Decyzja DKE.561.3.2026

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego¤^[1] (zwanej dalej: „k.p.a.”) w związku z art. 7 ust. 1 i 2, art. 60 oraz art. 101 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych^[2] (zwanej dalej: „u.o.d.o.”), a także na podstawie art. 57 ust. 1 lit. a) i h), art. 58 ust. 2 lit. i), art. 83 ust. 1-2, art. 83 ust. 6 w związku z art. 58 ust. 2 lit. c) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwanego dalej: „rozporządzeniem 2016/679”^[3],

po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na X. sp. z o.o. z siedzibą w B. przy ul. (…), Prezes Urzędu Ochrony Danych Osobowych,

stwierdzając niewykonanie przez X. sp. z o.o. z siedzibą w B. przy ul. (…) nakazu decyzji administracyjnej Prezesa Urzędu Ochrony Danych Osobowych z 25 czerwca 2025 r. o sygn. DS.523.2420.2024.(…),

nakłada na X. sp. z o.o. z siedzibą w B. przy ul. (…) administracyjną karę pieniężną w kwocie 29 112 zł (słownie: dwadzieścia dziewięć tysięcy sto dwanaście złotych).

Uzasadnienie

I. Stan faktyczny.

1.

Dnia 25 czerwca 2025 r. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej: „Prezesem UODO” lub „organem nadzorczym”) wydał decyzję administracyjną o sygn. DS.523.2420.2024.(…) (zwaną dalej także „Decyzją”), którą - działając na podstawie art. 58 ust. 2 lit. c) rozporządzenia 2016/679 - nakazał X. sp. z o.o. z siedzibą w B. przy ul. (…) (zwanej dalej „Spółką”) wypełnienie wobec Pani T. S., zam. w B. przy ul. (…) (zwanej dalej również „Skarżącą”), obowiązku informacyjnego wynikającego z art. 14 ust. 1 i 2 rozporządzenia 2016/679. Decyzja ta, skierowana na ujawniony w Krajowym Rejestrze Sądowym (dalej także jako: „KRS”) adres siedziby Spółki, tj. ul. (…), (…)-(…) B. - po dwukrotnej awizacji w dniach 30 czerwca 2025 r. oraz 8 lipca 2025 r. - została zwrócona do Urzędu Ochrony Danych Osobowych (zwanego dalej również „UODO”) z adnotacją: „ZWROT nie podjęto w terminie”. Na podstawie przepisów art. 44 § 1 i 4 k.p.a. w związku z art. 45 k.p.a. została ona uznana za doręczoną Spółce z dniem 14 lipca 2025 r.

2.

Celem sprawdzenia, czy nałożony Decyzją obowiązek został spełniony przez Spółkę, pismem z 16 września 2025 r., znak: DKE.560.206.2025.(…), Spółkę wezwano do przedstawienia wyjaśnień i dowodów na wykonanie nakazu Decyzji. Wezwanie to doręczone zostało Spółce na aktualny adres jej siedziby ujawniony w KRS, tj. ul. (…), (…)-(…) B., w dniu 18 września 2025 r.

3.

Wskutek kontaktu telefonicznego, zainicjowanego w dniu 29 października 2025 r. przez pracownika Spółki, tego samego dnia doszło do przekazania kopii Decyzji na wskazany przez tego pracownika adres e-mail Prezesa zarządu Spółki. W wiadomości e-mail wezwano Spółkę ponownie do złożenia odpowiedzi na wezwanie z 16 września 2025 r.

4.

Pismem z 24 listopada 2025 r., znak: DKE.560.206.2025.(…), Prezes UODO skierował do Spółki upomnienie, o którym mowa w art. 15 § 1 ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji^[4], wzywające do wykonania nakazu Decyzji pod groźbą skierowania sprawy na drogę postępowania egzekucyjnego. Upomnienie również zostało przesłane na aktualny adres siedziby Spółki ujawniony w KRS i zostało doręczone Spółce 26 listopada 2025 r. Określony w upomnieniu 7-dniowy termin na wykonanie nakazu decyzji upłynął bezskutecznie 3 grudnia 2025 r. Spółka, pomimo prawidłowego doręczenia jej pisma, nie odpowiedziała na upomnienie Prezesa UODO i nie przedstawiła dowodów wykonania Decyzji.

5.

Skarżąca kilkukrotnie kontaktowała się telefonicznie z pracownikiem Departamentu Kar i Egzekucji UODO informując, że Spółka nie spełniła wobec niej obowiązku informacyjnego, o którym mowa w Decyzji. Dnia 26 marca 2026 r. Skarżąca złożyła w UODO pismo, w którym oświadczyła, że „[…] spółka do tej pory nie wypełniła wobec mnie obowiązku informacyjnego wynikającego z art. 14 ust. 1 i 2 rozporządzenia 2016/679”. Skarżąca wniosła w związku z tym o „[…] podjęcie stosownych działań określonych przepisami prawa wobec spółki X. Sp. z o.o.[…]”.

II. Postępowanie.

6.

W związku z niewykazaniem przez Spółkę wykonania nakazu Decyzji Prezes UODO wszczął wobec niej z urzędu niniejsze postępowanie administracyjne o sygn. DKE.561.3.2026.(…) w przedmiocie nałożenia na nią administracyjnej kary pieniężnej za nieprzestrzeganie nakazu orzeczonego przez Prezesa UODO. O wszczęciu postępowania i o zebraniu materiału dowodowego w sprawie Spółka została poinformowana pismem z 3 marca 2026 r., znak: DKE.561.3.2026.(…). Pismem tym Spółka pouczona została o możliwości wypowiedzenia się - przed wydaniem decyzji administracyjnej - co do zebranych dowodów i materiałów oraz zgłoszonych żądań. Spółkę poinformowano również o tym, że udzielenie wyczerpujących wyjaśnień oraz przedstawienie dowodów wykonania nakazu Decyzji, może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszym postępowaniu lub też może spowodować odstąpienie od jej nałożenia. W piśmie tym Spółka zobowiązana została ponadto w oparciu o art. 101a ust. 1 u.o.d.o. - celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej - do przedstawienia sprawozdania finansowego lub innego dokumentu przedstawiającego wysokość obrotu i wyniku finansowego osiągniętego przez nią w 2025 roku.

