DKE.561.18.2021

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. Z 2021 r. poz. 735 ze zm.), art. 7 ust 1 i ust. 2, art. 60, art. 101, art. 101a ust. 2, art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), art. 83 ust. 1-3, art. 83 ust. 5 lit. e) w związku z art. 31, art. 58 ust 1 lit. e), art. 58 ust. 2 lit. i)  rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.) (zwanego dalej „Rozporządzeniem 2016/679”), po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie nałożenia administracyjnej kary pieniężnej na Pana P. K. zam. (…), Z., pełnomocnika inicjatorów referendum gminnego w sprawie odwołania Rady Gminy Z. przed upływem kadencji, Prezes Urzędu Ochrony Danych Osobowych,

stwierdzając naruszenie przez Pana P. K. zam. (…), Z. przepisów art. 31 i art. 58 ust. 1 lit. e) Rozporządzenia 2016/679, polegające na braku współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ramach wykonywania przez niego jego zadań oraz na niezapewnieniu dostępu do danych osobowych i innych informacji niezbędnych Prezesowi Urzędu Ochrony Danych Osobowych do realizacji jego zadań, nakłada na Pana P. K. zam. (…), Z. administracyjną karę pieniężną w kwocie 2.285 PLN (słownie: dwa tysiące dwieście osiemdziesiąt pięć złotych). 

UZASADNIENIE

Do Urzędu Ochrony Danych Osobowych w dniu 26 lutego 2021 r. wpłynęła od Komisarza Wyborczego w J. informacja wskazująca na nieprzedłożenie przez Pana P. K. zam. (…), Z., jako pełnomocnika inicjatorów referendum gminnego w sprawie odwołania Rady Gminy Z. przed upływem kadencji, odpowiednio: protokołu zniszczenia kart zawierających podpisy mieszkańców uprawnionych do wybierania ww. Rady, którzy chcieli poprzeć inicjatywę przeprowadzenia tego referendum albo oświadczenia o tym, iż nie zbierał podpisów poparcia dla inicjatywy odwołania ww. Rady przed upływem kadencji. Prezes Urzędu Ochrony Danych Osobowych (dalej „Prezes UODO”) w ramach wszczętego z urzędu postępowania administracyjnego prowadzonego celem rozpatrzenia sprawy prowadzonej pod sygn. DKN.5101.49.2021, pismem z 11 marca 2021 r. zwrócił się do Pana P. K. zam. (…), Z., pełnomocnika inicjatorów referendum gminnego w sprawie odwołania Rady Gminy Z. przed upływem kadencji, o udzielenie informacji:

1) czy zbierano podpisy mieszkańców uprawnionych do wybierania Rady Gminy Z., którzy chcieli poprzeć inicjatywę przeprowadzenia referendum gminnego w sprawie odwołania ww. Rady przed upływem kadencji.

W przypadku, gdy odpowiedź na pytanie zadane w pkt. 1 byłaby twierdząca, to organ ochrony danych osobowych poprosił o udzielenie wyjaśnień w następującym zakresie:

2) czy w związku z nieprzekazaniem protokołu zniszczenia kart zawierających ww. podpisy dokonana została analiza incydentu pod kątem ryzyka naruszenia praw lub wolności osób fizycznych niezbędna do oceny, czy doszło do naruszenia ochrony danych skutkującego koniecznością zawiadomienia Prezesa Urzędu Ochrony Danych Osobowych oraz osób, których dotyczy naruszenie;

3) jeśli karty, na których zbierano podpisy osób popierających wyżej wskazaną inicjatywę nie zostały jeszcze zniszczone, proszę o wskazanie w czyim posiadaniu znajdują się obecnie te karty - zwracam się również o wskazanie adresu do doręczeń osoby posiadającej te karty.

Pismo z 11 marca 2021 r. o sygn. DKN.5101.49.2021 skierowane zostało na wskazany przez Komisarza Wyborczego w J. adres zamieszkania Pana P. K., tj. (…), Z. Pismo to zostało odebrane przez Pana P. K. 18 marca 2021 r. W związku z brakiem odpowiedzi ze strony Pana P. K., ponownie pismem z 21 maja 2021 r. skierowane zostało do niego kolejne wezwanie do udzielenia ww. informacji. Pismo to zostało odebrane przez Pana P. K. 27 maja 2021 r. Na to pismo organ ochrony danych także nie uzyskał żądanych informacji. W pismach z 18 marca 2021r. oraz 21 maja 2021 r. Pan P. K. pouczony został, że brak odpowiedzi na wezwanie Prezesa UODO skutkować może – zgodnie z art. 83 ust. 5 lit. e) w zw. z art. 58 ust. 1 lit. a)  Rozporządzenia 2016/679 – nałożeniem administracyjnej kary pieniężnej.

