DKE.561.26.2022

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000 ze zm.), art. 7 ust. 1 i 2, art. 60 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 57 ust. 1 lit. a) i h) oraz art. 58 ust. 2 lit. b), w związku z 83 ust. 6 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (Dz. Urz. UE L 119 z 04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w przedmiocie nałożenia na Pana M. S. zam. ul. (…) R. administracyjnej kary pieniężnej, Prezes Urzędu Ochrony Danych Osobowych,

udziela upomnienia Panu M. S. zam. ul. (…) R. za nieprzestrzeganie nakazu orzeczonego w pkt 1 decyzji administracyjnej Prezesa Urzędu Ochrony Danych Osobowych z dnia 13 kwietnia 2022 r. (sygn. DKN.523.3.2021).

UZASADNIENIE

Stan faktyczny 

1. Prezes Urzędu Ochrony Danych Osobowych w dniu 13 kwietnia 2022 r. wydał decyzję administracyjną (sygn. DKN.523.3.2021), zwaną dalej „Decyzją”, którą nakazał Panu M. S., zam. ul. (...) R. zaprzestanie przetwarzania za pomocą monitoringu wizyjnego danych osobowych Pana D. G. i Pani J. G. (zam. ul. … R.) przy użyciu kamer zainstalowanych na słupie oświetleniowym, które swoim zasięgiem obejmują drogę dojazdową stanowiącą działkę nr (…). Decyzja została uznana za doręczoną w dniu 4 maja 2022 r., na zasadzie fikcji doręczenia, stosownie do art. 44 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000 ze zm.), dalej także: „k.p.a.”.
2. Decyzja jest ostateczna oraz nie została zaskarżona przez strony postępowania do Wojewódzkiego Sadu Administracyjnego, w związku z czym 4 czerwca 2022 r. stała się prawomocna.
3. Z uwagi na brak potwierdzenia wykonania nakazu Decyzji, Prezes UODO, pismem z 15 lipca 2022 r. (sygn.DKE.560.92.2022), wezwał Pana M. S. do złożenia wyjaśnień i przedstawienia dowodów na wykonanie Decyzji. Z uwagi na to, że Pan M. S. nie odebrał Decyzji, a więc nie mógł zapoznać się z jej treścią, do ww. wezwania z 15 lipca 2022 r. załączono kopię Decyzji.
4. Pismo z 15 lipca 2022 r. odebrane zostało w dniu 21 lipca 2022 r. przez dorosłego domownika w miejscu zamieszkania adresata, w związku z czym, zgodnie z dyspozycją art. 43 k.p.a.uznane zostało za prawidłowo i skutecznie doręczone Panu M. S.
5. W związku z tym, że do Urzędu Ochrony Danych Osobowych nie wpłynęły wyjaśnienia i dowody potwierdzające wykonanie nakazu Decyzji, Prezes UODO, pismem z 10 października 2022 r. o sygn. DKE.560.92.2022, wszczął niniejsze postępowanie administracyjne w przedmiocie nałożenia na Pana M. S. administracyjnej kary pieniężnej na podstawie art. 83 ust. 6 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23.05.2018, str. 2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35), w treści niniejszej decyzji zwanego dalej „Rozporządzeniem 2016/679”, w związku z nieprzestrzeganiem nakazu orzeczonego przez organ nadzorczy w Decyzji.
6. Pismo z 10 października 2022 r. informujące o wszczęciu niniejszego postępowania Pan M. S. odebrał osobiście w dniu 18 października 2022 r. W treści pisma zawarte zostało pouczenie, że nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy podlega administracyjnej karze pieniężnej w wysokości do 20 000 000 euro, na podstawie art. 83 ust. 6 Rozporządzenia 2016/679. Prezes UODO wezwał również Pana M. S., celem ustalenia podstawy wymiaru administracyjnej kary pieniężnej w niniejszym postępowaniu, do przedstawienia – w terminie 7 dni od dnia doręczenia pisma – dowodu potwierdzającego rozliczenie podatkowe od całości swoich dochodów za rok 2021, to jest przedstawienia właściwej deklaracji PIT lub do przesłania innych informacji majątkowych, które Pan M. S. uzna za istotne dla wymierzenia kary w wysokości proporcjonalnej do możliwości jej uiszczenia przez niego. Prezes UODO poinformował przy tym, że nieprzedstawienie ww. danych skutkować będzie ustaleniem przez Prezesa UODO podstawy wymiaru kary w sposób szacunkowy, na podstawie art. 101 a) ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781). Jednocześnie w tym piśmie Prezes UODO poinformował, że jeżeli Pan M. S. przedstawi wyjaśnienia i dowody na przestrzeganie nakazu orzeczonego przez Prezesa UODO w Decyzji, okoliczność ta może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszym postępowaniu lub też może spowodować odstąpienie od jej nałożenia.
7. W odpowiedzi na ww. pismo informujące o wszczęciu postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej, Pan M. S. pismem z 24 października 2022 r. złożył wyjaśnienia na okoliczność wykonania Decyzji. Pan M. S. wyjaśnił, że Decyzję wykonał natychmiast po otrzymaniu wezwania do złożenia wyjaśnień o sygn. DKE.560.92.2022, tj. w dniu 21 lipca 2022 r. Wykonując Decyzję przestawił dwie kamery umieszczone na słupie oświetleniowym w taki sposób, że obraz z tych kamer obejmuje tylko jego teren prywatny i jego dom. Obraz z tych kamer nie obejmuje drogi wspólnej (drogi dojazdowej stanowiącej działkę nr (…)). Na potwierdzenie wykonanych ww. czynności Pan M. S. przesłał zdjęcia obrazu z kamer oraz zdjęcia ustawienia kamer zainstalowanych na słupie. Natomiast, pismem z 9 listopada 2022 r. uzupełnił swoje wyjaśnienia wskazując, że obecnie kamery ustawione są w taki sposób, że obserwują jedynie wejście i podjazd do jego domu. Kamery nie posiadają funkcji obrotowej, nie posiadają mikrofonu. Są to kamery stało pozycyjne. Obraz z kamer nie jest archiwizowany na rejestratorze (brak dysku twardego). Dowodem na podjęcie działań w zakresie wykonania decyzji w dniu 21 lipca 2022 r. są zdjęcia z kamer przesłane organowi ochrony danych osobowych w dniu 5 sierpnia 2022 r. za pomocą poczty elektronicznej (…), które następnie pismem z 24 października 2022 r. zostały potwierdzone przez Pana M. S. w sposób prawem przewidziany.
8. Pan M. S. zwrócił się do Prezesa Urzędu Ochrony Danych Osobowych o odstąpienie od nałożenia administracyjnej kary pieniężnej za nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy w Decyzji.

Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie, Prezes UODO zważył, co następuje.

Uzasadnienie prawne

9. Zgodnie z art. 57 ust. 1 lit. a) Rozporządzenia 2016/679, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 Rozporządzenia 2016/679 – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO m.in. prowadzi postępowania w sprawie stosowania niniejszego rozporządzenia (art. 57 ust. 1 lit. h)). Dla umożliwienia realizacji zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 2 Rozporządzenia 2016/679 uprawnień naprawczych, w tym uprawnienie do nakazania administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu (art. 58 ust. 2 lit. d)).
10. Zgodnie ze sformułowaną w art. 5 ust. 2 Rozporządzenia 2016/679 zasadą rozliczalności administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 tego przepisu (w tym – zgodnie z tzw. zasadą legalności – za przetwarzanie danych osobowych „zgodnie z prawem”) i musi być w stanie wykazać ich przestrzeganie. Zastosowanie zasady rozliczalności w niniejszej sprawie oznacza, że Pan M. S. zobowiązany jest – w szczególności w postępowaniu przed Prezesem UODO – udowodnić wykonanie nakazu decyzji, które to wykonanie byłoby równoznaczne z przywróceniem przetwarzania przez niego danych osobowych do stanu zgodnego z prawem. Takie implikacje zasady rozliczalności potwierdza doktryna prawa ochrony danych osobowych, zgodnie z którą: „Stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać można jako nałożenie na administratora ciężaru dowodowego w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad. Dowodami takimi mogą być przede wszystkim dokumenty dotyczące przetwarzania i ochrony danych.” (P. Fajgielski [w:] Komentarz do Rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2018).
11. Zgodnie z art. 83 ust. 6 Rozporządzenia 2016/679, nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2, podlega administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
12. Prezes UODO działając na podstawie art. 58 ust. 2 lit. b) Rozporządzenia 2016/679 może także uznać za uzasadnione udzielenie administratorowi upomnienia w przypadku naruszenia przepisów rozporządzenia przez operacje przetwarzania, w tym przypadku za nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 Rozporządzenia 2016/679. Zgodnie z motywem 148 Rozporządzenia 2016/679, aby egzekwowanie przepisów rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.
13. Zgodnie z art. 44 k.p.a., w razie niemożności doręczenia pisma w sposób wskazany w art. 42 i 43 k.p.a., operator pocztowy w rozumieniu ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe przechowuje pismo przez okres 14 dni w swojej placówce pocztowej - w przypadku doręczania pisma przez operatora pocztowego. Zawiadomienie o pozostawieniu pisma wraz z informacją o możliwości jego odbioru w terminie siedmiu dni, licząc od dnia pozostawienia zawiadomienia w miejscu określonym w § 1, umieszcza się w oddawczej skrzynce pocztowej lub, gdy nie jest to możliwe, na drzwiach mieszkania adresata, jego biura lub innego pomieszczenia, w którym adresat wykonuje swoje czynności zawodowe, bądź w widocznym miejscu przy wejściu na posesję adresata. W przypadku niepodjęcia przesyłki w tym terminie, pozostawia się powtórne zawiadomienie o możliwości odbioru przesyłki w terminie nie dłuższym niż czternaście dni od daty pierwszego zawiadomienia. Doręczenie uważa się za dokonane z upływem 14 dnia od daty pierwszej próby doręczenia a pismo pozostawia się w aktach sprawy. Celem instytucji doręczenia zastępczego w trybie art. 44 k.p.a., które miało zastosowanie do pism kierowanych przez Organ do Pana M. S. jest uniemożliwienie tamowania tego postępowania przez celowe uchylanie się od odbioru korespondencji. Instytucja doręczenia zastępczego oparta jest na konstrukcji fikcji prawnej polegającej na uznaniu, że nastąpiło doręczenie pisma, które de facto nie miało miejsca (patrz wyrok NSA z dnia 8 lutego 2021 r., sygn.: I OSK 3697/18). Należy podkreślić, że domniemanie prawne doręczenia pisma z zastosowaniem fikcji prawnej doręczenia na zasadzie art. 44 k.p.a. powoduje taki skutek, że nie można skutecznie podnieść argumentu, iż treść pisma nie dotarła do wiadomości adresata (patrz wyrok WSA w Łodzi z dnia 1 lutego 2022 r., sygn. III SA/Łd 897/21), chyba że samo zastosowanie art. 44 k.p.a. było wadliwe przez nieprzestrzeganie poszczególnych wymogów procedury doręczenia zastępczego.