7.

Wskazane wyżej pismo skierowane zostało na ujawniony w KRS adres siedziby Spółki, tj. ul. (…), (…)-(…) B.. Zgodnie z informacją zamieszczoną w elektronicznym potwierdzeniu odbioru, pismo zostało doręczone Spółce 6 marca 2026 r.

8.

W toku niniejszego postępowania Pani T. S. - skarżąca w postępowaniu zakończonym wydaniem decyzji o sygn. DS.523.2420.2024.(…), wobec której Spółka zobowiązana była wykonać obowiązek nałożony tą decyzją - złożyła oświadczenie o niewykonaniu przez Spółkę wobec niej obowiązku informacyjnego wynikającego z art. 14 ust. 1 i 2 rozporządzenia 2016/679 (zob. pkt 5 uzasadnienia decyzji).

9.

Pismem z 6 maja 2026 r. do Spółki skierowane zostało pismo, w którym ponownie wezwano ją do przedstawienia sprawozdania finansowego lub innego dokumentu przedstawiającego wysokość obrotu i wyniku finansowego osiągniętego przez nią w 2025 roku. Również to pismo skierowano na aktualny adres siedziby Spółki. Po dwukrotnym awizowaniu - 11 i 19 maja 2026 r. - pismo zostało zwrócone do UODO z adnotacją „ZWROT nie podjęto w terminie”. W oparciu o art. 44 § 4 w zw. z art. 45 k.p.a. zostało ono uznane za doręczone Spółce 25 maja 2026 r.

10.

Do dnia wydania niniejszej decyzji Spółka nie odpowiedziała na żadne z pism kierowanych do niej zarówno w postępowaniu o sygn. DKE.560.206.2025.(…), jak i w niniejszym postępowaniu o sygn. DKE.561.3.2026.(…), w szczególności nie przedstawiła żądanych wyjaśnień i dowodów na wykonanie nakazu Decyzji.

Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

III. Przepisy prawne.

11.

Zgodnie z art. 57 ust. 1 lit. a) rozporządzenia 2016/679, Prezes UODO - jako organ nadzorczy w rozumieniu art. 51 rozporządzenia 2016/679 na swoim terytorium - monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO prowadzi m.in. postępowania w sprawie stosowania rozporządzenia 2016/679, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego (art. 57 ust. 1 lit. h) rozporządzenia 2016/679).

12.

Stosownie do art. 60 u.o.d.o. postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa UODO. Z kolei art. 7 ust. 1 u.o.d.o. stanowi, że w sprawach nieuregulowanych w tej ustawie do postępowań administracyjnych przed Prezesem UODO (w tym w postępowaniach w przedmiocie nałożenia administracyjnej kary pieniężnej, o których mowa w Rozdziale 11 u.o.d.o.) stosuje się przepisy k.p.a. Zgodnie z art. 7 ust. 2 u.o.d.o. postępowania te są postępowaniami jednoinstancyjnymi.

13.

Dla umożliwienia realizacji zadań organu nadzorczego, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 2 rozporządzenia 2016/679 uprawnień naprawczych, w tym uprawnienie do zastosowania, oprócz lub zamiast innych środków, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679, administracyjnej kary pieniężnej na mocy art. 83 tego rozporządzenia (art. 58 ust. 2 lit. i) rozporządzenia 2016/679).

14.

Naruszenie przepisów rozporządzenia 2016/679 polegające na nieprzestrzeganiu nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 tego aktu prawnego, podlega - zgodnie z art. 83 ust. 5 lit. e) in fine rozporządzenia 2016/679 - administracyjnej karze pieniężnej w wysokości do 20 000 000 euro, a w przypadku przedsiębiorstwa - w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

15.

Oceniając, czy, a jeśli tak, to w jakim wymiarze powinna być nałożona administracyjna kara pieniężna, organ nadzorczy ma obowiązek uwzględnić następujące okoliczności (przesłanki wymiaru kary) określone w art. 83 ust. 2 rozporządzenia 2016/679:

a)

charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody,

b)

umyślny lub nieumyślny charakter naruszenia,

c)

działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą,

d)

stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32,

e)

wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego,

f)

stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków,

g)

kategorie danych osobowych, których dotyczyło naruszenie,

h)

sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie,

i)

jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków,

j)

stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42,

k)

wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

16.

Ponadto organ nadzorczy - zgodnie z art. 83 ust. 1 rozporządzenia 2016/679 - zapewnia by stosowane administracyjne kary pieniężne były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające (zasady wymiaru kary).

17.

Celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej podmiot, wobec którego toczy się postępowanie w sprawie nałożenia administracyjnej kary pieniężnej zobowiązany jest na żądanie Prezesa UODO dostarczyć mu, w terminie 30 dni od dnia otrzymania żądania, danych niezbędnych do określenia tejże podstawy (art. 101a ust. 1 u.o.d.o.). Natomiast w przypadku niedostarczenia tych danych przez podmiot podlegający ukaraniu, Prezes UODO ustala podstawę wymiaru administracyjnej kary pieniężnej w sposób szacunkowy, uwzględniając wielkość podmiotu, specyfikę prowadzonej przez niego działalności lub ogólnie dostępne dane finansowe dotyczące podmiotu (art. 101a ust. 2 u.o.d.o.).

18.

Równowartość wyrażonych w euro kwot, o których mowa w art. 83 rozporządzenia 2016/679, oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku, gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia - według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego (art. 103 u.o.d.o.).

IV. Ocena prawna.

19.