W związku z nieudzieleniem przez Pana P. K. informacji niezbędnych do rozstrzygnięcia sprawy o sygn. DKN.5101.49.2021, Prezes UODO wszczął z urzędu– w oparciu o art. 83 ust. 5 lit. e)  Rozporządzenia 2016/679, w związku z naruszeniem przez niego art. 31 oraz art. 58 ust. 1 lit a) i e) Rozporządzenia 2016/679 – postępowanie administracyjne w przedmiocie nałożenia na Pana P. K. administracyjnej kary pieniężnej (pod sygn. DKE.560.18.2020). O wszczęciu postępowania Pan P. K. poinformowany został pismem z 16 sierpnia 2021 r., które  zostało przez niego odebrane 20 sierpnia 2021 r. Pismem tym Pan P. K. wezwany został również – celem ustalenia podstawy wymiaru kary, w oparciu o art. 101a ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) – do przedstawienia dowodu potwierdzającego rozliczenie podatkowe od całości swoich dochodów za rok 2020, to jest przedstawienia właściwej deklaracji PIT, w celu ustalenia wymiaru administracyjnej kary pieniężnej w niniejszym postępowaniu.

Do dnia wydania niniejszej decyzji Pan P. K. nie udzielił informacji niezbędnych do rozpatrzenia sprawy o sygn. DKN.5101.49.2021 Pan P. K. nie ustosunkował się także do pisma informującego o wszczęciu postępowania o sygn. DKE.560.18.2020 w przedmiocie nałożenia na niego administracyjnej kary pieniężnej.

Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie Prezes UODO zważył, co następuje.

Zgodnie z art. 57 ust. 1 lit. a) Rozporządzenia 2016/679, Prezes UODO - jako organ nadzorczy w rozumieniu art. 51 Rozporządzenia 2016/679 - na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. t)). Dla umożliwienia egzekwowania tak określonych kompetencji, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 Rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a)). Naruszenie przepisów Rozporządzenia 2016/679, polegające na niedostarczeniu informacji, o których mowa powyżej, skutkujące naruszeniem uprawnień organu nadzorczego określonych w art. 58 ust. 1, podlega zaś - zgodnie z art. 83 ust 5 lit e) in fine Rozporządzenia 2016/679 - administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Wskazać należy ponadto, że administrator i podmiot przetwarzający obowiązani są współpracować z organem nadzorczym w ramach wykonywania przez niego zadań, o czym stanowi art. 31 Rozporządzenia 2016/679.

Natomiast przetwarzanie danych osobowych grupy inicjatorów referendum w przedmiocie odwołania rady gminy i ich pełnomocnika, jeżeli inicjatorem referendum jest grupa obywateli regulują przepisy ustawy z dnia 15 września 2000 r. o referendum lokalnym (Dz. U. z 2019 r. poz. 741). W referendum lokalnym, zwanym dalej „referendum”, mieszkańcy jednostki samorządu terytorialnego jako członkowie wspólnoty samorządowej wyrażają w drodze głosowania swoją wolę w sprawie odwołania organu stanowiącego tej jednostki (art. 2 ust. 1 pkt 1 ustawy o referendum lokalnym). Inicjator referendum powiadamia na piśmie przewodniczącego zarządu danej jednostki samorządu terytorialnego, a w gminie wójta (burmistrza, prezydenta miasta), o zamiarze wystąpienia z inicjatywą przeprowadzenia referendum (art. 12 ust. 1 ustawy o referendum lokalnym). Powiadomienie, o którym mowa w ust. 1, zawiera: jeżeli inicjatorem referendum jest grupa obywateli – nazwiska, imiona, adresy zamieszkania oraz numery ewidencyjne PESEL wszystkich członków grupy oraz wskazanie osoby będącej jej pełnomocnikiem (art. 12 ust. 2 pkt 1 ustawy o referendum lokalnym). Inicjator referendum w sprawie odwołania organu jednostki samorządu terytorialnego przed upływem kadencji powiadamia o zamiarze wystąpienia z taką inicjatywą również komisarza wyborczego, do tego powiadomienia stosuje się odpowiednio przepisy ust. 1–3 (art. 12 ust. 6 ustawy o referendum lokalnym). W terminie 60 dni od dnia powiadomienia, o którym mowa w art. 12 ust. 1, inicjator przeprowadzenia referendum zbiera podpisy mieszkańców uprawnionych do wybierania organu stanowiącego danej jednostki samorządu terytorialnego, którzy chcą poprzeć inicjatywę w tej sprawie (art. 14 ust. 1 ustawy o referendum lokalnym). Podpisy zbiera się na kartach, z których każda zawiera informacje o przedmiocie zamierzonego referendum oraz o tym, że poparcia nie można wycofać. Karta zawiera również: nazwiska i imiona członków grupy oraz imię, nazwisko i miejsce zamieszkania pełnomocnika, jeżeli inicjatorem referendum jest grupa obywateli (art. 12 ust. 2 pkt 1 ustawy o referendum lokalnym).

