brak jest w związku z tym podstaw do traktowania tej okoliczności jako obciążającej. A ponieważ taki stan (przestrzeganie przepisów o ochronie danych osobowych) jest normą - jedynie wyrazem wywiązywania się przez Administratora z ciążących na nim obowiązków prawnych - nie może mieć on również wpływu łagodzącego na dokonaną przez Prezesa UODO ocenę naruszenia.

Sposób w jaki organ nadzorczy dowiedział się o naruszeniu (art. 83 ust. 2 lit h) rozporządzenia 2016/679)

48.: Zgodnie z pkt 99 Wytycznych 04/2022 „[w] przypadku gdy organ nadzorczy dowiedział się o naruszeniu na przykład w wyniku skargi lub w toku postępowania, co do zasady element ten należy uznać również za okoliczność neutralną. Organ nadzorczy może uznać ten fakt za okoliczność łagodzącą, jeżeli administrator lub podmiot przetwarzający zgłosili naruszenie z własnej inicjatywy, zanim organ nadzorczy dowiedział się o danej sprawie”. W niniejszej sprawie Prezes UODO informację o naruszeniu pozyskał w toku prowadzonego przez siebie - z urzędu - postępowania sprawdzającego wykonanie nakazu Decyzji nakazującej. Jest to - w przypadku naruszenia ocenianego w niniejszej sprawie - standardowy sposób uzyskania informacji o nim; nie wymaga on ze strony Administratora żadnych działań informacyjnych skierowanych do organu nadzorczego. Jego aktywność w tym zakresie (lub brak takiej aktywności) nie podlega więc ocenie Prezesa UODO w kontekście oceny samego naruszenia; nie ma więc wpływu (ani obciążającego, ani łagodzącego) na rodzaj i stopień surowości sankcji wymierzonej za to naruszenie.

Przestrzeganie wcześniej zastosowanych w tej samej sprawie środków, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679 (art. 83 ust. 2 lit. i) rozporządzenia 2016/679)

49.: Prezes UODO nie stosował wobec Administratora w niniejszej sprawie żadnych środków wymienionych w art. 58 ust. 2 rozporządzenia 2016/679. Administrator nie miał więc obowiązku ich przestrzegania. Brak możliwości oceny stopnia przestrzegania lub nieprzestrzegania takich środków powoduje więc, że przesłanka ta nie podlega ocenie w niniejszej sprawie i nie ma wpływu na wymiar orzeczonej administracyjnej kary pieniężnej.

Stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji (art. 83 ust. 2 lit. j) rozporządzenia 2016/679)

50.: Administrator nie stosuje ani żadnych kodeksów postępowania, ani też zatwierdzonych mechanizmów certyfikacji. Posługiwanie się przez administratorów takimi instrumentami samoregulującymi nie jest obligatoryjne, w związku z tym okoliczność ich niestosowania nie może być traktowana obciążająco w ocenie naruszenia. W przypadku gdyby Administrator wdrożył i stosował w praktyce zatwierdzony kodeks postępowania lub mechanizm certyfikacji, organ nadzorczy mógłby poczytać ten fakt na jego korzyść, zważywszy, że byłyby to środki gwarantujące wyższy niż standardowy poziom ochrony danych osobowych.

Osiągnięte w związku z naruszeniem korzyści finansowe lub uniknięte straty (art. 83 ust. 2 lit. k) rozporządzenia 2016/679)

51.: Prezes UODO nie stwierdził, by Administrator, w związku z niewykonaniem nakazu Decyzji nakazującej, odniósł jakiekolwiek korzyści finansowe lub uniknął tego rodzaju strat. Brak jest więc podstaw do traktowania tej okoliczności jako obciążającej Administratora. Stwierdzenie zaistnienia wymiernych korzyści finansowych wynikających z naruszenia przepisów rozporządzenia 2016/679 należałoby ocenić zdecydowanie negatywnie. Natomiast nieosiągnięcie przez Administratora takich korzyści jest okolicznością, która z istoty rzeczy nie może być łagodzącą dla Administratora. Potwierdza to samo sformułowanie przepisu art. 83 ust. 2 lit. k) rozporządzenia 2016/679, który nakazuje organowi nadzorczemu zwrócić należytą uwagę na korzyści „osiągnięte” - zaistniałe po stronie podmiotu dokonującego naruszenia.

Inne obciążające lub łagodzące czynniki (art. 83 ust. 2 lit k) rozporządzenia 2016/679)

52.: Prezes UODO nie odnotował innych niż opisane powyżej okoliczności mogących mieć wpływ na ocenę naruszenia i wymiar orzeczonej administracyjnej kary pieniężnej.

VI. Ustalenie wysokości kary z zastosowaniem Wytycznych 04/2022

53.: Ustalając w niniejszej sprawie wysokość administracyjnej kary pieniężnej nałożonej na Administratora, będącego osobą fizyczną, Prezes UODO nie mógł zastosować metodyki przedstawionej przez EROD w Wytycznych 04/2022. Zgodnie bowiem z tym dokumentem „[p]rzedstawione wytyczne mają zastosowanie do wszystkich rodzajów administratorów i podmiotów przetwarzających zgodnie z art. 4 ust. 7 i 8 RODO, z wyjątkiem osób fizycznych, niebędących przedsiębiorcami” (zob. pkt 9 Wytycznych 04/2022). Powyższe zastrzeżenie ma zastosowanie w odniesieniu do Administratora, który nie jest przedsiębiorcą, a przetwarzanie danych, których dotyczy Decyzja nakazująca, służy realizacji jego celów prywatnych, nie związanych z działalnością gospodarczą. Wyłączenie zastosowania Wytycznych 04/2022 w takich jak niniejsza sprawach jest oczywiste, gdyż przedstawiony w Wytycznych 04/2022 proces kalkulacji administracyjnej kary pieniężnej oparty jest o obrót osiągany przez przedsiębiorcę z tytułu prowadzonej przez niego działalności gospodarczej.

54.: Niemniej jednak aktualne - również w niniejszej sprawie - pozostają w ocenie Prezesa UODO wskazówki EROD dotyczące oceny przez organ nadzorczy okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679 (które to wskazówki Prezes UODO miał na uwadze dokonując oceny przesłanek wymiaru kary - zob. pkt 30-52 uzasadnienia niniejszej decyzji), a także ogólne wytyczne EROD odnoszące się do zastosowania art. 83 ust. 1 rozporządzenia 206/679, to jest do oceny zasad skuteczności, proporcjonalności i odstraszającego charakteru administracyjnej kary pieniężnej.

55.: Odnosząc się do zasady proporcjonalności administracyjnej kary pieniężnej EROD podkreśla, że „kwota nałożonej kary pieniężnej powinna być proporcjonalna do naruszenia ocenianego całościowo, biorąc pod uwagę zwłaszcza wagę tego naruszenia” (zob. pkt 138 Wytycznych 04/2022). Oceniając więc „całościowo” stwierdzone w tej konkretnej sprawie naruszenie, Prezes UODO wziął pod uwagę w pierwszej kolejności wysoką jego wagę wynikającą z oceny wszystkich okoliczności wymienionych przez prawodawcę unijnego w art. 83 ust. 2 rozporządzenia 2016/679. Wiele z tych okoliczności - składających się na „całościową” ocenę naruszenia - jest „obciążająca” dla Administratora (przemawia za orzeczeniem wobec niego surowszej sankcji) - charakter naruszenia, zakres i cel dokonywanego przez Administratora przetwarzania, liczba poszkodowanych osób, zakres poniesionej przez nich szkody, kategorie danych osobowych przetwarzanych przez Administratora wbrew nakazowi Decyzji nakazującej, rażący charakter zaniedbania prowadzącego do naruszenia, a także brak współpracy Administratora z Prezesem UODO w celu usunięcia naruszenia, to jest w celu wykonania nakazu Decyzji nakazującej. Brak jest w niniejszej sprawie natomiast jakichkolwiek okoliczności, które Prezes UODO mógłby uwzględnić na korzyść Administratora.

56.: Szczegółowa ocena wszystkich okoliczności mających i mogących mieć wpływ na ocenę naruszenia przedstawione zostały powyżej (zob. pkt 30-52 uzasadnienia niniejszej decyzji). W tym miejscu natomiast należy - dokonując oceny wagi naruszenia - wskazać na dwa negatywne aspekty dokonanego przez Administratora naruszenia. Zauważyć należy, że jednym swoim zachowaniem - cechującym się dużym lekceważeniem dla porządku prawnego - Administrator narusza zarówno uprawnienia Prezesa UODO, jak i prawa i wolności osób, których dane dotyczą.

57.: Z jednej strony Administrator narusza wprost jedno z podstawowych uprawnień naprawczych organu nadzorczego - określone w art. 58 ust. 2 rozporządzenia 2016/679 uprawnienie do nakazania administratorowi spełnienia żądania osoby, której dane dotyczą. Naruszenie to godzi w postawę systemu ochrony danych osobowych zbudowanego przepisami rozporządzenia 2016/679, przewidującego - dla zapewnienia jego skuteczności - centralną rolę organów nadzorczych dysponujących określonymi środkami naprawczymi - m.in. uprawnieniami do stosowania wobec administratorów i podmiotów przetwarzających nakazów, a także sankcjami mającymi na celu egzekwowanie tych nakazów i szerzej - zapewnienie stosowania przepisów rozporządzenia 2016/679.

58.: Z drugiej strony natomiast Administrator swoim działaniem narusza prawa i wolności osób, których dane przetwarza wbrew nakazowi Decyzji nakazującej. Pomimo, iż naruszenie stwierdzone niniejszą decyzją dotyczy z istoty rzeczy relacji między administratorem a organem nadzorczym, a nie między administratorem a osobą, której dane dotyczą, to wywołuje ono skutki również wobec osób, których dane Administrator przetwarza. Osoby te mają prawo oczekiwać zapewnienia im skutecznej ochrony ich danych osobowych, czy też szerzej - ich prawa do prywatności, przez organ nadzorczy wyposażony w odpowiednie środki naprawcze i środki przymusu państwowego. Osoby te mają prawo w szczególności oczekiwać, że stan naruszenia zostanie przez Administratora usunięty niezwłocznie po uprawomocnieniu się decyzji stwierdzającej ten stan i nakazującej przywrócenie przetwarzania do stanu zgodnego z prawem. Tymczasem dalsze przetwarzanie danych osobowych wbrew nakazowi Decyzji nakazującej wiążę się z kontynuowaniem stanu naruszenia ich prawa do prywatności oraz zwiększaniem się poziomu ich szkód niemajątkowych - dyskomfortu, stresu i lęku związanego z utratą kontroli nad swoimi danymi osobowymi i ciągłą obserwacją, z obawą przed wykorzystaniem przez Administratora nagrań z ich uczestnictwem w kolejnych (często niezasadnych) zgłoszeniach do organów ścigania, ze stresem związanym z uczestniczeniem w tych postępowaniach, a także z poczuciem uporczywego nękania związanego z tymi zgłoszeniami i postępowaniami.

59.: Takie wieloaspektowe naruszenie przez Administratora porządku prawnego uzasadnia ocenę wysokiej wagi naruszenia, a w konsekwencji - konieczność wymierzenia mu surowej sankcji.