Odnosząc przytoczone powyżej przepisy rozporządzenia 2016/679 oraz innych aktów prawa krajowego do ustalonego w niniejszej sprawie stanu faktycznego, w pierwszej kolejności należy podkreślić, że dla oceny wykonania obowiązku nałożonego na Spółkę decyzją administracyjną Prezesa UODO z dnia 25 czerwca 2025 r. o sygn. DS.523.2420.2024.(…) (spełnienie obowiązku informacyjnego wobec Pani T. S.) istotne znaczenie mają informacje i dowody dotyczące sposobu wykonania tego obowiązku, pozostające w dyspozycji Spółki jako jego adresata. Wobec tego, w sytuacji gdy adresat nakazu decyzji nie wykazał - prawidłowo wezwany do tego - wykonania nałożonego na niego obowiązku, przyjąć należy, że obowiązek ten nie został przez niego wykonany. Warto w tym zakresie przywołać pogląd Naczelnego Sądu Administracyjnego, wyrażony w wyroku z 5 listopada 2025 r. w sprawie o sygn. III OSK 2183/22, zgodnie z którym „nałożenie na organy prowadzące postępowanie administracyjne obowiązku wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego nie zwalnia (…) stron postępowania od współudziału w realizacji tego obowiązku. Dotyczy to zwłaszcza sytuacji, gdy nieudowodnienie określonych okoliczności faktycznych może prowadzić do rezultatów niekorzystnych dla stron” (Legalis nr 3956563). Konieczność udokumentowania przez Administratora działań podjętych w związku z naruszeniem danych osobowych oraz przedstawienia dokumentacji organowi nadzorczemu, gdy zaistnieje taka potrzeba, NSA wywiódł z „zasady rozliczalności”, określonej w art. 5 ust. 2 rozporządzenia 2016/679.

20.

Współodpowiedzialność strony za przebieg postępowania dowodowego oraz konsekwencje braku jej współpracy z organem nadzorczym w ustalaniu stanu faktycznego sprawy podkreślają doktryna prawa administracyjnego oraz orzecznictwo sądów administracyjnych, co przedstawia poniższy wywód dr hab. Piotra Przybysza.

21.

„Z art. 7 wynika, że organ administracji nie może ograniczyć się do oczekiwania na przedstawienie przez stronę dowodów potwierdzających jej żądanie, ale że powinien aktywnie dążyć do wyjaśnienia sprawy (zob. np. wyrok NSA z 17 maja 1994 r., sygn. akt SA/Lu 1921/93^[5]; wyrok NSA z 4 czerwca 1998 r., sygn. akt I SA/Kr 1052/97^[6]; wyrok NSA z 25 czerwca 1999 r., sygn. akt I SA 1551/98^[7]). Nie wyklucza to obowiązku strony współprzyczynienia się do zapewnienia pełnego i wyczerpującego zebrania i rozpatrzenia materiału dowodowego - w drodze złożenia wyjaśnień lub przytoczenia innych dowodów w sprawie (wyrok NSA z 4 grudnia 1996 r., sygn. akt SA/Łd 2620/95^[8]). W orzecznictwie wskazuje się wręcz, że ciążąca na organach powinność zbadania wszystkich okoliczności istotnych w sprawie w żaden sposób nie może usprawiedliwiać bierności zainteresowanej strony oraz nie zwalnia jej z obowiązku współdziałania z organem w wyjaśnieniu sprawy (wyrok NSA z 16 kwietnia 2019 r., sygn. akt I OSK 1711/17^[9]). Na stronie postępowania administracyjnego ciąży obowiązek udowodnienia okoliczności, na podstawie których wywodzi korzystne dla siebie skutki prawne (wyrok NSA z 29 września 2020 r., sygn. akt II OSK 1452/20^[10]). Tak więc strona powinna przekazać organowi dowody dotyczące okoliczności, których wykazanie leży w jej interesie, pod rygorem negatywnych dla niej skutków procesowych […]. Strona nie może ograniczać się do formułowania twierdzeń co do okoliczności faktycznych oczekując, że to organ ma w takim wypadku obowiązek poszukiwania dowodów, by te twierdzenia wykazać. Obowiązek gromadzenia i poszukiwania dowodów, spoczywający na organach administracji, nie może być uznany za nieograniczony. Nie sposób żądać, aby organy poszukiwały dowodów w nieskończoność, albo podejmowały szczególne dochodzenie w celu wykrycia dowodów, o których istnieniu nic nie wiadomo, albo których odnalezienie jest wyjątkowo mało prawdopodobne z uwagi na upływ czasu” (P. M. Przybysz [w:] Kodeks postępowania administracyjnego. Komentarz aktualizowany, Gdańsk 2026, art. 7)^[11].

22.

Warta przywołania w tym miejscu jest ponadto teza wyroku Naczelnego Sądu Administracyjnego z 29 czerwca 2018 r. wydanego w sprawie o sygn. akt I OSK 274/18^[12], zgodnie z którą „[r]realizując zasadę prawdy obiektywnej (art. 7 k.p.a. i art. 77 § 1 k.p.a.) organ jest wprawdzie zobowiązany do wyczerpującego zebrania całego materiału dowodowego, jednakże strona nie jest zwolniona od obowiązku współdziałania w wyjaśnianiu okoliczności faktycznych sprawy. Powinna ona bowiem przedstawić w sprawie wszystkie informacje niezbędne do ustalenia jej stanu faktycznego, jak również wskazać dowody mające, jej zdaniem, znaczenie w sprawie i udostępnić dowody znajdujące się w jej posiadaniu”. W takim jak niniejsze szczególnym postępowaniu, którego przedmiotem jest ocena wykonania nakazu polegającego na podjęciu pewnego działania bezpośrednio przez administratora, teza powyższa ma - w ocenie Prezesa UODO - szczególne zastosowanie.

23.

