Decyzja DKE.561.7.2026

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego^[1] (zwanej dalej „k.p.a.”) w związku z art. 7 ust. 1 i 2, art. 60 oraz art. 101 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych^[2] (zwanej dalej „u.o.d.o.”), a także na podstawie art. 57 ust. 1 lit. a) i lit. h), art. 58 ust. 2 lit. i), art. 83 ust. 1-2 oraz art. 83 ust. 5 lit. e) w związku z art. 58 ust. 1 lit. a) i lit. e) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)^[3] (zwanego dalej „rozporządzeniem 2016/679”),

po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na Pana M. T., wykonującego działalność gospodarczą pod firmą „C. (…)” (poprzednio „D. (…)”) (ul. (…), (…)-(…) Z.), Prezes Urzędu Ochrony Danych Osobowych (zwany dalej „Prezesem UODO”, „organem nadzorczym”):

stwierdzając naruszenie przez Pana M. T., wykonującego działalność gospodarczą pod firmą „C. (…)”, przepisu art. 58 ust. 1 lit. a) i e) rozporządzenia 2016/679, polegające na niezapewnieniu dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań w postępowaniu o sygn. DKN.5101.8.2025.(…).,

nakłada na niego administracyjną karę pieniężną w kwocie 31 507 zł (słownie: trzydziestu jeden tysięcy pięciuset siedmiu złotych).

Uzasadnienie

I. Stan faktyczny

1.

Do Prezesa UODO wpłynęła informacja wskazująca na możliwe nieprawidłowości związane z funkcjonowaniem serwisu (…) i powiązanego z nim serwisu (…), wykorzystywanych do przetwarzania danych osób (…) oraz osób (…). Z sygnału, jaki wpłynął do Prezesa UODO wynikało, że wskazane serwisy były wykorzystywane do przetwarzania danych osób (…) w zakresie: imienia, nazwiska oraz konkretnego zawodu w powiązaniu z nieprawidłowymi informacjami (zawód, dane kontaktowe, miejsce i sposób prowadzenia praktyki zawodowej) oraz artykułami sugerującymi, że to dana osoba jest ich autorem. Prezes UODO uzyskał także informację, że zarówno serwis (…), jak i serwis (…) nie podawały tożsamości i danych kontaktowych administratora, co uniemożliwiało osobom, których dane przetwarzano, skuteczne korzystanie z przysługujących im praw w zakresie ochrony prywatności i danych osobowych. Powyższe informacje stanowiły impuls do podjęcia przez Prezesa UODO czynności wyjaśniających prowadzonych pod sygn. DKN.5101.8.2025.(…).

2.

Z dokonanych przez Prezesa UODO ustaleń wynikało, że działalność serwisów (…) oraz (…), których dotyczyły sygnalizowane nieprawidłowości, jest powiązana z działalnością gospodarczą wykonywaną przez Pana M. T. pod firmą „D. (…)” (obecnie: „C. (…)”). Z uwagi na powyższe pismem z 3 lutego 2025 r., skierowanym na adres do doręczeń ujawniony w Centralnej Ewidencji i Informacja o Działalności Gospodarczej (zwanej dalej „CEIDG”), tj. ul. (…), (…)-(…) Z., Prezes UODO zawiadomił Pana M. T. wykonującego działalność gospodarczą pod firmą „D. (…)” (obecnie: „C. (…)”) (zwanego dalej „Stroną”, „Administratorem”, „Przedsiębiorcą”) o powzięciu informacji, o których mowa w pkt 1 uzasadnienia oraz poinformował o czynnościach wyjaśniających prowadzonych pod sygn. DKN.5101.8.2025.(…). Organ nadzorczy, działając na podstawie art. 58 ust. 1 lit. a) i e) rozporządzenia 2016/679, wezwał również Stronę do złożenia wyjaśnień poprzez udzielenie odpowiedzi na szczegółowo sformułowane w piśmie pytania, obejmujące m.in. wskazanie administratora stron internetowych (…) oraz (…).

3.

W piśmie z 26 lutego 2025 r. Strona udzieliła odpowiedzi na powyższe wezwanie organu. W swoich wyjaśnieniach Przedsiębiorca potwierdził m.in., że jest administratorem danych osobowych przetwarzanych w ramach serwisu (…), a także odniósł się do pozostałych pytań Prezesa UODO.

4.

Wyjaśnienia złożone przez Stronę okazały się niewystarczające, a w związku z tym Prezes UODO skierował do Administratora kolejne wezwania z 9 kwietnia 2025 r. i 6 listopada 2025 r. do złożenia dodatkowych wyjaśnień, na które Strona udzieliła odpowiedzi w pismach z 2 maja 2025 r. (wskazana w piśmie data złożenia podpisu elektronicznego) i 5 grudnia 2025 r.

5.

Również dodatkowe wyjaśnienia Strony, o których mowa powyżej, nie pozwoliły na dokonanie ustaleń niezbędnych dla rozstrzygnięcia kwestii będących przedmiotem czynności prowadzonych pod sygn. DKN.5101.8.2025.(…), dlatego w pismach z 20 marca 2026 r. oraz 15 kwietnia 2026 r. organ nadzorczy, na podstawie art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, ponownie wezwał Administratora do uzupełnienia wyjaśnień, poprzez udzielenie odpowiedzi na następujące pytania:

1)

kto obecnie jest administratorem/kto ustala cele i sposoby przetwarzania danych osobowych serwisu (…);

2)

w jaki sposób nastąpiło wejście przez podmiot (…) w rolę administratora stron w domenach https://(…);

3)

czy, a jeżeli tak na jakiej podstawie dane osobowe zawarte na stronie https://(…)/ zostały wytransferowane z Polski (biorąc pod uwagę fakt, że obecnie dane te widnieją również pod adresem: (…), tj. na domenie, która zarejestrowana jest w (…));

4)

czy dopełniono obowiązku informacyjnego wobec (…), których dane przetwarzane są w portalu D., w kwestii wytransferowania tych danych poza obszar Polski i UE.

W wezwaniach organ wyznaczył Administratorowi termin 3 dni od dnia doręczenia pism na udzielenie odpowiedzi.

6.

Wezwanie z 20 marca 2026 r. zostało skierowane na adres do doręczeń Przedsiębiorcy ujawniony w CEIDG, tj. ul. (…), (…)-(…) Z.. Pismo to zostało jednak awizowane tylko jednokrotnie, tj. 26 marca 2026 r., a następnie zwrócone do UODO 14 kwietnia 2026 r. W związku z powyższym organ skierował do Strony kolejne pismo z 15 kwietnia 2026 r., które również wysłano na adres do doręczeń ujawniony w CEIDG. Pismo to po dwukrotnej bezskutecznej awizacji (21 kwietnia 2026 r. i 28 kwietnia 2026 r.) zostało zwrócone do UODO z adnotacją „ZWROT nie podjęto w terminie”, przy czym należy uznać je za doręczone Stronie - zgodnie z art. 44 § 1 i 4 k.p.a. - w trybie doręczenia zastępczego, z upływem 5 maja 2026 r.

7.

