Sprawa dotyczy obowiązków administratora danych w sytuacji, gdy dane zostały pozyskane z tzw. zewnętrznego źródła tj. nie od osoby, której dotyczą. Artykuł 14 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO) przewidują, że administrator musi taką osobę poinformować skąd ma jej dane, w jakich celach je przetwarza, podać kategorie pozyskanych danych oraz okres ich przechowywania. Ma także obowiązek poinformować tę osobę o jej prawach. RODO dokładnie określa termin, w którym informacja powinna zostać przekazana. Różni się on w zależności od okoliczności, ale maksymalnie jest to 1 miesiąc od pozyskania danych. RODO przewiduje kilka wyłączeń od tego obowiązku.
Prezes Urzędu Ochrony Danych Osobowych, jako organ nadzorczy, ma prawo nakazania administratorowi realizacji żądań osoby, której dane dotyczą (artykuł 58 ust. 2 lit. c RODO). Nieprzestrzeganie takiego nakazu jest zagrożone karą określoną w art. 83 ust. 6 RODO: do 20 mln euro albo, w przypadku przedsiębiorstwa, do 4 proc. całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, jeśli ta kwota jest wyższa. Art. 83 ust. 1 i 2 RODO nakazuje uwzględnić indywidualne okoliczności oraz skuteczność, proporcjonalność i odstraszający charakter kary.
Stan faktyczny
Decyzją z 25.6.2025 r. (DS.523.2420.2024) Prezes UODO nakazał administratorowi spełnienie wobec Skarżącej obowiązku informacyjnego z art. 14 ust. 1 i 2 RODO. W komunikacie urzędu wskazano warszawską spółkę C. (w opublikowanej decyzji o karze dane administratora zanonimizowano).
Decyzję wysłano na adres spółki ujawniony w KRS. Przesyłka, awizowana 30.6.2025 r. i 8.7.2025 r., nie została odebrana. Na podstawie art. 44 w związku z art. 45 KPA organ uznał ją za doręczoną. Ponieważ postępowania przed Prezesem UODO są jednoinstancyjne (art. 7 ust. 2 OchrDanychU), decyzja stała się ostateczna i wykonalna z dniem doręczenia (14.7.2025 r.), a prawomocna – po bezskutecznym upływie 30-dniowego terminu na wniesienie skargi do WSA (14.8.2025 r.). Od tej drugiej daty organ liczył czas trwania naruszenia.
Wezwaniem z 16.9.2025 r., doręczonym dwa dni później, urząd zażądał dowodów wykonania nakazu. Po kontakcie telefonicznym pracownika spółki 29.10.2025 r. przesłano kopię decyzji na wskazany adres e-mail prezesa zarządu i ponowiono żądanie odpowiedzi. Mimo to administrator nie przedłożył dokumentów.
24.11.2025 r. organ wystosował upomnienie poprzedzające egzekucję administracyjną (art. 15 § 1 EgzAdmU), które spółka otrzymała 26.11.2025 r. Siedmiodniowy termin na wykonanie nakazu upłynął bezskutecznie 3.12.2025 r. Wszczęto więc odrębne postępowanie w sprawie kary. W zawiadomieniu z 3.3.2026 r., doręczonym spółce C. trzy dni później, pouczono, że dowody realizacji decyzji mogą wpłynąć na wymiar sankcji albo uzasadniać odstąpienie od jej nałożenia.
Spółka nie odpowiedziała także na żądania przedstawienia danych finansowych za 2025 r. potrzebnych do proporcjonalnego ustalenia wysokość administracyjnej kary pieniężnej za naruszenie RODO (art. 101a ust. 2 OchrDanychU). Drugie wezwanie, z 6.5.2026 r., uznano za doręczone 25.5.2026 r. po dwukrotnej awizacji.
Prezes UODO skontaktował się ze Skarżącą, która oświadczyła, że nadal nie otrzymała wymaganych informacji.
Rozstrzygnięcie
Prezes UODO decyzją z 18.8.2026 r., DKE.561.3.2026, Legalis, nałożył na spółkę C. administracyjną karę pieniężną w wysokości 29 112 zł za niewykonanie nakazu wydanego na podstawie art. 58 ust. 2 lit. c RODO tj. za nieprzekazanie informacji osobie, której dane dotyczą. Organ uznał, że administrator nie wykazał realizacji decyzji, mimo wielokrotnych wezwań, a skarżąca potwierdziła, że nie otrzymała wymaganych informacji. Podstawą sankcji był art. 83 ust. 6 RODO w związku z niewykonaniem nakazu wydanego na podstawie art. 58 ust. 2 lit. c RODO. Zapłata sankcji nie zwalnia z wykonania pierwotnej decyzji. Decyzję sankcyjną opublikowano jako nieprawomocną.
Naruszenie oceniono jako mające średni poziom powagi. Za punkt wyjścia przyjęto 3 mln euro, czyli 12 602 700 zł i 15 proc. ustawowego maksimum. Przy kursie 4,2009 zł za euro, ustalonym według średniego kursu NBP z 28.11.2026 r. (art. 103 OchrDanychU sztywno nakazuje przeliczanie kar według tej konkretnej daty), organ dostosował kwotę do obrotu spółki. Zastosował 0,21 proc. kwoty wyjściowej, uzyskując 26 466 zł. Następnie zwiększył ją o 10 proc. za brak współpracy, do 29 112 zł.