W przypadku niezłożenia wniosku o przeprowadzenie referendum, jego inicjator dokonuje protokolarnego zniszczenia kart (art. 14a ust. 1 ustawy o referendum lokalnym). Protokół potwierdzający zniszczenie kart inicjator referendum niezwłocznie przekazuje radzie jednostki samorządu terytorialnego, a w przypadku referendum w sprawie odwołania organu samorządu terytorialnego – komisarzowi wyborczemu (art. 14a ust. 2 ustawy o referendum lokalnym).

Ustalenia dokonane w niniejszej sprawie wykazały, że do Komisarza Wyborczego w J. wpłynęło zawiadomienie z dnia 22 września 2020 r. o zamiarze wystąpienia przez grupę mieszkańców Gminy Z. z inicjatywą przeprowadzenia referendum gminnego w sprawie odwołania Rady Gminy Z. przed upływem kadencji. Zawiadomienie obejmuje dane osobowe grupy inicjatorów tego referendum w następującym zakresie: imię i nazwisko, adres zamieszkania, PESEL. Inicjatorzy referendum, jako swego pełnomocnika wskazali Pana P. K., zam. (…) Z. (zawiadomienie w aktach sprawy).

Podkreślić należy, że Pan P. K., jako pełnomocnik grupy inicjatorów referendum w przedmiocie odwołania Rady Gminy Z. będący administratorem tych danych, odpowiedzialny jest także za przestrzeganie przepisów Rozporządzenia 2016/679, w tym przypadku, w szczególności za przetwarzanie danych w sposób zapewniający odpowiednie ich bezpieczeństwo.

W związku z tym, że Pan P. K., jako administrator danych grupy inicjatorów referendum w przedmiocie odwołania Rady Gminy Z., nie przedłożył Komisarzowi Wyborczemu w J. odpowiednio: protokołu zniszczenia kart zawierających podpisy mieszkańców uprawnionych do wybierania ww. Rady, którzy chcieli poprzeć inicjatywę przeprowadzenia tego referendum lub oświadczenia o tym, iż nie zbierał on podpisów poparcia dla inicjatywy odwołania ww. Rady przed upływem kadencji, organ ochrony danych osobowych w ramach wszczętego postępowania o sygn. DKN.5101.49.2021 celem ustalenia, czy w ogóle zbierane były podpisy mieszkańców, a jeżeli tak, to czy w związku z nieprzekazaniem protokołu zniszczenia kart zawierających ww. podpisy dokonana została analiza incydentu pod kątem ryzyka naruszenia praw lub wolności osób fizycznych niezbędna do oceny, czy doszło do naruszenia ochrony danych skutkującego koniecznością zawiadomienia Prezesa Urzędu Ochrony Danych Osobowych oraz osób, których dotyczy naruszenie. Ponadto, w przypadku, gdyby karty, na których zbierano podpisy osób popierających wyżej wskazaną inicjatywę nie zostały jeszcze zniszczone, organ ochrony danych poprosił Pana P. K. o wskazanie w czyim posiadaniu znajdują się obecnie te karty z podaniem adresu do doręczeń posiadacza kart.

