DKE.561.25.2020

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256 ze zm.) oraz art. 7 ust. 1 i ust. 2, art. 60, art. 101, art. 101a ust. 2, art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) w związku z art. 31, art. 58 ust. 1 lit. a) i lit. e) oraz art. 58 ust. 2 lit. i) w związku z art. 83 ust. 1-3 oraz art. 83 ust. 4 lit. a) i art. 83 ust. 5 lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.) (zwanego dalej „Rozporządzeniem 2016/679”), po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie nałożenia na Funeda Spółka z o.o. [...] administracyjnej kary pieniężnej, Prezes Urzędu Ochrony Danych Osobowych,

stwierdzając naruszenie przez Funeda Spółka z o.o. [...], przepisów art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679, polegające na braku współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ramach wykonywania przez niego jego zadań oraz nie zapewnieniu dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych Prezesowi Urzędu Ochrony Danych Osobowych do realizacji jego zadań, to jest do rozpatrzenia skargi Pana R. Ż., na nieprawidłowości w procesie przetwarzania jego danych osobowych,

nakłada na Funeda Spółka z o.o. [...] administracyjną karę pieniężną w kwocie 22 739,50 PLN (słownie: dwadzieścia dwa tysiące siedemset trzydzieści dziewięć złotych i 50/100).

UZASADNIENIE

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pana R. Ż., zwanego dalej ,,Skarżącym”, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Funeda Sp. z o.o. [...], zwaną dalej ,,Spółką”, polegające na udostępnieniu danych osobowych Skarżącego na rzecz B. S.A., zwanej dalej B. oraz C. Sp. z o.o., zwanej dalej C., bez podstawy prawnej oraz niespełnieniu obowiązku w trybie art. 15 Rozporządzenia 2016/679. Prezes Urzędu Ochrony Danych Osobowych, dalej „Prezes UODO”, w ramach wszczętego postępowania administracyjnego prowadzonego celem rozpatrzenia wniesionej skargi (pod sygn. [...]), pismem z [...] sierpnia 2020 r zwrócił się do Spółki o ustosunkowanie się do treści skargi oraz o udzielenie odpowiedzi na następujące szczegółowe pytania dotyczące sprawy:

1. z jakiego źródła, na jakiej podstawie prawnej (proszę wskazać konkretne przepisy prawa) oraz w jakim celu i zakresie Spółka pozyskała dane osobowe Skarżącego;
2. czy Spółka aktualnie przetwarza lub przetwarzała dane osobowe Skarżącego, a jeżeli tak to w jakim celu, na jakiej podstawie prawnej i jakie są to dane (należy wskazać konkretne przepisy prawa oraz przedłożyć kopię dokumentów na podstawie których Spółka przetwarza lub przetwarzała dane osobowe Skarżącego);
3. czy i kiedy, na jakiej podstawie prawnej (proszę wskazać konkretne przepisy prawa), w jakim celu i zakresie Spółka przekazała dane osobowe Skarżącego do B. i C. (jeżeli Spółka zawarła z tymi podmiotami umowę powierzenia przetwarzania danych osobowych należy przesłać jej kopię) oraz do kiedy dane osobowe Skarżącego będą przetwarzane ww. sposób (proszę wskazać konkretną datę);
4. czy Skarżący kierował do Spółki wniosek na podstawie art. 15 RODO, a jeżeli tak to kiedy i w jaki sposób Spółka ustosunkowała się do powyższego (proszę o przedłożenie korespondencji w tej sprawie pomiędzy Spółką i Skarżącym);
5. czy Spółka informowała Skarżącego o przekazaniu jego danych osobowych na rzecz E.Fundusz Inwestycyjny Zamknięty Niestandaryzowany Fundusz Sekurytyzacyjny - jeżeli tak to kiedy i w jaki sposób (proszę o przedłożenie korespondencji w tej sprawie do Skarżącego), jeżeli nie – na jakiej podstawie prawnej odstąpiono od wykonania obowiązku informacyjnego w powyższym zakresie.

