Ustalenia faktyczne Prezesa UODO
Do UODO wpłynęła skarga na nieprawidłowości w procesie przetwarzania danych osobowych przez przez Bank A (dalej jako: Bank), polegające na przekazaniu danych osobowych Skarżącego bez jego zgody do Polskiego Domu Maklerskiego Spółki Akcyjnej z siedzibą w Warszawie (aktualnie: PNP Spółka Akcyjna z siedzibą w Warszawie, dalej: PNP albo Spółka).
Prezes UODO, w ramach wszczętego postępowania administracyjnego prowadzonego celem rozpatrzenia wniesionej skargi, zwrócił się do PNP o ustosunkowanie się w terminie 7 dni od chwili doręczenia wezwania do treści skargi oraz o odpowiedź na następujące pytania dotyczące sprawy: czy Spółka przetwarza dane osobowe Skarżącego, a jeśli tak, to na jakiej podstawie prawnej, w jakim zakresie i jakim celu oraz do kiedy dane te będą przetwarzane; z jakiego źródła Spółka pozyskała dane Skarżącego; czy Skarżący zgłaszał do Spółki sprzeciw w zakresie przetwarzania jego danych bez jego zgody, a jeśli tak, to jak Spółka ustosunkowała się do żądania Skarżącego.
Omawiane pismo zostało skierowane do Spółki za pośrednictwem Poczty Polskiej jednak nie zostało przez Spółkę odebrane (awizowane dwukrotnie). W związku z powyższym Prezes UODO uznał je za doręczone Spółce. W lutym 2020 r. Prezes UODO zwrócił się do Spółki z ponownym wezwaniem do ustosunkowania się do treści skargi oraz do złożenia wyjaśnień w sprawie. Wezwanie to, awizowane dwukrotnie nie zostało przez Spółkę odebrane. W związku z powyższym Prezes UODO uznał je za doręczone Spółce. W związku z brakiem odpowiedzi na powyższe wezwania Prezes UODO po raz kolejny – pismem z sierpnia 2020 r. – wezwał Spółkę do ustosunkowania się do treści skargi oraz do złożenia wyjaśnień w sprawie. Również i to wezwanie, skierowane do Spółki za pośrednictwem Poczty Polskiej, awizowane dwukrotnie nie zostało przez Spółkę odebrane.
W związku z nieudzieleniem przez Spółkę informacji niezbędnych do rozstrzygnięcia sprawy zainicjowanej skargą Skarżącego, Prezes UODO wszczął z urzędu wobec Spółki, w związku z naruszeniem przez nią przepisów art. 31 oraz art. 58 ust. 1 lit e RODO, postępowanie administracyjne w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej. O wszczęciu postępowania Spółka poinformowana została pismem z listopada 2020 r. Pismo to, nie zostało przez Spółkę odebrane. W związku z powyższym Prezes UODO uznał je za doręczone Spółce. Pismem powyższym Spółka wezwana została również celem ustalenia podstawy wymiaru kary do przedstawienia sprawozdania finansowego Spółki za rok 2019 lub – w przypadku jego braku – oświadczenia o wysokości obrotu i wyniku finansowego osiągniętego przez Spółkę w 2019 r.
Rozstrzygnięcie Prezesa UODO
Zgodnie z art. 57 ust. 1 lit. a RODO, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 RODO – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f RODO). Dla umożliwienia egzekwowania tak określonych kompetencji, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 RODO uprawnień w zakresie prowadzonych postępowań.
Spółka przetwarzała pozyskane od Banku dane osobowe Skarżącego celem zaoferowania i przeprowadzenia procesu nabycia przez Skarżącego obligacji. W związku z powyższym stwierdzić należy, że Spółka przetwarzała dane osobowe Skarżącego albo jako administrator albo jako podmiot przetwarzający. To, w której z tych ról występowała i występuje aktualnie Spółka przetwarzając dane osobowe Skarżącego, nie ma żadnego wpływu na rozstrzygnięcie niniejszej sprawy. Obowiązki, o których mowa w art. 31 oraz art. 58 ust. 1 lit. e RODO, oraz odpowiedzialność za ich naruszenie są bowiem identyczne dla administratora i podmiotu przetwarzającego.
Celem ustalenia stanu faktycznego sprawy zainicjowanej skargą Skarżącego, Prezes UODO trzykrotnie zwrócił się do Spółki z wezwaniem do ustosunkowania się do treści skargi oraz do złożenia wyjaśnień przez udzielenie odpowiedzi na trzy pytania dotyczące sprawy. Żadne ze skierowanych do Spółki – na adresy ujawnione w Rejestrze Przedsiębiorców Krajowego rejestru Sądowego jako adresy lokalu jej siedziby nie zostało przez Spółkę odebrane pomimo dwukrotnego ich awizowania, w związku z czym uznane zostały za doręczone Spółce. W konsekwencji niepodejmowania przez Spółkę kierowanej do niej korespondencji Prezes UODO nie uzyskał informacji niezbędnych do rozpatrzenia sprawy. Stanu tego nie zmieniło również wszczęcie niniejszego postępowania w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej. Również pismo informujące o wszczęciu tego postępowania nie zostało przez Spółkę odebrane.
