Stan faktyczny
Do Prezesa UODO dotarły informacje o nieprawidłowościach w funkcjonowaniu portali lexspace.pl oraz adwokatura.info przetwarzających dane prawników oraz osób poszukujących pomocy prawnej. Sygnalizowano podawanie błędnych informacji o prawnikach i publikowanie artykułów sugerujących ich autorstwo. Na stronach internetowych nie zamieszczono danych kontaktowych administratora, co utrudniało osobom zainteresowanym korzystanie z praw wynikających z rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO).
Organ nadzorczy ustalił związek portali z działalnością jednego z krakowskich przedsiębiorców i zażądał od niego wyjaśnień, m.in. wskazania administratora. Przedsiębiorca potwierdził, że to on jest administratorem danych osobowych przetwarzanych w obu serwisach. Początkowo odpowiadał na pisma organu, lecz przesłane wyjaśnienia nie wystarczyły do rozstrzygnięcia sprawy.
Dalsze pytania dotyczyły tego, kto aktualnie ustala cele i sposoby przetwarzania danych, jak inny podmiot wszedł w rolę administratora stron oraz czy dane zostały przekazane poza Polskę. Prezes UODO pytał o podstawę ewentualnego transferu, w związku z udostępnianiem danych również w domenie zarejestrowanej za granicą, a także o realizację obowiązku informacyjnego wobec osób, których dane mogły trafić poza Polskę i Unię Europejską. W toku postępowania nie ustalono jednak, aby doszło do transferu danych poza UE.
Pierwsze wezwanie do uzupełnienia wyjaśnień zostało awizowane tylko raz, dlatego organ je ponowił. Pismo wysłane na adres zarejestrowany w CEIDG po dwóch bezskutecznych awizacjach uznano za doręczone zastępczo. Administrator nie odpowiedział w wyznaczonym przez organ terminie trzech dni, mimo pouczenia o możliwości nałożenia kary. UODO próbował także kontaktu elektronicznego i telefonicznego, ale bezskutecznie.
W tej sytuacji Prezes UODO wszczął odrębne postępowanie dotyczące kary za lekceważącą postawę administratora wobec organu nadzorczego. Przedsiębiorcy ponownie umożliwiono udzielenie wyjaśnień i wezwano go do przedstawienia danych finansowych w celu ustalenia wysokości kary. Administrator nie zrobił ani jednego, ani drugiego.
Stan prawny
Art. 58 ust. 1 lit. a RODO upoważnia organ nadzorczy do art. 58 ust. 1 lit. a RODO daje organowi nadzorczemu uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji, które są potrzebne organowi do realizacji jego zadań. Zignorowanie wezwania lub brak współpracy na podstawie art. 58 ust. 1 lit. a RODO (często w połączeniu z art. 58 ust. 1 lit. e RODO dotyczącym dostępu do informacji do wszelkich danych osobowych niezbędnych organowi nadzorczemu) skutkuje zazwyczaj wszczęciem przez Prezesa UODO odrębnego postępowania w sprawie nałożenia administracyjnej kary pieniężnej. Obowiązek udzielenia wyjaśnień jest niezależny od ostatecznej oceny legalności przetwarzania.
Niedostarczenie informacji i niezapewnienie dostępu podlega karze z art. 83 ust. 5 lit. e RODO: do 20 mln euro albo, w przypadku przedsiębiorstwa, do 4 proc. całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od kwoty wyższej. Art. 83 ust. 1 i 2 RODO wymaga, aby kara była skuteczna, proporcjonalna i odstraszająca oraz uwzględniała okoliczności konkretnego przypadku.
Rozstrzygnięcie
Prezes UODO nałożył karę 31 507 zł, odpowiadającą kwocie 7500 euro. Przeliczenie według średniego kursu NBP z 28.1.2026 r. (4,2009 zł za euro), było zgodne z art. 103 ustawy z 10.5.2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r. poz. 1781). Ponieważ przedsiębiorca nie przedstawił danych finansowych, organ ocenił skalę jego działalności na podstawie dostępnych informacji. Pomocniczo zastosowano wytyczne EROD 4/2022 dotyczące obliczania kar.
Organ nie stwierdził okoliczności łagodzących. Jego zdaniem upomnienie byłoby niewystarczające wobec umyślnego, długotrwałego zaniechania ze strony administratora. Kara miała być skuteczna, proporcjonalna i odstraszająca.
Rozstrzygnięcie dotyczy wyłącznie niewykonania obowiązków wobec Prezesa UODO. Nie przesądza o legalności przetwarzania danych w serwisach ani o ewentualnym transferze poza UE. Jest oznaczone jako nieprawomocne.
Argumentacja organu
Prezes UODO uznał, że przedsiębiorca podlegał obowiązkom z art. 58 ust. 1 lit. a i e RODO, gdyż wcześniej potwierdził, że jest administratorem przetwarzanych danych. Organ mógł zatem żądać od administratora będącego przedsiębiorcą dalszych informacji koniecznych do weryfikacji zawiadomienia.