W piśmie z 15 kwietnia 2026 r. Administrator został pouczony o tym, że brak odpowiedzi na wezwanie może skutkować nałożeniem na niego administracyjnej kary pieniężnej zgodnie z art. 83 ust. 5 lit. e) rozporządzenia 2016/679. Pouczenie takie znalazło się również w pismach organu nadzorczego z 9 kwietnia 2025 r. i 6 listopada 2025 r., o których mowa w pkt 4 uzasadnienia.

8.

Strona nie udzieliła odpowiedzi na wezwanie Prezesa UODO z 15 kwietnia 2026 r. W związku z brakiem reakcji Strony na skierowane do niej pismo, 15 maja 2026 r. pracownik Departamentu Kar i Egzekucji UODO (zwanego dalej „DKE”) skierował wiadomość e-mail na adresy (…) (adres wskazany w wyjaśnieniach Strony z 26 lutego 2025 r.), (…) (adres poczty elektronicznej ujawniony w CEIDG) oraz (…) (adres wskazany na stronie internetowej Przedsiębiorcy ujawnionej w CEIDG). W wiadomości poproszono Przedsiębiorcę o kontakt z UODO w związku z postępowaniem prowadzonym pod sygn. DKN.5101.8.2025.(…). Tego samego dnia z adresu (…) przesłana została wiadomość zwrotna, do której załączono zrzuty ekranu przedstawiające komunikat (dotyczący e-maila przesłanego przez pracownika DKE) o możliwości zgłoszenia próby wyłudzenia, w przypadku gdy adresat uważa, że wiadomość może stanowić formę phishingu. W odpowiedzi na tę wiadomość pracownik DKE poinformował, że w przypadku wątpliwości co do tożsamości nadawcy, możliwe jest skontaktowanie się z UODO pod numerem dostępnym na stronie internetowej uodo.gov.pl i potwierdzenie tożsamości pracownika Urzędu. Strona nie podjęła jednak kontaktu z UODO, dlatego pracownik DKE 5 czerwca 2026 r. skierował do Przedsiębiorcy kolejną wiadomość e-mail z prośbą o kontakt, która pozostała bez odpowiedzi.

9.

W związku z brakiem reakcji Strony na powyższe wiadomości e-mail, Pracownik DKE podjął również próbę nawiązania kontaktu telefonicznego ze stroną. 10 czerwca 2026 r. dwukrotnie zatelefonowano pod wskazany w CEIDG numer kontaktowy Przedsiębiorcy, jednak próba nawiązania połączenia okazała się bezskuteczna, ponieważ numer okazał się niedostępny. Ponowną próbę podjęto 12 czerwca 2026 r., jednak i tym razem numer pozostawał niedostępny.

10.

Powyższy stan faktyczny Prezes UODO ustalił na podstawie korespondencji urzędowej skierowanej do Administratora, znajdującej się w aktach sprawy o sygn. DKN.5101.8.2025.(…). Korespondencja ta odzwierciedla działania podjęte przez Prezesa UODO w celu uzyskania informacji niezbędnych do realizacji jego ustawowych zadań i rozpatrzenia sprawy o sygn. DKN.5101.8.2025.(…), a zarazem stanowi dowód braku odpowiedzi Strony na skierowane do niej wezwanie do złożenia uzupełniających wyjaśnień. Stan faktyczny ustalono również na podstawie korespondencji e-mail skierowanej do Strony oraz notatki służbowej sporządzonej przez pracownika DKE z próby nawiązania kontaktu telefonicznego z Administratorem. Dokumenty te potwierdzają podjęcie przez UODO bezskutecznych prób nawiązania kontaktu ze Stroną z wykorzystaniem dostępnych kanałów komunikacji, a zarazem świadczą o braku reakcji Strony na skierowane do niej wezwania.

II. Postępowanie

11.

W związku z nieudzieleniem przez Administratora informacji niezbędnych do rozstrzygnięcia sprawy o sygn. DKN.5101.8.2025.(…), Prezes UODO wszczął wobec niego z urzędu - na podstawie art. 83 ust. 5 lit. e) rozporządzenia 2016/679 - niniejsze postępowanie administracyjne o sygn. DKE.561.7.2026.(…) w przedmiocie nałożenia na Przedsiębiorcę administracyjnej kary pieniężnej za naruszenie art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679. O wszczęciu postępowania Strona została zawiadomiona pismem z 15 czerwca 2026 r. Pismem tym Przedsiębiorca został poinformowany na czym polega naruszenie oraz pouczony o grożących za nie sankcjach. Administrator został również wezwany, celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej, w oparciu o art. 101a ust. 1 u.o.d.o., do przedstawienia sprawozdania finansowego, zeznania podatkowego lub innego dokumentu przedstawiającego wysokość osiągniętego przychodu (obrotu) w 2025 r. W piśmie wskazano, iż nieprzedstawienie tego rodzaju dokumentu lub informacji skutkować będzie ustaleniem przez Prezesa UODO podstawy wymiaru kary w sposób szacunkowy, zgodnie z art. 101a ust. 2 u.o.d.o. Jednocześnie Strona została poinformowana o istniejącej nadal możliwości złożenia wyjaśnień, których zażądał od niej Prezes UODO w postępowaniu o sygn. DKN.5101.8.2025.(…), co mogłoby wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszej sprawie bądź spowodować odstąpienie od jej nałożenia. Pismo to, po dwukrotnej awizacji w dniach 19 czerwca 2026 r. oraz 29 czerwca 2026 r., zostało zwrócone do UODO z adnotacją „ZWROT nie podjęto w terminie”, przy czym na podstawie art. 44 § 1 i 4 k.p.a. należy uznać je za prawidłowo doręczone Przedsiębiorcy z upływem 3 lipca 2026 r.

12.

Informacja o wszczęciu niniejszego postępowania nie spotkała się z jakąkolwiek reakcją ze strony Administratora - Przedsiębiorca nie złożył dodatkowych wyjaśnień w sprawie o sygn. DKN.5101.8.2025.(…), a także nie przedstawił danych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężnej w niniejszym postępowaniu.

Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie, Prezes UODO zważył, co następuje.

III. Podstawy prawne

13.

Zgodnie z art. 57 ust. 1 lit. a) rozporządzenia 2016/679, Prezes UODO - jako organ nadzorczy w rozumieniu art. 51 rozporządzenia 2016/679 - na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO m.in. prowadzi postępowania w sprawie stosowania rozporządzenia 2016/679, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego (art. 57 ust. 1 lit. h) rozporządzenia 2016/679).

14.

Stosownie do art. 60 u.o.d.o. postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa UODO. Z kolei art. 7 ust. 1 u.o.d.o. stanowi, że w sprawach nieuregulowanych w tej ustawie do postępowań administracyjnych przed Prezesem UODO (w tym do postępowań w przedmiocie nałożenia administracyjnej kary pieniężnej, o których mowa w Rozdziale 11 u.o.d.o.) stosuje się przepisy k.p.a. Zgodnie z art. 7 ust. 2 u.o.d.o. postępowania te są postępowaniami jednoinstancyjnymi.

15.

Dla umożliwienia realizacji zadań organu nadzorczego, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a) rozporządzenia 2016/679) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e) rozporządzenia 2016/679).