60.: Wytyczne 04/2022 wskazują, że ustalając wysokość administracyjnej kary pieniężnej organ nadzorczy sprawdza, „czy wysokość kary pieniężnej jest proporcjonalna zarówno do wagi naruszenia, jak i do wielkości przedsiębiorstwa, do którego należy jednostka, która dopuściła się naruszenia”. W tym kontekście EROD odsyła również do wyroków Europejskiego Trybunału Sprawiedliwości w sprawach C-387/97 i C-278/01 wskazujących, że kara pieniężna powinna być „proporcjonalna do możliwości finansowych” ukaranego podmiotu (zob. pkt. 139 Wytycznych 04/2022). Wskazówki te nie dotyczą sytuacji, gdy sprawcą naruszenia jest osoba fizyczna nie będąca przedsiębiorcą. Jednakże słuszne jest w ocenie Prezesa UODO, i mające ogólne znaczenie odnoszące się do wszystkich rodzajów administratorów, uwzględnienie - przy ocenie proporcjonalności orzeczonej wobec nich kary - „wielkości” administratora będącego sprawcą naruszenia. W przypadku osoby fizycznej nie prowadzącej działalności gospodarczej „wielkość” administratora wyznacza - w ocenie Prezesa UODO - zakres, skala jego działalności - zarówno życiowej, jak i tej prowadzonej w zakresie przetwarzania danych osobowych, natomiast „możliwości finansowe” - poziom jego dochodów i jego stan majątkowy. Uwzględnienie tych okoliczności pozwala na określenie stopnia dolegliwości kary tak by z jednej strony była ona skuteczna i odstraszająca (spełniła tym samym swoje cele - zob. pkt 65-66 uzasadnienia niniejszej decyzji), z drugiej natomiast - by jej zapłata lub wyegzekwowanie nie nastąpiła kosztem zaspokojenia podstawowych potrzeb egzystencjalnych osoby ukaranej.

61.: W niniejszej sprawie - celem ustalenia wysokości kary odpowiadającej zasadom określonym w art. 83 ust. 1 rozporządzenia 2016/679 - Prezes UODO wezwał Administratora do przedstawienia informacji o jego zarobkach lub innych dochodach oraz o jego stanie majątkowym, które to informacje mogłyby być istotne dla ustalenia wysokości nałożonej dla niego kary (zob. pkt 9 uzasadnienia niniejszej decyzji).

62.: W związku z tym, że Administrator nie przedstawił na żądanie Prezesa UODO danych finansowych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężnej, podstawę tę Prezes UODO ustalił - zgodnie z art. 101a ust. 2 u.o.d.o. - w sposób szacunkowy. Prezes UODO przyjął, że skala działalności Administratora, zarówno życiowej, jak i w zakresie przetwarzania danych osobowych, jest czysto lokalna. Jeśli chodzi o przetwarzanie danych osobowych nie można skali jego działalności uznać za niewielką. Przetwarzanie w niewielkim, lokalnym środowisku danych osobowych nawet kilkudziesięciu osób (liczba samych Skarżących to 30 osób, a niewątpliwie monitorowaniu podlegają również inne osoby - inni mieszkańcy ulicy (…) W., ich rodziny i goście, przypadkowi przechodnie, itp.) to niewątpliwie działalność znacząca, zaburzająca przy tym normalne funkcjonowanie lokalnej społeczności.

63.: Prezes UODO uznał również sytuację finansową i majątkową Administratora za przeciętną, w związku z czym - szacując podstawę wymiaru kary - Prezes UODO przyjął jako punkt odniesienia przeciętne miesięczne wynagrodzenie w gospodarce narodowej za 2025 r. wynoszące - zgodnie z Komunikatem Prezesa Głównego Urzędu Statystycznego z dnia 9 lutego 2026 r. - 8 903,56 zł^[2]. Biorąc pod uwagę ten punkt odniesienia, mając wzgląd na wysoką wagę naruszenia oraz na wymóg proporcjonalności orzeczonej kary, Prezes UODO za zasadne uznał wymierzyć Administratorowi administracyjną karę pieniężną w wysokości odpowiadającej trzykrotności przeciętnego miesięcznego wynagrodzenia, o którym mowa powyżej, to jest w kwocie 26 711 zł (co odpowiada kwocie 6 358 euro wg średniego kursu euro z 28 stycznia 2026 r. wynoszącego 1 euro = 4,2009 zł).

