DKE.561.1.2022

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2021 r. poz. 735 z późn. zm.) w związku z art. 7 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenia o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.), po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na S. S.A., Prezes Urzędu Ochrony Danych Osobowych

udziela upomnienia S. S.A. za naruszenie przepisów art. 58 ust. 1 lit. a) i e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.), polegające na niezapewnieniu dostępu do informacji niezbędnych Prezesowi Urzędu Ochrony Danych Osobowych do realizacji jego zadań w postępowaniu [...].

Uzasadnienie

Stan faktyczny

1.  W prowadzonym przez Prezesa UODO postepowaniu o sygn. [...], podjętym na podstawie skargi M. S., pismem z […] lutego 2020 r., doręczonym [...] lutego 2020 r., Prezes UODO wezwał S. S.A. (zwaną dalej także „Spółką”) do ustosunkowania się do treści skargi oraz złożenia wyjaśnień w sprawie, w terminie 7 dni od daty doręczenia pisma.

2.  Z uwagi na brak odpowiedzi Spółki na w/w wezwanie, pismem z [...] listopada 2020 r., doręczonym [...] listopada 2020 r., Prezes UODO ponownie wezwał Spółkę do złożenia wyjaśnień w sprawie, w terminie 7 dni od daty doręczenia pisma. W treści pisma zawarte było pouczenie o tym, że brak wyczerpującej odpowiedzi na wezwanie może skutkować nałożeniem na Spółkę administracyjnej kary pieniężnej na podstawie art. 83 ust. 5) lit. e) w zw. z art. 58 ust. 1 lit. a) Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.) (zwane dalej także „RODO”). W piśmie zawarte było także pouczenie, że jeżeli w imieniu Spółki wyjaśnienia będzie składał jej upoważniony pracownik bądź pełnomocnik, należy nadesłać stosowne pełnomocnictwo uprawniające tę osobę do występowania w imieniu Spółki postępowaniu oraz dokonać opłaty od udzielonego pełnomocnictwa.

3.  W dniu [...] stycznia 2021 r. do Urzędu wpłynęło pismo, którego nagłówek i treść wskazywały, że jego nadawcą jest O. S.A. Pismo nie zawierało imienia i nazwiska osoby, która je sporządziła ani czytelnego podpisu tej osoby. W piśmie wskazano, że „S. S.A. jest reprezentowana przez O. S.A.” – która to informacja nie miała znaczenia prawnego, nie tylko z uwagi na brak możliwości ustalenia autora pisma, lecz także z uwagi na fakt, że O. S.A., jako osoba prawna, nie może być pełnomocnikiem procesowym strony w postępowaniu administracyjnym – stosownie bowiem do art. 33 § 1 kpa, pełnomocnikiem strony w postępowaniu toczącym się przed Prezesem UODO, może być wyłącznie osoba fizyczna, posiadająca pełną zdolność do czynności prawnych. 

4.  Pismem z [...] lutego 2021 r., doręczonym [...] lutego 2021 r., Prezes UODO ponownie wezwał S. S.A. do złożenia wyjaśnień w sprawie, w terminie 7 dni od daty doręczenia pisma. W treści pisma wskazano, że pismo, które wpłynęło do organu w dniu [...] stycznia od O. S.A., jako podmiotu niebędącego stroną postępowania, zostanie pominięte. W piśmie zawarte zostało także pouczenie, że stosownie do art. 33 § 1 kpa, pełnomocnikiem strony w postępowaniu toczącym się przed Prezesem UODO, może być wyłącznie osoba fizyczna, posiadająca pełną zdolność do czynności prawnych. W treści pisma ponownie zawarto także pouczenie, że jeżeli w imieniu Spółki wyjaśnienia będzie składał jej upoważniony pracownik bądź pełnomocnik, należy nadesłać stosowne pełnomocnictwo uprawniające tę osobę do występowania w imieniu Spółki postępowaniu oraz dokonać opłaty od udzielonego pełnomocnictwa.

