NSA wyrokiem z 26.8.2026 r., III OSK 251/24, Legalis, uchylił wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie i oddalił skargę spółdzielni mieszkaniowej na decyzję Prezesa UODO, DKN.5131.49.2021. Sprawa dotyczyła udostępnienia osobie nieuprawnionej dokumentu zawierającego dane członka spółdzielni, w tym jego imię i nazwisko, numer PESEL oraz adres zamieszkania.
Stan faktyczny
Postępowanie przed Prezesem UODO miało związek z informacją przekazaną organowi przez osobę trzecią. Wynikało z niej, że otrzymała ona, mimo braku uprawnienia, informacje odnoszące się do członka spółdzielni mieszkaniowej.
Do ujawnienia doszło w związku z konferencją prasową. Udostępniony materiał dotyczył sporu pomiędzy spółdzielnią a jej członkiem i obejmował kopię zawiadomienia o podejrzeniu popełnienia przestępstwa. W dokumencie znajdowały się m.in. imię i nazwisko, numer PESEL oraz adres zamieszkania osoby, której dotyczyło zawiadomienie.
Spółdzielnia zarejestrowała zdarzenie w swoim wewnętrznym rejestrze naruszeń. Przyjęła jednak, że nie wymaga ono zgłoszenia Prezesowi UODO, i nie poinformowała również osoby, której dane zostały ujawnione. W toku postępowania powoływała się na ocenę wskazującą na niski poziom ryzyka.
Organ nadzorczy stwierdził natomiast, że spółdzielnia nie wykazała przeprowadzenia pogłębionej analizy odnoszącej się właśnie do tego incydentu. Dokument przedstawiony w tym zakresie miał charakter ogólny i nie odzwierciedlał konkretnych okoliczności ujawnienia danych.
Prezes UODO uznał, że administrator niewłaściwie ocenił konsekwencje zdarzenia. Na spółdzielnię została nałożona administracyjna kara pieniężna w wysokości niemal 52 tys. zł. Organ nakazał jej również zawiadomienie osoby, której dane dotyczyły, o naruszeniu ochrony danych.
Decyzja została zaskarżona do Wojewódzkiego Sądu Administracyjnego w Warszawie, który ją uchylił. W ocenie sądu pierwszej instancji organ nie przedstawił dostatecznie przekonującego uzasadnienia dla przyjęcia, że naruszenie mogło powodować ryzyko wyższe niż małe. WSA miał również wątpliwości dotyczące uznania spółdzielni mieszkaniowej za przedsiębiorcę na potrzeby ustalenia administracyjnej kary pieniężnej.
Prezes UODO zaskarżył ten wyrok do NSA. Sąd kasacyjny uwzględnił skargę kasacyjną, uchylił wyrok WSA i oddalił skargę spółdzielni na decyzję organu.
Stan prawny
Spór dotyczył przede wszystkim obowiązków administratora powstających po naruszeniu ochrony danych osobowych. Zgodnie z art. 33 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO). administrator powinien zgłosić takie naruszenie właściwemu organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Obowiązek ten nie powstaje, jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
Ocena dokonana przez administratora ma zatem bezpośrednie znaczenie dla decyzji, czy zdarzenie wymaga zgłoszenia. W analizowanej sprawie zasadnicze było ustalenie, czy spółdzielnia miała podstawy do przyjęcia, że ryzyko pozostaje na poziomie pozwalającym zrezygnować z zawiadomienia organu.
Odrębny obowiązek określa art. 34 RODO. Jeżeli naruszenie może powodować wysokie ryzyko dla praw lub wolności osoby fizycznej, administrator powinien bez zbędnej zwłoki poinformować o nim osobę, której dane dotyczą. Próg zastosowania tego obowiązku jest więc wyższy niż w przypadku zgłoszenia naruszenia organowi nadzorczemu.
W sprawie znaczenie miał także art. 83 ust. 4 RODO, określający zasady nakładania administracyjnych kar pieniężnych za naruszenie wskazanych obowiązków administratora. Na tym tle powstał spór, czy spółdzielnia mieszkaniowa może zostać uznana za przedsiębiorcę w rozumieniu mającym znaczenie dla zastosowania tego przepisu.
Argumentacja sądu
NSA nie podzielił stanowiska WSA dotyczącego niewystarczającego uzasadnienia poziomu ryzyka. Sąd kasacyjny przyjął, że Prezes UODO przedstawił w decyzji przyczyny, dla których ujawnienie danych obejmujących imię i nazwisko, numer PESEL oraz adres zamieszkania należało ocenić jako powodujące wysokie ryzyko naruszenia praw i wolności osoby fizycznej.