Pismo zostało doręczone Spółce [...] sierpnia 2020 r., co potwierdzone zostało na potwierdzeniu odbioru przesyłki listowej. Spółka nie udzieliła odpowiedzi na ww. pismo. W związku z tym, [...] września 2020 r., skierowano do Spółki pismo z ponownym wezwaniem do niezwłocznego złożenia wyjaśnień w sprawie. W piśmie Spółka pouczona została, że brak odpowiedzi na wezwania Prezesa UODO skutkować może – zgodnie z art. 83 ust. 5 lit. e) w zw. z art. 58 ust. 1 lit. a) Rozporządzenia 2016/679 – nałożeniem na Spółkę administracyjnej kary pieniężnej. Pismo to zostało doręczone Spółce [...] września 2020 r.

W związku z nieudzieleniem przez Spółkę informacji niezbędnych do rozstrzygnięcia sprawy o sygn. [...], zainicjowanej skargą Skarżącego, Prezes UODO wszczął wobec Spółki – w oparciu o art. 83 ust. 5 lit. e) Rozporządzenia 2016/679, w związku z naruszeniem przez Spółkę art. 31 oraz art. 58 ust. 1 lit a) Rozporządzenia 2016/679 – postępowanie administracyjne w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej (pod sygn. DKE.561.25.2020.[...]). O wszczęciu postępowania Spółka poinformowana została pismem z [...] grudnia 2020 r., które zostało dostarczone Spółce [...] grudnia 2020 r. Pismem tym Spółka wezwana została również – celem ustalenia podstawy wymiaru kary, w oparciu o art. 101a ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) – do przedstawienia sprawozdania finansowego Spółki za rok 2019 lub – w przypadku jego braku – oświadczenia o wysokości obrotu i wyniku finansowego osiągniętego przez Spółkę w 2019 r. Spółka nie udzieliła odpowiedzi na ww. pismo.

Spółka nie udzieliła informacji niezbędnych do rozpatrzenia sprawy w postępowaniu o sygn. [...] jak również nie ustosunkowała się do pisma informującego o wszczęciu postępowania o sygn. DKE.561.25.2020. [...] w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej i informującego o możliwości wypowiedzenia się co do zgormadzonego w sprawie materiału dowodowego. W ramach postępowania podejmowane były wielokrotnie próby kontaktu telefonicznego i mailowego ze Spółką w oparciu o dane zawarte na stronie internetowej [...] (notatka służbowa z podjętych czynności). Do dnia wydania niniejszej decyzji Spółka nie skontaktowała się z Urzędem.

Spółka prowadzi działalność w zakresie udzielania kredytów.

Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie Prezes UODO zważył, co następuje.

Zgodnie z art. 57 ust. 1 lit. a) Rozporządzenia 2016/679, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 Rozporządzenia 2016/679 – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f)). Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 Rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a)) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e)). Uchybienie przepisom Rozporządzenia 2016/679, polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych i informacji, o których mowa powyżej, skutkujące naruszeniem uprawnień organu określonych w art. 58 ust. 1 (w tym uprawnienia do uzyskania danych i informacji niezbędnych do realizacji jego zadań), podlega zaś – zgodnie z art. 83 ust. 5 lit. e) in fine Rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Wskazać należy, że administrator i podmiot przetwarzający obowiązani są współpracować z organem nadzorczym w ramach wykonywania przez niego zadań, o czym stanowi art. 31 Rozporządzenia 2016/679.

Odnosząc przytoczone powyżej przepisy Rozporządzenia 2016/679 do ustalonego w niniejszej sprawie, a opisanego na wstępie uzasadnienia niniejszej decyzji stanu faktycznego, stwierdzić należy, że Spółka – administrator danych osobowych Skarżącego – jako strona prowadzonego przez Prezesa UODO postępowania o sygn. [...], naruszyła ciążący na niej obowiązek współpracy z Prezesem UODO, ponieważ nie dostarczyła informacji niezbędnych organowi ochrony danych do realizacji jego zadań, tym samym uniemożliwiając mu dostęp do informacji oraz danych osobowych, niezbędnych do merytorycznego rozstrzygnięcia wyżej wymienionej sprawy skargowej. Powyższe uzasadnia dodatkowo okoliczność, że Spółka w żaden sposób nie próbowała usprawiedliwić faktu braku jakiejkolwiek odpowiedzi na wezwania do złożenia wyjaśnień, jak również nie kontaktowała się z Urzędem Ochrony Danych Osobowych w sprawie. Wyżej opisane działanie Spółki stanowi naruszenie art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679.