Wobec nieprzekazania dokumentów finansowych podstawę obliczeń ustalono szacunkowo, stosownie do art. 101a ust. 2 OchrDanychU. Wykorzystano sprawozdanie finansowe za 2025 r. dostępne w Repozytorium Dokumentów Finansowych KRS. Organ odnotował stratę spółki, lecz także przewagę aktywów nad zobowiązaniami i brak przesłanek niewypłacalności. Jak zaznaczono w decyzji, uiszczenie kary nie zwalnia z wykonania nakazu.
Argumentacja organu
Prezes UODO uznał, że o wykonaniu obowiązku najlepiej świadczą dokumenty znajdujące się u adresata nakazu. Obowiązek zebrania materiału dowodowego ciąży na organie, ale nie wyłącza współdziałania strony. Powołano wyroki NSA z 5.11.2025 r., III OSK 2183/22, Legalis i 29.6.2018 r., I OSK 274/18, Legalis, dotyczące znaczenia aktywności strony, oraz zasadę rozliczalności z art. 5 ust. 2 RODO.
Organ uwzględnił doręczenie wezwań, przesłanie kopii nakazu pocztą elektroniczną, bezskuteczne upomnienie oraz oświadczenie skarżącej. Administrator miał wiele możliwości wyjaśnienia sytuacji, lecz nie przedstawił dowodów wykonania obowiązku.
Według Prezesa UODO niewykonanie nakazu godziło w skuteczność systemu ochrony danych. Brak informacji utrzymywał skarżącą w niepewności co do przetwarzania danych i utrudniał korzystanie z jej praw. Naruszenie trwało od 14.8.2025 r. do wydania decyzji sankcyjnej, czyli około 12 miesięcy. Organ dostrzegł, że dotyczyło jednej osoby i nie stwierdzono jej szkody. Elementy te uwzględnił na korzyść spółki przy ocenie wagi naruszenia (art. 83 ust. 2 lit. a RODO), nie zaś jako samodzielne przesłanki obniżenia kary.
Organ przypisał zachowaniu administratora umyślność: spółka znała treść nakazu i konsekwencje jego niewykonania, lecz nie reagowała na pisma. Osobno, na podstawie art. 83 ust. 2 lit. f RODO, negatywnie ocenił brak współpracy zmierzającej do usunięcia naruszenia. Nie stwierdził okoliczności uzasadniających dalsze złagodzenie sankcji. Brak wcześniejszych naruszeń i brak ustalonych korzyści finansowych uznał za neutralne.
Komentarz
Sprawa potwierdza znaczenie dokumentowania wykonania decyzji organu nadzorczego. Administrator powinien móc wykazać treść przekazanej informacji oraz termin i sposób jej udostępnienia osobie, której dane dotyczą. Bez dokumentacji trudniej odeprzeć zarzut niewykonania nakazu. Wczesne przedstawienie dowodów może mieć znaczenie także dla wysokości kary.
Wyrok NSA z 5.11.2025 r., III OSK 2183/22, Legalis, przywołany w uzasadnieniu, dotyczył przedsiębiorcy prowadzącego klinikę dentystyczną, ukaranego kwotą 85 588 zł za niewykonanie nakazu zawiadomienia osób o naruszeniu ochrony danych. Dopiero po doręczeniu decyzji o karze przedstawił on bezsporne dowody realizacji obowiązku. NSA uznał działanie za spóźnione: legalność decyzji oceniano według stanu z chwili jej wydania. Oba przypadki wskazują na znaczenie terminowego wykonania nakazu i udokumentowania działań.
Osobnej oceny wymaga sposób wykorzystania okoliczności obciążających w sprawie C. Brak odpowiedzi na pisma posłużył organowi do ustalenia umyślności i negatywnej oceny współpracy, skutkującej zwiększeniem kary o 10 proc. Powstaje pytanie, czy nie uwzględniono dwukrotnie tych samych zachowań. Wytyczne EROD 04/2022 w pkt 64 i 133 przestrzegają przed podwójnym liczeniem tych samych okoliczności. Nie przesądza to o wadliwości decyzji: umyślność i współpraca są odrębnymi kryteriami z art. 83 ust. 2 RODO. Ewentualna kontrola sądowa mogłaby jednak dotyczyć tego, czy dostatecznie rozdzielono ich podstawy faktyczne.
Wnioskiem organizacyjnym jest konieczność monitorowania korespondencji urzędowej. W sprawie zastosowano doręczenia pocztowe, natomiast ogólnie należy uwzględniać także e-Doręczenia. Przedsiębiorcy wpisani do rejestru przedsiębiorców KRS przed 1.1.2025 r. mają obowiązek posiadania adresu do e-Doręczeń od 1.4.2025 r. Działy prawne i compliance powinny zapewnić obsługę obu kanałów i terminowe reagowanie na nakazy.
Niewykonanie nakazu może prowadzić zarówno do egzekucji administracyjnej, jak i do odrębnej kary na podstawie RODO. Brak danych o obrocie nie uniemożliwia ustalenia jej podstawy, a zapłata sankcji nie zastępuje realizacji obowiązku wobec osoby, której dane dotyczą.
Decyzja PUODO z 18.8.2026 r., DKE.561.3.2026, Legalis
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
