Decyzja DKN.5131.15.2022

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2025 r. poz. 1691), art. 7 ust. 1 i 2, art. 60, art. 101 i art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 ze zm.; dalej: u.o.d.o.), a także art. 57 ust. 1 lit. a) i h), art. 58 ust. 2 lit. d) oraz i), art. 83 ust. 1 - 3, art. 83 ust. 4 lit. a) w związku z art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2, a także art. 83 ust. 5 lit. a) w związku z art. 5 ust. 1 lit. f) i art. 5 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej „rozporządzeniem 2016/679”,

po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie naruszenia przepisów o ochronie danych osobowych przez D. (…) w H. (ul. (…), (…)-(…) H.), Prezes Urzędu Ochrony Danych Osobowych,

stwierdzając naruszenie przez D. (…) w H. (ul. (…), (…)-(…) H.) przepisów art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych na podstawie przeprowadzonej analizy ryzyka uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, zapewniających bezpieczeństwo przetwarzania danych w systemie (…) i powiązanej z nim platformie internetowej, dostępnej dla studentów oraz pracowników, skutkujące naruszeniem art. 5 ust. 1 lit. f) rozporządzenia 2016/679 (zasada integralności i poufności) oraz art. 5 ust. 2 rozporządzenia 2016/679 (zasada rozliczalności),

1)

nakłada na D. (…) w H. (ul. (…), (…)-(…) H.) za naruszenie przepisów art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, administracyjną karę pieniężną w wysokości 64 652 zł (słownie: sześćdziesięciu czterech tysięcy sześciuset pięćdziesięciu dwóch złotych).

2)

nakazuje D. (…) w H. (ul. (…), (…)-(…) H.) dostosowanie operacji przetwarzania do przepisów rozporządzenia 2016/679, w terminie 60 dni od dnia doręczenia niniejszej decyzji, poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych w celu zminimalizowania ryzyka wiążącego się z przetwarzaniem danych osobowych, w szczególności wynikającego z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych publikowanych lub w inny sposób przetwarzanych za pośrednictwem systemu (…), po uprzednim przeprowadzeniu analizy ryzyka, uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych.

Uzasadnienie

1.

D. (…) w H. (ul. (…), (…)-(…) H.), dalej jako „Administrator”, jest uczelnią (…), prowadzonej przez ministra właściwego do spraw szkolnictwa wyższego i nauki, pod nr (…).

2.

25 września 2020 r. Administrator dokonał Prezesowi Urzędu Ochrony Danych Osobowych (zwanemu dalej także „Prezesem UODO” lub „organem nadzorczym”) zgłoszenia naruszenia ochrony danych osobowych, które stwierdzone zostało 23 września 2020 r. Zgłoszenie zostało zarejestrowane pod sygn. DKN.5130.5544.2020. Naruszenie ochrony danych osobowych polegało na opublikowaniu na platformie internetowej systemu (…) Administratora, dostępnej dla studentów oraz pracowników, komunikatu dla (…) studentów zawierającego link do pliku z danymi osobowymi (…) studentów zrekrutowanych w (…) r.

3.

Przedmiotowe zgłoszenie naruszenia ochrony danych osobowych stało się dla Prezesa UODO impulsem do dokonania oceny realizacji przez Administratora spoczywających na nim obowiązków wynikających z przepisów rozporządzenia 2016/679 dotyczących właściwego zabezpieczenia danych oraz organizacji systemu ochrony danych osobowych. W związku z powyższym, Prezes UODO przeprowadził postępowanie wyjaśniające, a następnie wszczął z urzędu 28 marca 2022 r. postępowanie administracyjne w zakresie możliwości naruszenia przez Administratora obowiązków wynikających z art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679. Organ nadzorczy dokonał ustaleń na podstawie informacji podanych w zgłoszeniu naruszenia ochrony danych osobowych z 25 września 2020 r. oraz wyjaśnień i dowodów przedstawionych na ich potwierdzenie złożonych przez Administratora pismami z 16 listopada 2020 r., 4 kwietnia 2022 r., 2 maja 2022 r., 8 lipca 2022 r., 26 stycznia 2024 r., 20 lutego 2024 r., 11 sierpnia 2025 r., 12 września 2025 r. oraz 13 listopada 2025 r. Na podstawie ww. pism oraz załączonych do nich dowodów Prezes UODO ustalił stan faktyczny przedmiotowej sprawy.

I. Stan faktyczny

4.

Administrator prowadzi działalność w zakresie szkolnictwa wyższego na podstawie ustawy z dnia 20 lipca 2018 r. Prawo o szkolnictwie wyższym i nauce (Dz. U. z 2024 r. poz. 1571 ze zm.), zwanej dalej: „Prawem o szkolnictwie wyższym i nauce”. W ramach prowadzonej działalności Administrator przetwarza dane osobowe studentów również w postaci elektronicznej. Do przetwarzania danych osobowych wykorzystywany jest m.in. informatyczny system (…) (nazwany przez Administratora (…), obecnie (…)) wraz ze służącą m.in. do publikowania komunikatów platformą internetową dostępną dla pracowników i studentów.

5.

W dniu 25 września 2020 r. Administrator dokonał Prezesowi UODO zgłoszenia naruszenia ochrony danych osobowych, które stwierdzone zostało 23 września 2020 r. Zgodnie ze zgłoszeniem, naruszenie ochrony danych osobowych polegało na opublikowaniu na platformie internetowej systemu (…) Administratora, dostępnej dla studentów oraz pracowników, komunikatu dla (…) studentów zawierającego link do pliku z danymi osobowymi (…) studentów zrekrutowanych w (…) r. Plik zawierał następujące dane osobowe studentów: imię i nazwisko, imiona rodziców, datę urodzenia, nr rachunku bankowego, adres zamieszkania lub pobytu, serię i nr dowodu osobistego, nr telefonu, nr ewidencyjny PESEL, adres e-mail, tryb studiów, stopień studiów, kierunek studiów, specjalność, wewnętrzny identyfikator, obywatelstwo, nr organu wydającego dowód osobisty w przypadku obcokrajowców, płeć, nazwa banku, rodzaj matury, nr świadectwa maturalnego, data matury, rodzaj i nazwa ukończonej szkoły średniej, miasto szkoły, data ukończenia szkoły, numer dyplomu w przypadku ukończonej szkoły wyższej, język zdawany na maturze, data rekrutacji, nazwa firmy zatrudniającej w przypadku osób pracujących, stanowisko pracy, inne osiągnięcia, liczba punktów na maturze z języka obcego, informacja czy student podszedł do matury rozszerzonej z języka obcego, oceny z egzaminów, oceny przed obroną oraz nr indeksu.

6.

Wysłany studentom komunikat dotyczył przydziału do grup specjalnościowych i językowych. Do komunikatu pracownik Administratora załączył jednak omyłkowo ww. plik z danymi osobowymi studentów. Zgodnie z wewnętrznymi ustaleniami Administratora, plik został otwarty przez (…) osób, a pobrano go (…) razy.

7.

Administrator wdrożył Procedurę zarządzania ochroną danych osobowych, której integralną częścią jest m.in. Załącznik (…) oraz Załącznik (…) (kopie ww. dokumentów stanowią załączniki do pisma Administratora z 4 kwietnia 2022 r.).

8.

Przed stwierdzeniem naruszenia ochrony danych osobowych Administrator nie posiadał regulacji dotyczących zasad publikowania danych osobowych na stronach/platformach internetowych. Nie było odrębnie opracowanej procedury dotyczącej zasad publikowania komunikatów w systemie (…).

9.

Pismem z 16 listopada 2020 r. Administrator wyjaśnił, że „Pracownik, którego działania przyczyniły się bezpośrednio do wystąpienia naruszenia był dwukrotnie przeszkolony w zakresie prawidłowego publikowania danych osobowych w systemie (…). Pierwsze szkolenie ogólne z zakresu wprowadzania nowych przepisów o ochronie danych osobowych zostało przeprowadzone w lipcu (…) r. Podczas szkolenia omawiane były również sposoby publikowania list z danymi studentów, w tym również na platformie systemu (…). Kolejne, indywidualne szkolenie dla pracowników (…) z zakresu ochrony danych studentów odbyło się (…) roku.” Administrator wskazał również, że „W dniu (…).2020 r. z pracownikami (…) odpowiedzialnymi za publikowanie komunikatów w systemie (…) zostało przeprowadzone szkolenie z zakresu szyfrowania i publikowania dokumentów”. Administrator przedstawił ponadto zaświadczenia o odbytych szkoleniach:

–

zaświadczenie z (…) r. o odbyciu szkolenia z zakresu wprowadzenia nowych przepisów o ochronie danych osobowych,

–

zaświadczenie z (…) r. o odbyciu szkolenia z zakresu ochrony danych osobowych studentów,

–

zaświadczenie z (…) r. o odbyciu szkolenia z zakresu szyfrowania i publikowania dokumentów zawierających dane osobowe.

ww.

(kopie ww. zaświadczeń zostały przedłożone jako załącznik nr (…) do pisma Administratora z 16 listopada 2020 r.).

10.

Pismem z 4 kwietnia 2022 r. Administrator wyjaśnił, że „(…) przeprowadził analizę ryzyka przy pracy z systemem (…)” (tabele szacowania ryzyka dla obsługi systemu informatycznego (…) z (…) 2018 r., (…) 2019 r. i (…) 2020 r. stanowią załączniki do pisma Administratora z 4 kwietnia 2022 r).

11.

Administrator nie przedstawił metodyki dla przeprowadzonych analiz. W zakresie naruszenia poufności przedstawione analizy nie obejmowały ryzyka omyłkowego ujawnienia danych, w tym omyłkowego opublikowania danych na platformie internetowej systemu (…) Administratora.

12.

Po ponownym wezwaniu, pismem z 2 maja 2022 r. Administrator przekazał dokumentację określającą przyjętą metodykę, na podstawie której przeprowadzana była analiza ryzyka (dokument: „Analiza (…)” nr (…) stanowi załącznik do pisma Administratora z 2 maja 2022 r.). Wskazane w pkt (…) analizy przeprowadzone zostały dla procesu przetwarzania danych osobowych w systemie (…) i podzielone zostały na trzy obszary: (…), (…), (…).

13.

W ramach trzech ww. obszarów analizy Administrator zdefiniował zagrożenia związane z przetwarzaniem danych osobowych. W przypadku obszaru poufności danych Administrator przewidział następujące zagrożenia: (…). Ryzyko dla zdefiniowanych zagrożeń oceniane było w ramach zasobów określonych przez administratora jako: (…), (…), (…), (…) oraz (…). Ryzyko dla poszczególnych zagrożeń wyliczone zostało jako iloczyn następujących kryteriów: „wartość skutków” oraz „podatność zasobów systemu (max=100)”. Ocena poszczególnych kryteriów wyrażona była liczbą całkowitą z przedziału od 1 do 10. Na podstawie wyników uzyskanych dla poszczególnych zagrożeń wyliczane było średnie ryzyko dla poszczególnych zasobów, a następnie ryzyko ogólne dla całego procesu przetwarzania danych osobowych w systemie (…). Ryzyko średnie dla poszczególnych zasobów oraz ryzyko ogólne dla całego procesu obliczone zostało zgodnie ze wzorem określonym w metodyce. Zgodnie z przyjętą metodyką, możliwymi do uzyskania wynikami były następujące poziomy ryzyka: niski, średni, wysoki i maksymalny. W każdym przypadku z lat 2018 - 2020 Administrator ocenił ryzyko w przedmiotowym obszarze na poziomie niskim.

14.

Odpowiadając na pytanie, w jaki sposób Administrator monitorował przestrzeganie środków bezpieczeństwa w zakresie ochrony danych osobowych przed incydentem z 23 września 2020 r., w szczególności w zakresie publikowania przez swoich pracowników plików zawierających dane osobowe, pismem z 4 kwietnia 2022 r. Administrator wyjaśnił, że w okresie od lipca 2018 r. do września 2019 r. przeprowadzono wybiórcze kontrole sposobu przesyłania informacji do studentów przez system (…). Nie stwierdzono wówczas nieprawidłowości w publikowaniu komunikatów dla studentów zawierających ich dane osobowe. Administrator wyjaśnił, że jeśli np. były to komunikaty informujące o przydziale do grup seminaryjnych, załączone pliki zawierały tylko numer albumu studenta. W protokołach pokontrolnych wskazano:

–

pracownicy (…) publikując komunikaty w systemie (…) zamieszczają pliki excel zawierające dane osobowe studentów w postaci numerów albumów;

–

pracownicy mają prawidłowo przydzielone uprawnienia do przetwarzania danych osobowych.

