Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO) ukarał spółkę Smart Cities sp. z o.o. za brak współpracy z organem nadzorczym w toku postępowania administracyjnego, wszczętego na skutek skargi osoby fizycznej. Kwota to – dokładnie – 12 838 złotych i 20 groszy. Nie jest to z pewności rekordowa kara nałożona przez Prezesa UODO, niemniej sugeruje ona innym administratorom, jak ważna jest pełna współpraca z regulatorem w razie zaistnienia jakichkolwiek uchybień w zakresie ochrony danych osobowych.
Kara wynika z postępowania skargowego
Jak wynika z rozstrzygnięcia, pierwotnie Prezes UODO wszczął postępowanie wobec ukaranego podmiotu w związku ze skargą osoby fizycznej, na przetwarzanie jej danych osobowych. Organ nadzorczy – stosując rutynową procedurę – zwrócił się do spółki o złożenie wyjaśnień w sprawie. Niestety, ta początkowo udzieliła niepełnej odpowiedzi, która nie satysfakcjonowała UODO, a następnie kompletnie zamilkła. Dalsze pisma pozostawały bowiem bez jakiejkolwiek reakcji. Co ciekawe, spółka nie odebrała również zawiadomienia o wszczęciu postępowania w sprawie ukarania jej administracyjną karą pieniężną.
Kara na własne życzenie
Prezes UODO wskazał w swoim rozstrzygnięciu, że ukarana spółka naruszyła w toku postępowania ciążący na niej obowiązek zapewnienia organowi nadzorczemu dostępu do informacji, które są niezbędne dla realizacji jego zadań, a konkretnie – w tym przypadku – do właściwego rozstrzygnięcia sprawy. Takie działanie stanowi naruszenie art. 58 ust. 1 lit. e RODO, za które administratorowi grozi kara w wysokości 20 000 000 euro (około 90 000 000 złotych) lub nawet więcej, w przypadku przedsiębiorstwa. Regulator – uzasadniając swoje rozstrzygnięcie – wskazał także, że ukarany administrator naruszył również przepisy postępowania administracyjnego oraz swój ogólny obowiązek współpracy z organem nadzorczym (art. 31 RODO).
W ocenie regulatora, ukarany podmiot nie wykazał woli współpracy. Na zadane pytania, które nie wymagały specjalistycznej wiedzy z zakresu ochrony danych osobowych, początkowo udzielił on jedynie niepełnych informacji, zaś następne wezwania kompletnie zignorował. Prezes UODO podkreślił, że spółka w żaden sposób nie próbowała usprawiedliwić swojego postępowania. Nie sygnalizowała również organowi nadzorczemu ewentualnych trudności z udzieleniem odpowiedzi na otrzymane wezwania.
Okoliczności na niekorzyść spółki
Z decyzji wynika, że organ nadzorczy – decydując się nałożyć karę pieniężną na spółkę -wziął pod uwagę charakter, wagę i czas trwania stwierdzonego naruszenia. Prezes UODO uznał zachowanie administratora za umyślne, naganne i sprzeczne z systemem ochrony danych osobowych. W jego ocenie, na niekorzyść spółki przemawia zarówno fakt, że naruszenie miało charakter ciągły i długotrwały, jak również, że administrator nie podjął współpracy z Prezesem UODO w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków.
Co ciekawe, organ nadzorczy samodzielnie oszacował – w oparciu o przepisy ustawy o ochronie danych osobowych – wielkość ukaranej spółki, jej specyfikę oraz zakres i skalę prowadzonej przez nią działalności. To zaś pozwoliło mu określić karę pieniężną w adekwatnej wysokości.
Dobra lekcja dla innych
Decyzja Prezesa UODO w niniejszej sprawie może dać do myślenia innym administratorom. Postępowanie mogło zakończyć się szybko i bezboleśnie, a spółka miała szansę w naszej ocenie na uniknięcie kary. Warto więc zwrócić uwagę, że administratorzy powinni w każdym przypadku odpowiednio reagować na wezwania organu nadzorczego, nawet jeżeli nie do końca wiedzą jak się zachować i co odpisać. Jak pokazuje praktyka, Prezes UODO w postępowaniach skargowych – w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych -raczej w pierwszej kolejności korzysta z innych uprawnień naprawczych (np. upomnienie). Wydaje się, że bezpośrednia decyzja o nałożeniu kary pieniężnej musiałaby wynikać z wyjątkowo ciężkiego i kompleksowego naruszenia przez administratora przepisów o ochronie danych osobowych.
Źródło:
