Uchylone decyzje UODO o nałożeniu administracyjnej kary pieniężnej
Dwie najwyższe dotąd kary pieniężne nałożone przez Prezesa Urzędu Ochrony Danych Osobowych (UODO) za naruszenie przepisów Ogólnego rozporządzenia o ochronie danych (RODO) zostały uchylone w postępowaniu sądowym. W obydwu przypadkach kary dotyczyły między innymi braku wdrożenia odpowiednich zabezpieczeń danych osobowych.
W ciągu ostatnich kilku miesięcy sądy administracyjne uchyliły dwie decyzje Prezesa UODO nakładające najwyższe do tej pory kary pieniężne w Polsce:
- karę w wysokości ponad 2,8 miliona złotych nałożoną na Morele.net sp. z o.o. (prawomocny wyrok Naczelnego Sądu Administracyjnego z lutego 2023 r.; III OSK 3945/21)
- karę w wysokości ponad 4,9 miliona złotych nałożoną na Fortum Marketing and Sales Polska S.A. (nieprawomocny wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z października 2022 r.; II SA/Wa 567/22)
W obydwu przypadkach podmioty zostały ukarane między innymi za naruszenie obowiązku wdrożenia odpowiednich środków organizacyjnych i technicznych zabezpieczających dane osobowe.
Natomiast sądy miały zastrzeżenia do sposobu prowadzenia postępowania przez Prezesa UODO. W pierwszej sprawie sąd uznał między innymi, że organ powinien był dopuścić dowód z opinii biegłego co do odpowiedniości zabezpieczeń danych. W drugiej sprawie sąd stwierdził, że organ nie dokonał oceny materiału dowodowego w sposób właściwy i nie ustalił stanu faktycznego sprawy.
Wynika z tego, że podczas postępowania przed Prezesem UODO dotyczącego braku odpowiednich zabezpieczeń danych istotne będzie przedstawienie przez stronę postępowania argumentów i dowodów dotyczących stosowanych środków zabezpieczających dane osobowe. Można przykładowo powołać się na dokumentację przeprowadzonej analizy ryzyka czy raporty zewnętrznych doradców.
Konieczne będzie wykazanie, że wdrożone środki techniczne i organizacyjne były odpowiednie w stosunku do ryzyka dla praw i wolności osób, których dane dotyczą. Jak wskazał Naczelny Sąd Administracyjny, z przepisów nie wynika, że zabezpieczenia nie muszą być skuteczne w każdym przypadku. Wymogiem jest natomiast to, aby środki bezpieczeństwa były odpowiednie (adekwatne) w stosunku do oszacowanego stopnia ryzyka.