5.  Z uwagi na brak odpowiedzi Spółki na w/w wezwanie, pismem z [...] kwietnia 2021 r., doręczonym [...] maja 2021 r., Prezes UODO ponownie wezwał Spółkę do złożenia wyjaśnień w sprawie, w terminie 7 dni od daty doręczenia pisma. W treści pisma zawarte było pouczenie o tym, że brak wyczerpującej odpowiedzi na wezwanie może skutkować nałożeniem na Spółkę administracyjnej kary pieniężnej na podstawie art. 83 ust. 4) lit. a) lub art. 83 ust. 5) lit. e) w zw. z art. 58 ust. 1 lit. a) RODO. W piśmie ponownie zawarte było też pouczenie, że jeżeli w imieniu Spółki wyjaśnienia będzie składał jej upoważniony pracownik bądź pełnomocnik, należy nadesłać stosowne pełnomocnictwo uprawniające tę osobę do występowania w imieniu Spółki postępowaniu oraz dokonać opłaty od udzielonego pełnomocnictwa. 

6.  W dniu [...] maja 2021 r. do Urzędu wpłynęło pismo spółki O. S.A.. Pismo i zawarte w nim wyjaśnienia zostały przez organ pominięte ponownie - z uwagi na fakt, że O. S.A. nie jest stroną w sprawie a jako osoba prawna nie mogła być pełnomocnikiem S. S.A. w postępowaniu administracyjnym.

7.  Pismem z [...] października 2021 r., doręczonym [...] października 2021 r., Prezes UODO ponownie wezwał spółkę S. S.A. do złożenia wyjaśnień w sprawie, w terminie 7 dni od daty doręczenia pisma. W treści pisma wskazano, że wyjaśnienia złożone pismem, które wpłynęło do organu w dniu [...] maja 2021 r. od O. S.A., jako podmiotu niebędącego stroną postępowania, zostaną pominięte. W piśmie ponownie zawarte zostało pouczenie, że stosownie do art. 33 § 1 kpa, pełnomocnikiem strony w postępowaniu toczącym się przed Prezesem UODO, może być wyłącznie osoba fizyczna, posiadająca pełną zdolność do czynności prawnych. W treści pisma ponownie zawarto także pouczenie, że jeżeli w imieniu Spółki wyjaśnienia będzie składał jej upoważniony pracownik bądź pełnomocnik, należy nadesłać stosowne pełnomocnictwo uprawniające tę osobę do występowania w imieniu Spółki postępowaniu oraz dokonać opłaty od udzielonego pełnomocnictwa. Prezes UODO poinformował jednocześnie, że w przypadku braku wyczerpującej odpowiedzi na wezwanie, rozważy nałożenie na S. S.A. administracyjnej kary pieniężnej w wysokości do 20 000 000 euro lub 4% jej całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa – na podstawie art. 83 ust. 4 lit. a) lub art. 83 ust. 5 lit. e) RODO.

8.  W dniu [...] października 2021 r. do Urzędu po raz kolejny wpłynęło pismo od O. S.A., Ponownie pismo to i zawarte w nim wyjaśnienia zostały przez organ pominięte z uwagi na fakt, że O. S.A. nie jest stroną w sprawie a jako osoba prawna nie mogło być pełnomocnikiem S. S.A. w postępowaniu administracyjnym

9.  Pełnomocnictwo do działania przez O. S.A. na rzecz S. S.A., stanowiące załącznik do pisma O. S.A., które wpłynęło do organu [...] maja 2021 r., stanowiło pełnomocnictwo do dokonywania czynności materialnoprawnych w rozumieniu kodeksu cywilnego. Tego rodzaju dokument nie jest pełnomocnictwem do zastępowania Spółki w postępowaniu administracyjnym. Spółka zignorowała udzielone dwukrotnie (pismami z [...] lutego 2021 r. oraz [...] października 2021 r.) pouczenie Prezesa UODO co do warunków skutecznego ustanowienia pełnomocnika w postępowaniu administracyjnym na podstawie art. 33 § 1 kpa, którym to pełnomocnikiem może być wyłącznie osoba fizyczna. Świadczy o tym fakt, że pisma do Prezesa UODO w imieniu S. S.A. nadal kierowała spółka O. S.A., która nie jest stroną w sprawie i jako osoba prawna nie może występować jako pełnomocnik S. S.A. w postępowaniu administracyjnym. Ze wskazanych wyżej powodów, pisma spółki O. S.A.  nie wywołały skutków prawnych na rzecz S. S.A. w postępowaniu [...] – nie można było zatem przyjąć, że S. S.A. udzieliła Prezesowi UODO wymaganych wyjaśnień.

