Stan faktyczny
J.G. poinformował Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO), że otrzymał pocztą elektroniczną zestaw dokumentów dotyczących zawarcia umowy o świadczenie usług telekomunikacyjnych dotyczących innej osoby o takim samym imieniu i nazwisku. W umowie zamieszczono dane osobowe, w tym PESEL i numer dowodu osobistego. Jednocześnie J.G. zaznaczył, że nie jest klientem „P.” sp. z o.o. – nadawcy wiadomości e-mail. W związku z tym zgłoszeniem Prezes UODO zwrócił się do „P.” sp. z o.o. o udzielenie informacji na temat zdarzenia oraz przedstawienie jego oceny pod kątem obowiązku zgłoszenia naruszenia organowi nadzorczemu oraz zawiadomienia osoby, której dotyczą ujawnione dane.
„P.” sp. z o.o. wyjaśniła, że dokumenty przesłane w mailu dotyczyły innej osoby o takim samym imieniu i nazwisku jak zgłaszający. Klient ten w Punkcie Obsługi Sprzedaży zawarł z „P.” sp. z o.o. umowę, wskazując w niej adres e-mail do kontaktu. Podczas procesu zawarcia umowy została wygenerowana wiadomość e-mail zawierająca kopię umowy, regulaminy i cenniki, która została przesłana na wskazany adres e-mail. Kilka dni później klient poinformował operatora, że adres zamieszczony w umowie jest błędny i poprosił o jego usunięcie, nie wskazując przy tym innego adresu e-mail do kontaktu. W ocenie „P.” sp. z o.o., skoro adres został wskazany przez klienta, to nie ma podstaw do podejrzeń, że dane osobowe zostały ujawnione osobie trzeciej. W konsekwencji nie należy traktować tego zdarzenia jako naruszenia danych osobowych. „P.” sp. z o.o. podkreśliła, że nie odnotowała zgłoszenia klienta o błędnej wysyłce i ujawnieniu jego danych osobowych osobie nieupoważnionej. Nie otrzymała również zgłoszenia od osoby trzeciej o nieuprawnionym dostępie do danych osobowych klienta.
Kara za opóźnione zgłoszenie naruszenia
Prezes UODO stwierdził naruszenie art. 174a ust. 1 i 3 ustawy z 16.7.2004 r. – Prawo telekomunikacyjne (t.j.: Dz. U. z 2022 r. poz. 1648; dalej: PrTelekom22) w zw. z art. 2 ust. 1 i 2 oraz art. 3 ust. 1, 3 i 4 Komisji (UE) Nr 611/2013 z 24.6.2013 r. w sprawie środków mających zastosowanie przy powiadamianiu o przypadkach naruszenia danych osobowych, na mocy dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady o prywatności i łączności elektronicznej (Dz. Urz. UE. L z 2013 r. Nr 173 s. 2; dalej: rozporządzenie). Za niezawiadomienie Prezesa UODO o naruszeniu w terminie 24 godzin od jego wykrycia oraz brak niezwłocznego powiadomienia abonenta, którego dotyczyło naruszenie, organ nałożył na „P.” sp. z o.o. karę pieniężną w wysokości 250 tys. zł. Naruszenie dotyczyło danych osobowych klienta zawartych w umowie, czyli: imienia i nazwiska, adresu zamieszkania lub pobytu, numeru PESEL, serii i numeru dowodu osobistego, a także numeru telefonu. Organ podkreślił, że naruszenie to może doprowadzić do nieuprawnionego posługiwania się danymi osobowymi abonenta, a w rezultacie skutkować szkodą majątkową i naruszeniem dóbr osobistych. Dlatego klient powinien zostać niezwłocznie zawiadomiony, aby mieć możliwość podjęcia niezbędnych działań zapobiegawczych. W ocenie organu okoliczność, że adres e-mail został nieprawidłowo podany przez samego klienta, nie niweluje skutków błędnej wysyłki wiadomości.
Organ podkreślił, że do zgłoszenia naruszenia doszło dopiero po wszczęciu postępowania administracyjnego w tej sprawie i uzyskaniu przez administratora danych wglądu w akta sprawy. Tymczasem „P.” sp. z o.o. powinna była wykryć naruszenie i dokonać zgłoszenia znacznie wcześniej. W ocenie organu administrator danych niemal dwa miesiące wcześniej uzyskał informacje, które po ich właściwym przeanalizowaniu pozwoliłyby na wykrycie naruszenia danych osobowych, i to aż dwukrotnie. Po raz pierwszy w chwili, gdy klient zawiadomił POS, że podany przez niego w chwili zawarcia umowy adres e-mail jest błędny i poprosił o jego usunięcie. Po raz drugi kilka dni później, w chwili odebrania wezwania organu do złożenia wyjaśnień.