Odnosząc przytoczone powyżej przepisy Rozporządzenia 2016/679 do ustalonego w niniejszej sprawie, a opisanego na wstępie uzasadnienia niniejszej decyzji, stanu faktycznego, stwierdzić należy, że Pan P. K. – jako strona prowadzonego przez Prezesa Urzędu Ochrony Danych Osobowych postępowania o sygn. DKN.5101.49.2021 - naruszył ciążący na nim obowiązek zapewnienia organowi nadzorczemu dostępu do informacji niezbędnych do realizacji jego zadań,  w tym przypadku do merytorycznego rozstrzygnięcia tej sprawy. Takie działanie Pana P. K. stanowi naruszenie art. 58 ust. 1 lit. e) Rozporządzenia 2016/679.

Zważyć należy, że w postępowaniu o sygn. DKN.5101.49.2021 Prezes Urzędu Ochrony Danych Osobowych dwukrotnie wzywał Pana P. K., jako pełnomocnika inicjatora referendum gminnego w sprawie odwołania Rady Gminy Z. przed upływem kadencji, do udzielenia wyjaśnień niezbędnych do rozpatrzenia sprawy. Pisma wystosowane przez Prezesa Urzędu Ochrony Danych Osobowych zostały odebrane przez adresata jednakże pozostały bez odpowiedzi. Powyższego stanu rzeczy nie zmienił fakt następczego wszczęcia niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej. Pan P. K., prawidłowo zawiadomiony przez organ nadzorczy o zamiarze podjęcia wobec niego określonych w art. 58 ust. 2 lit. i) Rozporządzenia 2016/679 działań, a nadto pouczony o przysługującym mu - jako stronie niniejszego postępowania - prawie do wypowiedzenia się, co do zebranych dowodów i materiałów oraz zgłoszonych żądań, nie podjął żadnych czynności zmierzających do wyjaśnienia zaistniałej po jego stronie bezczynności ani usprawiedliwienia braku współpracy z Prezesem Urzędu Ochrony Danych Osobowych. Pan P. K. nie kontaktował się również z Urzędem Ochrony Danych Osobowych celem zasygnalizowania ewentualnych wątpliwości, które mógł powziąć odnośnie zakresu informacji, których udzielenia żądał Prezes UODO.

Wyżej opisane postępowanie Pana P. K. w sprawie o sygn. DKN.5101.49.2021, tj. nieudzielenie odpowiedzi na - zawarte w odebranych przez niego ww. pismach - konkretne, niezbyt skomplikowane i niewymagające specjalistycznej wiedzy z zakresu ochrony danych osobowych, pytania Prezesa UODO, wskazuje na brak woli jego współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ustaleniu stanu faktycznego sprawy i prawidłowym jej rozstrzygnięciu lub co najmniej rażące lekceważenie swoich obowiązków dotyczących współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ramach wykonywania przez niego zadań określonych Rozporządzeniem 2016/679. Powyższe stwierdzenie uzasadnia dodatkowo okoliczność, że Pan P. K. w żaden sposób nie próbował usprawiedliwić faktu braku jakiejkolwiek odpowiedzi na dwa wezwania do złożenia wyjaśnień, nie kontaktował się również z Urzędem Ochrony Danych Osobowych celem zasygnalizowania ewentualnych wątpliwości, które mógłby powziąć odnośnie zakresu informacji, których udzielenia żądał Prezes Urzędu Ochrony Danych Osobowych.

Wskazać w tym miejscu należy, że utrudnianie i uniemożliwianie uzyskania dostępu do informacji, których organ nadzorczy żądał i żąda od Pana P. K., a które niewątpliwie są w jego posiadaniu (np. czy zbierał podpisy mieszkańców uprawnionych do wybierania Rady Gminy Z., którzy chcieli poprzeć inicjatywę przeprowadzenia referendum gminnego w sprawie odwołania ww. Rady przed upływem kadencji), stoi na przeszkodzie wnikliwemu rozpatrzeniu sprawy, skutkuje również nadmiernym i nieuzasadnionym przedłużaniem postępowania, co stoi w sprzeczności z podstawowymi zasadami rządzącymi postępowaniem administracyjnym – określonymi w art. 12 ust. 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm.) zasadami wnikliwości i szybkości postępowania. Ponadto, Pan P. K. zobowiązany jest współpracować z organem nadzorczym w ramach wykonywania przez niego zadań, o czym stanowi art. 31 Rozporządzenia 2016/679.