W protokołach pokontrolnych Administrator nie wskazywał na żadne środki bezpieczeństwa, w tym na środki zabezpieczające przed możliwością omyłkowego ujawnienia danych poprzez ich błędną publikację. Administrator nie udokumentował również próby kontrolnej ani w jaki sposób ustalił, że publikowane komunikaty nie zawierają nadmiarowych danych osobowych (protokoły z kontroli: z (…) 2018 r. oraz z (…) 2019 r. stanowią załączniki do pisma Administratora z 4 kwietnia 2022 r.).

15.

Pismem z 16 listopada 2020 r. Administrator wyjaśnił, że po stwierdzeniu naruszenia ochrony danych osobowych z 23 września 2020 r. przeprowadzona została kontrola (…) w zakresie dostępu pracowników do zasobów zawierających dane osobowe. W wyniku kontroli zostały opracowane i wdrożone dokumenty: „(…)” stanowiące załącznik (…) do wewnętrznego systemu zarządzania jakością Administratora oraz „(…)” stanowiące załącznik (…) do wewnętrznego systemu zarządzania jakością Administratora (kopia (…) stanowi załącznik nr 1 do pisma Administratora z 16 listopada 2020 r., kopia (…) stanowi załącznik nr 2 do pisma Administratora z 16 listopada 2020 r., kopia raportu z kontroli z (…) 2020 r. stanowi załącznik do pisma Administratora z 16 listopada 2020 r.).

16.

Ustalono, że ww. dokumenty wprowadzone zostały ostatecznie 31 grudnia 2020 r. Powyższe ustalenie wynika z zarządzenia nr (…) Rektora D. (…) z dnia 31 grudnia 2020 r. „W sprawie wprowadzenia w D. (…) z siedzibą w H. Procedury (…) oraz Procedury (…)” (wskazane zarządzenie stanowi załącznik do pisma Administratora z 12 września 2025 r.).

17.

Po wystąpieniu naruszenia Administrator ponownie przeprowadzał analizy ryzyka przetwarzania danych osobowych w systemie (…) (tabela szacowania ryzyka dla obsługi systemu (…) (…) z (…) 2022 r. stanowi załącznik do pisma Administratora z 2 maja 2022 r., tabela szacowania ryzyka dla obsługi systemu (…) (…) z (…) 2023 r. stanowi załącznik do pisma Administratora z 26 stycznia 2024 r.).

18.

Odpowiadając na pytanie, czy od ostatniej udostępnionej przez Administratora analizy (z (…) 2023 r.) przeprowadzono kolejne analizy ryzyka obejmujące obszar przetwarzania (w tym publikowania) danych osobowych przy wykorzystaniu stron/platform internetowych, pismem z 13 listopada 2025 r. Administrator wyjaśnił, że „D. (…) (…) jako administrator danych osobowych, przedstawiła analizę ryzyka, opisaną i przedstawioną UODO w dniu (…) 2023 r., która była wypełnieniem obowiązków w tym z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) Dz. Urz. UE L 119, s. 1 - dalej jako "Rozporządzenie"”.

Administrator przedstawił również dokument (bez podpisu i daty) o nazwie „(…)”. Dokument ten zawiera ogólny opis stosowanych przez Administratora rozwiązań technicznych i organizacyjnych. W dokumencie tym nie zdefiniowano konkretnych zagrożeń dla procesu przetwarzania danych osobowych i nie szacowano ryzyka związanego z przetwarzaniem danych osobowych.

W związku z powyższym należy przyjąć, że na dzień wydania decyzji w zakresie przetwarzania danych osobowych w systemie (…) i powiązanej z nim platformie internetowej dostępnej dla pracowników i studentów aktualna pozostaje analiza ryzyka z (…) 2023 r.

19.

Zarówno analizy z lat 2018 - 2020, jak i analizy z 2022 r. i 2023 r., wykonane po ujawnieniu naruszenia ochrony danych osobowych zawierają takie same pozycje i przeprowadzone zostały w ramach tych samych zagrożeń. Analizy ryzyka podzielone zostały na trzy obszary: (…), (…), (…). W przypadku zapewnienia poufności danych, przeprowadzone przez Administratora analizy w 2022 r. i 2023 r., tj. po wystąpieniu naruszenia ochrony danych osobowych, również nie obejmowały ryzyka omyłkowego ujawnienia danych.

W tym stanie faktycznym, po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje:

II. Naruszenie przepisów art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679.

20.

Realizacja zadań w zakresie szkolnictwa wyższego podlega przepisom ustawy Prawo o szkolnictwie wyższym i nauce. Zgodnie z art. 2 wskazanej ustawy, misją systemu szkolnictwa wyższego i nauki jest prowadzenie najwyższej jakości kształcenia oraz działalności naukowej, kształtowanie postaw obywatelskich, a także uczestnictwo w rozwoju społecznym oraz tworzeniu gospodarki opartej na innowacjach. D. (…) w H. jest uczelnią wchodzącą w skład systemu szkolnictwa wyższego i nauki, zgodnie z art. 7 ust. 1 pkt 1) ustawy Prawo o szkolnictwie wyższym i nauce.

21.

Zgodnie z art. 4 pkt 7) rozporządzenia 2016/679 - „administrator” oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. D. (…) w H. ustaliła zakres przetwarzanych danych studentów, a określając sposób przetwarzania tych danych podjęła decyzję, za pomocą jakiego systemu informatycznego będą one przetwarzane i w jaki sposób będą udostępniane za pośrednictwem tego systemu. Przesadza to o uznaniu tego podmiotu za administratora danych w rozumieniu ww. przepisu rozporządzenia 2016/679.

22.

Zgodnie z art. 34 u.o.d.o. Prezes UODO jest organem właściwym w sprawie ochrony danych i organem nadzorczym w rozumieniu rozporządzenia 2016/679. Stosownie do art. 57 ust. 1 lit. a) i h) rozporządzenia 2016/679, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia oraz prowadzi postępowania w sprawie naruszenia niniejszego rozporządzenia, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego.

23.

Art. 5 rozporządzenia 2016/679 formułuje zasady dotyczące przetwarzania danych osobowych, które muszą być respektowane przez wszystkich administratorów, tj. podmioty, które samodzielnie lub wspólnie z innymi ustalają cele i sposoby przetwarzania danych osobowych. Zgodnie z art. 5 ust. 1 lit. f) rozporządzenia 2016/679, dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („poufność i integralność”). Stosownie zaś do art. 5 ust. 2 rozporządzenia 2016/679, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ((…)).

24.

Konkretyzację zasady poufności, o której mowa w art. 5 ust. 1 lit. f) rozporządzenia 2016/679, stanowią dalsze przepisy tego aktu prawnego. Zgodnie z art. 24 ust. 1 rozporządzenia 2016/679, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane.

25.

W myśl z art. 25 ust. 1 rozporządzenia 2016/679, uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze wynikające z przetwarzania, administrator - zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania - wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi niniejszego rozporządzenia oraz chronić prawa osób, których dane dotyczą.

26.

Z treści art. 32 ust. 1 rozporządzenia 2016/679 wynika, że administrator jest zobowiązany do zastosowania środków technicznych i organizacyjnych odpowiadających ryzyku naruszenia praw i wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia. Przepis precyzuje, że decydując o środkach technicznych i organizacyjnych należy wziąć pod uwagę stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze. Z przytoczonego przepisu wynika, że ustalenie odpowiednich środków technicznych i organizacyjnych jest procesem dwuetapowym. W pierwszej kolejności istotnym jest określenie poziomu ryzyka, jakie wiąże się z przetwarzaniem danych osobowych uwzględniając przy tym kryteria wskazane w art. 32 ust. 1 rozporządzenia 2016/679, a następnie należy ustalić, jakie środki techniczne i organizacyjne będą odpowiednie, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku. Ustalenia te, w stosownym przypadku, powinny obejmować środki takie, jak pseudonimizację i szyfrowanie danych osobowych, zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania, zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego oraz regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania. W myśl art. 32 ust. 2 rozporządzenia 2016/679, administrator oceniając, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia w szczególności ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

27.

Jak wskazuje art. 24 ust. 1 rozporządzenia 2016/679, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze są czynnikami, które administrator ma obowiązek uwzględniać w procesie budowania systemu ochrony danych, również w szczególności z punktu widzenia pozostałych obowiązków wskazanych w art. 25 ust. 1, art. 32 ust. 1 czy art. 32 ust. 2 rozporządzenia 2016/679. Wskazane przepisy uszczegóławiają zasadę poufności określoną w art. 5 ust. 1 lit. f) rozporządzenia 2016/679, a przestrzeganie tej zasady jest konieczne dla prawidłowej realizacji zasady rozliczalności wynikającej z art. 5 ust. 2 rozporządzenia 2016/679.

28.

Jedną z podstaw prawnej ochrony danych osobowych wprowadzoną rozporządzeniem 2016/679 jest obowiązek zapewnienia bezpieczeństwa przetwarzanych danych, określony między innymi w art. 32 ust. 1 rozporządzenia 2016/679. Przepis ten wprowadza podejście oparte na ryzyku, wskazując jednocześnie kryteria, w oparciu o które administrator powinien dokonać wyboru odpowiednich środków technicznych i organizacyjnych, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku. Obok ryzyka naruszenia praw lub wolności osób fizycznych należy zatem uwzględnić stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania.

29.

Rozporządzenie 2016/679 wprowadziło zatem podejście, w którym zarządzanie ryzykiem jest fundamentem działań związanych z ochroną danych osobowych i ma charakter ciągłego procesu. Podmioty, które przetwarzają dane osobowe, zobligowane są nie tylko do zapewnienia zgodności z wytycznymi ww. rozporządzenia poprzez jednorazowe wdrożenie organizacyjnych i technicznych środków bezpieczeństwa, ale również do zapewnienia ciągłości monitorowania poziomu zagrożeń oraz zapewnienia rozliczalności w zakresie poziomu oraz adekwatności wprowadzonych zabezpieczeń. Oznacza to, że koniecznością staje się możliwość udowodnienia przed organem nadzorczym, że wprowadzone rozwiązania, mające na celu zapewnienie bezpieczeństwa danych osobowych, są adekwatne do poziomu ryzyka, jak również uwzględniają charakter danej organizacji oraz wykorzystywanych mechanizmów przetwarzania danych osobowych. Administrator samodzielnie ma przeprowadzić szczegółową analizę prowadzonych procesów przetwarzania danych i dokonać oceny ryzyka, a następnie zastosować takie środki i procedury, które będą adekwatne do oszacowanego ryzyka. Konsekwencją takiej orientacji jest rezygnacja z list wymagań, w zakresie bezpieczeństwa narzuconych przez prawodawcę, na rzecz samodzielnego doboru zabezpieczeń w oparciu o analizę zagrożeń. Administratorom nie wskazuje się konkretnych środków i procedur w zakresie bezpieczeństwa.

30.

W świetle powyższego wskazać należy, że analiza ryzyka przeprowadzana przez administratora powinna zostać udokumentowana oraz uzasadniona na podstawie przede wszystkim określenia stanu faktycznego, istniejącego w momencie jej przeprowadzania. Należy wziąć pod uwagę w szczególności charakterystykę zachodzących procesów, aktywa, podatności, zagrożenia oraz istniejące zabezpieczenia, w ramach zachodzących procesów przetwarzania danych osobowych. Nie można również w trakcie tego procesu pominąć zakresu oraz charakteru danych osobowych przetwarzanych w toku czynności realizowanych przez administratora, albowiem w zależności właśnie od zakresu oraz charakteru ujawnionych danych zależeć będą potencjalne negatywne skutki dla osoby fizycznej w przypadku wystąpienia naruszenia ochrony jej danych osobowych.

31.

Aby analiza ryzyka została przeprowadzona w sposób właściwy, winny być zdefiniowane dla każdego z aktywów zagrożenia, mogące wystąpić w procesach przetwarzania danych. Określenie aktywa używane jest dla wskazania wszystkiego, co stanowi wartość dla administratora danych. Pewne aktywa stanowić będą wartość wyższą od innych, i również z tej perspektywy winny być oceniane i zabezpieczane. Bardzo istotne są również wzajemne powiązania występujących aktywów, np. poufność aktywów (danych osobowych) zależna będzie od rodzaju i sposobu przetwarzania tych danych. Ustalenie wartości aktywów jest konieczne do oszacowania skutków ewentualnego incydentu (naruszenia ochrony danych osobowych). Jest oczywistym, że szeroki zakres danych osobowych lub przetwarzanie danych osobowych, o których mowa w art. 9 ust. 1 lub art. 10 rozporządzenia 2016/679, może spowodować (w przypadku wystąpienia naruszenia ochrony danych osobowych) daleko idące negatywne skutki dla osób, których dane dotyczą, więc winny one być oceniane jako aktywa o wysokiej wartości, a co za tym idzie stopień ich ochrony powinien być odpowiednio wysoki.

32.

Określenie istniejących lub stosowanych zabezpieczeń jest konieczne, między innymi w tym celu, aby ich nie powielać. Należy również bezwzględnie sprawdzić skuteczność funkcjonowania tych zabezpieczeń, ponieważ istnienie zabezpieczenia niesprawdzonego po pierwsze może wyeliminować jego wartość, po drugie zaś może dać fałszywe poczucie bezpieczeństwa oraz może skutkować pominięciem (niewykryciem) krytycznej podatności, która wykorzystana spowoduje bardzo negatywne skutki, w tym w szczególności może doprowadzić do naruszenia ochrony danych osobowych.

33.

Konieczność przeprowadzenia analizy ryzyka podkreślona jest także w orzecznictwie. W tym przedmiocie wypowiedział się Wojewódzki Sąd Administracyjny w Warszawie (zwany dalej „WSA”) w wyroku z 5 października 2023 r., sygn. akt II SA/Wa 502/23, gdzie podniósł, że „(…)Administrator danych powinien zatem przeprowadzić analizę ryzyka i ocenić, z jakimi zagrożeniami ma do czynienia” (podobnie WSA wypowiedział się w wyrokach z 13 maja 2021 r., sygn. II SA/Wa 2129/20, 27 lutego 2024 r., sygn. akt II SA/Wa 1404/23, oraz 10 kwietnia 2025 r., sygn. II SA/Wa 1266/24).

34.

WSA w uzasadnieniu wyroku z 26 sierpnia 2020 r., sygn. akt II SA/Wa 2826/19 (utrzymanym przez NSA wyrokiem z 28 lutego 2024 r., sygn. akt III OSK 3839/21), wskazał ponadto, że „(…) Przepis ten [art. 32 rozporządzenia 2016/679] nie wymaga od administratora danych wdrożenia jakichkolwiek środków technicznych i organizacyjnych, które mają stanowić środki ochrony danych osobowych, ale wymaga wdrożenia środków adekwatnych. Taką adekwatność oceniać należy pod kątem sposobu i celu, w jakim dane osobowe są przetwarzane, ale też należy brać pod uwagę ryzyko związane z przetwarzaniem tych danych osobowych, które to ryzyko charakteryzować się może różną wysokością. Przyjęte środki mają mieć charakter skuteczny, w konkretnych przypadkach niektóre środki będą musiały być środkami o charakterze niwelującym niskie ryzyko, inne - muszą niwelować ryzyko wysokie, ważne jednak jest, aby wszystkie środki (a także każdy z osobna) były adekwatne i proporcjonalne do stopnia ryzyka, (…) czynności o charakterze techniczno-organizacyjnym leżą w gestii administratora danych osobowych, ale nie mogą być dobierane w sposób całkowicie swobodny i dobrowolny, bez uwzględnienia stopnia ryzyka oraz charakteru chronionych danych osobowych (…)”. Ponadto, w wyroku z 5 października 2023 r., sygn. akt II SA/Wa 502/23, WSA podniósł, że „organ nadzorczy nie jest zobowiązany do wskazywania Administratorowi rozwiązań technicznych i organizacyjnych, które powinien on wdrożyć, aby przetwarzanie danych osobowych odbywało się zgodnie z prawem. To zadaniem Administratora jest wprowadzenie tych środków, a następnie - jeżeli pojawi się taka konieczność - wykazanie, że przestrzega on zasad przetwarzania danych osobowych określonych w rozporządzeniu 2016/679, zgodnie z zasadą rozliczalności (art. 5 ust. 2 ww. rozporządzenia)”. Podobnie wypowiedział się WSA w wyroku z 27 listopada 2024 r., sygn. II SA/Wa 251/24, dodatkowo wskazując, że „Zadaniem Prezesa UODO jest natomiast weryfikacja adekwatności tych środków, którą organ przeprowadza w oparciu o przedłożone przez administratora dokumenty, takie jak między innymi analiza ryzyka, polityka bezpieczeństwa, czy umowa powierzenia przetwarzania danych”.

35.

Odnosząc powyższe rozważenia do stanu faktycznego przedmiotowej sprawy wskazać należy, że Administrator biorąc pod uwagę charakter przetwarzania danych osobowych związany z realizacją celów z zakresu szkolnictwa wyższego, jak również dużą liczbę studentów i szeroki zakres przetwarzanych ich danych osobowych (nazwiska, imiona, imiona rodziców, daty urodzenia, adresy zamieszkania lub pobytu, numery ewidencyjne PESEL, adresy e-mail, serie i numery dowodu osobistego, których ujawnienie lub utrata dostępności może powodować wysokie ryzyko dla praw lub wolności osób fizycznych), w celu prawidłowego wywiązania się z obowiązków nałożonych ww. przepisami rozporządzenia 2016/679, był zobowiązany do podjęcia działań zapewniających właściwy poziom ochrony danych osobowych poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych.

36.

Jak wynika z ustaleń stanu faktycznego (pkt 10-13), Administrator przed naruszeniem ochrony danych osobowych przeprowadzał analizy ryzyka. Jednak w ocenie Prezesa UODO analizy te zostały przeprowadzone w sposób dowolny i nieprawidłowy. Analizy ryzyka przeprowadzone (…) 2018 r., (…) 2019 r. i (…) 2020 r. nie odzwierciedliły w pełni stanu faktycznego związanego z publikacją danych studentów na platformie internetowej systemu (…) przez pracownika Administratora. Przyczyny takiego stanu rzeczy są konsekwencją tego, że wskazywane w każdej z ww. analiz zagrożenia były sformułowane w sposób bardzo ogólny, nieodnoszący się do realnych zagrożeń dla poszczególnych sposobów przetwarzania danych osobowych przez Administratora oraz stosowanych systemów przetwarzania. Żadne ze wskazywanych w ww. analizach zagrożeń (tak jak zaznaczono wcześniej - bardzo ogólnie podanych) nie obejmowało bowiem zagrożenia, które zmaterializowało się 23 września 2020 r.

37.

Również analiza przeprowadzona w 2022 r. po wystąpieniu naruszenia ochrony danych osobowych oparta została o takie same ogólne założenia. Nawet analizując szczegółowo zagrożenia zdefiniowane w tym dokumencie stwierdzić należy, że Administrator nie przewidział w nim zagrożenia w postaci omyłkowej publikacji na platformie internetowej danych studentów. W ramach zagrożeń związanych z utratą poufności danych (co właśnie zaistniało 23 września 2020 r.) Administrator przewidział w analizach ryzyka wyłącznie zagrożenia w postaci: (…). Żadne z tych zagrożeń nie odnosi się do ujawnienia danych osobowych w następstwie ich publikacji na platformie internetowej.

38.

Już z samych wyjaśnień Administratora wynika, że utrata poufności danych osobowych nie była spowodowana (…). Jednocześnie w piśmie z 2 maja 2022 r. Administrator wskazał, że „Przesłana dokumentacja analizy ryzyka przy pracy z systemem (…) nie dotyczy bezpośrednio omyłkowego ujawnienia danych. Analiza zawiera potencjalnie najniebezpieczniejsze zagrożenia, jakie zostały wyróżnione, w tym niekontrolowane powierzenie danych osobowych, brak kontroli nad dokumentami wykonywanymi na stanowisku komputerowym w zakresie ich kopiowania”.

39.

Administrator w rzeczywistości przyznał zatem, że przesłana analiza ryzyka nie dotyczy bezpośrednio omyłkowego ujawnienia danych, co właśnie miało miejsce. W zdaniu drugim podnosi co prawda w jego ocenie najbliższe zdarzeniu zagrożenia, jednakże w ocenie organu nadzorczego nie obejmują one swoim zakresem (pozornie szerokim przez dużą ogólność) zagrożenia, które zmaterializowało się 23 września 2020 r.

40.

Odnosząc się do pierwszego z zagrożeń (niekontrolowane powierzenie), stwierdzić trzeba, że „powierzenie” dotyczy zlecenia podmiotowi zewnętrznemu wobec administratora (najczęściej podmiotowi przetwarzającemu, którego z administratorem łączy umowa powierzenia) przetwarzania danych osobowych we własnym imieniu, stąd „niekontrolowane powierzenie” nie będzie obejmowało swoim zakresem utraty poufności danych poprzez ich opublikowanie na wewnętrznej uczelnianej platformie danych osobowych studentów Administratora przez pracownika Administratora. Pracownik ten wypełniając swoje zadania działa bowiem w ramach organizacji Administratora i nie są mu „powierzane” żadne dane osobowe w rozumieniu przepisów rozporządzenia 2016/679. Dane te nie są też w sposób oczywisty „powierzane” studentom.

41.

„Brak kontroli nad dokumentami wykonywanymi na stanowisku komputerowym w zakresie ich kopiowania i drukowania” odnosi się zaś do utraty dostępu do tychże danych osobowych. Tymczasem naruszenie ochrony danych osobowych, które miało miejsce w D. (…) w H., nie polegało na utracie dostępności danych osobowych przez Administratora, a na utracie poufności danych studentów. Potwierdza to również sposób rozumienia Administratora wynikający z przeprowadzonych analiz ryzyka, gdyż w każdej z nich („tabele szacowania ryzyka obsługi systemu (…) (…) i (…)”) zagrożenie to zostało zakwalifikowane do części zatytułowanej (…), którą Administrator traktuje zamiennie z dostępnością, a nie do zagrożeń mających wpływ na poufność danych. Ponadto, do naruszenia ochrony danych osobowych nie doszło „w zakresie kopiowania i drukowania” dokumentów, a w rezultacie opublikowania na platformie internetowej systemu (…) Administratora, dostępnej dla studentów oraz pracowników, komunikatu dla (…) studentów zawierającego link do pliku z nieprawidłowymi danymi.

42.

„Niekontrolowany dostęp” to natomiast wyrażenie skrajnie nieprecyzyjne, uniemożliwiające faktyczne zakwalifikowanie jakichkolwiek stanów faktycznych ewentualnych zdarzeń. Naruszenie poufności danych osobowych zawsze będzie bowiem wiązać się z jakimś „dostępem”. Pozornie może wydawać się, że „niekontrolowany dostęp” obejmować może szeroki zakres zdarzeń, jednakże określenie „niekontrolowany” sugeruje brak kontroli i wpływu Administratora nad tymże dostępem, a także brak możliwości jego ograniczenia. Naruszenie ochrony danych osobowych z 23 września 2020 r. nie było natomiast takim zdarzeniem, gdyż Administrator cały czas posiadał dostęp do danych osobowych, nie był on więc dla niego niekontrolowany, a również umożliwienie dostępu innym osobom - studentom - nie było na żadnym etapie „niekontrolowane”, a nieuprawnione i niepoprawne, gdyż to w efekcie działania Administratora doszło do naruszenia poufności.

43.

Nie doszło również do nieuprawnionego przeniesienia informacji zawierających dane osobowe na inny nośnik, gdyż te zarówno na płaszczyźnie technicznej, jak i prawnej, pozostawały w ramach tego samego nośnika - serwera Administratora i platformy internetowej.

44.