Na tle powyższych rozważań wskazania wymaga, że materiał dowodowy zebrany w niniejszej sprawie obejmuje korespondencję kierowaną przez Prezesa UODO do Spółki zarówno w toku postępowania o sygn. DKE.560.206.2025.(…), jak i w toku postępowania o sygn. DKE.561.3.2026.(…). Obrazuje ona próbę uzyskania przez Prezesa UODO od Spółki informacji o wykonaniu nakazu (pismo z 16 września 2025 r. - zob. pkt 2 uzasadnienia decyzji) oraz próbę doprowadzenia do dobrowolnego wykonania przez Spółkę tego nakazu (upomnienie z 24 listopada 2025 r. - zob. pkt 4 uzasadnienia decyzji) w ramach postępowania o sygn. DKE.560.206.2025.(…). Z materiału tego wynika nadto, że Spółka została poinformowana o wszczęciu postępowania o sygn. DKE.561.3.2026.(…) w przedmiocie nałożenia na nią administracyjnej kary pieniężnej, która to kara ze swej istoty ma mieć charakter dyscyplinujący i naprawczy - ma również na celu doprowadzenie do wykonania nakazu i wykazanie tego przed Prezesem UODO (pismo z 3 marca 2026 r. - zob. pkt 6 i 7 uzasadnienia decyzji). Jednocześnie Spółkę pouczono, że jeśli udzieli pisemnie - w terminie 14 dni od dnia doręczenia pisma informującego o wszczęciu postępowania o sygn. DKE.561.3.2026.(…) - wyczerpujących wyjaśnień oraz przedstawi dowody wykonania nakazu Decyzji, okoliczność ta może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej lub może spowodować odstąpienie od jej nałożenia. Całokształt wskazanej wyżej korespondencji, fakt braku odpowiedzi Spółki na kierowane do niej pisma Prezesa UODO, jak również złożone przez Skarżącą oświadczenie o niewykonaniu przez Spółkę wobec niej obowiązku informacyjnego (zob. pkt 5 uzasadnienia decyzji) świadczą o tym, że Decyzja nie została przez Spółkę wykonana.

24.

W konsekwencji należało przyjąć, że Spółka - jako administrator i jako adresat Decyzji nakazującej wykonanie wobec Skarżącej obowiązku wynikającego z przepisów rozporządzenia 2016/679 - nie udowodniła w żaden sposób wykonania nakazu tej decyzji, pomimo skierowania do niej przez Prezesa UODO wezwań poprzedzających wszczęcie niniejszego postępowania. To pozwala stwierdzić, że Spółka nie zastosowała się do nakazu orzeczonego przez Prezesa UODO na podstawie art. 58 ust. 2 lit. c) RODO, czym dopuściła się naruszenia, o którym mowa w art. 83 ust. 6 RODO. Zaistniały więc w ocenie Prezesa UODO przesłanki uzasadniające nałożenie na Spółkę administracyjnej kary pieniężnej w związku z nieprzestrzeganiem nakazu orzeczonego na podstawie art. 58 ust. 2 rozporządzenia 2016/679.

V. Administracyjna kara pieniężna.

1. Przesłanki wymiaru administracyjnej kary pieniężnej.

25.

Stosownie do treści art. 83 ust. 2 rozporządzenia 2016/679, administracyjną karę pieniężną nakłada się zależnie od okoliczności każdego indywidualnego przypadku. Decydując o nałożeniu na Spółkę administracyjnej kary pieniężnej Prezes UODO - zgodnie z art. 83 ust. 2 lit. a)-k) rozporządzenia 2016/679 (zob. pkt 15 uzasadnienia decyzji) - wziął pod uwagę następujące (zob. pkt 26-28 poniżej) okoliczności sprawy, stanowiące o konieczności zastosowania w niniejszej sprawie tego rodzaju sankcji oraz wpływające obciążająco na wymiar nałożonej administracyjnej kary pieniężnej.

26.

Charakter, waga i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody (art. 83 ust. 2 lit. a) rozporządzenia 2016/679).

Naruszenie podlegające administracyjnej karze pieniężnej w niniejszej sprawie (nieprzestrzeganie nakazu orzeczonego przez Prezesa UODO na podstawie art. 58 ust. 2 rozporządzenia 2016/679) godzi w system mający na celu ochronę jednego z podstawowych praw osoby fizycznej, którym jest prawo do ochrony jej danych osobowych, czy też szerzej - do ochrony jej prywatności. Istotnym elementem tego systemu, którego ramy określone zostały przepisami rozporządzenia 2016/679, są organy nadzorcze, na które nałożone zostały zadania związane z ochroną i egzekwowaniem praw osób fizycznych w tym zakresie. W celu umożliwienia realizacji tych zadań organy nadzorcze wyposażone zostały w szereg uprawnień naprawczych, które zostały wymienione w art. 58 ust. 2 rozporządzenia 2016/679. Lekceważenie przez Spółkę orzeczonego wobec niej przez Prezesa UODO nakazu, będącego w istocie skonkretyzowaniem obowiązku przewidzianego przepisami rozporządzenia 2016/679, oznacza lekceważenie przepisów o ochronie danych osobowych i roli Prezesa UODO w systemie ochrony danych określonym przepisami rozporządzenia 2016/679. Wagę tego naruszenia (w wymiarze abstrakcyjnym, oderwanym od realiów niniejszej sprawy) podkreślił sam prawodawca unijny, który zaliczył je do grupy naruszeń zagrożonych wyższą karą z dwóch określonych przepisami rozporządzenia 2016/679 - karą do 20 000 000 euro, a w przypadku przedsiębiorstwa - w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Dodatkowo należy podkreślić, że skoro decyzja nakazywała spełnienie obowiązku informacyjnego wynikającego z art. 14 ust. 1 i 2 rozporządzenia 2016/679, jej niewykonanie świadczy o dalszym pozostawaniu osoby, której dane dotyczą, w stanie niepewności co do podstaw i zakresu przetwarzania jej danych osobowych przez Spółkę. Brak realizacji obowiązku informacyjnego utrudnia skuteczne wykonywanie przez Skarżącą praw wynikających z przepisów o ochronie danych osobowych, ponieważ pozbawia ją pełnej wiedzy o okolicznościach przetwarzania jej danych osobowych, w tym o celach przetwarzania, odbiorcach danych oraz przysługujących jej uprawnieniach. Biorąc pod uwagę powyższe okoliczności stwierdzić należy, że naruszenie ma znaczną wagę i naganny charakter. Wagę naruszenia zwiększa ponadto okoliczność, że stan tego naruszenia jest długotrwały - trwa od 14 sierpnia 2025 r. (od daty uprawomocnienia się Decyzji) do dnia dzisiejszego, a zatem blisko rok. Okolicznością działającą w pewnym stopniu na korzyść Spółki jest z kolei fakt, że naruszenie dotyczy danych osobowych tylko jednej osoby (skarżącej w postępowaniu o sygn. DS.523.2420.2024.(…)), a Prezes UODO nie stwierdził szkód, które ta osoba mogłaby ponieść w związku z niewykonaniem (lub opóźnieniem w wykonaniu) nakazu Decyzji. Niemniej jednak, rozważając wszystkie okoliczności składające się na przesłankę wskazaną w art. 83 ust. 2 lit. a) rozporządzenia 2016/679, Prezes UODO musi uznać ją - rozpatrywaną w całokształcie - za okoliczność obciążającą Spółkę.