64.: Administracyjna kara pieniężna we wskazanej wyżej wysokości, będąc w ocenie Prezesa UODO karą proporcjonalną, spełni również pozostałe, przewidziane w art. 83 ust. 1 rozporządzenia 2016/679, funkcje - będzie karą skuteczną i odstraszającą.

65.: Wytyczne 04/2022 wskazują, że „karę pieniężną można uznać za skuteczną, jeżeli pozwala ona osiągnąć cele, z uwagi na które została nałożona. Takim celem może być przywrócenie zgodności z przepisami, ukaranie za bezprawne zachowanie albo jedno i drugie.” (zob. pkt 135 Wytycznych 04/2022). Niezwykle istotnym celem kary zastosowanej w niniejszej sprawie jest jej cel restytucyjny polegający na „przymuszeniu” Administratora do przestrzegania orzeczonego w Decyzji nakazującej nakazu zaprzestania przetwarzania danych osobowych wskazanych w tej decyzji osób za pomocą monitoringu wizyjnego wykraczającego poza granice należącej do Administratora nieruchomości. Szybkie wykonanie nakazu orzeczonego przez Prezesa UODO istotne jest nie tylko z punktu widzenia organu, jego uprawnień, skuteczności jego działania, lecz przede wszystkim ze względu na prawa i wolności osób poddanych bezprawnemu monitorowaniu - prawo do prywatności, prawo do niezakłóconego korzystania z własnych nieruchomości, wolność od cudzej ingerencji w swoje życie prywatne. Ważnym celem kary, który Prezes UODO miał na względzie wymierzając ją w wysokości - dla osoby fizycznej - dolegliwej, jest również jej cel represyjny. W ocenie Prezesa UODO na surową sankcję zasługuje administrator, który uporczywie kontestuje działania organu mające na celu ochronę praw i wolności innych osób. Wyraża on tym samym lekceważenie dla praw i wolności innych - współżyjących z nim w lokalnej społeczności - osób, i szerzej - dla norm społeczno-prawnych regulujących życie tej społeczności.

66.: Kolejny cel administracyjnej kary pieniężnej - cel prewencyjny - wiąże się z trzecią, określoną również w art. 83 ust. 1 rozporządzenia 2016/679, funkcją kary - jej funkcją odstraszającą. Jak stanowią Wytyczne 04/2022 „kara pieniężna ma charakter odstraszający, gdy wywołuje rzeczywisty skutek odstraszający”, przy czym „[p]rzy nakładaniu kary pieniężnej organ nadzorczy bierze pod uwagę zarówno ogólny, jak i konkretny efekt odstraszający” (zob. pkt 142 Wytycznych 04/2022). Ponadto, jak słusznie wskazuje EROD: „Kara pieniężna jest odstraszająca, jeżeli powstrzymuje jednostkę przed naruszeniem celów i norm prawa Unii. W tym przypadku nie chodzi tylko o rodzaj i wysokość kary, lecz także o prawdopodobieństwo jej wymierzenia. Kto dopuszcza się naruszenia, musi obawiać się, że rzeczywiście zostanie na niego nałożona kara pieniężna. W tym znaczeniu dochodzi do pokrywania się kryterium odstraszającego charakteru kary i kryterium jej skuteczności” (zob. pkt 143 Wytycznych 04/2022).

67.: Powyższe wskazówki EROD przemawiają w sposób oczywisty za zastosowaniem surowszej - bardziej dolegliwej dla Administratora sankcji. Oczywistym jest, że im surowsza jest sankcja, tym bardziej prawdopodobne jest zniechęcenie adresata kary do ponownego popełnienia takiego samego naruszenia (tzw. konkretny efekt odstraszający) i zniechęcenie innych do popełnienia takiego samego naruszenia w przyszłości (tzw. ogólny efekt odstraszający). Kara jednocześnie jest proporcjonalna, ograniczona do trzykrotności przeciętnego miesięcznego wynagrodzenia, na co wskazano powyżej, i nie spowoduje nadmiernego uszczerbku finansowego administratora. Pozostaje zatem w odpowiedniej proporcji do naruszenia.