16.

Naruszenie przepisów rozporządzenia 2016/679 polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych osobowych i informacji, skutkujące naruszeniem uprawnień organu określonych w art. 58 ust. 1 tego aktu prawnego, podlega - zgodnie z art. 83 ust. 5 lit. e) in fine rozporządzenia 2016/679 - administracyjnej karze pieniężnej w wysokości do 20 000 000 euro, a w przypadku przedsiębiorstwa - w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

17.

Oceniając czy, a jeśli tak, to w jakim wymiarze powinna być nałożona administracyjna kara pieniężna, organ nadzorczy ma obowiązek uwzględnić następujące okoliczności (przesłanki wymiaru kary) określone w art. 83 ust. 2 rozporządzenia 2016/679:

a)

charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody;

b)

umyślny lub nieumyślny charakter naruszenia;

c)

działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;

d)

stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32;

e)

wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego;

f)

stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków;

g)

kategorie danych osobowych, których dotyczyło naruszenie;

h)

sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie;

i)

jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków;

j)

stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42;

k)

wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

18.

Ponadto organ nadzorczy, zgodnie z art. 83 ust. 1 rozporządzenia 2016/679, zapewnia by stosowane administracyjne kary pieniężne były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.

19.

Celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej podmiot, wobec którego toczy się postępowanie, zobowiązany jest na żądanie Prezesa UODO dostarczyć mu w terminie 30 dni od dnia doręczenia żądania danych niezbędnych do określenia tejże podstawy (art. 101a ust. 1 u.o.d.o). Natomiast w przypadku niedostarczenia tych danych przez podmiot podlegający ukaraniu, Prezes UODO ustala podstawę wymiaru administracyjnej kary pieniężnej w sposób szacunkowy, uwzględniając wielkość podmiotu, specyfikę prowadzonej przez niego działalności lub ogólnie dostępne dane finansowe dotyczące podmiotu (art. 101a ust. 2 u.o.d.o.).

20.

Zgodnie z art. 103 u.o.d.o., równowartość wyrażonych w euro kwot, o których mowa w art. 83 rozporządzenia 2016/679, oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku, gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia - według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego.

21.

Zgodnie z art. 42 § 1 k.p.a., pisma doręcza się osobom fizycznym w ich mieszkaniu lub miejscu pracy albo na adres do korespondencji wskazany w bazie adresów elektronicznych. Art. 44 k.p.a. stanowi zaś, iż w razie niemożności doręczenia pisma w sposób wskazany w art. 42 i 43 k.p.a., operator pocztowy w rozumieniu ustawy z dnia 23 listopada 2012 r. Prawo pocztowe przechowuje pismo przez okres 14 dni w swojej placówce pocztowej - w przypadku doręczania pisma przez operatora pocztowego (§ 1 pkt 1). Zawiadomienie o pozostawieniu pisma wraz z informacją o możliwości jego odbioru w terminie siedmiu dni, licząc od dnia pozostawienia zawiadomienia w miejscu określonym w § 1, umieszcza się w oddawczej skrzynce pocztowej lub, gdy nie jest to możliwe, na drzwiach mieszkania adresata, jego biura lub innego pomieszczenia, w którym adresat wykonuje swoje czynności zawodowe, bądź w widocznym miejscu przy wejściu na posesję adresata (§ 2). W przypadku niepodjęcia przesyłki w tym terminie, pozostawia się powtórne zawiadomienie o możliwości odbioru przesyłki w terminie nie dłuższym niż czternaście dni od daty pierwszego zawiadomienia (§ 3). Doręczenie uważa się za dokonane z upływem 14 dnia od daty pierwszej próby doręczenia a pismo pozostawia się w aktach sprawy (§ 4).

IV. Ocena prawna

22.

Przekładając wskazane wyżej przepisy prawa na ustalony w niniejszej sprawie stan faktyczny, w pierwszej kolejności należy rozważyć, czy Przedsiębiorca jest adresatem obowiązków, o których mowa w art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, których naruszenie podlega administracyjnej karze pieniężnej na podstawie art. 83 ust. 5 lit. e) rozporządzenia 2016/679. Wskazane wyżej przepisy rozporządzenia 2016/679 nakładają obowiązek procesowy - w ramach prowadzonych przez Prezesa UODO postępowań - na administratorów i podmioty przetwarzające. Z akt sprawy DKN.5101.8.2025.(…) wynika, że do nieprawidłowości w zakresie przetwarzania danych osób (…) oraz osób (…), mogło dojść w związku z funkcjonowaniem serwisów (…) oraz (…). Jak wskazano w pkt 3 uzasadnienia, Przedsiębiorca w piśmie z 26 lutego 2025 r. potwierdził, że według stanu na dzień sporządzenia tego pisma był administratorem danych osobowych przetwarzanych w ramach serwisu (…). W związku z tym Prezes UODO uprawniony jest - zgodnie z art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679 - do nakazania Stronie przedstawienia informacji niezbędnych do weryfikacji zawiadomień wskazujących na możliwość naruszenia przepisów rozporządzenia 2016/679, zaś Przedsiębiorca - na tej samej podstawie prawnej - zobowiązany jest takich informacji udzielić.

23.

Strona początkowo aktywnie uczestniczyła w postępowaniu o sygn. DKN.5101.8.2025.(…) udzielając odpowiedzi na wezwania Prezesa UODO w pismach z 26 lutego, 2 maja i 5 grudnia 2025 r. Z uwagi na to, że wyjaśnienia złożone przez Przedsiębiorcę okazały się niewystarczające dla wyjaśnienia wątpliwości zgłoszonych organowi nadzorczemu, Prezes UODO 20 marca 2026 r. skierował do Strony wezwanie do złożenia dodatkowych wyjaśnień. Pismo to zostało jednak awizowane wyłącznie jednokrotnie, a następnie zwrócone do UODO. Z uwagi na błędy w doręczeniu pisma z 20 marca 2026 r., organ skierował do Strony kolejne wezwanie z 15 kwietnia 2026 r. Wezwanie to, pomimo dwukrotnej prawidłowej awizacji, nie zostało podjęte w terminie, a więc należało je uznać za doręczone Przedsiębiorcy w trybie doręczenia zastępczego, o którym mowa w art. 44 k.p.a.

24.