27.

Umyślny charakter naruszenia (art. 83 ust. 2 lit. b) rozporządzenia 2016/679).

Zgodnie z Wytycznymi 04/2022 „umyślność” obejmuje zarówno wiedzę, jak i celowe działanie, w związku z cechami charakterystycznymi czynu zabronionego, podczas gdy „nieumyślność” oznacza brak zamiaru spowodowania naruszenia, pomimo niedopełnienia przez administratora/podmiot przetwarzający obowiązku staranności wymaganego prawem. Mając na względzie okoliczności niniejszej sprawy, Prezes UODO uznał, że zachowaniu Spółki w niniejszej sprawie należy przypisać umyślność. Spółka odebrała wezwanie do złożenia wyjaśnień z 16 września 2025 r. (zob. pkt 2 uzasadnienia decyzji), co następnie doprowadziło do przekazania jej kopii decyzji administracyjnej Prezesa Urzędu Ochrony Danych Osobowych z 25 czerwca 2025 r. o sygn. DS.523.2420.2024.(…) (zob. pkt 3 uzasadnienia decyzji). Następnie Spółka odebrała upomnienie z 24 listopada 2025 r. (zob. pkt 4 uzasadnienia decyzji) oraz informację o wszczęciu niniejszego postępowania administracyjnego z 3 marca 2026 r. (zob. pkt 6 i 7 uzasadnienia decyzji). Za bezsporne należy więc uznać, że Spółka miała świadomość ciążącego na niej obowiązku, sposobu i terminu jego wykonania oraz tego, jakie dowody powinna przedstawić celem udokumentowania wykonania nakazu. Spółka została również poinformowana jakie konsekwencje wiążą się z nieprzestrzeganiem obowiązku wynikającego z Decyzji. Mimo to, Spółka nie odpowiedziała na kierowane do niej przez Prezesa UODO pisma i nie przedstawiła dowodów wykonania Decyzji. Co więcej, reakcja Spółki nie nastąpiła nawet po otrzymaniu przez nią informacji o wszczęciu postępowania w przedmiocie nałożenia na nią administracyjnej kary pieniężnej w sprawie o sygn. DKE.561.3.2026.(…), a taki stan świadczy o świadomym i celowym braku woli spełnienia obowiązku wskazanego w Decyzji. Okoliczność ta winna być oceniana negatywnie i uznana za obciążającą w kontekście ustalenia zarówno zasadności wymierzenia, jak i wysokości orzeczonej kary pieniężnej.

28.

Stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) rozporządzenia 2016/679).

Zarówno w postępowaniu w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej o sygn. DKE.561.3.2026.(…), jak również w postępowaniu o sygn. DKE.560.206.2025.(…), Spółka nie podjęła w żadnym stopniu współpracy z Prezesem UODO. W szczególności Spółka nie przedstawiła wyjaśnień i dowodów, o które Prezes UODO zwracał się do niej w swoich pismach. Nie przedstawiła zatem informacji, które pozwoliłyby na stwierdzenie wykonania nakazu Decyzji, a takie działanie - w okolicznościach niniejszej sprawy - mogłoby być potraktowane jako działanie w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych skutków. Okoliczność, że Spółka zlekceważyła nałożony na nią w drodze Decyzji obowiązek i nie podjęła w tym zakresie współpracy z Prezesem UODO wpływa obciążająco na ocenę stwierdzonego naruszenia.

29.

W ocenie Prezesa UODO żadna z okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, nie przemawia za złagodzeniem ustalonego - z uwzględnieniem wyżej wskazanych okoliczności obciążających - wymiaru kary orzeczonej niniejszą decyzją administracyjną.

30.

Inne, niżej wskazane okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, po dokonaniu oceny ich wpływu na stwierdzone w niniejszej sprawie naruszenie, zostały przez Prezesa UODO uznane za neutralne, to znaczy niemające ani obciążającego ani łagodzącego wpływu na wymiar orzeczonej administracyjnej kary pieniężnej:

a)

wszelkie stosowne wcześniejsze naruszenia ze strony Spółki (art. 83 ust. 2 lit. e) rozporządzenia 2016/679). Prezes UODO nie stwierdził, aby Spółka dopuściła się wcześniej jakichkolwiek naruszeń przepisów o ochronie danych osobowych, w związku z czym brak jest podstaw do traktowania tej okoliczności jako obciążającej. A ponieważ taki stan (wywiązywanie się z obowiązków wynikających z przepisów o ochronie danych osobowych) jest normą - standardem wymaganym od administratorów i podmiotów przetwarzających - nie może mieć on również wpływu łagodzącego na dokonaną przez Prezesa UODO ocenę naruszenia.

b)

sposób w jaki organ nadzorczy dowiedział się o naruszeniu (art. 83 ust. 2 lit. h) rozporządzenia 2016/679). Informację o stwierdzonym w niniejszej sprawie naruszeniu Prezes UODO uzyskał z urzędu analizując przebieg toczącego się przed nim postępowania o sygn. DKE.560.206.2025.(…), którego celem było ustalenie wykonania przez Spółkę nakazu wynikającego z prawomocnej decyzji Prezesa UODO. Jest to naturalny sposób powzięcia informacji o tego rodzaju naruszeniu, wynikający z kompetencji Prezesa UODO do oceny przebiegu prowadzonych przez niego postępowań. W toku postępowania o sygn. DKE.560.206.2025.(…) Prezes UODO dokonał analizy zgromadzonego materiału dowodowego i w związku z brakiem dowodów na przestrzeganie nakazu Decyzji zdecydował o wszczęciu postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej zgodnie z art. 83 ust. 6 rozporządzenia. Okoliczność ta nie ma więc ani obciążającego, ani łagodzącego wpływu na wymiar orzeczonej w sprawie administracyjnej kary pieniężnej.

