DKE.561.15.2020

Na podstawie art. 104 § l ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256), art. 7 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), art. 31, art. 58 ust 1 lit. a) i e) oraz art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenia o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm.), po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na P. G. Sp. z o. o. sp. k., Prezes Urzędu Ochrony Danych Osobowych

udziela upomnienia P. G. Sp. z o. o. sp. k. za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.), polegające na nieudzieleniu informacji w postępowaniu […] niezbędnych Prezesowi Urzędu Ochrony Danych Osobowych do realizacji jego zadań.

Uzasadnienie

W prowadzonym przez Prezesa Urzędu Ochrony Danych Osobowych (zwanego dalej także „Prezesem UODO”) postepowaniu o sygn. [...], wszczętym na podstawie skargi M. Ś. (zwanego dalej także „Skarżącym”) na nieprawidłowości w procesie przetwarzania jego danych osobowych, P. G. Sp. z o. o. sp. k.  (zwanej dalej także „Spółką”), pismem z […] czerwca 2019 roku, doręczonym do Urzędu Ochrony Danych Osobowych […] lipca 2019 roku, złożyła wyjaśnienia w sprawie. Z uwagi na konieczność uzupełnienia tych wyjaśnień, pismem z […] listopada 2019 r., doręczonym […] grudnia 2019 r., Prezes UODO wezwał Spółkę do przesłania kopii umów zawartych ze Skarżącym, obowiązujących po […] lipca 2018 roku – w terminie 7 dni od daty odbioru pisma.

Wobec braku odpowiedzi na to pismo, Prezes UODO, pismem z […] lipca 2020 r. ponownie wezwał Spółkę do przesłania kopii w/w umów. Pismo doręczone zostało […] sierpnia 2020 roku. W treści pisma zawarte było pouczenie, że brak odpowiedzi na wezwanie może skutkować nałożeniem administracyjnej kary pieniężnej zgodnie z art. 83. ust. 5 lit. e) Rozporządzenia 2016/679 (RODO). Spółka nie udzieliła odpowiedzi również i na to wezwanie.

W związku z powyższym zostało wszczęte niniejsze postępowanie administracyjne pod sygnaturą DKE.561.15.2020[…] - w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej za naruszenie art. 31 oraz art. 58 ust. 1 lit. a) i e) Rozporządzenia 2016/679 w związku z nieudzieleniem informacji niezbędnych Prezesowi UODO do realizacji jego zadań. Informacja o wszczęciu przedmiotowego postępowania administracyjnego i zebraniu materiału dowodowego w sprawie, została doręczona Spółce w dniu […] października 2020 roku. W piśmie wskazano, że jeżeli Spółka udzieli wyczerpujących wyjaśnień w postępowaniu o sygn. [...], do udzielenia których wezwał Prezes UODO oraz uzasadni wcześniejszy brak odpowiedzi na te wezwania, okoliczność ta może wpłynąć łagodząco na wymiar administracyjnej kary pieniężnej orzeczonej w niniejszym postępowaniu sygn. DKE.561.15.2020[…] lub też może spowodować odstąpienie od jej nałożenia.

W dniu […] października 2020 roku do Urzędu Ochrony Danych Osobowych wpłynęło pismo sygnowane przez prokurenta Spółki, które zawierało dalsze wyjaśnienia w sprawie sygn. [...] oraz wyjaśnienie przyczyny braku wcześniejszej odpowiedzi na wezwanie Prezesa UODO.Jako przyczynę określono fakt adresowania pism Prezesa UODO do spółek prawa handlowego (P. G. Sp. z o.o.; P. G. Sp. z o.o. sp.k. i do P. Sp. z o.o. sp.k.), dla których Skarżący nie wykonywał żadnych czynności oraz że to spółki cywilne występowały w umowach ze Skarżącym jako Zleceniodawcy. Obok tego w piśmie wskazano, że pisma Prezesa UODO trafiały do osób nowo zatrudnionych i nie znających sprawy Skarżącego, które nie były w stanie zlokalizować i odnaleźć wymaganych przez Prezesa UODO umów ze Skarżącym. Wskazano przy tym, że „gdyby listy adresowane były do każdej z w/w spółek prawa handlowego z zaznaczeniem, że dotyczą działalności danej spółki w ramach konkretnej spółki cywilnej, wówczas na pewno umowy już dawno trafiłyby do Państwa”. W treści pisma podniesiony został argument, że wpływ na opóźnienie w udzieleniu odpowiedzi miała także konieczność pracy w formie zdalnej. Do pisma załączone zostały kopie trzech umów cywilnoprawnych, których stroną był Skarżący. Ponadto w piśmie zamieszczono wniosek o odstąpienie od nałożenia kary. Dodatkowo wskazany został adres e-mail, który miałby służyć do usprawnienia kontaktu ze Spółką.

Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Zgodnie z art. 57 ust. 1 lit. a) Rozporządzenia 2016/679, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 Rozporządzenia 2016/679 – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f)). Dla umożliwienia realizacji tak określonych zadań Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 Rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a)) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e)).

Ponadto, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 2 uprawnień naprawczych, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów Rozporządzenia 2016/679 przez operacje przetwarzania.