Mając na uwadze powyższe ustalenia, Prezes Urzędu Ochrony Danych Osobowych stwierdza, że w niniejszej sprawie zaistniały przesłanki uzasadniające nałożenie na Pana P. K. – na mocy art. 83 ust. 5 lit. e) in fine oraz art. 83 ust. 4 lit. a) Rozporządzenia 2016/679 – administracyjnej kary pieniężnej w związku z brakiem woli współpracy z organem nadzorczym w ramach wykonywania przez niego swoich zadań (art. 31) oraz w związku z niezapewnieniem przez Pana P. K. dostępu do informacji niezbędnych Prezesowi Urzędu Ochrony Danych Osobowych do realizacji jego zadań (art. 58 ust. 1 lit. e), to jest do rozstrzygnięcia sprawy o sygn. DKN.5101.49.2021.

Jednocześnie, wobec stwierdzenia naruszenia przez Pana P. K. dwóch przepisów Rozporządzenia 2016/679 (art. 31 oraz art. 58 ust. 1 lit. e), stosownie do treści art. 83 ust. 3 tego aktu prawnego, zgodnie z którym, jeżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów tego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie, Prezes UODO ustalił wysokość orzeczonej administracyjnej kary pieniężnej w kwocie nieprzekraczającej wysokości kary za najpoważniejsze z tych naruszeń. W przedstawionym stanie faktycznym za najpoważniejsze Prezes UODO uznał naruszenie polegające na niezapewnieniu przez Pana P. K. dostępu do wszelkich informacji niezbędnych do realizacji jego zadań, tj. naruszenie przepisu art. 58 ust. 1 lit. e) Rozporządzenia 2016/679. O powadze tego naruszenia świadczy to, że brak dostępu do informacji, których Prezes UODO żądał i żąda od Pana P. K., nie tylko stoi na przeszkodzie wnikliwemu rozpatrzeniu sprawy, lecz skutkuje również nadmiernym i nieuzasadnionym przedłużaniem postępowania, co stoi w sprzeczności z podstawowymi zasadami rządzącymi postępowaniem administracyjnym – określonymi w art. 12 ust. 1 k.p.a. zasadami wnikliwości i szybkości postępowania.

Stosownie do treści art. 83 ust. 2 Rozporządzenia 2016/679, administracyjne kary pieniężne nakłada się zależnie od okoliczności każdego indywidualnego przypadku. Zwraca się przy tym w każdym przypadku na szereg okoliczności wymienionych w punktach od a) do k) wskazanego wyżej przepisu. Decydując o nałożeniu w niniejszej sprawie na Pana P. K. administracyjnej kary pieniężnej oraz ustalając jej wysokość, Prezes Urzędu Ochrony Danych Osobowych wziął – spośród nich – pod uwagę następujące okoliczności wpływające obciążająco na ocenę naruszenia:

1. Charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) Rozporządzenia 2016/679). Naruszenie podlegające administracyjnej karze pieniężnej w niniejszej sprawie godzi w system mający na celu ochronę jednego z podstawowych praw osoby fizycznej, którym jest prawo do ochrony jej danych osobowych, czy też szerzej – do ochrony jej prywatności. Istotnym elementem tego systemu, którego ramy określone zostały Rozporządzeniem 2016/679, są organy nadzorcze, na które nałożone zostały zadania związane z ochroną i egzekwowaniem praw osób fizycznych w tym zakresie. W celu umożliwienia realizacji tych zadań organy nadzorcze wyposażone zostały w szereg uprawnień kontrolnych, uprawnień umożliwiających prowadzenie postępowań administracyjnych oraz uprawnień naprawczych. Natomiast na administratorów i podmioty przetwarzające nałożone zostały, skorelowane z uprawnieniami organów nadzorczych, określone obowiązki, w tym obowiązek współpracy z organami nadzorczymi oraz obowiązek zapewnienia tym organom dostępu do informacji niezbędnych do realizacji ich zadań. Działania Pana P. K. w niniejszej sprawie, polegające na zaniechaniu dostarczenia wszelkich żądanych przez Prezesa Urzędu Ochrony Danych Osobowych informacji, a skutkujące utrudnieniem i nieuzasadnionym przedłużeniem prowadzonego przez niego postępowania, należy, więc uznać za godzące w cały system ochrony danych osobowych, i z tego względu mające dużą wagę i naganny charakter. Wagę naruszenia zwiększa dodatkowo okoliczność, że dokonane przez Pana P. K. naruszenie nie było zdarzeniem jednorazowym i incydentalnym. Przeciwnie, działanie Pana P. K. miało charakter ciągły i długotrwały, co bezsprzecznie potwierdza fakt, iż stwierdzone w niniejszym postępowaniu naruszenie trwa od chwili upływu terminu wyznaczonego na złożenie wyjaśnień, zakreślonego w pierwszym piśmie Prezesa UODO, tj. od 25 marca 2021 r., do chwili obecnej.