c)

przestrzeganie wcześniej zastosowanych w tej samej sprawie środków, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679 (art. 83 ust. 2 lit. i) rozporządzenia 2016/679). Przed wydaniem niniejszej decyzji Prezes UODO nie stosował wobec Spółki w rozpatrywanej sprawie żadnych środków wymienionych w art. 58 ust. 2 rozporządzenia 2016/679, w związku z czym Spółka nie miała obowiązku podejmowania żadnych działań związanych z ich stosowaniem, a które to działania, poddane ocenie Prezesa UODO, mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia.

d)

stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji (art. 83 ust. 2 lit. j) rozporządzenia 2016/679). Spółka nie stosuje instrumentów, o których mowa w art. 40 i art. 42 rozporządzenia 2016/679. Ich przyjęcie, wdrożenie i stosowanie nie jest jednak - jak stanowią przepisy rozporządzenia 2016/679 - obowiązkowe dla administratorów, w związku z czym okoliczność ich niestosowania nie może być w niniejszej sprawie poczytana na niekorzyść Spółki. Na korzyść Spółki natomiast mogłaby być uwzględniona okoliczność przyjęcia i stosowania tego rodzaju instrumentów jako środków gwarantujących wyższy niż standardowy poziom ochrony przetwarzanych danych osobowych.

e)

osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty (art. 83 ust. 2 lit. k) rozporządzenia 2016/679). Prezes UODO nie stwierdził, żeby Spółka, w związku z niewykonaniem nakazu Decyzji, odniosła jakiekolwiek korzyści finansowe lub uniknęła tego rodzaju strat. Brak jest więc podstaw do traktowania tej okoliczności jako obciążającej Spółkę. Stwierdzenie zaistnienia wymiernych korzyści finansowych wynikających z naruszenia przepisów rozporządzenia 2016/679 należałoby ocenić zdecydowanie negatywnie. Natomiast nieosiągnięcie przez Spółkę takich korzyści, jako stan naturalny, niezależny od jej woli i jego działania, jest okolicznością, która z istoty rzeczy nie może być dla niej łagodząca. Potwierdza to samo sformułowanie przepisu art. 83 ust. 2 lit. k) rozporządzenia 2016/679, który nakazuje organowi nadzorczemu zwrócić należytą uwagę na korzyści „osiągnięte” - zaistniałe po stronie podmiotu dokonującego naruszenia.

f)

inne obciążające lub łagodzące czynniki (art. 83 ust. 2 lit. k) rozporządzenia 2016/679). Prezes UODO, wszechstronnie rozpatrując sprawę, nie odnotował innych niż opisane powyżej okoliczności mogących mieć wpływ na ocenę naruszenia i na wysokość orzeczonej administracyjnej kary pieniężnej.

31.

Pozostałe okoliczności wymienione w art. 83 ust. 2 rozporządzenia 2016/679 nie mogły być wzięte pod uwagę przez Prezesa UODO (i nie mogły tym samym być potraktowane jako łagodzące bądź obciążające) jako nieznajdujące zastosowania w niniejszej sprawie. Są to:

a)

działania podjęte przez Spółkę w celu zminimalizowania szkód poniesionych przez osoby, których dane dotyczą (art. 83 ust. 2 lit. c) rozporządzenia 2016/679) - ze względu na to, że w sprawie nie zmaterializowały się żadne szkody po stronie osób fizycznych, brak jest obowiązku i możliwości podjęcia przez Spółkę jakichkolwiek działań mających na celu ich zminimalizowanie;

b)

stopień odpowiedzialności Spółki z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nią na mocy art. 25 i 32 rozporządzenia 2016/679 (art. 83 ust. 2 lit. d) rozporządzenia 2016/679) - ze względu na to, że naruszenie w samej swojej istocie nie wiąże się ze środkami technicznymi i organizacyjnymi wdrożonymi przez Spółkę w celu zapewnienia ochrony danych osobowych oraz bezpieczeństwa ich przetwarzania;

c)

kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679). Naruszenie będące przedmiotem postępowania dotyczyło niewykonania przez Spółkę nakazu Decyzji, tj. niespełnienia obowiązku informacyjnego wobec Skarżącej, nie zaś nieuprawnionego przetwarzania określonych kategorii danych osobowych. Z tego względu rodzaj danych, których przetwarzanie wiązało się z obowiązkiem informacyjnym, nie stanowił okoliczności wpływającej w jakikolwiek sposób na wymiar administracyjnej kary pieniężnej.

2. Wysokość administracyjnej kary pieniężnej.

32.

Aby zapewnić spójne podejście do nakładania administracyjnych kar pieniężnych, Europejska Rada Ochrony Danych przyjęła Wytyczne 04/2022^[13], które zalecają przy wyliczeniu wysokości kary rozważenie trzech elementów, tj. kategoryzacji naruszenia ze względu na jego charakter, powagi naruszenia oraz obrotu przedsiębiorstwa.

33.

Pomimo dwukrotnego wezwania przez Prezesa UODO, Spółka nie przedstawiła danych finansowych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężnej, to jest informacji o osiągniętym przychodzie w 2025 r. (zob. pkt 6 i 9 uzasadnienia decyzji). Informacja ta jest jednak ogólnodostępna, gdyż Spółka złożyła sprawozdanie finansowe za miniony rok do Krajowego Rejestru Sądowego. W konsekwencji, wysokość podstawy wymiaru administracyjnej kary pieniężnej Prezes UODO ustalił - stosownie do art. 101a ust. 2 u.o.d.o. - w sposób szacunkowy, biorąc pod uwagę wielkość podmiotu, specyfikę prowadzonej przez niego działalności, a także te ogólnodostępne dane finansowe dotyczące tego podmiotu (zob. pkt 17 uzasadnienia decyzji).