W tym miejscu należy zwrócić uwagę na fakt, że zgodnie z wpisem w CEIDG Strona jest podmiotem aktywnie wykonującym działalność gospodarczą, której przedmiotem jest (…). Adresem właściwym do doręczeń, wskazanym w CEIDG zarówno w momencie skierowania do Przedsiębiorcy pierwszego pisma Prezesa UODO dotyczącego sprawy o sygn. DKN.5101.8.2025.(…) (tj. skutecznie doręczonego pisma z 3 lutego 2025 r. - zob. pkt 2 uzasadnienia), jak i wezwania do uzupełnienia wyjaśnień z 15 kwietnia 2026 r. (zob. pkt 6 uzasadnienia), a także pisma z 15 czerwca 2026 r. informującego o wszczęciu niniejszego postępowania (zob. pkt 11 uzasadnienia), pozostawał adres „ul. (…), (…)-(…) Z.”. Adres ten jest również aktualnym adresem do doręczeń według stanu na dzień wydania niniejszej decyzji. Strona nie posiada przy tym adresu do doręczeń elektronicznych, ani nie określiła stałego miejsca wykonywania działalności gospodarczej. Zupełnie niezrozumiałe pozostają zatem powody, dla których Przedsiębiorca zignorował skierowane przez Prezesa UODO wezwanie do złożenia dodatkowych wyjaśnień w sprawie o sygn. DKN.5101.8.2025.(…). Na Stronie spoczywa powinność wykonywania wszelkich obowiązków nakazanych przepisami prawa, w tym wynikających z przepisów o ochronie danych osobowych, mających wobec niej zastosowanie z tytułu roli, jaką pełni w odniesieniu do przetwarzanych danych osobowych, tj. roli administratora tych danych. Tym samym Przedsiębiorca zobowiązany był (i nadal jest), stosownie do brzmienia art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, udzielić odpowiedzi na wezwanie Prezesa UODO.

25.

Zaznaczyć należy, że organ nadzorczy nie poprzestał wyłącznie na skierowaniu do Przedsiębiorcy pisemnego wezwania do złożenia wyjaśnień uzupełniających, ale podjął także czynności mające na celu nawiązanie ze Stroną kontaktu przy pomocy alternatywnych metod. Do Przedsiębiorcy w pierwszej kolejności skierowano wiadomości e-mail z prośbą o kontakt z Urzędem w związku z prowadzonym postępowaniem wyjaśniającym o sygn. DKN.5101.8.2025.(…) - Strona nie udzieliła jednak odpowiedzi na wezwanie do złożenia dodatkowych wyjaśnień i nie nawiązała kontaktu z UODO. Biernej postawy Przedsiębiorcy nie zmieniły również próby nawiązania kontaktu telefonicznego - ujawniony w CEIDG numer kontaktowy okazał się bowiem nieaktywny.

26.

Wskazane powyżej okoliczności przemawiają za uznaniem, że Przedsiębiorca miał obiektywnie zachowaną możliwość zapoznania się z treścią pisma wystosowanego do niego przez organ nadzorczy, a okoliczność braku jego odbioru - skutkująca brakiem złożenia wyjaśnień, o które organ zwracał się do Przedsiębiorcy - obciąża wyłącznie jego samego. W ocenie Prezesa UODO, bierna postawa Przedsiębiorcy świadczy o jego lekceważącym stosunku zarówno wobec organu, jak i prowadzonego przez ten organ postępowania. Mimo wyczerpania wszelkich środków służących pozyskaniu informacji niezbędnych do wszechstronnego wyjaśnienia sprawy o sygn. DKN.5101.8.2025.(…) - które to informacje pozostają w dyspozycji Przedsiębiorcy - ten do chwili wydania niniejszej decyzji administracyjnej nie podjął współpracy z organem nadzorczym.

27.

Brak złożenia dodatkowych wyjaśnień, których Prezes UODO zażądał od Strony w piśmie z 15 kwietnia 2026 r., jest przeszkodą w obiektywnym, wnikliwym i wszechstronnym rozpatrzeniu sprawy o sygn. DKN.5101.8.2025.(…). W związku z powyższym należy uznać, że zaistniały przesłanki uzasadniające nałożenie na Przedsiębiorcę - na mocy art. 83 ust. 5 lit. e) rozporządzenia 2016/679 - administracyjnej kary pieniężnej za naruszenie przepisów art. 58 ust. 1 lit. a) i lit. e) tego rozporządzenia, polegające na niezapewnieniu dostępu do wszelkich danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań wykonywanych w ramach postępowania o sygn. DKN.5101.8.2025.(…). Skutkiem braku dostępu do informacji jest uniemożliwienie organowi nadzorczemu rozstrzygnięcia sprawy o sygn. DKN.5101.8.2025.(…) oraz nieuzasadnione przedłużenie czasu trwania tego postępowania wyjaśniającego. Powyższe wiąże się przy tym z naruszeniem prawa osób dotkniętych nieprawidłowościami, o których mowa w punkcie 1 uzasadnienia, do uzyskania skutecznej i szybkiej ochrony prawnej ze strony organu nadzorczego.

V. Przesłanki wymiaru administracyjnej kary pieniężnej

28.

Stosownie do treści art. 83 ust. 2 rozporządzenia 2016/679, administracyjną karę pieniężną nakłada się zależnie od okoliczności każdego indywidualnego przypadku. Decydując o nałożeniu na Przedsiębiorcę administracyjnej kary pieniężnej, Prezes UODO - zgodnie z art. 83 ust. 2 lit. a)-k) rozporządzenia 2016/679 - wziął pod uwagę następujące okoliczności sprawy, świadczące o konieczności zastosowania w niniejszej sprawie tego rodzaju sankcji oraz wpływające obciążająco na wymiar nałożonej administracyjnej kary pieniężnej.

Charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) rozporządzenia 2016/679).

29.

Naruszenie podlegające administracyjnej karze pieniężnej w niniejszej sprawie godzi w system mający na celu ochronę jednego z podstawowych praw osoby fizycznej, jakim jest prawo do ochrony jej danych osobowych, czy też szerzej - do ochrony jej prywatności. Istotnym elementem tego systemu, którego ramy określone zostały przepisami rozporządzenia 2016/679, są organy nadzorcze, na które nałożone zostały zadania związane z ochroną i egzekwowaniem praw osób fizycznych w tym zakresie. W celu umożliwienia realizacji tych zadań organy nadzorcze wyposażone zostały w szereg uprawnień kontrolnych, uprawnień umożliwiających prowadzenie postępowań administracyjnych oraz uprawnień naprawczych. Natomiast na administratorów i podmioty przetwarzające nałożone zostały skorelowane z uprawnieniami organów nadzorczych określone obowiązki, w tym obowiązek zapewnienia tym organom dostępu do danych osobowych i informacji niezbędnych do realizacji ich zadań. Wagę naruszenia tych obowiązków podkreślił sam prawodawca unijny, przewidując za ich naruszenie karę wyższą z dwóch określonych przepisami rozporządzenia 2016/679 - w wysokości do 20 000 000 euro, a w przypadku przedsiębiorstwa - do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Postępowanie Przedsiębiorcy analizowane w niniejszej sprawie, polegające na uniemożliwieniu dostępu do żądanych przez Prezesa UODO informacji i danych osobowych, należy uznać za godzące w cały system ochrony danych osobowych, a w związku z tym mające znaczną wagę i naganny charakter. Wagę naruszenia zwiększa dodatkowo okoliczność, że stwierdzone zaniechanie Przedsiębiorcy ma charakter ciągły i trwa od upływu 3-dniowego terminu na złożenie wyjaśnień, wyznaczonego w wezwaniu z 15 kwietnia 2026 r. skierowanym do Przedsiębiorcy w postępowaniu o sygn. DKN.5101.8.2025.(…), to jest od 9 maja 2026 r., do dnia wydania decyzji administracyjnej kończącej niniejsze postępowanie - a zatem, według stanu na dzień wydania niniejszej decyzji, blisko 4 miesiące.