2. Umyślny charakter naruszenia (art. 83 ust. 2 lit. b) Rozporządzenia 2016/679).

W ocenie Prezesa Urzędu Ochrony Danych Osobowych po stronie Pana P. K. istnieje brak woli współpracy w zapewnieniu organowi wszelkich informacji niezbędnych do rozstrzygnięcia sprawy, w toku której organ zwracał się do niego o ich udzielenie. Świadczy o tym w szczególności brak odpowiedzi na wezwania Prezesa Urzędu Ochrony Danych Osobowych kierowane do Pana P. K., które to zostały przez niego odebrane. Zatem, Pan P. K. wiedział, jaki organ skierował do niego wezwanie i o jakie informacje organ ten zwraca się do niego. W związku z takim działaniem Pan P. K. podjął świadomą decyzję o nieudzieleniu organowi ochrony danych osobowych informacji. Nawet pouczenie zamieszczone w ww. piśmie o nałożeniu na niego administracyjnej kary pieniężnej w przypadku braku odpowiedzi na wezwanie Prezesa UODO nie skłoniło go do współpracy z organem ochrony danych osobowych w sprawie udzielenia informacji.

Jest to zatem brak woli współpracy z organem lub co najmniej rażące lekceważenie swoich obowiązków związanych z tą współpracą. Podkreślić należy, że Pan P. K. na żadnym etapie postępowania o sygn. DKN.5101.49.2021, jak również w niniejszym postępowaniu, nie podjął próby usprawiedliwienia takiego postępowania.

3. Brak współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) Rozporządzenia 2016/679).

W toku niniejszego postępowania (DKE.561.18.2021) w przedmiocie nałożenia administracyjnej kary pieniężnej Pan P. K. nie złożył jakichkolwiek wyjaśnień, które zezwoliłyby na ustalenie przyczyn jej bezczynności a także dalsze procedowanie w sprawie o sygn. DKN.5101.49.2021. Brak jakichkolwiek wyjaśnień ze strony Pana P. K. nadal utrudnia Prezesowi Urzędu Ochrony Danych Osobowych wydanie rozstrzygnięcia w sprawie o sygn. DKN.5101.49.2021.

Pozostałe przesłanki wymiaru administracyjnej kary pieniężnej wskazane w art. 83. ust. 2 Rozporządzenia 2016/679 nie miały wpływu (obciążającego lub łagodzącego) na dokonaną przez Prezesa UODO ocenę naruszenia (w tym: wszelkie stosowne wcześniejsze naruszenia ze strony administratora, sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, przestrzeganie wcześniej zastosowanych w tej samem sprawie środków, stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji) lub też, ze względu na specyficzny charakter naruszenia (dotyczącego stosunku administratora z organem nadzorczym, a nie stosunku administratora z osobą, której dane dotyczą), nie mogły być wzięte pod uwagą w niniejszej sprawie z uwagi na ich niewystąpienie (w tym: liczba poszkodowanych osób oraz rozmiar poniesionej przez nie szkody, działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przez podmioty danych, stopień odpowiedzialności administratora z uwzględnieniem wdrożonych przez niego środków technicznych i organizacyjnych, kategorie danych osobowych, których dotyczy naruszenie).