34.

Mając na względzie powyższe, należy powołać się na najnowsze ogólnodostępne dane finansowe Spółki, które wykazują, że w 2025 r. Spółka osiągnęła przychód (…) zł netto z podstawowej działalności operacyjnej^[14]. Jednocześnie należy zauważyć, że choć Spółka w 2025 r. poniosła stratę w kwocie (…) zł, to z ogólnodostępnych danych finansowych nie wynika, aby stała się niewypłacalna lub groziła jej niewypłacalność. Przeciwnie, analiza sprawozdania finansowego Spółki za 2025 r. wskazuje na posiadanie aktywów o wartości przewyższającej poziom zobowiązań, przy jednoczesnym braku zadłużenia z tytułu kredytów i pożyczek. Nadto, należy zauważyć, że strata poniesiona przez Spółkę w 2025 roku była mniejsza niż w roku poprzednim (strata w kwocie (…) zł), co świadczy o poprawie sytuacji finansowej Spółki. W konsekwencji brak jest podstaw do przyjęcia, że sytuacja finansowa Spółki uniemożliwiałaby jej poniesienie administracyjnej kary pieniężnej. W związku z tym, jako szacowaną kwotę przychodu osiągniętego przez Spółkę w 2025 r., stanowiącą podstawę obliczenia administracyjnej kary pieniężnej, Prezes UODO przyjął kwotę (…) zł (równowartość kwoty (…) euro według średniego kursu euro z 28 stycznia 2026 r. wynoszącego 4,2009 zł, który to kurs przyjęty został dla tego oraz dla wszelkich innych poniższych przeliczeń walutowych zgodnie z art. 103 u.o.d.o.) (zob. pkt 18 uzasadnienia decyzji).

35.

Zgodnie z przedstawionymi w Wytycznych 04/2022 wskazówkami Prezes UODO dokonał kategoryzacji stwierdzonego w niniejszej sprawie naruszenia przepisu rozporządzenia 2016/679 (zob. Rozdział 4.1 Wytycznych 04/2022). Nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 należy - zgodnie z art. 83 ust. 6 rozporządzenia 2016/679 - do kategorii naruszeń zagrożonych karą wyższą z dwóch przewidzianych w rozporządzeniu 2016/679 wymiarów kar (z maksymalną wysokością do 20 000 000 EUR lub do 4% całkowitego rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego). Zostało więc ono in abstracto (w oderwaniu od indywidualnych okoliczności konkretnej sprawy) uznane przez prawodawcę unijnego za jedno z najpoważniejszych naruszeń przewidzianych rozporządzeniem 2016/679.

36.

Prezes UODO ustalił prawnie określoną maksymalną wysokość kary możliwą do orzeczenia wobec Spółki w niniejszej sprawie - zob. Rozdział 6.1 Wytycznych 04/2022. Przepis art. 83 ust. 6 rozporządzenia 2016/679 zobowiązuje Prezesa UODO do określenia, czy w sprawie zastosowanie będzie miała tzw. „statyczna kwota maksymalna” (20 000 000 euro), czy „dynamiczna kwota maksymalna” (4 % obrotu z poprzedniego roku obrotowego), i do przyjęcia kwoty wyższej jako kwoty maksymalnej, której orzeczona w sprawie administracyjna kara pieniężna nie może przekroczyć. Wartość 4 % szacowanego obrotu (przychodu) Spółki za poprzedni rok obrotowy (przyjętego w kwocie (…) zł - zob. pkt 34 uzasadnienia decyzji) to kwota (…) zł (równowartość (…) euro). W związku z tym, że jest to kwota niższa niż statyczna kwota maksymalna (20 000 000 euro), Prezes UODO zobligowany jest do przyjęcia jako maksimum, którego nie może przekroczyć orzekając wobec Spółki administracyjną karę pieniężną, tej drugiej kwoty - 20 000 000 euro - jako kwoty wyższej.

37.

Prezes UODO ocenił stwierdzone w niniejszej sprawie naruszenie jako naruszenie o średnim poziomie powagi (zob. Rozdział 4.2 Wytycznych 04/2022). W ramach tej oceny wzięte zostały pod uwagę te przesłanki spośród wymienionych w art. 83 ust. 2 rozporządzenia 2016/679, które dotyczą strony przedmiotowej naruszenia (składają się na „powagę” naruszenia), to jest: charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) rozporządzenia 2016/679), umyślny lub nieumyślny charakter naruszenia (art. 83 ust. 2 lit. b) rozporządzenia 2016/679) oraz kategorie danych osobowych, których dotyczyło naruszenie. Szczegółowa ocena tych okoliczności przedstawiona została powyżej (zob. pkt 26, 27 oraz 31 c) uzasadnienia decyzji). W tym miejscu wskazać należy, że rozważenie ich łącznego wpływu na ocenę stwierdzonego w niniejszej sprawie naruszenia traktowanego w całości prowadzi do wniosku, że poziom jego powagi (rozumianej zgodnie z Wytycznymi 04/2022) jest średni. Konsekwencją tego jest zaś przyjęcie - jako kwoty wyjściowej do obliczenia kary - wartości mieszczącej się w przedziale od 10% do 20% maksymalnej wysokości kary możliwej do orzeczenia wobec Spółki (zob. pkt 60 Wytycznych 04/2022). Za adekwatną, uzasadnioną okolicznościami niniejszej sprawy, kwotę wyjściową Prezes UODO uznał kwotę 12 602 700 zł (równowartość 3 000 000 euro) odpowiadającą wartości 15% maksymalnej, możliwej do orzeczenia w niniejszej sprawie, wysokości kary.

38.

