Kara za niezapewnienie niezależności inspektorowi ochrony danych osobowych

Komornik sądowy przez pięć lat sam w swojej kancelarii pełnił funkcję inspektora ochrony danych osobowych (IOD). Naruszył więc zasadę zapewnienia niezależności IOD. Ponadto nie poinformował Prezesa UODO o wyznaczeniu inspektora ochrony danych. Za te dwa naruszenia przepisów RODO Prezes UODO Mirosław Wróblewski nałożył na niego administracyjną karę pieniężną w łącznej wysokości 15 500 zł.

Sprawa rozpoczęła swój bieg po przyjęciu przez Prezesa UODO zgłoszenia od administratora, który poinformował o incydencie polegającym na wysłaniu pisma o zajęciu rachunku bankowego osobie nie będącej jej właściwym adresatem. W ramach weryfikacji formularza zgłoszeniowego okazało się, że komornik sądowy – będący administratorem – sam pełni w swojej organizacji funkcję inspektora ochrony danych (IOD), przyjmując jednocześnie przy tym, że takie rozwiązanie nie spowoduje konfliktu interesów. Co więcej, komornik w związku z wyznaczeniem siebie samego na IOD nie dokonał obowiązkowego zawiadomienia organu nadzorczego w tym zakresie.

Powyższe zaniechanie notyfikacyjnego oraz wątpliwości dotyczące prawidłowego wyznaczenia inspektora danych osobowych stały się impulsem do wszczęcia postępowania administracyjnego przez Prezesa UODO. Jego ustalenia istotnie wykazały niezgodności z przepisami o ochronie danych osobowych. Prezes UODO wielokrotnie podkreślał doniosłość roli jaką sprawuje inspektor ochrony danych. Jest on powołany do wspierania administratora i podmiotu przetwarzającego w zapewnieniu zgodności przetwarzania danych z przepisami obowiązującego prawa. Te same regulacje zobowiązują jednocześnie do publikacji danych kontaktowych wyznaczonego IOD oraz notyfikacji tej czynności poprzez poinformowanie Prezesa Urzędu Ochrony Danych Osobowych.

Niezgodne z przepisami było wyznaczenie administratora do pełnienia funkcji inspektora danych osobowych – w tym wypadku komornika sądowego pełniącego obie funkcje w swojej organizacji. Choć inspektor ochrony danych może wykonywać inne zadania i obowiązki, to jest to możliwe jedynie w sytuacji, gdy administrator lub podmiot przetwarzający zapewnią, że takie zadania i obowiązki nie spowodują konfliktu interesów. Do zadań IOD należy m.in. informowanie administratora o jego obowiązkach i monitorowanie przestrzegania przepisów. Pełnienie obu funkcji przez jedną osobę prowadzi do tego, że inspektor danych osobowych zgłasza ewentualne uwagi administratorowi – czyli sobie samemu.

Konflikt interesów w działalności IOD może wynikać między innymi z występowania przez niego w organizacji jednocześnie w dwóch rolach lub podejmowania przez niego działań lub decyzji, które podlegają następnie jego ocenie – zgodnie z art. 39 ust. 1 lit. b) RODO.

Prezes UODO w swoich stanowiskach wielokrotnie odnosił się również do kwestii konfliktu interesów wśród osób pełniących funkcję IOD oraz dopuszczalności łączenia funkcji IOD z innymi stanowiskami – przy czym organ nadzorczy wyraźnie zaznaczał, że: „Niedopuszczalne jest powołanie na IOD osoby będącej kierownikiem, (zarządzającym) podmiotem, posiadającym status administratora lub podmiotu przetwarzającego, takich jak np. członka zarządu stowarzyszenia, dyrektora szkoły, wójta, członka zarządu spółki. Przyjęcie odmiennego stanowiska prowadziłoby do sytuacji, w których IOD w zakresie przestrzegania przepisów o ochronie danych osobowych – oceniałby i monitorował samego siebie”.

Prezes UODO nałożył administracyjną karę pieniężną w łącznej wysokości 15 500 zł. Uznał, że w tym przypadku upomnienie byłoby nieproporcjonalne do stwierdzonych naruszeń przepisów o ochronie danych osobowych. Administrator został ukarany na kwotę 3,5 tys. zł za niepoinformowanie organu nadzorczego w terminie 14 dni od dokonania takiej czynności. Natomiast po uwzględnieniu okoliczności łagodzących organ nadzorczy podjął decyzję również o nałożeniu kary na kwotę 12 tys. za niezagwarantowanie statusu inspektorowi danych osobowych, który zapewniałby mu niezależność w toku wykonywania jego zadań i obowiązków.

Komornik sądowy jako funkcjonariusz publiczny i profesjonalista podlega ponadprzeciętnemu standardowi staranności w obszarze przepisów o ochronie danych osobowych. W tej sprawie administrator świadomie podjął decyzję, która nie wynikała ani z błędu, ani z niedbalstwa. Niezapewnienie niezależnego inspektora ochrony danych osobowych miało przynieść administratorowi wymierne oszczędności kosztem gwarancji dla ochrony danych. Orzeczona kara administracyjna w ocenie Prezesa UODO spowoduje, że administrator dołoży wszelkich starań, żeby zapewnić rzeczywistą niezależność IOD, co pozwoli na uniknięcie ewentualnych przyszłych sankcji za naruszenie przepisów RODO.

DKN.5131.24.2025