Istotny był przy tym nie tylko fakt ujawnienia pojedynczych informacji, ale zakres danych udostępnionych łącznie osobie nieuprawnionej. W postępowaniu przed Prezesem UODO wskazywano na możliwość wykorzystania takiego zestawu danych do podszywania się pod inną osobę, w tym w celu zaciągania zobowiązań pieniężnych.
Organ zwracał również uwagę, że dla oceny ryzyka nie jest konieczne wykazanie, iż negatywne następstwa rzeczywiście już wystąpiły. W analizowanym przypadku znaczenie miała możliwość ich zaistnienia wynikająca z rodzaju i zakresu ujawnionych informacji. NSA zaakceptował ocenę organu w tej sprawie.
Za niewystarczające uznano również stanowisko administratora dotyczące dokonanej przez niego analizy ryzyka. Z materiału przedstawionego w postępowaniu wynikało, że spółdzielnia nie wykazała pogłębionej oceny odnoszącej się do konkretnego zdarzenia. Samo wpisanie incydentu do wewnętrznego rejestru nie mogło w tych okolicznościach uzasadniać odstąpienia od obowiązków wynikających z RODO.
Na ocenę ochrony należnej osobie, której dane ujawniono, nie wpływała zasadność zarzutów opisanych w zawiadomieniu o podejrzeniu popełnienia przestępstwa. Prezes UODO wskazywał, że nawet ewentualne potwierdzenie tych zarzutów nie pozbawiałoby tej osoby ochrony przewidzianej w przepisach o ochronie danych osobowych.
NSA odrzucił także wątpliwości dotyczące statusu spółdzielni na potrzeby stosowania art. 83 ust. 4 RODO. Sąd zaakceptował stanowisko Prezesa UODO, zgodnie z którym spółdzielnia mieszkaniowa w rozpatrywanej sprawie jest przedsiębiorcą w rozumieniu tego przepisu. Tym samym nie podzielił zastrzeżeń WSA odnoszących się do przyjętej przez organ podstawy ustalenia kary pieniężnej.
Rozstrzygnięcie
Naczelny Sąd Administracyjny wyrokiem z 26.8.2026 r., III OSK 251/24, Legalis, uchylił wyrok WSA w Warszawie i oddalił skargę spółdzielni mieszkaniowej na decyzję Prezesa UODO.
W konsekwencji pozostała w mocy decyzja, na podstawie której na administratora nałożono karę pieniężną w wysokości niemal 52 tys. zł. Utrzymany został również nakaz zawiadomienia osoby, której dane dotyczyły, o naruszeniu ochrony danych osobowych.
NSA potwierdził w tej sprawie prawidłowość stanowiska, że ujawnienie osobie nieuprawnionej zestawu danych obejmującego m.in. numer PESEL, imię i nazwisko oraz adres zamieszkania uzasadniało zarówno zgłoszenie naruszenia Prezesowi UODO, zawiadomienie osoby, której dane dotyczą. Za prawidłowe uznał także potraktowanie spółdzielni mieszkaniowej jako przedsiębiorcy na potrzeby art. 83 ust. 4 RODO.
Komentarz
Wyrok zwraca uwagę na znaczenie analizy ryzyka odnoszącej się do konkretnego naruszenia. Administrator, który decyduje się nie zgłaszać incydentu Prezesowi UODO, powinien dysponować oceną pozwalającą wykazać, z jakich powodów uznał, że prawdopodobieństwo ryzyka dla praw lub wolności osób fizycznych jest małe.
Szczególnej uwagi wymagają zdarzenia, w których osobie nieuprawnionej ujawniany jest łącznie numer PESEL i inne dane umożliwiające identyfikację osoby. Z rozstrzygnięcia wynika również, że brak informacji o faktycznym wykorzystaniu danych lub wystąpieniu negatywnych następstw nie jest sam w sobie wystarczający do wykluczenia wysokiego ryzyka.
W praktyce procedura obsługi naruszeń nie powinna więc kończyć się na ich wpisaniu do wewnętrznego rejestru. Konieczne jest odrębne ustalenie, czy zachodzą przesłanki zgłoszenia zdarzenia organowi nadzorczemu, a w przypadku wysokiego ryzyka – także zawiadomienia osoby, której dane dotyczą. Dla spółdzielni mieszkaniowych istotne jest ponadto stanowisko NSA dotyczące możliwości stosowania wobec nich art. 83 ust. 4 RODO na zasadach odnoszących się do przedsiębiorcy.
Wyrok NSA z 26.8.2026 r., III OSK 251/24, Legalis
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