30.

Mając na względzie wszystkie wyżej wskazane okoliczności, przesłankę określoną w art. 83 ust. 2 lit. a) rozporządzenia 2016/679, rozpatrywaną w sposób całościowy, organ ocenił jako obciążającą.

Umyślny charakter naruszenia (art. 83 ust. 2 lit. b) rozporządzenia 2016/679).

31.

Analizując przesłankę z art. 83 ust. 2 lit. b) rozporządzenia 2016/679, Prezes UODO uwzględnił stanowisko wyrażone przez EROD, zgodnie z którym umyślność „obejmuje zarówno wiedzę, jak i celowe działanie, w związku z cechami charakterystycznymi czynu zabronionego” (zob. pkt 55 Wytycznych 04/2022).

32.

W ocenie Prezesa UODO Przedsiębiorca świadomie i celowo nie zapewnił organowi nadzorczemu dostępu do informacji niezbędnych do rozstrzygnięcia sprawy, o które zwrócił się Prezes UODO. Przedsiębiorca miał świadomość toczącego się przed organem nadzorczym postępowania wyjaśniającego o sygn. DKN.5101.8.2025.(…) - odebrał pisma Prezesa UODO z 3 lutego, 9 kwietnia i 6 listopada 2025 r. oraz udzielił na nie odpowiedzi odpowiednio 26 lutego, 2 maja i 5 grudnia 2025 r. Przedsiębiorca był również świadomy tego, że organ nadzorczy stara się nawiązać z nim kontakt w związku z prowadzonym postępowaniem wyjaśniającym - świadczy o tym skuteczne doręczenie do niego wiadomości e-mail z 15 maja 2026 r., w której poproszono go o skontaktowanie się z Urzędem w związku ze sprawą o sygn. DKN.5101.8.2025.(…) (zob. pkt 8 uzasadnienia). Nieudzielenie odpowiedzi na skierowaną do Przedsiębiorcy korespondencję z 15 kwietnia 2026 r. Prezes UODO ocenia jako świadome zaniechanie, którego skutkiem jest utrudnienie lub nawet uniemożliwienie organowi nadzorczemu dokonania oceny zgłoszonych zastrzeżeń dotyczących nieprawidłowości w związku z funkcjonowaniem serwisów (…) i (…). Okoliczność ta winna być oceniana negatywnie i uznana za obciążającą w kontekście ustalenia zarówno zasadności wymierzenia, jak i wysokości orzeczonej kary pieniężnej.

Wszelkie stosowne wcześniejsze naruszenia ze strony administratora (art. 83 ust. 2 lit. e) rozporządzenia 2016/679).

33.

Decydując o nałożeniu, jak i o wysokości administracyjnej kary pieniężnej orzeczonej wobec Przedsiębiorcy, Prezes UODO uwzględnił jako okoliczność obciążającą fakt uprzedniego naruszenia przez Stronę przepisów rozporządzenia 2016/679. Organ nadzorczy wydał bowiem wobec Przedsiębiorcy następujące rozstrzygnięcia, mocą których udzielił upomnienia lub nakazał dostosowanie operacji przetwarzania danych osobowych do przepisów rozporządzenia 2016/679:

a)

decyzja Prezesa UODO z 11 maja 2026 r. w sprawie o sygn. DS.523.380.2025, mocą której Prezes UODO w pkt 1 nakazał Przedsiębiorcy usunięcie danych osobowych skarżącego przetwarzanych bez podstawy prawnej, zaś w pkt 2 udzielił Przedsiębiorcy upomnienia za naruszenie art. 6 ust. 1 rozporządzenia 2016/679, polegające na udostępnieniu danych osobowych skarżącego bez podstawy prawnej na portalu https://(…);

b)

decyzja Prezesa UODO z 20 maja 2026 r. w sprawie o sygn. DWKSN.523.7006.2025, mocą której Prezes UODO nakazał Przedsiębiorcy usunięcie danych osobowych skarżącego przetwarzanych bez podstawy prawnej na portalu https://(…).

34.

W tym miejscu zaznaczyć należy, że zgodnie ze stanowiskiem EROD „[w]ystąpienie wcześniejszych naruszeń może być uznane za okoliczność obciążającą przy obliczaniu kary pieniężnej. Waga przypisywana temu czynnikowi powinna być ustalana z uwzględnieniem charakteru i częstotliwości wcześniejszych naruszeń. Brak wcześniejszych naruszeń nie może jednak zostać uznany za okoliczność łagodzącą, ponieważ przestrzeganie przepisów [rozporządzenia 2016/679] stanowi normę” (zob. pkt 94 Wytycznych 04/2022).

35.

Mając na uwadze powyższe, należy wskazać, że naruszenie będące przedmiotem niniejszego postępowania nie jest tożsame pod względem przedmiotowym z naruszeniami stwierdzonymi w decyzjach powołanych w pkt 33 uzasadnienia. Przedmiotem niniejszej sprawy jest bowiem niewłaściwe wykonanie przez administratora obowiązków wobec organu nadzorczego, polegające na niezapewnieniu Prezesowi UODO dostępu do danych osobowych oraz informacji niezbędnych do realizacji jego zadań. Decyzje wydane wobec Przedsiębiorcy, o których mowa w pkt 33 uzasadnienia, dotyczyły natomiast naruszeń polegających na bezpodstawnym przetwarzaniu danych osobowych skarżących. Uwzględniając jednak stanowisko EROD, zgodnie z którym „wszystkie wcześniejsze naruszenia mogą stanowić informację o ogólnym podejściu administratora lub podmiotu przetwarzającego do przestrzegania przepisów RODO” (zob. pkt 88 Wytycznych 04/2022), Prezes UODO poczytał dotychczasowe naruszenia po stronie Przedsiębiorcy - wskazujące na istniejące trudności w zapewnieniu zgodności jego działalności z przepisami o ochronie danych osobowych - na jego niekorzyść. Jednocześnie jednak brak ścisłego związku pomiędzy rozstrzygnięciami powołanymi w pkt 33 uzasadnienia, wydanymi w postępowaniach wszczętych na skutek skarg podmiotów danych, a naruszeniem będącym przedmiotem niniejszego postępowania, świadczy o ograniczonym stopniu wpływu analizowanej przesłanki na wysokość orzeczonej kary.

Stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) rozporządzenia 2016/679).

36.

W toku niniejszego postępowania w przedmiocie nałożenia na Przedsiębiorcę administracyjnej kary pieniężnej, a także w toku postępowania o sygn. DKN.5101.8.2025.(…), Przedsiębiorca nie podjął współpracy z organem nadzorczym zmierzającej do usunięcia naruszenia polegającego na niezapewnieniu dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań. Strona nie złożyła uzupełniających wyjaśnień, a - co za tym idzie - nie przedstawiła informacji żądanych przez Prezesa UODO, co mogłoby być potraktowane jako działanie mające na celu usunięcie stwierdzonego w niniejszej sprawie naruszenia lub złagodzenie jego skutków. Taki brak współpracy skutkował utrudnieniem i nieuzasadnionym przedłużeniem prowadzonego przez Prezesa UODO postępowania wyjaśniającego o sygn. DKN.5101.8.2025.(…). Trwanie Przedsiębiorcy w stanie naruszenia (brak woli przywrócenia stanu zgodnego z prawem polegającego na wywiązywaniu się z ciążących na nim obowiązków procesowych w postępowaniu przed Prezesem UODO) wpływa - w ocenie Prezesa UODO - obciążająco na ocenę stwierdzonego naruszenia.

