DKE.561.9.2022

Na podstawie art. 104 § l ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2021 r., poz. 735 ze. zm.) w związku z art. 7 ust. 1 i 2 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 58 ust. 2 lit. b) w związku z art. 31 i art. 58 ust. 1 lit. a) i lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na F. z siedzibą w J., Prezes Urzędu Ochrony Danych Osobowych,

udziela upomnienia F. z siedzibą w J., za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z  04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35) zwanego dalej „rozporządzeniem 2016/679”, polegające na braku współpracy z Prezesem UODO w ramach wykonywania przez niego jego zadań oraz niezapewnieniu Prezesowi UODO dostępu do danych osobowych i  informacji niezbędnych do realizacji jego zadań.

Uzasadnienie

                      Stan faktyczny

1. Do Urzędu Ochrony Danych Osobowych (dalej: „UODO”) wpłynęła skarga Pana Ł. L. zam. w N. (zwanego dalej: „Skarżącym”), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez F. z siedzibą w J. (zwaną dalej „F”), polegające na przetwarzaniu danych Skarżącego bez podstawy prawnej, udostępnieniu danych osobowych Skarżącego w zakresie imienia, nazwiska, numeru prawa wykonywania zawodu, miejsca zatrudnienia na portalu […].
2. Prezes Urzędu Ochrony Danych Osobowych (dalej „Prezes UODO”) w ramach wszczętego postępowania administracyjnego prowadzonego celem rozpatrzenia wniesionej skargi (pod sygn. […]), pismem z […] września 2021 r. zwrócił się do F. o ustosunkowanie się do treści skargi oraz o udzielenie odpowiedzi na następujące pytania:
1. czy, a jeśli tak, to na jakiej podstawie prawnej (proszę wskazać konkretny przepis prawa), w jakim celu i w jakim zakresie F. przetwarza dane osobowe Skarżącego;
2. z jakiego źródła F. pozyskała dane osobowe Skarżącego;
3. czy, a jeśli tak, to na jakiej podstawie prawnej, w jakim celu oraz w jakim zakresie F. udostępnia dane osobowe Skarżącego na portalu […] pod adresem […];
4. czy Skarżący zwracał się do F. z żądaniem usunięcia jego danych osobowych ze strony […], a jeśli tak, to w jaki sposób oraz kiedy F. ustosunkowała się do żądania Skarżącego (proszę o przesłanie kopii ewentualnej korespondencji) - w szczególności, czy F. usunęła te dane i kiedy to nastąpiło? W przypadku nieudzielenia odpowiedzi zwracam się o wyjaśnienie przyczyn takiego stanu.
3. Wobec tego, że F. nie udzieliła odpowiedzi na ww. pismo, Prezes UODO pismem z […] października 2021 r. ponownie zwrócił się do F. z wezwaniem o ustosunkowanie się do treści skargi oraz o udzielenie odpowiedzi na ww. pytania. Zarówno pismo z […] września 2021 r., jak i pismo z […] października 2021 r. zostały F. doręczone w sposób przewidziany w k.p.a. o doręczeniach. F. na oba pisma nie udzieliła odpowiedzi.
4. W piśmie z […] października 2021 r. F. pouczona została, że brak wyczerpującej odpowiedzi na wezwanie skutkować może – zgodnie z 83 ust. 5 lit. e) rozporządzenia 2016/679 – nałożeniem na F. administracyjnej kary pieniężnej za naruszenie polegające na braku współpracy z Prezesem UODO w ramach wykonywania przez niego swoich zadań oraz niezapewnieniem dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań.