Spółka przetwarzała – jako administrator lub podmiot przetwarzający – dane osobowe Skarżącego, a więc jest niewątpliwie w posiadaniu informacji niezbędnych do rozpatrzenia skargi Skarżącego, stwierdzić należy, że naruszyła ona ciążący na niej obowiązek zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań – w tym przypadku do merytorycznego rozstrzygnięcia sprawy. Takie działanie Spółki stanowi naruszenie art. 58 ust. 1 lit. e RODO. Działanie to wyczerpuje jednocześnie znamiona naruszenia art. 31 RODO, który stanowi, że administrator i podmiot przetwarzający oraz – gdy ma to zastosowanie – ich przedstawiciele na żądanie współpracują z organem nadzorczym w ramach wykonywania przez niego swoich zadań. Współpraca z organem nadzorczym w ramach wykonywania przez niego swoich zadań, stanowiąca przedmiot obowiązku określonego w tym przepisie, obejmuje również (a nawet przede wszystkim) obowiązek przedstawienia organowi – na jego żądanie – wszelkich posiadanych przez administratora lub podmiot przetwarzający informacji związanych z prowadzonym przez niego postępowaniem.
Kary pieniężne
Mając na uwadze powyższe ustalenia, Prezes UODO stwierdził, że w niniejszej sprawie zaistniały przesłanki uzasadniające nałożenie na Spółkę – na mocy art. 83 ust. 5 lit. e in fine oraz art. 83 ust. 4 lit. a RODO – administracyjnej kary pieniężnej w związku z brakiem współpracy z organem nadzorczym w ramach wykonywania przez niego swoich zadań (art. 31 RODO ) oraz w związku z niezapewnieniem przez Spółkę dostępu do informacji niezbędnych Prezesowi UODO do realizacji jego zadań (art. 58 ust. 1 lit. e RODO).
Jednocześnie, wobec stwierdzenia naruszenia przez Spółkę przepisów dwóch przepisów RODO (art. 31 oraz art. 58 ust. 1 lit. e RODO), stosownie do treści art. 83 ust. 3 RODO, zgodnie z którym, jeżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów tego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie, Prezes UODO ustalił wysokość orzeczonej administracyjnej kary pieniężnej w kwocie nieprzekraczającej wysokości kary za najpoważniejsze z tych naruszeń. W przedstawionym stanie faktycznym za najpoważniejsze Prezes UODO uznał naruszenie polegające na niezapewnieniu przez Spółkę dostępu do wszelkich informacji niezbędnych do realizacji jego zadań, tj. naruszenie przepisu art. 58 ust. 1 lit. e RODO. O powadze tego naruszenia świadczy to, że brak dostępu do informacji, których Prezes UODO żądał i żąda od Spółki, nie tylko stoi na przeszkodzie wnikliwemu rozpatrzeniu sprawy, lecz skutkuje również nadmiernym i nieuzasadnionym przedłużaniem postępowania, co stoi w sprzeczności z podstawowymi zasadami rządzącymi postępowaniem administracyjnym.
Stosownie do treści art. 83 ust. 2 RODO, Prezes UODO wziął pod uwagę następujące okoliczności wpływające obciążająco na ocenę naruszenia. Prezes UODO wziął pod uwagę działania Spółki w niniejszej sprawie, polegające na uchylaniu się od odbioru kierowanej do niej przez Prezesa UODO korespondencji, co skutkowało utrudnieniem i nieuzasadnionym przedłużeniem prowadzonego przez niego postępowania.
Należy więc uznać powyższe działania za godzące w system ochrony danych osobowych, i z tego względu mające dużą wagę i naganny charakter. Wagę naruszenia zwiększyła dodatkowo okoliczność, że dokonane przez Spółkę naruszenie nie było zdarzeniem incydentalnym. Działanie Spółki było ciągłe i długotrwałe. W ocenie Prezesa UODO dokonane przez Spółkę naruszenie miało charakter nieumyślny, jednakże w związku z tym, że było ono następstwem rażącego i długotrwałego zaniedbania przez Spółkę swojego podstawowego obowiązku (zapewnienia takiej organizacji odbioru pism, aby przebieg korespondencji urzędowej odbywał się w sposób ciągły i niezakłócony), okoliczność ta winna być oceniona negatywnie i uznana za obciążającą w kontekście ustalenia wysokości orzeczonej kary. W toku niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej Spóła nie podjęła w żadnym stopniu współpracy z Prezesem UODO.
Decyzja ta jest kolejnym przykładem na to, w jaki sposób Prezes UODO ocenia brak współpracy z organem nadzorczym. Kara nałożona na Spółkę ma za zadanie ją zdyscyplinować do prawidłowej współpracy zarówno w dalszym toku postępowania, jak i w ewentualnych innych postępowaniach prowadzonych w przyszłości z udziałem Spółki przed Prezesem UODO. Kara jest bowiem jest jedynym środkiem, który umożliwi uzyskanie dostępu do informacji niezbędnych w prowadzonym postępowaniu.
Warto też wskazać, że w przypadku nieprzedstawienia żądanych przez Prezesa UODO danych finansowych, kara pieniężna zostaje ustalona w oparciu o szacunkową wielkość Spółki oraz specyfikę, zakres i skalę prowadzonej przez nią działalności.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