Kolejnym aspektem, który należy podnieść w zakresie poprawności przeprowadzanych przez Administratora analiz, jest brak inwentaryzacji zasobów wykorzystywanych do przetwarzania danych osobowych w systemie (…) i na powiązanej z nim platformie internetowej dostępnej dla pracowników i studentów. Administrator nie przeprowadził inwentaryzacji zasobów podczas analiz wykonywanych przed wystąpieniem naruszenia ochrony danych osobowych. Również aktualna, przeprowadzona po wystąpieniu naruszenia ochrony danych osobowych, analiza ryzyka nie zawiera inwentaryzacji posiadanych zasobów. W ocenie Prezesa UODO, odpowiednia inwentaryzacja posiadanych zasobów, zarówno przed wystąpieniem naruszenia ochrony danych osobowych, jak i po jego wystąpieniu, w tym w ramach wykonanej analizy ryzyka ze stycznia 2023 r., umożliwiłaby Administratorowi prawidłową identyfikację możliwych podatności i zagrożeń dla bezpieczeństwa przetwarzanych danych osobowych. W dokumentacji przedstawionej przez Administratora dotyczącej analiz ryzyka nie wskazano w szczególności, jakie urządzenia są wykorzystywane do przetwarzania danych osobowych w systemie (…) i na powiązanej z nim platformie internetowej dostępnej dla pracowników i studentów, czy używane przez te urządzenia oprogramowanie jest aktualne, jak również czy posiada ono wsparcie producenta/producentów. W dokumentacji brak jest również wskazania, w jaki sposób dane przetwarzane w tym systemie informatycznym zabezpieczone zostały przed atakami złośliwego oprogramowania. Co prawda Administrator przewidział zagrożenie w postaci ataku wirusa, jednak z dokumentacji nie wynika, jakie oprogramowanie antywirusowe zostało zastosowane w celu przeciwdziałania temu ryzyku, z dokumentacji nie wynika również, czy oprogramowanie to jest aktualne. Wskazane powyżej uchybienia w analizach przeprowadzonych przez Administratora zarówno przed, jak i po wystąpieniu naruszenia ochrony danych osobowych, uniemożliwiają dokonanie oceny, czy aktualnie zastosowane środki ochrony gwarantują odpowiedni poziom bezpieczeństwa przetwarzanych danych osobowych.

45.

Podkreślenia wymaga, że pomimo zmaterializowania się ryzyka, po ujawnieniu nieprawidłowości w procesie publikowania danych osobowych, Administrator nie zmienił sposobu przeprowadzenia analizy ryzyka w tym zakresie. Analiza przeprowadzona w styczniu 2022 r. oparta została o takie same kryteria i obejmowała takie same, zdefiniowane w sposób ogólny, zagrożenia. W oparciu o takie same zagrożenia Administrator oszacował ryzyko również podczas kolejnej analizy z 23 lutego 2023 r.

46.

Pismem z 13 listopada 2025 r. Administrator przesłał dokument o nazwie „(…)”. Dokument ten w ocenie Prezesa UODO nie stanowi analizy ryzyka, na podstawie której możliwe byłoby ustalenie odpowiednich środków technicznych i organizacyjnych zgodnie z dyspozycją określoną w art. 32 ust. 1 rozporządzenia 2016/679. W dokumencie tym Administrator co prawda dokonał częściowego opisu stosowanych zabezpieczeń, jednak opis ten nie stanowi inwentaryzacji zasobów wykorzystywanych do przetwarzania danych osobowych. Ponadto, Administrator nie zdefiniował w tym dokumencie zagrożeń oraz nie szacował ryzyka związanego z przetwarzaniem danych osobowych. Mając powyższe na względzie przyjęto, że na dzień wydania decyzji obowiązującą u Administratora pozostaje analiza ryzyka z 23 lutego 2023 r.

47.

W przedmiotowej sprawie, co należy ponownie podkreślić, Administrator nie zidentyfikował żadnego zagrożenia związanego z omyłkowym opublikowaniem danych na przetwarzanych w systemie (…) i powiązanej z nim platformie internetowej dostępnej dla pracowników i studentów Administratora, w następstwie błędu jego pracownika.

48.

Jak wynika z ustalonego stanu faktycznego sprawy, przed stwierdzeniem naruszenia ochrony danych osobowych Administrator nie posiadał regulacji dotyczących zasad publikowania danych osobowych na stronach/platformach internetowych (pkt 8 decyzji). W toku postępowania Administrator wskazał jednak, że monitorował przestrzeganie przez pracowników przyjętych zasad bezpieczeństwa. W tym zakresie Administrator złożył wyjaśnienia, z których wynika, że monitorowanie przestrzegania środków bezpieczeństwa w zakresie ochrony danych osobowych przed incydentem z 23 września 2020 r., w szczególności w zakresie publikowania przez swoich pracowników plików zawierających dane osobowe na platformie internetowej systemu (…) Administratora, polegało na przeprowadzeniu, po uprzednim przeszkoleniu pracowników, wybiórczych kontroli sposobu przesyłania informacji do studentów przez system (…).

49.

Jak wskazano w pkt 14 niniejszej decyzji, Administrator przed naruszeniem ochrony danych osobowych przeprowadzał wyrywkowe kontrole. W obydwu protokołach z kontroli przeprowadzonych w 2018 r. i 2019 r. wskazano, że: „1. Pracownicy (…) publikując komunikaty w systemie (…) zamieszczają pliki excel zawierające dane osobowe studentów w postaci numerów albumów. 2. Pracownicy mają prawidłowo przydzielone uprawnienia do przetwarzania danych osobowych”. Administrator nie przedstawił dowodów potwierdzających, w jaki sposób dokonał ustaleń w tym zakresie. Protokoły pokontrolne nie zawierają metodyki przeprowadzanych kontroli ani próby kontrolnej. W zebranym w toku postępowania materiale dowodowym nie ma jakiegokolwiek odniesienia do środków bezpieczeństwa związanych z możliwością publikowania danych na stronach/platformach internetowych Administratora.

50.

Dopiero po wystąpieniu naruszenia ochrony danych osobowych Administrator dokonał przeglądu obowiązującej u niego regulacji wykonując w dniu (…) 2020 r. „kontrolę wdrożenia procedur ochrony danych osobowych na (…)”. W wyniku kontroli tego obszaru wydano zalecenia m.in. do przygotowania wytycznych dotyczących publikowania komunikatów, czy zasad szyfrowania dokumentów. Następnie Administrator wdrożył dodatkowe procedury, tj. „(…)” oraz „(…)”, które wprowadzone zostały z dniem 31 grudnia 2020 r.

51.

Odnosząc się do przeprowadzonych szkoleń, na które powołuje się Administrator, to z uwagi na ich bardzo ogólną tematykę (szkolenie z 2018 r.: wprowadzenie nowych przepisów o ochronie danych osobowych, szkolenie z 2019 r.: ochrona danych osobowych studentów), nie mogą one, w ocenie Prezesa UODO, stanowić dostatecznego potwierdzenia wdrożenia odpowiednich środków organizacyjnych w tym zakresie. Potwierdzenia takiego nie stanowi również szkolenie z zakresu szyfrowania i publikowania dokumentów przeprowadzone w 2020 r., po ujawnieniu naruszenia ochrony danych osobowych.

52.

Mając na względzie nieprawidłowe przeprowadzanie analiz ryzyka należy uznać, że Administrator zarówno przed, jak i po wystąpieniu naruszenia ochrony danych osobowych, w sposób dowolny dobierał różnego rodzaju środki organizacyjne i techniczne mające na celu zapewnienie bezpieczeństwa przetwarzania danych osobowych. W konsekwencji powyższego Administrator nie wdrożył w tym zakresie adekwatnych środków bezpieczeństwa w celu zapewnienia właściwej ochrony przetwarzanych danych osobowych, naruszając tym samym art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679. Wskazać należy, że na podstawie art. 25 ust. 1 rozporządzenia 2016/679, odpowiednie rozwiązania, m.in. ograniczające ryzyko omyłkowego ujawnienia danych osobowych przetwarzanych w systemie (…), powinny zostać uwzględnione przez administratora na każdym etapie przetwarzania danych. Wskazane w art. 25 ust. 1 rozporządzenia 2016/679 działania powinny być procesem ciągłym, bowiem obowiązek ich podejmowania odnosi się zarówno do czynności „przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania”.

III. Podsumowanie stwierdzonych naruszeń przepisów rozporządzenia 2016/679.

53.

Dokonane ustalenia nie dają zatem podstawy do stwierdzenia, że stosowane przez Administratora środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa danych osobowych przetwarzanych w systemie (…) i powiązanej z nim platformie internetowej dostępnej dla pracowników i studentów były adekwatne do stanu wiedzy technicznej, kosztów wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania. Związane jest to przede wszystkim z nieprawidłowym przeprowadzeniem analizy, która w swym zakresie nie obejmowała ryzyka wiążącego się z przetwarzaniem danych osobowych na stronach/platformach internetowych oraz brakiem dedykowanych regulacji przyjętych w tym zakresie przez Administratora. Nieprawidłowe przeprowadzenie analizy ryzyka w konsekwencji spowodowało, że Administrator w sposób dowolny dobierał różnego rodzaju środki organizacyjne i techniczne, co mogło zwiększać prawdopodobieństwo wystąpienia naruszenia ochrony danych osobowych w następstwie braku regulacji w tym zakresie.

54.

Wobec braku ustalenia i wdrożenia przez Administratora, na podstawie przeprowadzonej analizy ryzyka, adekwatnych środków technicznych i organizacyjnych mających na celu zminimalizowanie ryzyka naruszenia bezpieczeństwa danych w związku z publikowaniem danych na platformie internetowej systemu (…), stwierdzić należy, że Administrator nie zapewnił odpowiedniego do ryzyka poziomu zabezpieczenia danych. Tym samym nie można uznać, aby Administrator uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, wdrożył odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, co stanowi o naruszeniu przez Administratora art. 32 ust. 1 rozporządzenia 2016/679, w szczególności w odniesieniu do wymogu zapewnienia zdolności do ciągłego zapewnienia poufności danych. Powyższe okoliczności przesądzają również o niewdrożeniu przez Administratora odpowiednich środków technicznych, zarówno przy określaniu sposobów przetwarzania, jak i w czasie przetwarzania danych osobowych, aby przetwarzanie to odbywało się zgodnie z rozporządzeniem 2016/679 i w celu nadania przetwarzaniu niezbędnych zabezpieczeń, oraz braku uaktualnienia środków bezpieczeństwa, do czego był on zobowiązany zgodnie z art. 24 ust. 1 i art. 25 ust. 1 rozporządzenia 2016/679, jak również o niezastosowaniu środków technicznych i organizacyjnych przy uwzględnieniu ryzyka wiążącego się z przetwarzaniem danych osobowych, o którym mowa w art. 32 ust. 2 rozporządzenia 2016/679.

55.

Naruszenie ww. przepisów rozporządzenia 2016/679 stanowi również o naruszeniu zasady poufności wyrażonej w art. 5 ust. 1 lit. f) rozporządzenia 2016/679, której ww. przepisy są uszczegółowieniem. Następstwem zaś naruszenia przez Administratora zasady poufności jest naruszenie zasady rozliczalności, o której mowa w art. 5 ust. 2 rozporządzenia 2016/679. Jak wynika z orzeczenia WSA z 10 lutego 2021 r., sygn. II SA/Wa 2378/20, „Zasada rozliczalności bazuje więc na prawnej odpowiedzialności administratora za właściwe wypełnianie obowiązków i nakłada na niego obowiązek wykazania zarówno przed organem nadzorczym, jak i przed podmiotem danych, dowodów na przestrzeganie wszystkich zasad przetwarzania danych”. Podobnie kwestię zasady rozliczalności interpretuje WSA w wyroku z 26 sierpnia 2020 r., sygn. II SA/Wa 2826/19, „Biorąc pod uwagę całość norm rozporządzenia 2016/679, podkreślić należy, że administrator ma znaczną swobodę w zakresie stosowanych zabezpieczeń, jednocześnie jednak ponosi odpowiedzialność za naruszenie przepisów o ochronie danych osobowych. Z zasady rozliczalności wprost wynika, że to administrator danych powinien wykazać, a zatem udowodnić, że przestrzega przepisów określonych w art. 5 ust. 1 rozporządzenia 2016/679”.

IV. Administracyjna kara pieniężna.

56.