Naruszenie polegało na niezapewnieniu dostępu do żądanych informacji, nie zaś na przesądzonym w tej sprawie bezprawnym przetwarzaniu danych osobowych w prowadzonych serwisach.
Istotna była prawidłowość doręczenia ponowionego wezwania. Pierwsze pismo awizowano wadliwie, ale kolejne spełniało wymagania doręczenia zastępczego. Adres ujawniony w CEIDG pozostawał niezmieniony i wcześniej był skutecznie wykorzystywany. Nieodebranie drugiego pisma nie zwalniało przedsiębiorcy z odpowiedzi. Organ uwzględnił też bezskuteczne próby kontaktu za pomocą innych kanałów.
Za okoliczność obciążającą uznano umyślność naruszenia (art. 83 ust. 2 lit. b RODO). Przedsiębiorca znał przedmiot postępowania, wcześniej odbierał wezwania i udzielał na nie odpowiedzi. Wiedział także o późniejszych próbach kontaktu. Zdaniem organu przedsiębiorca świadomie zaniechał kontaktu utrudniając zadania Prezesa UODO.
Obciążająco oceniono również charakter, wagę i czas trwania naruszenia (art. 83 ust. 2 lit. a RODO). Stan niezapewnienia dostępu do informacji trwał od upływu terminu na odpowiedź do wydania decyzji, czyli blisko cztery miesiące. Utrudniał wyjaśnienie zgłoszonych nieprawidłowości oraz prowadzenie postępowania przez organ, a tym samym opóźniał udzielenie skutecznej ochrony osobom, których dane dotyczą.
Organ wziął też pod uwagę wcześniejsze naruszenia (art. 83 ust. 2 lit. e RODO). W dwóch innych sprawach nakazał przedsiębiorcy usunięcie danych przetwarzanych bez podstawy prawnej, a w jednej udzielił upomnienia. Naruszenia te różniły się od braku współpracy z organem, lecz zostały uwzględnione przy ocenie podejścia administratora do RODO. Ich wpływ na karę był ograniczony ze względu na odmienny przedmiot spraw.
Kolejną okolicznością obciążającą był brak współpracy służącej usunięciu naruszenia (art. 83 ust. 2 lit. f RODO). Wcześniejsze udzielanie odpowiedzi nie zostało potraktowane jako okoliczność łagodząca, ponieważ nastąpiło przed naruszeniem polegającym na braku współpracy z organem. Prezes UODO przywołał Wytyczne EROD 4/2022, zgodnie z którymi wykonywanie zwykłego obowiązku współpracy jest co do zasady neutralne przy wymiarze kary.
Organ uznał za neutralne przesłanki z art. 83 ust. 2 lit. h, i, j, k RODO, m.in. sposób ujawnienia naruszenia, działania naprawcze, przestrzeganie wcześniej zastosowanych środków, stosowanie zatwierdzonych kodeksów postępowania i ewentualne korzyści finansowe . stopień odpowiedzialności za przetwarzanie czy rozmiar szkody po stronie osób, których dane dotyczą. Ze względu na procesowy charakter naruszenia organ uznał za nieistotne m.in. działania naprawcze, stopień odpowiedzialności za przetwarzanie czy rozmiar szkody po stronie osób, których dane dotyczą.
Komentarz
Decyzja wskazuje, że brak współpracy z organem nadzorczym może stanowić samodzielną podstawę kary pieniężnej. Administrator nie może uzależniać wykonania prawidłowego wezwania od własnej oceny zasadności zgłoszonych nieprawidłowości. Nawet przed rozstrzygnięciem pierwotnej sprawy nieudzielenie informacji może prowadzić do odrębnej sankcji.
Dla administratorów i podmiotów przetwarzających istotna jest sprawna obsługa korespondencji urzędowej, w tym kontrola adresów ujawnionych w rejestrach. Warto wyznaczyć osoby odpowiedzialne za odbiór wezwań, monitorowanie terminów i przygotowywanie odpowiedzi. Wątpliwości co do autentyczności e-maila należy wyjaśniać oficjalnymi kanałami, zamiast pozostawiać korespondencję bez reakcji.
Sprawa pokazuje też znaczenie dokumentowania zmian w zarządzaniu serwisami. Administrator powinien umieć wskazać, kto określa cele i sposoby przetwarzania, na jakiej podstawie zmienia się podmiot pełniący tę rolę oraz czy dane są przekazywane poza Polskę i UE. Aktualna dokumentacja ułatwia wywiązanie się z żądań organu. Decyzja nie potwierdza jednak, że konkretny transfer był nielegalny.
Nieprzekazanie danych finansowych nie uniemożliwiło wymierzenia sankcji: przepisy pozwalają oszacować podstawę kary. Ignorowanie postępowania może więc utrudnić przedstawienie informacji korzystnych dla strony, nie eliminuje natomiast ryzyka nałożenia kary.
Decyzja PUODO z 1.9.2026 r., DKE.561.7.2026, Legalis
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