Stosownie do brzmienia art. 83 ust. 1 Rozporządzenia 2016/679 nałożona przez organ nadzorczy administracyjna kara pieniężna powinna być w każdym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. W ocenie Prezesa Urzędu Ochrony Danych Osobowych kara nałożona na Pana P. K. w niniejszym postępowaniu spełnia te kryteria. Zdyscyplinuje Pana P. K. do prawidłowej współpracy z organem nadzorczym, zarówno w dalszym toku postępowania o sygn. DKN.5101.49.2021, jak i w ewentualnych innych postępowaniach prowadzonych w przyszłości z jego udziałem przed Prezesem Urzędu Ochrony Danych Osobowych. Nałożona niniejszą decyzją kara jest – w ocenie Prezesa UODO – proporcjonalna do wagi stwierdzonego naruszenia oraz do możliwości jej poniesienia przez Pana P. K. Kara ta spełni ponadto funkcję odstraszającą; będzie jasnym sygnałem dla Pana P. K., że lekceważenie obowiązków związanych ze współpracą z nim (w szczególności utrudnianie dostępu do informacji niezbędnych do realizacji jego zadań) stanowi naruszenie o dużej wadze i jako takie podlegać będzie sankcjom finansowym. W tym miejscu wskazać należy, że nałożenie na Pana P. K. administracyjnej kary pieniężnej jest – wobec dotychczasowego jego postępowania, jako strony postępowania DKN.5101.49.2021 – niezbędne; jest jedynym środkiem znajdującym się w dyspozycji Prezesa Urzędu Ochrony Danych Osobowych, który umożliwi uzyskanie dostępu do informacji niezbędnych w prowadzonym postępowaniu.

Wobec nieprzedstawienia przez Pana P. K. żądanych przez Prezesa Urzędu Ochrony Danych Osobowych danych finansowych za rok 2020, Prezes UODO wymiar administracyjnej kary pieniężnej ustalił w sposób szacunkowy (art. 101a ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781).

Stosownie do treści art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) równowartość wyrażonych w euro kwot, o których mowa w art. 83 rozporządzenia 2016/679, oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku, gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia - według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego.

Mając powyższe na uwadze, Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 83 ust. 3 i art. 83 ust. 4 lit a) oraz art. 83 ust. 5 lit. e) rozporządzenia 2016/679, w związku z art. 103 ustawy o ochronie danych osobowych z 2018 r., za naruszenia opisane w sentencji niniejszej decyzji, nałożył na Pana P. K. – stosując średni kurs euro z dnia 28 stycznia 2022 r. (1 EUR = 4.5697 PLN) – administracyjną karę pieniężną w kwocie 2.285 PLN (co stanowi równowartość 500 EUR), według średniego kursu euro ogłoszonego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia 2021 r.

Wobec powyższego, Prezes Urzędu Ochrony Danych Osobowych orzekł jak w sentencji niniejszej decyzji. 

Decyzja jest ostateczna. Zgodnie z art. 53 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.), od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00 - 193 Warszawa). Od skargi należy wnieść wpis stosunkowy, zgodnie z art. 231 w związku z art. 233 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325). Zgodnie z art. 74 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) wniesienie przez stronę skargi do sądu administracyjnego wstrzymuje wykonanie decyzji w zakresie administracyjnej kary pieniężnej.

W postępowaniu przed Wojewódzkim Sądem Administracyjnym Strona ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.

Zgodnie z art. 105 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), administracyjną karę pieniężną należy uiścić w terminie 14 dni od dnia upływu terminu na wniesienie skargi do Wojewódzkiego Sądu Administracyjnego, albo od dnia uprawomocnienia się orzeczenia sądu administracyjnego, na rachunek bankowy Urzędu Ochrony Danych Osobowych w NBP O/O Warszawa nr 28 1010 1010 0028 8622 3100 0000. Ponadto, zgodnie z art. 105 ust. 2 wskazanej wyżej ustawy Prezes UODO może, na uzasadniony wniosek podmiotu ukaranego, odroczyć termin uiszczenia administracyjnej kary pieniężnej albo rozłożyć ją na raty. W przypadku odroczenia terminu uiszczenia administracyjnej kary pieniężnej albo rozłożenia jej na raty, Prezes Urzędu Ochrony Danych Osobowych nalicza od nieuiszczonej kwoty odsetki w stosunku rocznym, przy zastosowaniu obniżonej stawki odsetek za zwłokę, ogłaszanej na podstawie art. 56d ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (Dz. U. z 2021 r. poz. 1540 ze zm.), od dnia następującego po dniu złożenia wniosku.