Pod koniec września PUODO poinformował o ukaraniu krakowskiego przedsiębiorcy karą w wysokości 31 507 złotych. Karę nałożono w związku z brakiem należytej współpracy administratora z organem nadzorczym. Administrator, mimo początkowej współpracy, ostatecznie nie udzielił PUODO wszystkich informacji niezbędnych do rozstrzygnięcia sprawy.
Kto i kiedy jest zobowiązany do współpracy z PUODO?
Obowiązek współpracy z organem nadzorczym (w Polsce jest to PUODO) uregulowany jest w artykule 31 RODO. Ten, dość lakoniczny przepis, wskazuje, że obowiązkiem takim obciążeni są administrator, podmiot przetwarzający, a także, gdy ma to zastosowanie, ich przedstawiciele. Podmioty te zobowiązane są współpracować z organem nadzorczym w ramach wykonywania przez niego swoich zadań. PUODO może żądać współpracy administratora, m.in. w toku prowadzonych przez siebie postępowań czy w ramach prowadzonych kontroli.
Na czym polegać może współpraca z PUODO?
Obowiązek współpracy z organem nadzorczym, odczytywać należy przede wszystkim przez pryzmat kompetencji przyznawanych organowi nadzorczemu przez inne przepisy. W szczególności zwrócić należy tu uwagę na trzy kompetencje przyznawane przez art. 58 RODO.
- PUODO może nakazać administratorowi, podmiotowi przetwarzającemu lub ich przedstawicielom dostarczenie wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań;
- PUODO może uzyskiwać od administratora i podmiotu przetwarzającego dostęp do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań;
- PUODO może uzyskiwać dostęp do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych.
Współpraca często przybiera postać udostępnienia organowi nadzorczemu różnego rodzaju dokumentacji: polityk prywatności, umów powierzenia, dokumentacji incydentów. Może również polegać na udzieleniu mu dostępu do przetwarzanych danych osobowych, odpowiedzi na pytania organu lub udzielenia mu wyjaśnień w określonym zakresie.
Rola IOD w procesie współpracy z organem nadzorczym
Zgodnie z art. 39 ust. 1 lit. d i e RODO inspektor ochrony danych ma za zadanie współpracować z organem nadzorczym oraz pełnić funkcję punktu kontaktowego dla organu w kwestiach związanych z przetwarzaniem danych, w tym – w stosownych przypadkach – prowadzić konsultacje. Nie oznacza to jednak, że przejęcia od administratora odpowiedzialność za wykonanie obowiązku z art. 31 RODO. Za współpracę z PUODO odpowiedzialni pozostają administrator lub podmiot przetwarzający.
Rola IOD polega przede wszystkim na wsparciu administratora w procesie współpracy oraz udzielaniu organowi informacji w zakresie wynikającym z jego funkcji. Nie powinien on wyręczać administratora z realizacji zadań explicite mu przypisanych. Niemniej, jeśli organ zwróci się do IOD o udostępnienie określonych dokumentów lub informacji, IOD powinien to zadanie zrealizować.
Co grozi za brak współpracy?
Brak współpracy z organem nadzorczym stanowi samoistną podstawę do nałożenia administracyjnej kary pieniężnej z art. 83 RODO. Jak wskazuje ten artykuł, naruszenie obowiązków z art. 31 RODO zagrożone jest karą w wysokości do 10 000 000 euro lub, w przypadku przedsiębiorstwa, 2% światowego rocznego obrotu. Brak współpracy z organem nadzorczym był wielokrotnie karany przez PUODO.
Kiedy brak współpracy może poskutkować odpowiedzialnością karną?
Istnieją dwie szczególne sytuacje, w których brak współpracy z organem nadzorczym może poskutkować odpowiedzialnością karną i karą nawet dwóch lat pozbawienia wolności. Uregulowane są one w art. 108 ustawy o ochronie danych osobowych.
- Udaremnianie lub utrudnianie prowadzenia kontroli przepisów o przestrzeganiu danych osobowych – rażący brak współpracy w toku kontroli (np. uniemożliwienie kontrolującemu dostępu do pomieszczeń niezbędnych do przeprowadzenia kontroli) może zostać uznany jako wypełnienie znamion tego przestępstwa.
- Niedostarczenie danych niezbędnych do określenia podstawy wymiaru kary pieniężnej lub dostarczenie danych uniemożliwiających określenie podstawy wymiaru tej kary – spełnienie znamion tego przestępstwa następuje w sytuacji, gdy, w toku postępowania , nie zostają udzielone informacje niezbędne do określenia podstawy wymiaru kary, czyli przede wszystkim informacje o światowym rocznym obrocie przedsiębiorstwa.
Czy jest czego się bać?
Większość kar nałożonych na administratorów w związku z art. 31 RODO to kary wynikające z braku komunikacji z Urzędem. Szczególnie niebezpieczną dla administratorów praktyką jest ignorowanie korespondencji organu nadzorczego, w tym lekceważenie wezwań do wyjaśnień, udzielenia informacji, bądź odpowiedzi na pytania. Rzadkim jest, żeby organ nadzorczy ukarał administratora za sam fakt złożenia niewystarczających wyjaśnień lub odpowiedzi. W takiej sytuacji, PUODO zwykle zwraca się o uzupełnienie.
W najnowszej decyzji nakładającej karę wydanej w związku z naruszeniem obowiązku współpracy (DKE.561.7.2026), zaszła właśnie taka sytuacja: administrator udzielił niesatysfakcjonujących wyjaśnień i został wezwany do ich uzupełnienia. Dopiero ignorowanie wezwań PUODO poskutkowało nałożeniem kary pieniężnej.
Analiza praktyki UODO wyraźnie wskazuje, że złotą zasadą współpracy z organem nadzorczym jest: „należy odpowiadać na korespondencję PUODO”.