37.

Na marginesie wskazać należy, że dla oceny przesłanki określonej w art. 83 ust. 2 lit. f) rozporządzenia 2016/679 bez znaczenia pozostaje okoliczność, iż Strona w pismach z 26 lutego, 2 maja i 5 grudnia 2025 r. udzieliła odpowiedzi na wcześniejsze wezwania Prezesa UODO skierowane w sprawie o sygn. DKN.5101.8.2025.(…). Wyjaśnienia te zostały bowiem złożone przed dopuszczeniem się naruszenia będącego przedmiotem niniejszego postępowania, a zatem nie mogą zostać uznane za przejaw współpracy z organem nadzorczym w celu usunięcia analizowanego naruszenia lub złagodzenia jego ewentualnych negatywnych skutków. Jednocześnie zgodnie ze stanowiskiem EROD „(…) zwykły obowiązek współpracy ma charakter obligatoryjny i w związku z tym powinien być uznawany za okoliczność neutralną (a nie łagodzącą)” (zob. pkt 96 Wytycznych 04/2022).

38.

W ocenie Prezesa UODO żadna z okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, nie przemawia za złagodzeniem ustalonego - z uwzględnieniem wyżej wskazanych okoliczności obciążających - wymiaru kary orzeczonej niniejszą decyzją administracyjną.

39.

Inne, niżej wskazane okoliczności, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, po dokonaniu oceny ich wpływu na stwierdzone w niniejszej sprawie naruszenie, zostały przez Prezesa UODO uznane za neutralne, to znaczy niemające ani obciążającego ani łagodzącego wpływu na wymiar orzeczonej administracyjnej kary pieniężnej:

a)

sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator zgłosił naruszenie (art. 83 ust. 2 lit. h) rozporządzenia 2016/679) - informację o stwierdzonym w niniejszej sprawie naruszeniu Prezes UODO uzyskał z urzędu analizując przebieg toczącego się przed nim postępowania o sygn. DKN.5101.8.2025.(…). Jest to naturalny sposób powzięcia informacji o tego rodzaju naruszeniu, wynikający z kompetencji Prezesa UODO do oceny przebiegu tego postępowania i oceny jakie informacje są mu niezbędne do rozstrzygnięcia prowadzonej sprawy. Brak jest więc podstaw do negatywnej oceny faktu, że informacja o naruszeniu nie pochodzi od Przedsiębiorcy. Fakt ten nie może być jednak uwzględniony na korzyść Przedsiębiorcy, skoro nie brał on żadnego udziału w uzyskaniu przez Prezesa UODO informacji o naruszeniu;

b)

jeżeli wobec administratora, którego sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 - przestrzeganie tych środków (art. 83 ust. 2 lit. i) rozporządzenia 2016/679) - przed wydaniem niniejszej decyzji Prezes UODO nie stosował wobec Przedsiębiorcy w rozpatrywanej sprawie żadnych środków wymienionych w art. 58 ust. 2 rozporządzenia 2016/679, w związku z czym Przedsiębiorca nie miał obowiązku podejmowania żadnych działań związanych z ich stosowaniem, które to działania, poddane ocenie Prezesa UODO, mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia;

c)

stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42 (art. 83 ust. 2 lit. j) rozporządzenia 2016/679) - Przedsiębiorca nie stosuje zatwierdzonych kodeksów postępowania ani zatwierdzonych mechanizmów certyfikacji, o których mowa w przepisach rozporządzenia 2016/679. Przyjęcie powyższych środków, ich wdrożenie oraz stosowanie, nie jest jednak - jak stanowią przepisy rozporządzenia 2016/679 - obowiązkowe dla administratora. Oznacza to, że okoliczność ich niestosowania nie może być poczytywana na jego niekorzyść. Odmienna sytuacja miałaby miejsce, gdyby Przedsiębiorca przyjął i stosował tego rodzaju instrument, który gwarantuje wyższy niż standardowy poziom ochrony przetwarzanych danych osobowych. W takim przypadku okoliczność ta mogłaby być oceniona na jego korzyść;

d)

wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty (art. 83 ust. 2 lit. k) rozporządzenia 2016/679) - Prezes UODO, wszechstronnie rozpatrując sprawę, nie odnotował innych, niż opisane powyżej, okoliczności mogących mieć wpływ na ocenę naruszenia i na wysokość orzeczonej administracyjnej kary pieniężnej. W szczególności organ nadzorczy nie stwierdził, aby Przedsiębiorca, w związku z nieudzieleniem żądanych informacji, odniósł jakiekolwiek korzyści finansowe lub uniknął tego rodzaju strat. Brak jest więc podstaw do traktowania tej okoliczności jako obciążającej. Stwierdzenie zaistnienia wymiernych korzyści finansowych wynikających z naruszenia przepisów rozporządzenia 2016/679 należałoby ocenić zdecydowanie negatywnie. Natomiast nieosiągnięcie przez Przedsiębiorcę takich korzyści, jako stan naturalny, niezależny od jego woli i jego działania, jest okolicznością, która z istoty rzeczy nie może być dla niego łagodzącą. Potwierdza to samo sformułowanie przepisu art. 83 ust. 2 lit. k) rozporządzenia 2016/679, który nakazuje organowi nadzorczemu zwrócić należytą uwagę na korzyści „osiągnięte” - zaistniałe po stronie podmiotu dokonującego naruszenia.

40.

Pozostałe okoliczności wymienione w art. 83 ust. 2 rozporządzenia 2016/679 nie mogły być wzięte pod uwagę przez Prezesa UODO ze względu na charakter naruszenia (dotyczącego relacji administratora z organem nadzorczym, a nie z osobami, których dane dotyczą). Są to:

a)

liczba poszkodowanych osób i rozmiar poniesionej przez nie szkody (art. 83 ust. 2 lit. a) rozporządzenia 2016/679) - ze względu na to, że naruszenie (nieudzielenie przez Przedsiębiorcę Prezesowi UODO dostępu do niezbędnych informacji) nie wiąże się z naruszeniem danych osobowych żadnej osoby, w konsekwencji nie można stwierdzić, że w sprawie wystąpiły szkody po stronie osób fizycznych;

b)

działania podjęte przez administratora w celu zminimalizowania szkód poniesionych przez osoby, których dane dotyczą (art. 83 ust. 2 lit. c) rozporządzenia 2016/679) - ze względu na to, że w sprawie nie można stwierdzić, by wystąpiły szkody po stronie osób fizycznych, brak jest obowiązku i możliwości podjęcia przez Przedsiębiorcę jakichkolwiek działań mających na celu ich zminimalizowanie;

c)

stopień odpowiedzialności administratora z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i 32 rozporządzenia 2016/679 (art. 83 ust. 2 lit. d) rozporządzenia 2016/679) - ze względu na to, że naruszenie w samej swojej istocie nie wiąże się ze środkami technicznymi i organizacyjnymi wdrożonymi przez Przedsiębiorcę w celu zapewnienia ochrony danych osobowych oraz bezpieczeństwa ich przetwarzania;

d)

kategorie danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679) - ze względu na to, że naruszenie, polegające na niedostarczeniu informacji oraz niezapewnieniu dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań, nie wiąże się z naruszeniem żadnych danych osobowych.