68.: Dolegliwość kary jest szczególnie istotna w sytuacji szczególnego naruszenia podlegającego ocenie w niniejszej sprawie - nieprzestrzegania nakazu orzeczonego przez organ nadzorczy, który to nakaz nie polega na dokonaniu jednorazowej i nieodwracalnej czynności (jak np. na usunięciu danych osobowych ze zbiorów danych, czy też systemów informatycznych administratora). W sytuacji gdy nakaz polega - jak w niniejszej sprawie - na powstrzymaniu się na przyszłość od pewnych bezprawnych zachowań (na „zaprzestaniu przetwarzania danych osobowych”), administrator - po chwilowym dostosowaniu się do nakazu organu nadzorczego - w każdej chwili powrócić może do działania naruszającego ten nakaz. Zapobiec takiemu działaniu może jedynie realnie dolegliwa sankcja i zagrożenie zastosowaniem co najmniej tak samo surowej kary w przypadku ponownego naruszenia nakazu orzeczonego przez organ nadzorczy.

69.: Warty podkreślenia w niniejszej sprawie jest na koniec tzw. ogólny efekt odstraszający kary pieniężnej lub inaczej mówiąc wzgląd na prewencję ogólną przy zastosowaniu tego rodzaju sankcji. Prezes UODO zauważa dużą skalę zjawiska stosowania bezprawnego, czy też stosowanego niezgodnie z przepisami rozporządzenia 2016/679, tzw. „monitoringu prywatnego”, często używanego nie jako środek ochrony życia, zdrowia lub mienia użytkownika tego monitoringu, lecz jako narzędzie stosowane w rozstrzyganiu konfliktów sąsiedzkich. Decyzje Prezesa UODO nakazujące dostosowanie tego sposobu przetwarzania danych osobowych do przepisów rozporządzenia 2016/679 bywają ignorowane przez administratorów stosujący monitoring. Nakazy Prezesa UODO bywają również wykonywane tylko częściowo lub pozornie. Zdarzają się też sytuacje powrotu - po czasowym tylko dostosowaniu się do nakazu Prezesa UODO - do bezprawnego przetwarzania danych sąsiadów lub innych osób za pomocą monitoringu wizyjnego. W tym kontekście kara orzeczona w niniejszej sprawie powinna mieć w wymiarze ogólnym efekt odstraszający. Powinna wskazywać administratorom i podmiotom przetwarzającym, że naruszenie polegające na niewykonaniu nakazu organu nadzorczego jest poważnym naruszeniem i podlegać będą nieuchronnym i dolegliwym sankcjom finansowym.

70.: Podsumowując powyższe Prezes UODO stwierdza, że ustalona w przedstawiony powyżej sposób kwota administracyjnej kary pieniężnej odpowiadana określonym w art. 83 ust. 1 rozporządzenia 2016/679 zasadom proporcjonalności, skuteczności i odstraszającego charakteru kary, nie przekraczając przy tym prawnie określonej maksymalnej wysokości kary określonej dla ocenianego w niniejszej sprawie naruszenia, to jest kwoty 84 018 000 zł (stanowiącej równowartość 20 000 00 euro). Kwota orzeczonej kary - 26 711 zł (równowartość 6 358 euro) stanowi jedynie 0,03 % tej kwoty.

: Mając powyższe na uwadze Prezes UODO orzekł jak w sentencji niniejszej decyzji.

[1] https://(…)

[2] Komunikat Prezesa Głównego Urzędu Statystycznego z dnia 9 lutego 2016 r. w sprawie przeciętnego wynagrodzenia w gospodarce narodowej w 2025 r. (M.P. z 2026 r. poz. 192)