Naruszenie przepisów Rozporządzenia 2016/679, polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych i informacji, o których mowa powyżej, skutkującym naruszeniem uprawnień organu określonych w art. 58 ust. 1 (w tym uprawnienia do uzyskania danych i informacji niezbędnych do realizacji jego zadań), podlega zaś – zgodnie z art. 83 ust 5 lit e) in fine Rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Wskazać należy ponadto, że administrator i podmiot przetwarzający obowiązani są współpracować z organem nadzorczym w ramach wykonywania przez niego zadań, o czym stanowi art. 31 Rozporządzenia 2016/679.

Prezes UODO działając na podstawie art. 58 ust. 2 lit. b) rozporządzenia 2016/679 może także uznać za uzasadnione udzielenie Spółce upomnienia w zakresie stwierdzonego naruszenia przepisów art. 31 oraz art. 58 ust. 1 lit. e) Rozporządzenia 2016/679.

Zgodnie z motywem 148 Rozporządzenia 2016/679, aby egzekwowanie przepisów rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.

Odnosząc przytoczone powyżej przepisy Rozporządzenia 2016/679 do ustalonego w niniejszej sprawie stanu faktycznego, stwierdzić należy, że Spółka jako administrator danych osobowych i jednocześnie strona postępowania o sygn. [...], poprzez brak odpowiedzi na wezwanie Prezesa UODO z […] lipca 2020 roku do złożenia wyjaśnień, naruszyła obowiązek zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań wynikający z art. 31 oraz 58 ust. 1. lit. e) Rozporządzenia 2016/679. W tym przypadku informacją istotną dla dalszego kierunku postępowania było potwierdzenie zasadności skargi - w tym ustalenie relacji prawnych i faktycznych łączących Spółkę ze Skarżącym. Niewątpliwie jednym z istotnych środków dowodowych do dokonania tych ustaleń są umowy cywilnoprawne, do których przedłożenia została wezwana Spółka.

Nie budzi wątpliwości, że organizacja obiegu korespondencji należy zasadniczo do kompetencji podmiotu gospodarczego a skutki zaniedbań w tym zakresie obciążają ten podmiot. Tym samym wezwanie Prezesa UODO do udzielenia wyjaśnień, skierowane do P. G. Sp. z o. o. sp. k. winno było doczekać się odpowiedzi. Wobec powyższego należy uznać, że wyjaśnienia Spółki co do przyczyn nieudzielania odpowiedzi na wezwania Prezesa UODO nie stanowią podstawy do uchylenia odpowiedzialności Spółki w tym zakresie.

Jednak równolegle, w ocenie Prezesa UODO, wyjaśnienia te pozostają wiarygodne. Wskazuje na to historia sprawy sygn. [...] Spółka złożyła już bowiem wyjaśnienia w tamtej sprawie pismem z [...] czerwca 2019 roku, doręczonym do Urzędu Ochrony Danych Osobowych [...] lipca 2019 roku. Kolejne, pozostawiane bez odpowiedzi wezwania Prezesa UODO, ostatecznie doczekały się odpowiedzi w wyjaśnieniach i załącznikach złożonych przez Spółkę w niniejszej sprawie. Tym samym umożliwiły Prezesowi UODO wykorzystanie otrzymanych informacji i kontynuowanie postępowania w sprawie o sygn. [...] Ponadto Spółka wyraziła gotowość do dalszej współpracy w celu wyjaśnienia sprawy. Pozwala to przypuszczać nie tyle brak woli czy chęci współpracy z Prezesem UODO, co sygnalizowany przez Spółkę, nieefektywnie zorganizowany przepływ korespondencji czy też podział obowiązków w tym zakresie.

W ocenie Prezesa UODO wszystkie okoliczności sprawy, rozpatrywane łącznie, pozwalają wnioskować, że brak odpowiedzi na wezwania Prezesa UODO w postępowaniu o sygn. [...] nie miał charakteru celowego.

W związku z powyższym, działając na podstawie art. 58 ust. 2 lit. b) rozporządzenia 2016/679, zgodnie z którym każdemu organowi nadzorczemu przysługuje w zakresie prowadzonych postępowań uprawnienie do udzielania upomnienia administratorowi lub podmiotowi przetwarzającemu, w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania, Prezes UODO uznaje za uzasadnione udzielenie P. G. Sp. z o. o. sp. k. upomnienia w zakresie stwierdzonego naruszenia przepisów art. 31 oraz art. 58 ust. 1 lit. e) Rozporządzenia 2016/679.

Dopuszczalność zastąpienia kary pieniężnej upomnieniem uzasadnia także motyw 148 Rozporządzenia 2016/679 stanowiący, że sankcje, w tym administracyjne kary pieniężne należy nakładać, „aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze”. Prezes UODO uznał, że w przedmiotowej sprawie, w świetle kryteriów określonych w art. 83 ust. 2 Rozporządzenia 2016/679 wystarczające będzie udzielenie upomnienia,.

Należy jednakże zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie wydane przez Prezesa UODO wobec Spółki będzie brane pod uwagę przy ocenie przesłanek ewentualnego wymierzenia kary administracyjnej, zgodnie z zasadami określonymi w art. 83 ust. 2 Rozporządzenia 2016/679.

W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął, jak w sentencji niniejszej decyzji.

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00 - 193 Warszawa). Od skargi należy wnieść wpis stały w wysokości 200 zł, zgodnie z art. 231 w związku  z art. 233 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 poz. 2325, ze zm.). Strona (osoba fizyczna, osoba prawna, inna jednostka organizacyjna nieposiadająca osobowości prawnej) ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.