W postępowaniu o sygn. [...]Prezes UODO dwukrotnie wezwał Spółkę do udzielenia wyjaśnień niezbędnych do rozpatrzenia sprawy. Spółka pomimo odbioru korespondencji do chwili obecnej nie udzieliła żadnej odpowiedzi na pisma skierowane przez Prezesa UODO. Powyższego stanu rzeczy nie zmienił również fakt wszczęcia postępowania o sygn. DKE.561.25.2020.[...] w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej. Spółka pomimo prawidłowego zawiadomienia przez organ nadzorczy, a nadto pouczona o przysługującym jej prawie do wypowiedzenia się co do zebranych dowodów i materiałów oraz zgłoszonych żądań, nie podjęła żadnych czynności zmierzających do wyjaśnienia zaistniałej po jej stronie bezczynności ani usprawiedliwienia braku współpracy z Prezesem UODO w związku z czym nie dała możliwości pełnego i wnikliwego rozpatrzenia przez organ ochrony danych skargi osoby, której dane zostały naruszone.

Jednocześnie, wobec stwierdzenia naruszenia przez Przedsiębiorcę przepisów art. 31 oraz art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679, stosownie do treści art. 83 ust. 3 RODO, zgodnie z którym, jeżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów niniejszego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie, Prezes Urzędu Ochrony Danych Osobowych określił całkowitą wysokość administracyjnej kary pieniężnej w kwocie nieprzekraczającej wysokości kary za najpoważniejsze z tych naruszeń. W przedstawionym stanie faktycznym za najpoważniejsze należy uznać naruszenie polegające na niezapewnieniu przez Spółkę dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych Prezesowi Urzędu Ochrony Danych Osobowych do realizacji jego zadań, tj. naruszenie przepisów art. 58 ust. 1 lit. a) i lit. e) Rozporządzenia 2016/679. O powadze tego naruszenia świadczy to, że uniemożliwianie uzyskania informacji, których Prezes UODO żądał i żąda od Spółki, nie tylko stoi na przeszkodzie wnikliwemu rozpatrzeniu sprawy, lecz skutkuje również nadmiernym i nieuzasadnionym przedłużaniem postępowania, co stoi w sprzeczności z podstawowymi zasadami rządzącymi postępowaniem administracyjnym – określonymi w art. 12 ust. 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 ze zm.) zasadami wnikliwości i szybkości postępowania.

Mając na uwadze powyższe ustalenia, Prezes UODO stwierdza, że w niniejszej sprawie zaistniały przesłanki uzasadniające nałożenie na Spółkę – na mocy art. 83 ust. 5 lit. e) in fine Rozporządzenia 2016/679 – administracyjnej kary pieniężnej w związku z brakiem współpracy oraz niezapewnieniem dostępu do wszelkich informacji i danych osobowych niezbędnych Prezesowi UODO do realizacji jego zadań, to jest do rozstrzygnięcia sprawy o sygn. [...].

Stosownie do treści art. 83 ust. 2 Rozporządzenia 2016/679, administracyjne kary pieniężne nakłada się zależnie od okoliczności każdego indywidualnego przypadku. Zwraca się przy tym w każdym przypadku na szereg okoliczności wymienionych w punktach od a) do k) wskazanego wyżej przepisu. Decydując o nałożeniu w niniejszej sprawie na Spółkę administracyjnej kary pieniężnej oraz ustalając jej wysokość, Prezes UODO wziął – spośród nich – pod uwagę następujące okoliczności wpływające obciążająco na ocenę naruszenia:

      1.1. Charakter, waga i czas trwania naruszenia (art. 83 ust. 2 lit. a) Rozporządzenia 2016/679).

Naruszenie podlegające administracyjnej karze pieniężnej w niniejszej sprawie godzi w system mający na celu ochronę jednego z podstawowych praw osoby fizycznej, którym jest prawo do ochrony jej danych osobowych, czy też szerzej – do ochrony jej prywatności. Istotnym elementem tego systemu, którego ramy określone zostały Rozporządzeniem 2016/679, są organy nadzorcze, na które nałożone zostały zadania związane z ochroną i egzekwowaniem praw osób fizycznych w tym zakresie. W celu umożliwienia realizacji tych zadań organy nadzorcze wyposażone zostały w szereg uprawnień kontrolnych, uprawnień umożliwiających prowadzenie postępowań administracyjnych oraz uprawnień naprawczych. Natomiast na administratorów i podmioty przetwarzające nałożone zostały, skorelowane z uprawnieniami organów nadzorczych, określone obowiązki, w tym obowiązek współpracy z organami nadzorczymi oraz obowiązek zapewnienia tym organom dostępu do informacji niezbędnych do realizacji ich zadań. Działania Spółki w niniejszej sprawie, polegające na utrudnieniu i uniemożliwieniu dostępu do żądanych przez Prezesa UODO informacji, a skutkujące utrudnieniem i nieuzasadnionym przedłużeniem prowadzonego przez niego postępowania, należy więc uznać za godzące w system ochrony danych osobowych, i z tego względu mające dużą wagę i naganny charakter. Wagę naruszenia zwiększa dodatkowo okoliczność, że dokonane przez Spółkę naruszenie nie było zdarzeniem incydentalnym. Działanie Spółki było ciągłe i długotrwałe. Trwa od upływu 7-dniowego terminu wyznaczonego w pierwszym piśmie na złożenie wyjaśnień, tj. od [...] sierpnia 2020 r. – do dnia wydania niniejszej decyzji.

     1.2. Umyślny charakter naruszenia  (art. 83 ust. 2 lit. b) Rozporządzenia 2016/679).

W ocenie Prezesa UODO po stronie Spółki istnieje brak woli współpracy w zapewnieniu organowi wszelkich informacji niezbędnych do rozstrzygnięcia sprawy, w toku której organ zwracał się do niej o ich udzielenie. Świadczy o tym w szczególności brak jakiejkolwiek odpowiedzi na pisma Prezesa UODO skierowane do Spółki. Podkreślić należy, że Spółka na żadnym etapie postępowania o sygn. [...] jak również w niniejszym postępowaniu o sygn. DKE.561.25.2020. [...], nie podjęła próby usprawiedliwienia takiego postępowania. Zważywszy, że Spółka jest podmiotem profesjonalnie uczestniczącym w obrocie prawno-gospodarczym, przyjąć należy ponadto, że miała ona (i ma do chwili obecnej) świadomość, że jej działanie polegające na nie udzielaniu informacji (przy posiadanej wiedzy o tym, że toczy się przed Prezesem UODO postępowanie administracyjne o sygn. [...], którego Spółka jest stroną) stanowi naruszenie podstawowych obowiązków Spółki, w szczególności obowiązków wynikających z Rozporządzenia 2016/679.

     1.3. Brak współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) Rozporządzenia 2016/679.

W toku niniejszego postępowania (DKE.561.25.2020. [...]) w przedmiocie nałożenia administracyjnej kary pieniężnej Spóła nie złożyła w dalszym ciągu żadnych wyjaśnień do sprawy o sygn. [...], co utrudnia Prezesowi UODO wydanie rozstrzygnięcia w tej sprawie.

Pozostałe przesłanki wymiaru administracyjnej kary pieniężnej wskazane w art. 83. ust. 2 Rozporządzenia 2016/679 nie miały wpływu (obciążającego lub łagodzącego) na dokonaną przez Prezesa UODO ocenę naruszenia (w tym: wszelkie stosowne wcześniejsze naruszenia ze strony administratora, sposób w jaki organ nadzorczy dowiedział się o naruszeniu, przestrzeganie wcześniej zastosowanych w tej samem sprawie środków, stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji) lub też, ze względu na specyficzny charakter naruszenia (dotyczącego stosunku administratora z organem nadzorczym, a nie stosunku administratora z osobą, której dane dotyczą), nie mogły być wzięte pod uwagą w niniejszej sprawie (w tym: liczba poszkodowanych osób oraz rozmiar poniesionej przez nie szkody, działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przez podmioty danych, stopień odpowiedzialności administratora z uwzględnieniem wdrożonych przez niego środków technicznych i organizacyjnych, kategorie danych osobowych, których dotyczy naruszenie).