VI. Ustalenie wysokości administracyjnej kary pieniężnej

41.

Ustalając wysokość nakładanej na Stronę administracyjnej kary pieniężnej, Prezes UODO miał na względzie fakt, iż Przedsiębiorca nie należy do grupy podmiotów wymienionych w art. 102 ust. 1 i 2 u.o.d.o., a zatem w związku z tym w przedmiotowej sprawie nie mają zastosowania ograniczenia wysokości kary odpowiednio do 10 000 PLN lub 100 000 PLN. Wobec tego, stosownie do art. 101 u.o.d.o., administracyjna kara pieniężna nałożona została na podstawie i na warunkach określonych w art. 83 rozporządzenia 2016/679.

42.

W celu zapewnienia spójnego podejścia do stosowania i egzekwowania rozporządzenia 2016/679, Europejska Rada Ochrony Danych przyjęła Wytyczne 04/2022 w sprawie obliczania administracyjnych kar pieniężnych na podstawie RODO^[4] (dalej: „Wytyczne 04/2022”). Zgodnie z Wytycznymi 04/2022, punktem wyjścia do obliczeń jest rozważenie trzech elementów: kategoryzacji naruszeń ze względu na ich charakter zgodnie z art. 83 ust. 4-6 rozporządzenia 2016/679, powagi naruszenia oraz obrotu przedsiębiorstwa stanowiącego jeden z istotnych elementów, które należy wziąć pod uwagę w celu wyliczenia wysokości kary pieniężnej. Z uwagi na brak przedstawienia przez Stronę informacji o wysokości przychodów osiągniętych w roku poprzedzającym wydanie niniejszej decyzji, organ nadzorczy skorzystał z przedstawionej w Wytycznych 04/2022 metodyki jedynie pomocniczo i w ograniczonym zakresie, a ustalając wysokość administracyjnej kary pieniężnej, oparł się na ogólnych zasadach wymiaru kary przewidzianych w art. 83 ust. 1 rozporządzenia 2016/679. Zgodnie z przywołanym przepisem, zadaniem organu nadzorczego jest zapewnienie, aby stosowane administracyjne kary pieniężne były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające. O skuteczności sankcji można mówić, gdy pozwala osiągnąć cel, dla którego ją wprowadzono. Proporcjonalność sankcji jest zachowana, gdy nie przekracza ona progu dolegliwości określonego przez uwzględnienie okoliczności konkretnego przypadku. Sankcja jest zaś odstraszająca, jeśli realizuje względy prewencji indywidualnej i generalnej - innymi słowy, stanowi czytelny sygnał o dezaprobowaniu naruszenia dla społeczeństwa, a także dla samego adresata sankcji^[5].

43.

Mając na uwadze przywołane powyżej zasady wymiaru administracyjnych kar pieniężnych nakładanych za naruszenie rozporządzenia 2016/679, ustalając wysokość kary nakładanej na Przedsiębiorcę, Prezes UODO był zobowiązany do uwzględnienia z jednej strony powagi naruszenia oraz wszelkich okoliczności obciążających i łagodzących występujących w tej konkretnej sprawie, zaś z drugiej strony możliwości finansowych i specyfiki ukaranego podmiotu.

44.

Przekładając powyższe na grunt niniejszej sprawy, warto w pierwszej kolejności zauważyć, że rozpatrywane naruszenie rozporządzenia 2016/679 należy (zgodnie z art. 83 ust. 5 lit. e) rozporządzenia 2016/679) do kategorii naruszeń zagrożonych karą wyższą z dwóch przewidzianych w tym akcie prawnym wymiarów kar, z maksymalną wysokością do 20 000 000 EUR lub do 4% obrotu przedsiębiorstwa z poprzedniego roku obrotowego - jest więc in abstracto „najpoważniejszym” z naruszeń przewidzianych rozporządzeniem 2016/679.

45.

Również indywidualne okoliczności tej konkretnej sprawy przemawiają za stwierdzeniem, iż naruszenie, którego dopuścił się Przedsiębiorca należy ocenić jako cechujące się znaczną powagą („powagą” w rozumieniu przedstawionym w Rozdziale 4.2 Wytycznych 04/2022). W ramach tej oceny wzięte zostały pod uwagę te przesłanki spośród wymienionych w art. 83 ust. 2 rozporządzenia 2016/679, które dotyczą strony przedmiotowej naruszenia (składają się na „powagę” naruszenia), to jest: charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) rozporządzenia 2016/679) oraz umyślny charakter naruszenia (art. 83 ust. 2 lit. b) rozporządzenia 2016/679). Przesłanki dotyczące liczby poszkodowanych osób i rozmiaru poniesionej przez nie szkody (art. 83 ust. 2 lit. a) rozporządzenia 2016/679), a także kategorii danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679) nie zostały wzięte pod uwagę ze względu na charakter naruszenia. Szczegółowa ocena tych okoliczności przedstawiona została powyżej (zob. pkt 29-32 oraz 40 uzasadnienia). Rozważenie ich łącznego wpływu na ocenę stwierdzonego w niniejszej sprawie naruszenia, traktowanego jako całość, prowadzi do wniosku, że poziom jego powagi jest znaczny - uzasadniający orzeczenie wobec jego sprawcy sankcji w postaci administracyjnej kary pieniężnej.

46.

Jak wskazano w pkt 43 uzasadnienia, ustalając wysokość kary, organ nadzorczy uwzględnił również pozostałe (poza uwzględnionymi w ocenie powagi naruszenia) okoliczności wskazane w art. 83 ust. 2 rozporządzenia 2016/679. Szczegółowa analiza i uzasadnienie wpływu każdej z nich na ocenę naruszenia przedstawione zostały powyżej (zob. pkt 33-40 uzasadnienia). Prezes UODO uznał, że okolicznościami obciążającymi w niniejszej sprawie są przesłanki przewidziane w art. 83 ust. 2 lit. e) oraz lit. f) rozporządzenia 2016/679, tj. wszelkie stosowne wcześniejsze naruszenia ze strony administratora oraz stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (zob. pkt 33-37 uzasadnienia). Pozostałe przesłanki z art. 83 ust. 2 rozporządzenia 2016/679 nie miały wpływu ani łagodzącego, ani obciążającego na ocenę naruszenia i w konsekwencji na wymiar kary pieniężnej.

47.