Mając na uwadze powyższe, jak również stwierdzone w niniejszym postępowaniu naruszenia przepisów o ochronie danych osobowych, Prezes UODO - korzystając z uprawnienia określonego w art. 58 ust. 2 lit. i) rozporządzenia 2016/679, zgodnie z którym każdemu organowi nadzorczemu przysługuje uprawnienie do zastosowania, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)- h) oraz lit. j) tego rozporządzenia, administracyjnej kary pieniężnej określonej w art. 83 rozporządzenia 2016/679 - stwierdził, że w rozpatrywanej sprawie zmaterializowały się przesłanki uzasadniające nałożenie na D. (…) w H. administracyjnej kary pieniężnej, określonej w art. 83 ust. 4 lit. a) i ust. 5 lit. a) rozporządzenia 2016/679.

57.

Zgodnie z art. 83 ust. 4 lit. a) rozporządzenia 2016/679, naruszenia przepisów kształtujących obowiązki administratora i podmiotu przetwarzającego, o których mowa w art. 8, 11, 25-39 oraz 42 i 43, podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 10 000 000 euro, a w przypadku przedsiębiorstwa - w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

58.

Stosownie do art. 83 ust. 5 lit. a) rozporządzenia 2016/679, naruszenia przepisów dotyczących podstawowych zasad przetwarzania, w tym warunków zgody, o których to zasadach i warunkach mowa w art. 5, 6, 7 oraz 9, podlegają administracyjnej karze pieniężnej w wysokości do 20 000 000 euro, a w przypadku przedsiębiorstwa - w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

59.

Jednocześnie należy wskazać, że zgodnie z art. 83 ust. 1 rozporządzenia 2016/679 każdy organ nadzorczy zapewnia, by stosowane na mocy niniejszego artykułu za naruszenia niniejszego rozporządzenia administracyjne kary pieniężne, o których mowa w ust. 4, 5 i 6, były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.

60.

Stosownie zaś do art. 83 ust. 2 rozporządzenia 2016/679 administracyjne kary pieniężne nakłada się, zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)-h) oraz j). Decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na:

a)

charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody;

b)

umyślny lub nieumyślny charakter naruszenia;

c)

działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;

d)

stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32;

e)

wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego;

f)

stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków;

g)

kategorie danych osobowych, których dotyczyło naruszenie;

h)

sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie;

i)

jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków;

j)

stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42;

k)

wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

A. Zachowania podlegające administracyjnej karze pieniężnej i zastosowanie art. 83 ust. 3 rozporządzenia 2016/679.

61.

Stosownie do brzmienia art. 83 ust. 3 rozporządzenia 2016/679, jeżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów rozporządzenia 2016/679, całkowita wysokość administracyjnej kary pieniężnej nie przekroczy wysokości kary za najpoważniejsze naruszenie.

62.

Wobec stwierdzenia, że Administrator dopuścił się w analizowanym stanie faktycznym naruszeń wielu przepisów rozporządzenia 2016/679 (tj. art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2, a w konsekwencji również art. 5 ust. 1 lit. f) i art. 5 ust. 2), Prezes UODO zobowiązany był uwzględnić przytoczoną w poprzedzającym akapicie regulację celem rozważenia, czy okoliczności niniejszej sprawy determinują skorzystanie przez organ nadzorczy z wyłącznie jednego, czy też z kilku środków naprawczych przewidzianych w art. 58 ust. 2 rozporządzenia 2016/679 - a precyzyjniej, czy organ powinien nałożyć na Administratora wyłącznie jedną administracyjną karę pieniężną, stanowiącą odpowiedź na wszystkie popełnione przez Administratora naruszenia, czy też odrębne i samoistne kary dla każdego z tych naruszeń rozpatrywanych osobno.

63.

Ustalając konkretne sankcje za stwierdzone w niniejszej sprawie naruszenia Prezes UODO skorzystał z metodyki obliczania administracyjnych kar pieniężnych przyjętej przez Europejską Radę Ochrony Danych (zwaną dalej: „EROD”), zgodnie z którą pierwszym krokiem do dalszych obliczeń jest „ocena zastosowania art. 83 ust. 3 [rozporządzenia 2016/679]”^[1] poprzez ustalenie:

a)

czy okoliczności wskazują na jedno zachowanie, czy też na wiele zachowań podlegających karze,

b)

w przypadku jednego zachowania, czy zachowanie to stanowi jedno naruszenie czy większą liczbę naruszeń, oraz

c)

w przypadku jednego zachowania, które stanowi wiele naruszeń, czy przypisanie jednego naruszenia wyklucza przypisanie innego naruszenia, czy też należy je przypisać równolegle^[2].

64.

Określenie „jedno zachowanie” należy przy tym interpretować w nawiązaniu do art. 83 ust. 3 rozporządzenia 2016/679, w którym mowa jest o „tych samych lub powiązanych operacjach przetwarzania”. Zgodnie z przyjętą przez EROD wykładnią, „[t]ermin «powiązane» odnosi się do zasady, zgodnie z którą jedno zachowanie może składać się z kilku części, które są realizowane na skutek jednego aktu woli i są kontekstowo (w szczególności jeśli chodzi o tożsamość osoby, której dane dotyczą, cel i charakter przetwarzania), przestrzennie i czasowo tak blisko powiązane, że z obiektywnego punktu widzenia można uznać je za jedno spójne zachowanie”^[3].

Odnosząc powyższe do okoliczności rozpatrywanej sprawy, Prezes UODO stwierdził, co następuje:

65.

Rozpatrywane w sprawie zaniechania Administratora polegały na niezapewnieniu właściwego poziomu ochrony danych osobowych studentów przetwarzanych przez Administratora w systemie (…) oraz na powiązanej z nim platformie internetowej dostępnej dla studentów i pracowników. Zaniechania te dotyczyły zarówno braku wdrożenia odpowiednich środków technicznych i organizacyjnych przy określaniu sposobów przetwarzania, tj. na etapie ochrony danych w fazie projektowania (naruszenie art. 25 ust. 1 rozporządzenia 2016/679), jak i braku zapewnienia odpowiedniego stopnia bezpieczeństwa w czasie przetwarzania danych osobowych. W szczególności Administrator nie przeprowadził analizy ryzyka, która odnosiłaby się do realnych zagrożeń, które mogą wystąpić u Administratora, zwłaszcza do zagrożenia polegającego na omyłkowej publikacji na platformie internetowej systemu (…) danych studentów, dzięki której to analizie Administrator mógłby określić i wdrożyć adekwatne środki bezpieczeństwa dla tego procesu przetwarzania danych (naruszenie art. 32 ust. 1 i 2 rozporządzenia 2016/679). Opisane wyżej zaniechania stanowią „jedno spójne zachowanie” w rozumieniu przedstawionym przez EROD. Oba naruszenia Administratora (stanowiące jednocześnie naruszenie art. 5 ust. 1 lit. f) oraz art. 5 ust. 2 rozporządzenia 2016/679)stanowią ciąg zaniechań odnoszący się do powiązanych procesów przetwarzania (dokonywanych w systemie (…) i na platformie internetowej), a następstwem tych zaniechań było ujawnienie nieuprawnionym odbiorcom na platformie internetowej (…) danych osobowych (…) studentów. Na to, że wskazane powyżej operacje przetwarzania, stanowiące przedmiot rozpatrywanych naruszeń przepisów rozporządzenia 2016/679 (art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679), są powiązanymi operacjami przetwarzania w rozumieniu art. 83 ust. 3 rozporządzenia 2016/679, wskazuje wspólny kontekst tego przetwarzania. W ocenie Prezesa UODO łączy te operacje:

a)

cel przetwarzania - była nim - w ujęciu ogólnym - realizacja obowiązków określonych w Prawie o szkolnictwie wyższym i nauce, a konkretnie - obsługa procesów rekrutacji, edukacji i załatwiania spraw socjalnych studentów Administratora (w systemie (…)), w tym procesu komunikowania się z nimi (za pomocą specjalnej platformy internetowej powiązanej z systemem (…));

b)

charakter przetwarzania - związany był bezpośrednio z przedmiotem prowadzonej przez Administratora działalności, czyli z działalnością dydaktyczną określoną w Prawie o szkolnictwie wyższym i nauce i polegał na przetwarzaniu danych osobowych studentów, którzy byli kształceni na studiach prowadzonych przez Administratora. Dane te były - w postaci elektronicznej - przetwarzane były w jednym, konkretnym systemie informatycznym - systemie (…) i na powiązanej z nim platformie internetowej służącej do komunikacji ze studentami;

c)

tożsamość osób, których dane dotyczą - procesy przetwarzania objęte wszystkimi naruszeniami odnoszą się do zachowania Administratora polegającego na niezapewnieniu właściwego poziomu ochrony danych osobowych przetwarzanych w zasobach elektronicznych, które są związane z realizacją obowiązków nałożonych na Administratora Prawem o szkolnictwie wyższym i nauce i dotyczą danych osobowych tej samej, ściśle określonej grupy osób - studentów kształconych na studiach organizowanych przez Administratora, a także - w razie potrzeby - członków ich rodzin (patrz poniżej - pkt 69 i 71 uzasadnienia decyzji).

d)

kontekst czasowy przetwarzania - czas trwania przetwarzania danych osobowych studentów oraz członków ich rodzin, a więc i czas trwania wszystkich stwierdzonych w odniesieniu do tego przetwarzana naruszeń, jest ten sam - obejmuje okres od 25 maja 2018 r. (od momentu rozpoczęcia stosowania przepisów rozporządzenia 2016/679) do chwili obecnej.

66.

Przyjmując więc, że zaniechania Administratora polegające na niezastosowaniu (zarówno w fazie projektowania, jak i w trakcie przetwarzania) odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych przy użyciu systemu (…), stanowią jedno spójne zachowanie, a przy tym zachowanie to narusza kilka przepisów rozporządzenia 2016/679 (art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i 2, a w konsekwencji także art. 5 ust. 1 lit. f) oraz art. 5 ust. 2) - stwierdzić należy w dalszej kolejności, że żadne z tych naruszeń nie wyklucza możliwości przypisania Administratorowi innego z nich. W szczególności stwierdzenie naruszenia przepisów określających podstawowe, ogólne zasady przetwarzania, o których mowa w art. 5 rozporządzenia 2016/679, nie wyklucza możliwości przypisania administratorowi (i nałożenia za to sankcji finansowej) naruszenia przepisów szczegółowych stanowiących konkretyzację tych zasad, tj. art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i 2 rozporządzenia 2016/679. Przy tym jednak administracyjna kara pieniężna nie jest nakładana za naruszenie obowiązku określonego w art. 24 ust. 1, w związku z tym, że nie jest on wymieniony w art. 83 ust. 4-6 rozporządzenia 2016/679. Konsekwencją powyższego jest ustalenie, że odpowiedzialność Administratora w niniejszym postępowaniu powinna kształtować się „równolegle” w stosunku do wszystkich popełnionych naruszeń, tj. z zastosowaniem przepisu art. 83 ust. 3 rozporządzenia 2016/679.

67.

Za najpoważniejsze Prezes UODO uznał naruszenie przepisów art. 5 ust. 1 lit. f) oraz art. 5 ust. 2 rozporządzenia 2016/679. Za taką oceną przemawia fakt, że powyższe przepisy rozporządzenia regulują zasady (zasadę integralności i poufności oraz zasadę rozliczalności), stanowiące swoiste normy, które mają charakter nadrzędny nad pozostałymi normami określonymi w przepisach rozporządzenia 2016/679. Nadrzędność ta przejawia się m.in. koniecznością odczytywania norm zawartych w przepisach o ochronie danych w sposób zgodny z tymi zasadami^[4]. Stąd naruszenie zasad można uznać za konsekwencję naruszenia przepisów szczegółowych określonych w art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679. Ponadto naruszenie przepisów właściwych dla art. 83 ust. 5 rozporządzenia 2016/679 zostały in abstracto (w oderwaniu od indywidualnych okoliczności konkretnej sprawy) uznane przez prawodawcę unijnego za bardziej poważne niż naruszenie wskazane w art. 83 ust. 4 rozporządzenia 2016/679.

B. Przesłanki wymiaru kary - zastosowanie art. 83 ust. 2 rozporządzenia 2016/679.

68.

Decydując o nałożeniu na D. (…) w H. administracyjnej kary pieniężnej, Prezes UODO - stosownie do treści art. 83 ust. 2 lit. a) - k) rozporządzenia 2016/679 - wziął pod uwagę następujące okoliczności, stanowiące o konieczności zastosowania w niniejszej sprawie tego rodzaju sankcji oraz wpływające obciążająco na wymiar nałożonej administracyjnej kary pieniężnej:

69.