Stosownie do brzmienia art. 83 ust. 1 Rozporządzenia 2016/679 nałożona przez organ nadzorczy administracyjna kara pieniężna powinna być w każdym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. W ocenie Prezesa UODO kara nałożona na Spółkę w niniejszym postępowaniu spełnia te kryteria. Zdyscyplinuje Spółkę do prawidłowej współpracy z Prezesem UODO, zarówno w dalszym toku postępowania o sygn. [...], jak i w ewentualnych innych postępowaniach prowadzonych w przyszłości z udziałem Spółki przed Prezesem UODO. Nałożona niniejszą decyzją kara jest – w ocenie Prezesa UODO – proporcjonalna do wagi stwierdzonego naruszenia oraz do możliwości jej poniesienia przez Spółkę bez dużego uszczerbku dla prowadzonej przez nią działalności. Kara ta spełni ponadto funkcję odstraszającą; będzie jasnym sygnałem zarówno dla Spółki jak i dla innych podmiotów zobowiązanych na mocy przepisów Rozporządzenia 2016/679 do współpracy z Prezesem UODO, że lekceważenie obowiązków związanych ze współpracą z nim (w szczególności utrudnianie dostępu do informacji niezbędnych do realizacji jego zadań) stanowi naruszenie o dużej wadze i jako takie podlegać będzie sankcjom finansowym. W tym miejscu wskazać należy, że nałożenie na Spółkę administracyjnej kary pieniężnej jest – wobec dotychczasowego postępowania Spółki jako strony postępowania [...] – niezbędne; jest jedynym środkiem znajdującym się w dyspozycji Prezesa UODO, który umożliwi uzyskanie dostępu do informacji niezbędnych w prowadzonym postępowaniu.

Wobec nieprzedstawienia przez Spółkę żądanych przez Prezesa UODO danych finansowych za rok 2019, ustalając wysokość administracyjnej kary pieniężnej w niniejszej sprawie, Prezes UODO wziął pod uwagę, w oparciu o art. 101a ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), szacunkową wielkość Spółki oraz specyfikę, zakres i skalę prowadzonej przez nią działalności.

Stosownie do treści art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) równowartość wyrażonych w euro kwot, o których mowa w art. 83 rozporządzenia 2016/679, oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia – według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego.

Mając powyższe na uwadze, Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 83 ust. 5 lit. e) rozporządzenia 2016/679, w związku z art. 103 ustawy o ochronie danych osobowych z 2018 r., za naruszenie opisane w sentencji niniejszej decyzji, nałożył na Spółkę administracyjną karę pieniężną w kwocie 22.739,50 PLN (co stanowi równowartość 5.000 EUR), według średniego kursu euro ogłoszonego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia 2021 r.

Mając powyższe na uwadze Prezes UODO orzekł jak w  sentencji niniejszej decyzji. 

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa UODO (adres: ul. Stawki 2, 00 - 193 Warszawa).

Od skargi należy wnieść wpis stosunkowy, zgodnie z art. 231 w związku z art. 233 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325). Zgodnie z art. 74 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) wniesienie przez stronę skargi do sądu administracyjnego wstrzymuje wykonanie decyzji w zakresie administracyjnej kary pieniężnej.

W postępowaniu przed Wojewódzkim Sądem Administracyjnym Strona ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.

Zgodnie z art. 105 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych  (Dz. U. z 2019 r., poz. 1781), administracyjną karę pieniężną należy uiścić w terminie 14 dni od dnia upływu terminu na wniesienie skargi do Wojewódzkiego Sądu Administracyjnego, albo od dnia uprawomocnienia się orzeczenia sądu administracyjnego, na rachunek bankowy Urzędu Ochrony Danych Osobowych w NBP O/O Warszawa nr 28 1010 1010 0028 8622 3100 0000. Ponadto, zgodnie z art. 105 ust. 2 wskazanej wyżej ustawy Prezes UODO może, na uzasadniony wniosek podmiotu ukaranego, odroczyć termin uiszczenia administracyjnej kary pieniężnej albo rozłożyć ją na raty.

W przypadku odroczenia terminu uiszczenia administracyjnej kary pieniężnej albo rozłożenia jej na raty, Prezes Urzędu Ochrony Danych Osobowych nalicza od nieuiszczonej kwoty odsetki w stosunku rocznym, przy zastosowaniu obniżonej stawki odsetek za zwłokę, ogłaszanej na podstawie art. 56d ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (Dz. U. z 2020 r., poz. 1325 z późn. zm.), od dnia następującego po dniu złożenia wniosku.