Ocena prawna

14. Odnosząc wskazane wyżej przepisy do ustalonego w sprawie stanu faktycznego podkreślić należy w pierwszej kolejności, że ciężar udowodnienia wykonania nakazu decyzji, dotyczącego przetwarzania danych osobowych w oparciu o Rozporządzenie 206/679, spoczywa na administratorze danych osobowych - wynika to wprost z zasady rozliczalności ustanowionej w rozporządzeniu 2016/679.
15. Decyzja została uznana za doręczoną w dniu 4 maja 2022 r.. W związku z tym, że była to decyzja ostateczna, stała się wykonalna z dniem doręczenia, a więc 4 maja 2022 r.
16. Pan M. S., jako zobowiązany do wykonania Decyzji, nie wykonał nakazu Decyzji w dniu, w którym stała się ona wykonalna, tj. kiedy powstał obowiązek jej wykonania. W toku niniejszego postępowania ustalono, że nakaz Decyzji został wykonany przez zobowiązanego w dniu 21 lipca 2022 r. Zatem stwierdzić należy, że Pan M. S. nie przestrzegał nakazu orzeczonego przez Prezesa UODO w Decyzji w okresie od 4 maja 2022 r. do momentu, w którym nakaz został przez niego wykonany w dniu 21 lipca 2022 r.
17. Jednakże w ocenie Prezesa UODO stan naruszenia polegający na nieprzestrzeganiu nakazu orzeczonego w Decyzji trwał stosunkowo krótko. Dodatkowo naruszenie miało nieumyślny charakter. Za nieumyślnością naruszenia przemawia fakt, że Pan M. S. wykonał nakaz Decyzji niezwłocznie po tym, gdy po raz pierwszy faktycznie dowiedział się o obowiązku nałożonym na niego nakazem Decyzji, tj. w dniu otrzymania informacji o wszczęciu niniejszego postępowania. Ponadto w niniejszym postępowaniu Prezes UODO nie stwierdził okoliczności świadczących o umyślnym uchylaniu się przez Pana M. S. od wykonania nakazu orzeczonego Decyzją.
18. Mając na uwadze powyższe okoliczności, Prezes UODO uznał za uzasadnione udzielenie Panu M. S. upomnienia w zakresie stwierdzonego naruszenia nieprzestrzegania nakazu orzeczonego w Decyzji.
19. Prezes UODO uznał, że w tej sprawie udzielenie upomnienia, w świetle kryteriów określonych w art. 83 ust. 2 rozporządzenia 2016/679, będzie wystarczające, i co najmniej tak samo „skuteczne, proporcjonalne i odstraszające” jak wymierzenie kary pieniężnej (vide art. 83 ust. 1 Rozporządzenia 2016/679).
20. Należy także zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec Pana M. S. będzie brane pod uwagę przy ocenie przesłanek ewentualnego wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 Rozporządzenia 2016/679.
21. W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął, jak w sentencji niniejszej decyzji.

Pouczenie

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa UODO (adres: ul. Stawki 2, 00 - 193 Warszawa). Wpis od skargi wynosi 200 zł. W postępowaniu przed Wojewódzkim Sądem Administracyjnym strona ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.