Ustalając wysokość administracyjnej kary pieniężnej, Prezes UODO uwzględnił również możliwości finansowe ukaranego podmiotu. Przedsiębiorca, mimo skierowanego przez organ nadzorczy wezwania, nie przedstawił informacji o przychodach osiągniętych za 2025 rok. Brak jest również możliwości pozyskania takich informacji z ogólnie dostępnych źródeł. Z uwagi na to, Prezes UODO, zgodnie z art. 101a ust. 2 u.o.d.o., wziął pod uwagę wielkość podmiotu oraz specyfikę, zakres i skalę prowadzonej przez niego działalności. Jak wskazano w pkt 24 uzasadnienia, Przedsiębiorca figuruje w Centralnej Ewidencji i Informacji o Działalności Gospodarczej jako podmiot aktywnie prowadzący działalność gospodarczą, której przedmiotem jest (…). Strona posiada także profil na portalu (…)^[6] pod nazwą D. (dawna nazwa jednoosobowej działalności gospodarczej Przedsiębiorcy), na którym wielkość firmy określa jako „2-10 pracowników”. Tym samym organ nadzorczy uznał, że fakt aktywnego wykonywania przez Stronę działalności gospodarczej, w ramach której świadczone są usługi (…), daje podstawy do uznania, że Przedsiębiorca dysponuje środkami pozwalającymi na poniesienie administracyjnej kary pieniężnej. Na podstawie ogólnodostępnych informacji skalę prowadzonej przez niego działalności należy natomiast ocenić jako niewielką.

48.

Mając na uwadze powyższe, Prezes UODO uznał, że adekwatną i uzasadnioną okolicznościami niniejszej sprawy administracyjną karą pieniężną za naruszenie przez Przedsiębiorcę art. 58 ust. 1 lit. a) i e) rozporządzenia 2016/679 będzie kara w wysokości 7 500 euro, stanowiąca - po przeliczeniu zgodnie ze średnim kursem euro z dnia 28 stycznia 2026 r., gdzie 1 EUR = 4,2009 PLN - równowartość 31 507 zł (słownie: trzydziestu jeden tysięcy pięciuset siedmiu złotych).

49.

Administracyjna kara pieniężna w kwocie 31 507 zł, nałożona w tych konkretnych, indywidualnych okolicznościach sprawy będzie skuteczna, ponieważ doprowadzi - w ocenie Prezesa UODO - do stanu, w którym Przedsiębiorca w przyszłości będzie wywiązywał się ze swoich obowiązków z zakresu ochrony danych osobowych, w szczególności w zakresie współpracy z organem nadzorczym i zapewniania Prezesowi UODO dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań. Można oczekiwać, że w wyniku nałożenia administracyjnej kary pieniężnej Przedsiębiorca będzie z odpowiednią starannością podchodził do wymogów stawianych przez przepisy o ochronie danych osobowych.

50.

Wymierzona Przedsiębiorcy administracyjna kara pieniężna będzie również proporcjonalna do stwierdzonego naruszenia przepisu art. 58 ust. 1 lit. a) i lit. e) rozporządzenia 2016/679, bowiem została określona na takim poziomie, aby z jednej strony stanowiła adekwatną reakcję organu nadzorczego na stopień naruszenia obowiązków Przedsiębiorcy, nie powodując jednocześnie dużego uszczerbku dla prowadzonej przez niego działalności.

51.

Kara ta spełni ponadto funkcję odstraszającą - będzie jasnym sygnałem dla Przedsiębiorcy oraz dla innych administratorów zobowiązanych na mocy przepisów rozporządzenia 2016/679 do współpracy z Prezesem UODO, że lekceważenie obowiązków związanych z taką współpracą (w szczególności utrudnianie dostępu do danych osobowych i informacji niezbędnych do realizacji jego zadań) stanowi naruszenie o znacznej wadze i jako takie podlegać będzie sankcjom finansowym.

52.

W tym miejscu podkreślić należy, że w okolicznościach tej konkretnej sprawy organ nadzorczy uznał, że nałożenie na Stronę administracyjnej kary pieniężnej było konieczne i uzasadnione, a zastosowanie jakiegokolwiek innego środka naprawczego przewidzianego w art. 58 ust. 2 rozporządzenia 2016/679, w szczególności zaś poprzestanie na upomnieniu (art. 58 ust. 2 lit. b) rozporządzenia 2016/679), nie byłoby proporcjonalne do stwierdzonego naruszenia. Prezes UODO miał na względzie, że zgodnie z motywem 148 rozporządzenia 2016/679, upomnienie może zostać zastosowane zamiast administracyjnej kary pieniężnej w przypadku naruszenia niewielkiej wagi lub gdy kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie. W myśl przywołanego motywu 148 „[p]owinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące”. W realiach niniejszej sprawy nie sposób uznać, że naruszenie miało charakter niewielki w rozumieniu motywu 148 rozporządzenia 2016/679. Przedstawiona powyżej analiza stanu faktycznego sprawy, a także szczegółowa ocena przesłanek z art. 83 ust. 2 rozporządzenia 2016/679 świadczą o poważnym charakterze naruszenia. W szczególności zaznaczyć należy, że nie wystąpiły żadne przesłanki, o których mowa w art. 83 ust. 2 rozporządzenia 2016/679, które mogłyby zostać uwzględnione na korzyść Przedsiębiorcy. Tym samym, uwzględniając wszystkie okoliczności, o których mowa w motywie 148 rozporządzenia 2016/679, nie sposób uznać rozpatrywanego naruszenia za niewielkie, a zastosowanie wyłącznie upomnienia nie zapewniłoby w ocenie Prezesa UODO skutecznej i odstraszającej reakcji na stwierdzone naruszenie.

53.

Jednocześnie należy przyjąć, że nałożona administracyjna kara pieniężna nie będzie stanowiła dla Przedsiębiorcy nieproporcjonalnego obciążenia, którą to okoliczność (zgodnie z motywem 148 rozporządzenia 2016/679) również należy uwzględnić w przypadku orzekania kary pieniężnej wobec osoby fizycznej. Organ nadzorczy ustalił karę na poziomie 31 507 PLN (równowartość 7 500 EUR), co w ocenie Prezesa UODO umożliwi Przedsiębiorcy jej poniesienie bez zagrożenia materialnych podstaw jego bytu i prowadzonej przez niego działalności, a jednocześnie zapewni realizację wszystkich funkcji administracyjnej kary pieniężnej - funkcji represyjnej, prewencyjnej i odstraszającej, o których mowa w art. 83 ust. 1 rozporządzenia 2016/679.

54.

Na marginesie wskazać należy, że kwota nałożonej administracyjnej kary pieniężnej to jedynie 0,0375% maksymalnej wysokości kary, którą Prezes UODO mógł, zgodnie z art. 83 ust. 5 lit. e) rozporządzenia 2016/679, nałożyć na Przedsiębiorcę za stwierdzone w niniejszej sprawie naruszenie.

55.

Mając na uwadze powyższe, Prezes UODO za naruszenia opisane w sentencji niniejszej decyzji administracyjnej, nałożył na Przedsiębiorcę administracyjną karę pieniężną w kwocie 7 500 euro, co stanowi równowartość 31 507 zł (słownie: trzydziestu jeden tysięcy pięciuset siedmiu złotych).

Mając na uwadze powyższe, Prezes UODO orzekł jak w sentencji.