Charakter, waga i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody (art. 83 ust. 2 lit. a) rozporządzenia 2016/679).

Stwierdzone w niniejszej sprawie naruszenie przepisów o ochronie danych osobowych, którego skutkiem było ujawnienie nieuprawnionym osobom danych osobowych studentów przetwarzanych przez Administratora, ma poważny charakter i znaczną wagę, jako że stwarza wysokie ryzyko negatywnych skutków dla osób, których dane dotyczą. Pociąga ono bowiem za sobą nie tylko potencjalną, ale również realną możliwość wykorzystania tych danych przez osoby trzecie bez wiedzy i wbrew woli osób, których dane dotyczą, niezgodnie z przepisami rozporządzenia 2016/679, np. w celu nawiązania stosunków prawnych lub zaciągnięcia zobowiązań w ich imieniu. W tym miejscu należy podkreślić, że plik, którym Administrator ujawnił nieuprawnionym odbiorcom dane osobowe (…) studentów, został pobrany (…) razy i został odczytany przez 125 studentów (zob. pkt 6 uzasadnienia decyzji). Co prawda Inspektor Ochrony Danych Administratora skierował do nieuprawnionych odbiorców prośbę o usunięcie ww. pliku lub fotografii, która przedstawia zawartość tego pliku, lecz takie działanie nie stanowi gwarancji, że odbiorcy postąpili zgodnie z wystosowaną prośbą.

Mimo, że w toku postępowania nie ujawniły się żadne dowody wskazujące na to, że studenci D. (…) w H. doznali szkody majątkowej, uznać należy, że samo już naruszenie poufności ich danych osobowych może stanowić dla nich szkodę niemajątkową (krzywdę), np. poprzez naruszenie ich dóbr osobistych, takich jak prawo do prywatności. Zgodnie ze stanowiskiem Trybunału Sprawiedliwości Unii Europejskiej „[…] obawa przed ewentualnym wykorzystaniem przez osoby trzecie w sposób stanowiący nadużycie danych osobowych, jaką żywi osoba, której dane dotyczą, w następstwie naruszenia tego rozporządzenia może sama w sobie stanowić «szkodę niemajątkową»”^[5] w rozumieniu art. 82 ust. 1 rozporządzenia 2016/679.

Wagę przedmiotowego naruszenia dodatkowo zwiększa fakt, że choć zgłoszone organowi nadzorczemu naruszenie ochrony danych osobowych dotyczyło (…) studentów, to jednak stwierdzić należy, że dalsze utrzymywanie się stanu niezgodności przetwarzania z przepisami rozporządzenia 2016/679 niesie za sobą poważne ryzyko naruszenia praw lub wolności wszystkich studentów, jak również członków ich rodzin (patrz poniżej - pkt 71 uzasadnienia decyzji), których dane osobowe Administrator przetwarza za pomocą systemu (…). Działalność Administratora przede wszystkim opiera się na prowadzeniu kształcenia na studiach i prowadzeniu działalności naukowej^[6]. Oprócz tego Administrator prowadzi działania na rzecz społeczności akademickiej w postaci udzielania pomocy materialnej w ramach stypendium, czy też zapomogi^[7]. Oznacza to, że zakres przetwarzanych danych osobowych w systemie (…) nie obejmuje tylko tych danych osobowych, które Administrator przetwarza w związku z prowadzoną działalnością naukowo-dydaktyczną, ale również dane szczególnej kategorii, także odnoszące się do sytuacji życiowej i materialnej studentów. Mając na uwadze skalę tego przetwarzania - w 2023 r. liczba studentów Administratora wynosiła (…)^[8], w 2024 r. (…)^[9], a sam Administrator oszacował liczbę swoich absolwentów na poziomie ponad 18 000 osób^[10] - należy stwierdzić, że wskazane wyżej wartości odnoszą się do liczby osób, na które przedmiotowe naruszenie ma konkretny ((…) studentów), ale także i potencjalny wpływ^[11].

Na niekorzyść Administratora należy zaliczyć również długi czas trwania naruszenia. Zgromadzony w toku postępowania materiał dowodowy nakazuje bowiem przyjąć, że stan niezgodności przetwarzania z przepisami rozporządzenia 2016/679 trwa nieprzerwanie od 25 maja 2018 r., czyli od daty rozpoczęcia stosowania ww. aktu prawnego, aż do chwili obecnej. Okoliczność utrzymywania się stanu naruszenia przez okres blisko ośmiu lat należy poczytywać jako kryterium wpływające w znacznym stopniu zarówno na decyzję organu o nałożeniu administracyjnej kary pieniężnej w niniejszej sprawie, jak i wysokość samej kary^[12].

70.

Nieumyślny charakter naruszenia (art. 83 ust. 2 lit. b) rozporządzenia 2016/679).

Dokonując analizy tej przesłanki, Prezes UODO uwzględnił stanowisko wyrażone przez EROD, zgodnie z którym umyślność „[…] obejmuje zarówno wiedzę, jak i celowe działanie, w związku z cechami charakterystycznymi czynu zabronionego”^[13]. W świetle powyższego organ nadzorczy przyjął, że Administrator przetwarzając tak szeroki zakres danych osobowych za pomocą systemu (…), w tym dane osobowe, którym przepisy rozporządzenia 2016/679 przyznają szczególny poziom ochrony (zob. pkt 71 uzasadnienia decyzji), świadomy był tego, że powinien zagwarantować odpowiedni stopień bezpieczeństwa tego przetwarzania, tj. zapewniający przestrzeganie zasady „integralności i poufności” wyrażonej w art. 5 ust. 1 lit. f) rozporządzenia 2016/679. Okoliczność tę potęguje fakt, że przepisy rozporządzenia 2016/679, przyjęte 27 kwietnia 2016 r., zaczęły być stosowane z pełną mocą dopiero od 25 maja 2018 r., dając administratorom czas na dostosowanie obowiązujących dotychczas procedur oraz wdrożonych środków technicznych i organizacyjnych, związanych z przetwarzaniem danych osobowych, do nowej rzeczywistości prawnej. Dokumenty dostarczone przez Administratora w niniejszym postępowaniu, szczegółowo wskazane w części I. i II. uzasadnienia niniejszej decyzji (zob. pkt 11-19 i 36-37 uzasadnienia decyzji), choć w sposób oczywisty nie czynią zadość wymogom stawianym przez przepisy rozporządzenia 2016/679, bezsprzecznie wskazują na to, że Administrator zdawał sobie sprawę z powinności określonych w art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679. Tym samym należy przyjąć, że po stronie Administratora zmaterializował się element „wiedzy”, niezbędny do jego zachowaniu przymiotu umyślności.

Jednocześnie jednak, biorąc pod uwagę podejmowane przez Administratora działania, brak jest podstaw do przypisania mu woli (zamiaru) naruszenia przepisów rozporządzenia 2016/679. W ocenie organu nadzorczego Administrator nie działał umyślnie, niemniej dopuścił się licznych zaniechań skutkujących znaczącym zwiększeniem ryzyka naruszenia poufności przetwarzanych danych, co świadczy o rażącym jego niedbalstwie i stanowi istotną okoliczność wpływającą obciążająco na wysokość administracyjnej kary pieniężnej. Administrator nie przeprowadził poprawnej analizy ryzyka, która zawierałaby inwentaryzację zasobów wykorzystywanych do danego procesu przetwarzania danych (zob. pkt 44 uzasadnienia decyzji) oraz pozwoliłaby na zidentyfikowanie realnych zagrożeń (w tym przypadku dotyczących omyłkowego ujawnienia danych osobowych studentów przez pracownika - zob. pkt 36 uzasadnienia decyzji) i na dobór - na jej podstawie - odpowiednich środków technicznych i organizacyjnych mających na celu zapewnienie zgodności przetwarzania z rozporządzeniem 2016/679 oraz umożliwienie regularnego testowania, mierzenia i oceniania skuteczności wprowadzonych rozwiązań. Dodatkowo wskazać należy, że po wystąpieniu incydentu Administrator podjął czynności ukierunkowane na podniesienie poziomu bezpieczeństwa przetwarzanych danych osobowych (zob. pkt 15-16 uzasadnienia decyzji), co jest wyraźnym sygnałem dla organu nadzorczego, że Administrator świadomy był własnych uchybień we wskazanym obszarze. Zdaniem organu nadzorczego wyżej wskazane okoliczności świadczą o tym, że w omawianym przypadku Administrator mógł i powinien był przewidzieć, że przyjęte przez niego rozwiązania nie zapewniają odpowiedniego stopnia bezpieczeństwa danych osobowych przetwarzanych przez niego na platformie internetowej systemu (…). Bowiem wadliwie przeprowadzona analiza ryzyka, będąca pierwszym krokiem w procesie identyfikacji, oceny i zarządzania ryzykiem związanym z przetwarzaniem danych, pociągnęła za sobą dalsze nieprawidłowości w tejże sferze - co świadczy o nieumyślnym charakterze przypisanemu Administratorowi naruszenia przepisów art. 25 ust. 1, art. 32 ust. 1 i 2 oraz art. 5 ust. 1 lit. f) i art. 5 ust. 2 rozporządzenia 2016/679.

71.

Kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679).

Dane osobowe studentów znajdujące się w zasobach Administratora, które zostały ujawnienie nieuprawnionym odbiorcom na platformie internetowej (…), nie należały do szczególnej kategorii danych osobowych (zob. pkt 5 uzasadnienia decyzji), jednakże zakres ujawnionych danych - obejmujący: imię i nazwisko, imiona rodziców, datę urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, serię i numer dowodu osobistego, numer telefonu, numer ewidencyjny PESEL, adres e-mail, tryb studiów, stopień studiów, kierunek studiów, specjalność, wewnętrzny identyfikator, obywatelstwo, numer organu wydającego dowód osobisty w przypadku obcokrajowców, płeć, nazwę banku, rodzaj matury, numer świadectwa maturalnego, datę matury, rodzaj i nazwę ukończonej szkoły średniej, miasto szkoły, datę ukończenia szkoły, numer dyplomu w przypadku ukończonej szkoły wyższej, język zdawany na maturze, datę rekrutacji, nazwę firmy zatrudniającej w przypadku osób pracujących, stanowisko pracy, inne osiągnięcia, liczbę punktów na maturze z języka obcego, informację czy student podszedł do matury rozszerzonej z języka obcego, oceny z egzaminów, oceny przed obroną oraz nr indeksu - wiąże się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych dotkniętych naruszeniem. W tym kontekście warto przywołać stanowisko EROD, zgodnie z którym „[…] im większej liczby takich kategorii danych dotyczy naruszenie lub im bardziej wrażliwe są dane, tym większą wagę organ nadzorczy może przypisać takiemu czynnikowi. Znaczenie ma również ilość danych dotyczących każdej osoby, której dane dotyczą, ponieważ wraz z ilością danych dotyczących każdej osoby, której dane dotyczą, wzrasta skala naruszenia prawa do prywatności i ochrony danych osobowych”^[14]. Nie inaczej zresztą w kwestii szczególnego charakteru informacji identyfikacyjnej, jaką jest numer ewidencyjny PESEL i łączącym się z tym postulatem szczególnej jego ochrony wypowiedział się Naczelny Sąd Administracyjny, który wskazał, iż „faktem notoryjnym jest […], że ujawnienie numeru PESEL wiąże się z różnymi ryzykami, które mogą skutkować poważnymi konsekwencjami dla posiadacza tego identyfikatora. Jednym z najpoważniejszych zagrożeń związanych z podaniem numeru PESEL jest kradzież tożsamości. W połączeniu z innymi danymi osobowymi, takimi jak imię, nazwisko, numer dowodu osobistego czy adres zamieszkania (niekoniecznie wszystkimi w każdym przypadku), może zostać wykorzystany w szczególności do zaciągnięcia kredytu lub pożyczki na cudze dane, zawarcia umowy na usługi telekomunikacyjne, wyłudzenia świadczeń socjalnych czy podszycia się pod konkretną osobę fizyczną w sprawach dotyczących życia codziennego”^[15].