5. W związku z nieudzieleniem przez F. informacji niezbędnych do rozstrzygnięcia sprawy o sygn. […], Prezes UODO pismem z […] marca 2022 r. wszczął z urzędu wobec F. – w oparciu o art. 83 ust. 5 lit. e) rozporządzenia 2016/679 – postępowanie administracyjne w przedmiocie nałożenia na F. administracyjnej kary pieniężnej (pod sygn. DKE.561.9.2022).
6. W piśmie zawarte było pouczenie o możliwości nałożenia na F. – w przypadku braku wyczerpującej odpowiedzi na to wezwanie – administracyjnej kary pieniężnej na podstawie  art. 83 ust. 5 lit. e) rozporządzenia 2016/679 w związku z brakiem współpracy z Prezesem UODO w ramach wykonywania przez niego swoich zadań (art. 31 rozporządzenia 2016/679) oraz niezapewnieniem dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań (art. 58 ust. 1 lit. a) i e) rozporządzenia 2016/679).
7. W ww. piśmie F. pouczona została także o tym, że jeżeli udzieli wyczerpujących wyjaśnień w postępowaniu o sygn. […], do udzielenia, których wezwał ją Prezes UODO oraz uzasadni wcześniejszy brak odpowiedzi na te wezwania, okoliczność ta w postępowaniu o sygn. DKE.561.9.2022 może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej lub też może spowodować odstąpienie od jej nałożenia.
8. Powyższe okoliczności stanu faktycznego Prezes UODO ustalił na podstawie całokształtu korespondencji urzędowej prowadzonej pomiędzy F. a Prezesem UODO, znajdującej się w aktach postępowania o sygnaturze […]. Korespondencja ta odzwierciedla całokształt prób uzyskania przez Prezesa UODO dostępu do informacji niezbędnych do realizacji jego zadań, to jest w tym przypadku – do rozpatrzenia sprawy o sygnaturze […], a z drugiej strony – reakcję F. na żądania Prezesa UODO.
9. W reakcji na pismo informujące o wszczęciu postępowania w przedmiocie nałożenia na F. administracyjnej kary pieniężnej, F. niezwłocznie złożyła wyjaśnienia, które pozwoliły Prezesowi UODO na prowadzenie dalszego postępowania w sprawie o sygn. […].
10. F. uzasadniła także powody swojego milczenia w postępowaniu o sygn. […], którym Prezes UODO dał wiarę. F. wskazała, że jej milczenie w postępowaniu o sygn. […] spowodowane było wielością pism wysyłanych jednego dnia za pośrednictwem elektronicznej Platformy Usług Administracji Publicznej (ePUAP). Prezes F., jako osoba osobiście odpowiedzialna w F. za wysyłkę korespondencji do Urzędu Ochrony Danych Osobowych (dalej także: „UODO”) za pośrednictwem ePUAP, […] września 2021 r. wysłał siedem (7) pism, w tym jedno pismo z […] września 2021 r. dotyczące sprawy o sygn. […]. W wyniku błędu systemu ePUAP pismo z […] września 2021 r. przygotowane do wysłania będące odpowiedzią na wezwanie Prezesa UODO z […] września 2021 r., nie zostało skutecznie doręczone organowi ochrony danych osobowych. Na swoje usprawiedliwienie Prezes F. wskazał także na nadmiar prywatnych obowiązków w tym okresie. Jednakże po otrzymaniu pisma z […] marca 2022 r. o wszczęciu postępowania administracyjnego w przedmiocie nałożenia na F. administracyjnej kary pieniężnej, w ciągu jednej godziny od otrzymania tego pisma, uprzednio przygotowane pismo z […] września 2021 r. dotyczące sprawy o sygn. […] wysłane zostało do Urzędu.
11. Prezes F. zdając sobie sprawę z braku współpracy z Prezesem UODO, poprosił o uwzględnienie przedstawionych ww. wyjaśnień i odstąpienie od nałożenia na F. administracyjnej kary pieniężnej.
12. Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