10.  Wobec powyższego, pismem z [...] stycznia 2022 r. (doręczonym [...] stycznia 2022 r.) Prezes Urzędu Ochrony Danych Osobowych wszczął niniejsze postępowanie w przedmiocie nałożenia administracyjnej kary pieniężnej za naruszenie art. 58 ust. 1 lit. a) i e) RODO w związku z niezapewnieniem dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do  realizacji jego zadań. Tym pismem organ wezwał ponadto S. S.A. do przedstawienia  sprawozdania finansowego Spółki za rok 2020 lub – w przypadku jego braku – oświadczenia o  wysokości obrotu i wyniku finansowego osiągniętego przez Spółkę w 2020 r. - celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej w niniejszym. Dodatkowo w treści pisma zawarto pouczenie, że jeżeli S. S.A. udzieli pisemnie – w terminie 7 dni od dnia doręczenia informacji o wszczęciu postępowania – wyczerpujących wyjaśnień w postępowaniu o sygn. [...] oraz uzasadni wcześniejszy brak odpowiedzi na wezwania, okoliczność ta może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszym postępowaniu lub też może spowodować odstąpienie od jej nałożenia.

11.  W dniu [...] stycznia 2022 r. do organu wpłynęło pismo pełnomocnika Spółki, w którym udzielone zostały odpowiedzi na wezwania Prezesa UODO w postępowaniu o sygn. [...]. Spółka wyraziła ubolewanie, że wcześniejsze pisma, które docierały do organu, nie były sygnowane przez pełnomocnika. Wymienione zostały przyczyny tego błędu procesowego, m. in. to, że pracownik przygotowujący odpowiedź na żądanie Prezesa UODO skupił się na merytorycznej treści, jednakże nie odniósł się do kwestii prawidłowego umocowania (z uwagi na incydentalny charakter wystąpienia Prezesa UODO do Spółki i brak doświadczenia pracownika w tym zakresie). W wyjaśnieniach podkreślono też, że zaistniała sytuacja miała miejsce w trakcie pandemii COVID-19, podczas kiedy wiele firm i organizacji pracowało w trybie tzw. pracy zdalnej czy też hybrydowej – co niewątpliwie przyczyniło się do braku możliwości należytego omówienia treści pouczenia kierowanego do Spółki. W treści pisma zaznaczono, że Spółka prowadzi czynności wyjaśniające zaistniałą sytuację oraz mające na celu zapobieżenie występowaniu podobnych zdarzeń w przyszłości. Mając na względzie złożenie wyjaśnień w sprawie oraz fakt, że dotychczasowe pisma Spółki, mimo, że nie były sygnowane przez pełnomocnika będącego osobą fizyczną, zawierały merytoryczną treść, pełnomocnik Spółki wniósł o odstąpienie od nałożenia na Spółkę administracyjnej kary pieniężnej.

Ocena prawna

12.  Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

13.  Zgodnie z art. 57 ust. 1 lit. a) RODO, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 RODO – na swoim terytorium monitoruje i egzekwuje stosowanie RODO. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f). Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 RODO uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e).

14.  Naruszenie przepisów art. 58 ust. 1 lit. a) i e) RODO, o których mowa powyżej, polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych i informacji, podlega – zgodnie z art. 83 ust 5 lit e) in fine RODO – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

15.  Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 2 uprawnień naprawczych, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO przez operacje przetwarzania. Prezes UODO działając na podstawie art. 58 ust. 2 lit. b) RODO może uznać za uzasadnione udzielenie Spółce upomnienia w zakresie stwierdzonego naruszenia przepisów art. 58 ust. 1 lit. a) i e) RODO. Zgodnie z motywem 148 RODO, aby egzekwowanie przepisów rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.