Prezes UODO dostosował kwotę wyjściową, odpowiadającą średniej powadze stwierdzonego naruszenia, do obrotu Spółki jako miernika jej wielkości i siły gospodarczej (zob. Rozdział 4.3 Wytycznych 04/2022). Stosownie do wskazówek EROD przedstawionych w pkt 65 Wytycznych 04/2022, w przypadku przedsiębiorstw, których roczny obrót wynosi od 0 do 2 mln EUR, organ nadzorczy może rozważyć dokonanie dalszych obliczeń wysokości kary na podstawie wartości mieszczącej się w przedziale od 0,2 do 0,4% kwoty wyjściowej. Biorąc pod uwagę obrót (przychód) Spółki w 2025 r. (zob. pkt 34 uzasadnienia niniejszej decyzji), Prezes UODO za stosowne uznał skorygowanie podlegającej obliczeniom kwoty kary do wartości odpowiadającej 0,21% kwoty wyjściowej, to jest do kwoty 26 466 zł (równowartość 6 300 euro).

39.

Prezes UODO dokonał oceny wpływu na stwierdzone naruszenie pozostałych (poza tymi uwzględnionymi wyżej w ocenie powagi naruszenia) okoliczności wskazanych w art. 83 ust. 2 rozporządzenia 2016/679 (zob. Rozdział 5 Wytycznych 04/2022). Okoliczności te, mogące mieć obciążający lub łagodzący wpływ na ocenę naruszenia, co do zasady odnoszą się - jak zakładają Wytyczne 04/2022 - do strony podmiotowej naruszenia, to jest do samego podmiotu będącego sprawcą naruszenia oraz jego zachowania przed naruszeniem, w jego trakcie, i po jego zaistnieniu. Szczegółowa ocena i uzasadnienie wpływu każdej z tych przesłanek na ocenę naruszenia przedstawione zostały powyżej (zob. pkt 28, 30 i 31 lit. a)-c) uzasadnienia decyzji). Prezes UODO uznał, że - spośród wyżej wskazanych przesłanek - okolicznością obciążającą w niniejszej sprawie jest stopień współpracy w celu usunięcia naruszenia (art. 83 ust. 2 lit. f) rozporządzenia 2016/679). Organ nadzorczy przeprowadzając analizę w niniejszej sprawie nie uwzględnił natomiast żadnej okoliczności łagodzącej - takiej, która mogłaby mieć wpływ na obniżenie wymiaru sankcji. Ze względu więc na zaistnienie w sprawie dodatkowej okoliczności obciążającej, Prezes UODO uznał za zasadne zwiększenie o 10% ustalonej wyżej (zob. pkt 38 uzasadnienia Decyzji) kwoty kary - do kwoty 29 112 zł (równowartość 6 930 euro).

40.

Prezes UODO uznał, że ustalona zgodnie z powyższymi zasadami wysokość kary nie wymaga dodatkowej korekty ze względu na jej skuteczność, proporcjonalność i odstraszający charakter (art. 83 ust. 1 rozporządzenia 2016/679). Stosownie do brzmienia art. 83 ust. 1 rozporządzenia 2016/679 nałożona przez organ nadzorczy administracyjna kara pieniężna powinna być w każdym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. Sankcja jest skuteczna, jeśli pozwala osiągnąć cel, dla którego ją wprowadzono. Sankcja jest proporcjonalna, jeśli nie przekracza progu dolegliwości określonego przez uwzględnienie okoliczności konkretnego przypadku. Sankcja jest zaś odstraszająca, jeśli realizuje względy prewencji indywidualnej i generalnej, innymi słowy, stanowi czytelny sygnał o dezaprobowaniu naruszenia - zarówno dla społeczeństwa, jak i dla samego adresata sankcji. W ocenie Prezesa UODO kara nałożona na Spółkę w niniejszym postępowaniu odpowiada zasadom wskazanym w art. 83 ust. 1 rozporządzenia 2016/679. Jej dolegliwość w wymiarze finansowym pozwoli osiągnąć swój cel represyjny, jakim jest ukaranie Spółki za bezprawne zachowanie. Kara ta spełni ponadto funkcję odstraszającą, ponieważ będzie jasnym sygnałem dla Spółki oraz innych administratorów, że lekceważenie nakazów Prezesa UODO stanowi naruszenie o znacznej wadze i jako takie podlegać będzie sankcjom finansowym. Nałożona niniejszą decyzją kara jest też - w ocenie Prezesa UODO - proporcjonalna do wagi stwierdzonego naruszenia oraz do możliwości jej poniesienia przez Spółkę bez dużego uszczerbku dla prowadzonej przez nią działalności. Wysokość kary pieniężnej stanowi jedynie 0,035% maksymalnej wysokości kary, którą Prezes UODO mógł, zgodnie z art. 83 ust. 6 rozporządzenia 2016/679, nałożyć na Spółkę za stwierdzone w niniejszej sprawie naruszenie. W ocenie Prezesa UODO kara w wysokości 29 112 zł (równowartość 6 930 euro) będzie dla Spółki na tyle dolegliwa, że dalsze zwiększanie jej wysokości nie będzie już wiązało się ze wzrostem jej skuteczności i odstraszającego charakteru.

41.

Uwzględniając zatem wszystkie omówione wyżej okoliczności, Prezes UODO uznał, że nałożenie na Spółkę administracyjnej kary pieniężnej jest konieczne i uzasadnione wagą i charakterem naruszenia, umyślnym charakterem działania Spółki prowadzącego do naruszenia, a także negatywną oceną jej zachowania zarówno wobec Skarżącej, jak i wobec organu nadzorczego. Stwierdzić należy, że zastosowanie jakiegokolwiek innego środka naprawczego przewidzianego w art. 58 ust. 2 rozporządzenia 2016/679, w szczególności zaś poprzestanie na upomnieniu (art. 58 ust. 2 lit. b) rozporządzenia 2016/679), nie byłoby proporcjonalne do stwierdzonych nieprawidłowości oraz nie gwarantowałoby tego, że Spółka usunie stan stwierdzonego w niniejszej sprawie naruszenia, a w przyszłości nie dopuści się kolejnych zaniedbań w zakresie ochrony danych osobowych.

Mając powyższe na uwadze Prezes UODO orzekł jak w sentencji niniejszej decyzji.