Zarzuty skargi
„P.” sp. z o.o. w skardze do WSA w Warszawie podkreśliła, że organ błędnie ustalił moment wykrycia naruszenia. Skarżąca nie znając treści zgłoszenia, przekazanej do organu przez osobę trzecią, nie miała wiedzy, kto dokonał tego zgłoszenia i czy rzeczywiście doszło do naruszenia. Ma to szczególne znaczenie z uwagi na fakt, że wiadomość e-mail zawierająca umowę została wysłana na adres e-mail wskazany przez klienta podczas podpisywania umowy, który został potwierdzony jego własnoręcznym podpisem. Dopiero po zapoznaniu się z aktami sprawy, w szczególności z treścią zgłoszenia, skarżąca była w stanie stwierdzić, że wiadomość e-mail mogła nie zostać odebrana przez niego. Po uzyskaniu powyższych informacji skarżąca uzyskała niezbędną wiedzę na temat zdarzenia, ponownie przeanalizowała zebrany materiał dotyczący zdarzenia i uznała go za wystarczający do stwierdzenia naruszenia ochrony danych osobowych klienta. W tym samym dniu „P.” sp. z o.o. dokonała stosownego zgłoszenia do Prezesa UODO.
Kiedy następuje wykrycie naruszenia?
WSA w Warszawie uchylił zaskarżoną decyzję. W uzasadnieniu podkreślono, że kara pieniężna nie została nałożona za sam fakt wystąpienia naruszenia ochrony danych osobowych, tylko za niedopełnienie obowiązku informacyjnego. W rezultacie okoliczności związane z ewentualnym zawinieniem klienta, czy podejmowanymi przez skarżącą środkami zapobiegawczymi, nie mają wpływu na wynik sprawy. Obowiązki w zakresie zgłoszenia naruszenia ochrony danych osobowych uregulowane zostały w art. 174a ust. 1 i art. 174a ust. 3 PrTelekom22 w zw. z art. 2 ust. 2 i art. 3 ust. 1 rozporządzenia. Z przepisów tych wynika, że dostawca publicznie dostępnych usług telekomunikacyjnych ma obowiązek zawiadomić Prezesa UODO o naruszeniu danych osobowych w terminie 24 godzin od wykrycia naruszenia. Natomiast w przypadku gdy naruszenie danych osobowych może mieć niekorzystny wpływ na prawa abonenta lub użytkownika końcowego będącego osobą fizyczną, dostawca niezwłocznie zawiadamia o takim naruszeniu również ten podmiot.
Sąd wyjaśnił, że kluczowe znaczenie dla powstania obowiązku informacyjnego administratora danych ma moment wykrycia naruszenia, rozumiany jako uzyskanie przez dostawcę usług wystarczającej wiedzy o zaistnieniu zdarzenia naruszającego ochronę. W ocenie Sądu wykrycia naruszenia nie można utożsamiać ani z samym podejrzeniem jego wystąpienia, ani z okolicznościami, które mogły prowadzić do jego wykrycia. Organ wielokrotnie zarzucał administratorowi danych, że okoliczności tej sprawy umożliwiały mu wykrycie naruszenia. Sąd stwierdził jednak, że istnienie takiej potencjalnej możliwości nie jest równoznaczne ze stwierdzeniem, iż do wykrycia naruszenia faktycznie doszło. Okoliczność ta ma kluczowe znaczenie z punktu widzenia nałożenia kary pieniężnej na podstawie art. 210a ust. 1 pkt 2 i 3 PrTelekom22. W konsekwencji Sąd zobowiązał organ do ustalenia w sposób niebudzący wątpliwości, kiedy doszło do wykrycia przez skarżącą naruszenia ochrony danych osobowych.
Stanowisko NSA
NSA oddalił skargę kasacyjną organu. W uzasadnieniu wyroku wskazano, że nałożenie kary pieniężnej za niedopełnienie obowiązku informacyjnego wymaga uprzedniego ustalenia przez organ, czy w ogóle, a jeśli tak, to kiedy, doszło do naruszenia obowiązku uregulowanego w art. 174a ust. 1 i art. 174a ust. 3 PrTelekom22. Obowiązek informacyjny administratora danych powstaje bowiem w momencie bezspornego ustalenia faktu wykrycia naruszenia. Za uzyskanie wystarczającej wiedzy o zaistnieniu zdarzenia naruszającego ochronę nie można uznać podejrzenia wystąpienia zdarzenia czy okoliczności, które powinny były doprowadzić administratora do wykrycia zdarzenia. NSA podkreślił, że organ nie zgromadził żadnych dowodów na okoliczność, kiedy do wykrycia naruszenia faktycznie doszło. Nie wskazał jednoznacznie daty, którą uznał za moment powstania obowiązku informacyjnego. Zamiast tego organ posługuje się określeniami wskazującymi jedynie na potencjalną możliwość wykrycia takiego naruszenia, zarzucając skarżącej, że powinna była wykryć naruszenie albo że nie przeprowadziła analizy, która skutkowałaby wykryciem naruszenia.
Wyrok NSA z 7.5.2026 r., III OSK 1397/24
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