W tym miejscu należy wskazać, że stwierdzone niniejszą decyzją naruszenie przepisów rozporządzenia 2016/679 dotyczy braku realizacji przez Administratora obowiązków prawnych określonych w art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, czego konsekwencją jest naruszenie zasady rozliczalności oraz zasady integralności i poufności. Oznacza to, że przedmiotowe naruszenie jest systemowe, dotyczy wszystkich danych osobowych przetwarzanych przez Administratora za pomocą systemu (…). Zgodnie z informacjami przedstawionymi na stronie internetowej D. (…) w H., Administrator w ramach systemu (…) przetwarza wnioski studentów o przyznanie im stypendium socjalnego, stypendium dla osób z niepełnosprawnościami oraz wnioski o zapomogę^[16]. W ramach ww. wniosków studenci mogą załączyć następujące dokumenty lub ich skany: dokumenty potwierdzające skład rodziny i status majątkowy studenta (np. akty urodzenia, wyroki sądowe)^[17], dokumenty potwierdzające niepełnosprawność studenta (np. orzeczenie o niepełnosprawności, orzeczenie o stopniu niepełnosprawności, orzeczenie równoważne, o którym mowa w art. 5 i art. 62 ustawy z dnia 27 sierpnia 1997 r. o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych^{[18] [19]} oraz dokumenty potwierdzające zdarzenia i koszty świadczące o trudnej sytuacji życiowej studenta (np. akt zgonu, akt urodzenia, dokumentacja medyczna, zaświadczenie z policji, faktury lub rachunki potwierdzające poniesione wydatki)^[20]. Oznacza to, że zakres przetwarzanych przez Administratora danych osobowych obejmuje nie tylko dane studentów, ale również członków ich rodzin (znajdujące się chociażby w akcie urodzenia i w akcie zgonu), a przede wszystkim odnosi się do danych osobowych szczególnej kategorii (dane dotyczące zdrowia mogą być umieszczone w dokumentacji medycznej oraz w orzeczeniu o niepełnosprawności).

Mając powyższe na uwadze, uwzględniając zakres i ilość danych objętych naruszeniem ochrony danych osobowych, a także danych osobowych, które Administrator może przetwarzać w ramach systemu (…), organ nadzorczy ocenił tę przesłankę obciążająco, w stopniu istotnie wpływającym na wysokość orzeczonej administracyjnej kary pieniężnej.

72.

Ustalając wysokość administracyjnej kary pieniężnej, Prezes UODO uwzględnił na korzyść Administratora, w ramach przesłanki dotyczącej wszelkich innych obciążających lub łagodzących czynników, mających zastosowanie do okoliczności sprawy (art. 83 ust. 2 lit. k) rozporządzenia 2016/679) fakt podjęcia przez Administratora działań ukierunkowanych na podniesienie poziomu bezpieczeństwa przetwarzanych danych osobowych (zob. pkt 15-16 uzasadnienia decyzji). W szczególności Administrator po wystąpieniu naruszenia ochrony danych osobowych dokonał kontroli (…), w wyniku której opracował i wdrożył zasady publikacji komunikatów, informacji i wysyłania wiadomości za pomocą systemu (…) oraz (…) (zob. pkt 15 uzasadnienia decyzji), a także przeprowadził szkolenia dla pracowników z zakresu ochrony danych osobowych (zob. pkt 9 uzasadnienia decyzji). Wyżej zaprezentowana postawa pokazuje, że Administrator nie pozostawał zupełnie bierny wobec powstałego naruszenia ochrony danych osobowych, lecz podjął szereg działań naprawczych. Zważyć jednak należy, że działania te nie doprowadziły do usunięcia stanu niezgodności przetwarzania z przepisami rozporządzenia 2016/679 (zob. pkt 44-47 i 52 uzasadnienia decyzji). Nie sposób jest również ustalić stopnia realnego wpływu wprowadzonych przez Administratora środków na poprawę bezpieczeństwa przetwarzania. Z uwagi na powyższe, przesłankę tę potraktowano jako mającą wpływ na obniżenie wysokości wymierzonej kary pieniężnej, jednak w ograniczonym stopniu.

73.

Inne, niżej wskazane okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, po dokonaniu oceny ich wpływu na stwierdzone w niniejszej sprawie naruszenie, zostały przez Prezesa UODO uznane za neutralne w jego ocenie, to znaczy jako niemające ani obciążającego, ani łagodzącego wpływu na wymiar orzeczonej administracyjnej kary pieniężnej:

74.

Stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) rozporządzenia 2016/679).

Analizując tę przesłankę organ nadzorczy uwzględnił fakt, że w przedmiotowej sprawie Prezes UODO nie kierował wobec D. (…) w H. żadnych zaleceń, wytycznych, ani rekomendacji w zakresie najlepszych praktyk w obszarze bezpieczeństwa przetwarzania danych osobowych, a wszelka aktywność Administratora - następcza wobec naruszenia ochrony danych osobowych - podejmowana była dobrowolnie i w sposób niezależny od stanowiska organu nadzorczego. W tym stanie faktycznym brak jest podstaw do tego, by ww. działania Administratora rozpatrywać w kontekście współpracy z organem nadzorczym. Okoliczność wdrożenia w sposób spontaniczny rozwiązań ukierunkowanych na podniesienie poziomu bezpieczeństwa przetwarzanych danych osobowych przez Administratora, Prezes UODO uwzględnił natomiast na jego korzyść w ramach oceny przesłanki określonej w art. 83 ust. 2 lit. k) rozporządzenia 2016/679 (zob. pkt 72 uzasadnienia decyzji).

75.

Działania podjęte w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą (art. 83 ust. 2 lit. c) rozporządzenia 2016/679).

W kontekście tej przesłanki znaczenie ma cel, jakiemu ma służyć działanie administratora, czyli zminimalizowanie szkody poniesionej przez osoby, których dane dotyczą. Prezes UODO nie odnotował w niniejszym przypadku tego typu działań D. (…) w H.. Samo bowiem przekazanie osobom, których dane zostały objęte incydentem, informacji o zaistniałym zdarzeniu nie może być w przedmiotowej sprawie uznane za działanie w celu zminimalizowania szkody poniesionej przez te osoby. Działanie takie stanowi wyłącznie wypełnienie obowiązku prawnego, który spoczywa na Administratorze, jako administratorze danych, zgodnie z art. 34 ust. 1 rozporządzenia 2016/679, a którego brak realizacji sankcjonowany jest na gruncie art. 83 ust. 4 lit. a) rozporządzenia 2016/679. W tym kontekście podkreślenia wymaga, że zwykłe dopełnienie przez Administratora ww. obowiązku poinformowania podmiotów danych o wystąpieniu naruszenia ochrony danych osobowych nie może być uznane jako czynnik łagodzący i mający wpływ na obniżenie wysokości nałożonej administracyjnej kary pieniężnej.

76.

Stopień odpowiedzialności z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i 32 rozporządzenia 2016/679 (art. 83 ust. 2 lit. d) rozporządzenia 2016/679).

W niniejszej sprawie Prezes UODO stwierdził między innymi naruszenie art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679. Niewątpliwie na Administratorze ciąży w wysokim stopniu odpowiedzialność za niewdrożenie odpowiednich środków technicznych i organizacyjnych, które zapobiegłyby naruszeniu ochrony danych osobowych. Oczywistym jest również, że w rozważanym kontekście charakteru, celu i zakresu przetwarzania danych osobowych Administrator nie zrobił wszystkiego, czego można by było od niego oczekiwać, co skutkowało naruszeniem zasady integralności oraz poufności przetwarzania danych. W analizowanym stanie faktycznym okoliczność ta stanowi jednak o istocie samego naruszenia przepisów rozporządzenia 2016/679, co skutkuje uznaniem, iż nie jest ona wyłącznie czynnikiem wpływającym łagodząco lub obciążająco na jego ocenę. Z tego też względu brak odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 25 i art. 32 rozporządzenia 2016/679, nie może zostać uznany w niniejszej sprawie za okoliczność mogącą dodatkowo wpłynąć na surowszą ocenę naruszenia i wymiar administracyjnej kary pieniężnej nałożonej na D. (…) w H..

77.

Wszelkie stosowne wcześniejsze naruszenia ze strony administratora (art. 83 ust. 2 lit. e) rozporządzenia 2016/679).

Prezes UODO nie stwierdził po stronie Administratora jakichkolwiek wcześniejszych naruszeń przepisów o ochronie danych osobowych, w związku, z czym brak jest podstaw do traktowania tej okoliczności jako obciążającej. Jednocześnie jednak obowiązkiem każdego administratora jest przestrzeganie przepisów prawa, z uwagi na to brak wcześniejszych naruszeń nie może być traktowany jako okoliczność łagodząca przy wymierzaniu sankcji. Taka ocena spójna jest ze stanowiskiem wyrażonym przez EROD, zgodnie z którym „[b]rak wcześniejszych naruszeń nie może […] zostać uznany za okoliczność łagodzącą, ponieważ przestrzeganie przepisów [rozporządzenia 2016/679] stanowi normę. Brak wcześniejszych naruszeń można uznać za okoliczność o charakterze neutralnym”^[21].

78.

Sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie (art. 83 ust. 2 lit. h) rozporządzenia 2016/679).

Prezes UODO stwierdził naruszenie przez Administratora przepisów o ochronie danych osobowych w wyniku postępowania wyjaśniającego, przeprowadzonego na podstawie zgłoszenia naruszenia ochrony danych osobowych D. (…) w H. (zob. pkt 2-3 uzasadnienia decyzji). Dokonując zgłoszenia, Administrator realizował ciążący na nim obowiązek prawny, brak jest zatem podstaw do uznania, że fakt ten powinien być poczytywany na jego korzyść. Jak słusznie wskazuje EROD, „[o]koliczność ta nie ma znaczenia, gdy administrator podlega szczególnym obowiązkom w zakresie zgłaszania naruszeń (np. obowiązkowi zgłaszania naruszenia ochrony danych osobowych określonemu w art. 33 [rozporządzenia 2016/679]). W takich przypadkach fakt dokonania zgłoszenia należy uznać za okoliczność neutralną”^[22].

79.

Jeżeli wobec administratora, którego sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków (art. 83 ust. 2 lit. i) rozporządzenia 2016/679).

Przed wydaniem niniejszej decyzji Prezes UODO nie stosował wobec Administratora w rozpatrywanej sprawie żadnych środków wymienionych w art. 58 ust. 2 rozporządzenia 2016/679, w związku z czym Administrator nie miał obowiązku podejmowania żadnych działań związanych z ich stosowaniem, a które to działania, poddane ocenie organu nadzorczego, mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia. Z uwagi na powyższe przesłanka ta pozostaje bez wpływu zarówno na decyzję o nałożeniu administracyjnej kary pieniężnej, jak i jej wymiar.

80.

Stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42 (art. 83 ust. 2 lit. j) rozporządzenia 2016/679).

D. (…) w H. na dzień wydania decyzji nie stosowała zatwierdzonych kodeksów postępowania ani zatwierdzonych mechanizmów certyfikacji, o których mowa w przepisach rozporządzenia 2016/679. Ich przyjęcie, wdrożenie i stosowanie nie jest jednak - jak stanowią przepisy rozporządzenia 2016/679 - obowiązkowe dla administratorów, w związku z czym okoliczność ich niestosowania nie może być w niniejszej sprawie poczytana na niekorzyść Administratora. Na jego korzyść mogłaby być natomiast uwzględniona okoliczność przyjęcia i stosowania tego rodzaju instrumentów, jako środków gwarantujących wyższy niż standardowy poziom ochrony przetwarzania danych osobowych. W przedmiotowej sprawie okoliczność taka jednak nie wystąpiła.

81.

Osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty (art. 83 ust. 2 lit. k) rozporządzenia 2016/679).

W toku postępowania nie stwierdzono wpływu naruszenia przepisów rozporządzenia 2016/679 na osiągnięcie przez Administratora korzyści finansowych lub uniknięcie tego rodzaju strat. Brak jest więc podstaw do traktowania tej okoliczności jako obciążającej. Stwierdzenie zaistnienia wymiernych korzyści finansowych wynikających z naruszenia przepisów rozporządzenia 2016/679 należałoby ocenić zdecydowanie negatywnie. Nieosiągnięcie zaś przez Administratora takich korzyści, jako stan naturalny, niezależny od naruszenia i jego skutków, jest okolicznością, która z istoty rzeczy nie może być łagodząca. Interpretację tę potwierdza już samo sformułowanie przepisu art. 83 ust. 2 lit. k) rozporządzenia 2016/679, który nakazuje organowi nadzorczemu zwrócić należytą uwagę na korzyści „osiągnięte” - zaistniałe po stronie podmiotu dokonującego naruszenia.