                      Uzasadnienie prawne

13. Zgodnie z art. 57 ust. 1 lit. a) rozporządzenia 2016/679, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 rozporządzenia 2016/679 – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f)). Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a)) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e)). Ponadto, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 2 uprawnień naprawczych, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów rozporządzenia 2016/679 przez operacje przetwarzania
14. Naruszenie przepisów rozporządzenia 2016/679, polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych i informacji, o których mowa powyżej, skutkującym naruszeniem uprawnień organu określonych w art. 58 ust. 1 (w tym uprawnienia do uzyskania danych i informacji niezbędnych do realizacji jego zadań), podlega – zgodnie z art. 83 ust 5 lit e) in fine rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Natomiast, naruszenie przepisów rozporządzenia 2016/679, polegające na braku woli współpracy z organem nadzorczym w ramach wykonywania przez niego swoich zadań (art. 31), podlega zaś – zgodnie z art. 83 ust. 4 lit. a) rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
15. Prezes UODO działając na podstawie art. 58 ust. 2 lit. b) rozporządzenia 2016/679 może także uznać za uzasadnione udzielenie administratorowi upomnienia w zakresie stwierdzonego naruszenia przepisu art. 31 w związku z art. 58 ust. 1 lit. e) rozporządzenia 2016/679. Zgodnie z motywem 148 rozporządzenia 2016/679, aby egzekwowanie przepisów rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.
16. Odnosząc przytoczone powyżej przepisy rozporządzenia 2016/679 do ustalonego w niniejszej sprawie, a opisanego na wstępie uzasadnienia niniejszej decyzji, stanu faktycznego, stwierdzić należy, że F. – administrator danych osobowych Skarżącego, – jako strony prowadzonego przez Prezesa UODO postępowania o sygn. […], niewątpliwe naruszyła obowiązek zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań – w tym przypadku do merytorycznego rozstrzygnięcia sprawy. Jednakże w odpowiedzi na informację o wszczęciu postępowania administracyjnego w sprawie o sygn. DKE.561.9.2022, F. złożyła wyjaśnienia pozwalające Prezesowi UODO prowadzenie dalszego postępowania w sprawie o sygn. […]. Zdaniem Prezesa UODO, działania F. z pewnością skutkowały brakiem dostępu do dowodów niezbędnych do merytorycznego rozstrzygnięcia sprawy Skarżącego i to przez okres od listopada 2021 r. do dnia wszczęcia postępowania w przedmiocie nałożenia na F. administracyjnej kary pieniężnej. Przedstawione przez F. uzasadnienie braku odpowiedzi na wezwania Prezesa UODO nie zdejmuje z niego odpowiedzialności za stwierdzone zaniechanie. Jednakże wskazane przez F. przyczyny braku współpracy z organem nadzorczym należało uwzględnić, jako wiarygodne oraz mające istotny wpływ na ocenę zachowania F., w kontekście wyboru zastosowanej wobec niej w niniejszym postępowaniu sankcji.
17. W ocenie Prezesa UODO ww. naruszenie miało charakter nieumyślny. Wszystkie okoliczności sprawy, rozpatrywane łącznie, pozwalają wnioskować, że brak reakcji F. na wezwania do złożenia wyjaśnień, nie było celowe, lecz wynikało przede wszystkim z wielości pism wysyłanych jednego dnia do UODO za pomocą systemu e-PUAP a także ważnych prywatnych spraw Prezesa F. w tym okresie, które nie pozwoliły mu na staranne sprawdzenie dokonanej wysyłki korespondencji do Urzędu. Prezes F. natychmiast skontaktował się z UODO celem udzielania wyjaśnień niezbędnych do dalszego prowadzenia postępowania o sygn. […], jak również wyjaśnił, z jakiego powodu milczał w tychże postępowaniach.
18. W ocenie organu nadzorczego, następcza, aktywa postawa F. wskazuje na gotowość do dalszego z nim współdziałania. W tym miejscu, wskazać również należy, że samo już wszczęcie postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej oraz realna perspektywa wymierzania administracyjnej kary pieniężnej stały się dla F. wyraźnym sygnałem tego, że dalsze uchylanie się od obowiązków nałożonych przepisami rozporządzenia 2016/679, nieuchronnie prowadziło będzie do zastosowania wobec niego najsurowszych, przewidzianych tymi przepisami sankcji.
19. Prezes UODO uznał, że w tej sprawie udzielenie upomnienia, w świetle kryteriów określonych w art. 83 ust. 2 rozporządzenia 2016/679, będzie wystarczające, i co najmniej tak samo „skuteczne, proporcjonalne i odstraszające” jak wymierzenie kary pieniężnej (vide art. 83 ust. 1 rozporządzenia 2016/679).
    Należy także zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec F. będzie brane pod uwagę przy ocenie przesłanek ewentualnego wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 rozporządzenia 2016/679.
20. W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął, jak w sentencji niniejszej decyzji.

                      Pouczenie

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie,  w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa UODO (adres: ul. Stawki 2, 00 - 193 Warszawa). Wpis od skargi wynosi 200 zł. W postępowaniu przed Wojewódzkim Sądem Administracyjnym strona ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.