16.  Odnosząc przytoczone powyżej przepisy RODO do ustalonego w niniejszej sprawie stanu faktycznego, stwierdzić należy, że Spółka jako administrator danych osobowych będący stroną postępowania o sygn. [...], nie udzielając odpowiedzi na wezwania do złożenia wyjaśnień, naruszyła przepisy art. 58 ust. 1 lit. a) i e) RODO poprzez brak zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań.

17.  Prezes UODO wielokrotnie wzywał Spółkę do złożenia wyjaśnień, wielokrotnie pouczając o brakach formalnych pism, które były doręczane organowi w odpowiedzi na wezwania. Pouczenia te były prze Spółkę pomijane a kolejne pisma składane w sprawie, zawierały te same braki formalne i nie mogły być uznane za wyjaśnienia pochodzące od Spółki. Brak wyjaśnień spowodował zatem konieczność wszczęcia niniejszego postępowania o sygn. DKE.561.1.2022 w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej.

18.  W rezultacie wszczęcia niniejszego postępowania Spółka podjęła współpracę z Prezesem UODO, poprzez nadesłanie szczegółowych wyjaśnień w postępowaniu [...], co pozwoliło Prezesowi UODO na prowadzenie dalszego postępowania w sprawie.

19.  W ocenie Prezesa UODO przedstawione przez pełnomocnika Spółki uzasadnienie braku odpowiedzi na jego wezwania w postępowaniu [...] nie zdejmuje odpowiedzialności ze Spółki, jako administratora danych. Równolegle należy jednak uznać, że jest to wyjaśnienie wiarygodne. W opinii Prezesa UODO, brak reakcji Spółki na pouczenia dotyczące braków formalnych pism mógł być spowodowany - wspomnianymi w piśmie pełnomocnika Spółki (pkt. 11 uzasadnienia decyzji) - brakiem doświadczenia pracownika sporządzającego odpowiedzi dla organu, a także problemami w organizacji pracy merytorycznej i wymianie informacji w Spółce, wywołanymi m. in. skutkami stanu epidemii COVID-19.

20.  W przedmiotowym stanie faktycznym, oprócz braku odpowiedzi na wezwania do złożenia wyjaśnień, który to brak został uzupełniony przez Spółkę w rezultacie wszczęcia niniejszego postępowania, nie stwierdzono innych przesłanek wskazujących na brak woli współpracy Spółki z Prezesem UODO. Ponadto należy wskazać, że Spółka wzięła odpowiedzialność za powstałe naruszenie oraz dostarczyła dokumenty finansowe, które ułatwiłyby Prezesowi UODO oszacowanie ewentualnej administracyjnej kary pieniężnej. Te okoliczności sprawy pozwalają wnioskować, że brak reakcji Spółki na pouczenia Prezesa UODO w postępowaniu o sygn. [...] nie miał charakteru celowego.

21.  W związku z powyższym, działając na podstawie art. 58 ust. 2 lit. b) RODO, zgodnie z którym każdemu organowi nadzorczemu przysługuje w zakresie prowadzonych postępowań uprawnienie do udzielania upomnienia administratorowi lub podmiotowi przetwarzającemu, w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania, Prezes UODO uznaje za uzasadnione udzielenie S. S.A. upomnienia w zakresie stwierdzonego naruszenia przepisów art. 58 ust. 1 lit. a) i e) RODO.

22.  Dopuszczalność zastąpienia kary pieniężnej upomnieniem uzasadnia także motyw 148 RODO stanowiący, że sankcje, w tym administracyjne kary pieniężne należy nakładać, „aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze”. Prezes UODO uznał, że w przedmiotowej sprawie, w świetle kryteriów określonych w art. 83 ust. 2 RODO wystarczające będzie udzielenie upomnienia.

23.  Należy jednakże zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec Spółki będzie brane pod uwagę przy ocenie przesłanek ewentualnego wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 RODO.

24.  W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął jak w sentencji niniejszej decyzji.

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00 - 193 Warszawa). Od skargi należy wnieść wpis stały w wysokości 200 zł, zgodnie z art. 231 w związku z art. 233 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329 z późn. zm.). Strona (osoba fizyczna, osoba prawna, inna jednostka organizacyjna nieposiadająca osobowości prawnej) ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.