C. Ustalenie wysokości administracyjnej kary pieniężnej zgodnie z Wytycznymi 04/2022.

82.

W niniejszym postępowaniu Administrator przedstawił sprawozdania finansowe D. (…) w H. za lata obrotowe 2022, 2024 i 2025. Dokumentacja ta przedstawia obrót Administratora, który w 2022 r. wyniósł (…) zł, w 2023 r. - (…) zł, w 2024 r. - (…) zł, a w 2025 r. - (…) zł. Jako podstawę wyjściową do obliczenia administracyjnej kary pieniężnej Prezes UODO przyjął wartość obrotu Administratora za rok 2025, to jest (…) zł, co - w przeliczeniu na euro (według średniego kursu euro z 28 stycznia 2026 r. wynoszącego 1 euro = 4,2009 zł - przyjętego dla tego oraz dla wszystkich innych poniższych przeliczeń walutowych zgodnie z art. 103 u.o.d.o.) - stanowi kwotę (…) euro. W związku z tym, że jest to kwota niższa niż statyczna kwota maksymalna (20 000 000 euro), Prezes UODO zobligowany jest do przyjęcia jako maksimum, kwoty wynoszącej 20 000 000 euro, którego nie może przekroczyć orzekając administracyjną karę pieniężną.

83.

Zgodnie z przedstawionymi w Wytycznych 04/2022 wskazówkami Prezes UODO dokonał kategoryzacji stwierdzonego w niniejszej sprawie naruszenia przepisów rozporządzenia 2016/679^[23]. Wśród naruszonych przez Administratora przepisów rozporządzenia 2016/679 znajdują się przepisy art. 5 ust. 1 lit. f) oraz art. 5 ust. 2 rozporządzenia 2016/679 określające podstawowe zasady przetwarzania danych osobowych. Naruszenie tych przepisów należą - zgodnie z art. 83 ust. 5 lit. a) rozporządzenia 2016/679 - do kategorii naruszeń zagrożonych karą wyższą z dwóch przewidzianych w rozporządzeniu 2016/679 wymiarów kar (z maksymalną wysokością do 20 000 000 euro lub do 4% całkowitego rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego). Są one więc in abstracto poważniejsze od drugiej grupy naruszeń podlegających administracyjnym karom pieniężnym (wskazanych w art. 83 ust. 4 rozporządzenia 2016/679).

84.

Prezes UODO ocenił stwierdzone w niniejszej sprawie naruszenie jako naruszenie o średnim poziomie powagi^[24]. W ramach tej oceny wzięte zostały pod uwagę te przesłanki spośród wymienionych w art. 83 ust. 2 rozporządzenia 2016/679, które dotyczą strony przedmiotowej naruszenia (składają się na „powagę” naruszenia), to jest: charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) rozporządzenia 2016/679), umyślny lub nieumyślny charakter naruszenia (art. 83 ust. 2 lit. b) rozporządzenia 2016/679) oraz kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679). Szczegółowa ocena tych okoliczności przedstawiona została powyżej (zob. pkt 69-71 uzasadnienia decyzji). W tym miejscu wskazać należy, że rozważenie ich łącznego wpływu na ocenę stwierdzonego w niniejszej sprawie naruszenia traktowanego w całości prowadzi do wniosku, że poziom jego powagi (rozumianej zgodnie z Wytycznymi 04/2022) jest średni. Konsekwencją tego jest zaś przyjęcie - jako kwoty wyjściowej do obliczenia kary - wartości mieszczącej się w przedziale od 10 do 20% maksymalnej wysokości kary możliwej do orzeczenia wobec Administratora^[25] (w tym przypadku od 2 000 000 do 4 000 000 euro). Za adekwatną, uzasadnioną okolicznościami niniejszej sprawy, kwotę wyjściową Prezes UODO uznał kwotę 3 600 000 euro (równowartość 15 123 240 zł).

85.

Prezes UODO dostosował kwotę wyjściową, odpowiadającą średniej powadze stwierdzonego naruszenia, do obrotu Administratora jako miernika jego wielkości i siły gospodarczej. Stosownie do wskazówek EROD przedstawionych w Wytycznych 04/2022, w przypadku przedsiębiorstw, których roczny obrót, jak w przedmiotowej sprawie, wynosi od 2 do 10 mln euro, organ nadzorczy może rozważyć dokonanie dalszych obliczeń wysokości kary na podstawie wartości mieszczącej się w przedziale od 0,3 do 2,0% kwoty wyjściowej. Biorąc pod uwagę obrót (przychód) Administratora w 2025 r. (zob. pkt 82 uzasadnienia decyzji), Prezes UODO za stosowne uznał skorygowanie podlegającej obliczeniom kwoty kary do wartości odpowiadającej (…)% kwoty wyjściowej, to jest do kwoty (…) euro (równowartość (…) zł).

86.

Prezes UODO dokonał oceny wpływu na stwierdzone naruszenie pozostałych (poza tymi uwzględnionymi wyżej w ocenie powagi naruszenia) okoliczności wskazanych w art. 83 ust. 2 rozporządzenia 2016/679^[26]. Okoliczności te, mogące mieć obciążający lub łagodzący wpływ na ocenę naruszenia, odnoszą się - jak zakładają Wytyczne 04/2022 - do strony podmiotowej naruszenia, to jest do samego podmiotu będącego sprawcą naruszenia oraz do jego zachowania przed naruszeniem, w jego trakcie, i po jego zaistnieniu. Szczegółowa ocena i uzasadnienie wpływu każdej z tych przesłanek na ocenę naruszenia przedstawione zostały powyżej (zob. pkt 72-81 uzasadnienia decyzji). W tym miejscu wskazać należy, że jedna spośród nich miała, w ocenie Prezesa UODO, wpływ łagodzący na wymiar kary - podjęcie przez D. (…) w H. działań ukierunkowanych na podniesienie poziomu bezpieczeństwa przetwarzanych przez nią danych osobowych (oceniona w ramach art. 83 ust. 2 lit. k) rozporządzenia 2016/679). Pozostałe przesłanki - jak wskazano powyżej - nie miały wpływu ani łagodzącego, ani obciążającego na ocenę naruszenia i w konsekwencji na wymiar kary. Ze względu więc na zaistnienie w sprawie dodatkowej okoliczności mającej wpływ na ocenę naruszenia, a w konsekwencji i na wymiar kary, za zasadne Prezes UODO uznał skorygowanie kwoty kary ustalonej na podstawie oceny powagi naruszenia i obniżenie jej o (…)% - do kwoty 15 390 euro (64 652 zł). Większa redukcja nie znajduje uzasadnienia z uwagi na fakt, że podjęte przez Administratora dobrowolnie działania, choć mogą mieć wpływ na poprawę bezpieczeństwa przetwarzania danych osobowych, nie doprowadziły do usunięcia stanu naruszenia, czego należało oczekiwać od Administratora w niniejszej sprawie, a co zezwoliłoby na znaczące obniżenie kary.

87.

Prezes UODO uznał, że ustalona zgodnie z powyższymi zasadami wysokość kary nie wymaga dodatkowej korekty ze względu na skuteczność, zasadę proporcjonalności i odstraszający charakter (art. 83 ust. 1 rozporządzenia 2016/679). W jego ocenie administracyjna kara pieniężna w wysokości 64 652 zł będzie w okolicznościach niniejszej sprawy skuteczna, ponieważ pozwoli na osiągnięcie jej głównego celu, jakim jest przymuszenie Administratora do przywrócenia zgodności przetwarzania danych osobowych z przepisami rozporządzenia 2016/679. Kara pieniężna orzeczona w ww. wymiarze doprowadzi bowiem do stanu, w którym administrator będzie prawidłowo chronił dane osobowe przetwarzane za pomocą systemu (…), co jest szczególnie istotne, zważywszy na fakt, że dane te przetwarzane są w szerokim zakresie i obejmują również dane osobowe szczególnej kategorii. Skuteczność tej kary równoważna jest zatem gwarancji tego, że D. (…) w H. od momentu zakończenia niniejszego postępowania będzie ze starannością podchodzić do wymogów stawianych przez przepisy o ochronie danych osobowych. Dodatkowo kara ta, jako środek o charakterze represyjnym, zezwoli na realne ukaranie Administratora za jego bezprawne, utrzymujące się długotrwale zachowanie. Natomiast jej odstraszający charakter pozwoli skutecznie zniechęcić Administratora, jak i innych administratorów do popełniania w przyszłości naruszeń przepisów rozporządzenia 2016/679.

88.

Kara ta również będzie proporcjonalna do stwierdzonego naruszenia przepisów rozporządzenia 2016/679, w tym zwłaszcza do jego charakteru i wagi. Proporcjonalność zastosowanej sankcji wyraża się również w tym, że ustalona przez organ nadzorczy kwota kary nie będzie stanowić dla Administratora nadmiernego obciążenia. Bowiem nałożona na Administratora administracyjna kara pieniężna stanowi ok. (…)% całkowitego jego obrotu za 2025 r. i jedynie (…)% maksymalnej wysokości kary, którą Prezes UODO mógł, zgodnie z art. 83 ust. 5 rozporządzenia 2016/679, nałożyć na Administratora za stwierdzone w niniejszej sprawie naruszenie. W tym miejscu należy zauważyć, że w przedstawionych przez Administratora sprawozdaniach finansowych za 2024 r. i 2025 r. wskazano, że jego sytuacja ekonomiczno-finansowa jest stabilna; zostały przyznane mu cztery znaczące projekty, których łączna kwota przyznanego dofinansowania wynosi (…) zł i (…); natomiast wielkość zatrudnienia świadczy, że jest uczelnią średniej wielkości (łącznie (…) osób zatrudnionych w 2025 r. na stanowiskach dydaktycznych i administracyjnych). Ponadto kwota ww. administracyjnej kary pieniężnej stanowi zaledwie (…)% środków pieniężnych, jakie D. (…) w H. zgromadziła na dzień 31 grudnia 2025 r. w kasie i na rachunkach. Mając powyższe na uwadze, należy stwierdzić, że zaprezentowana wysokość administracyjnej kary pieniężnej będzie możliwa do zapłaty przez Administratora i nie zagrozi nieodwracalnie jego rentowności^[27].

89.

Kwota 64 652 zł (równowartość 15 390 euro) stanowi w ocenie Prezesa UODO próg, powyżej którego dalsze zwiększanie wysokości kary nie będzie już wiązało się ze wzrostem jej skuteczności i odstraszającego charakteru. Z drugiej natomiast strony obniżenie w większym stopniu wysokości kary mogłoby się odbyć kosztem jej skuteczności i odstraszającego charakteru, a także spójnego stosowania i egzekwowania rozporządzenia 2016/679 oraz zasady równego traktowania podmiotów na rynku wewnętrznym UE i EOG. Stwierdzić w tym miejscu należy, że zastosowanie wobec Administratora jakiegokolwiek innego środka naprawczego przewidzianego w art. 58 ust. 2 rozporządzenia 2016/679, w szczególności zaś poprzestanie na upomnieniu (art. 58 ust. 2 lit. b) rozporządzenia 2016/679), nie byłoby proporcjonalne do wagi stwierdzonych nieprawidłowości w procesie przetwarzania danych osobowych.

90.

Stosownie do treści art. 103 u.o.d.o. równowartość wyrażonych w euro kwot, o których mowa w art. 83 rozporządzenia 2016/679, oblicza się w złotych według średniego kursu euro ogłoszonego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia - według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego. Mając powyższe na uwadze, Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 83 ust. 4 lit. a) i art. 83 ust. 5 lit. a) w związku z art. 83 ust. 3 rozporządzenia 2016/679 oraz w związku z art. 103 u.o.d.o., za naruszenie opisane w sentencji niniejszej decyzji, nałożył na Administratora - stosując średni kurs euro z dnia 28 stycznia 2026 r. (1 euro = 4,2009 zł) - administracyjną karę pieniężną w kwocie 64 652 zł (słownie: sześćdziesięciu czterech tysięcy sześciuset pięćdziesięciu dwóch złotych).

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.