DKE.561.24.2021

Na podstawie art. 104 § l ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm.) w związku z art. 7 ust. 1 i 2 i art. 60ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz na podstawie art. 58 ust. 2 lit. b) w związku z art. 31 i art. 58 ust. 1 lit. a) i lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23.05.2018, str.2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35), po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na K. S.A. z siedzibą we W. przy ul. (…) reprezentowaną przez radcę prawnego S. K., Prezes Urzędu Ochrony Danych Osobowych, 

udziela upomnienia K. S.A. z siedzibą we W. przy ul. (…) za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. e) Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23.05.2018, str. 2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35), polegające na braku współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ramach wykonywania przez niego jego zadań oraz na niezapewnieniu Prezesowi Urzędu Ochrony Danych Osobowych dostępu do informacji niezbędnych do realizacji jego zadań.

 Uzasadnienie

Stan faktyczny

1. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pani E. C., zam. (…), S., reprezentowanej przez radcę prawnego K. F., na niezgodne z prawem przetwarzanie jej danych osobowych przez P. Fundusz Inwestycyjny Zamknięty z siedzibą we W., zarządzany i reprezentowany przez K. Spółkę Akcyjną z siedzibą we W. przy ul. (…) (zwaną dalej „Spółką”). W skardze pełnomocnik Pani E. C. wniósł o spełnienie obowiązku informacyjnego wobec swojej mocodawczyni jak również o przedłożenie jej kopii dwóch umów cesji wierzytelności zawierających jej dane osobowe.
2. Celem rozpatrzenia skargi Pani E. C. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej „Prezesem UODO”) wszczął postępowanie administracyjne o sygnaturze DS.523.3850.2020, w ramach którego – na podstawie art. 58 ust. 1 lit. a) i e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23.05.2018, str.2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35) (zwanego dalej „rozporządzeniem 2016/679”) – wezwał Spółkę – pismem z 6 sierpnia 2020 r. – do ustosunkowania się do treści skargi oraz do złożenia wyjaśnień w sprawie, w szczególności do udzielenia odpowiedzi na trzy szczegółowe pytania w istotnych dla sprawy kwestiach. Wezwanie to doręczone zostało Spółce 12 sierpnia 2020 r.
3. Pismem z 19 sierpnia 2020 r. pełnomocnik Spółki – radca prawny S. K. – odniósł się do skargi, złożył wyjaśnienia w sprawie odpowiadając na wszystkie trzy skierowane do Spółki pytania, jak również przedstawił dowody potwierdzające złożone wyjaśnienia. Do pisma pełnomocnik Spółki dołączył kserokopię (w żaden sposób nie uwierzytelnioną) pełnomocnictwa z 19 sierpnia 2020 r., z którego wynikało jego umocowanie „do reprezentowania Spółki w postępowaniach administracyjnych prowadzonych przez Prezesa Urzędu Ochrony Danych Osobowych […], w szczególności postępowań wszczętych w związku z wpłynięciem skarg do PUODO dotyczących przetwarzania danych osobowych”.
4. W związku z brakiem prawidłowego wykazania przez pełnomocnika swojego umocowania do reprezentowania Spółki w sprawie, Prezes UODO zwrócił się do niej – pismem z 27 października 2020 r. – o uzupełnienie braków formalnych pisma z 19 sierpnia 2020 r. przez przesłanie pełnomocnictwa udzielonego radcy prawnemu S. K. do reprezentowania Spółki w sprawie lub o nadesłanie odpowiedzi na pismo Prezesa UODO z 6 sierpnia 2020 r. opatrzonej podpisami osób uprawnionych do reprezentowania Spółki zgodnie z treścią właściwego wpisu w Krajowym Rejestrze Sądowym. Wezwanie to – doręczone Spółce 2 listopada 2020 r. – pozostało bez żadnej odpowiedzi.
5. Wobec braku odpowiedzi na wezwanie z 27 października 2020 r. – pismem z 21 stycznia 2021 r. – Prezes UODO ponownie zwrócił się do Spółki z wezwaniem do uzupełnienia braków formalnych pisma z 19 sierpnia 2020 r. przez przesłanie pełnomocnictwa udzielonego radcy prawnemu S. K. do reprezentowania Spółki w sprawie lub o nadesłanie odpowiedzi na pismo Prezesa UODO z 6 sierpnia 2020 r. opatrzonej podpisami osób uprawnionych do reprezentowania Spółki zgodnie z treścią właściwego wpisu w Krajowym Rejestrze Sądowym. Również to wezwanie (doręczone Spółce 26 stycznia 2021 r.) pozostało bez żadnej odpowiedzi ze strony Spółki.
6. Ponowne wezwanie (trzecie) – o treści co do istoty tożsamej z treścią wezwań z 27 października 2020 r. i 21 stycznia 2021 r. – Prezes UODO skierował do Spółki pismem z 19 lutego 2021 r. Na wezwanie to – doręczone Spółce 1 marca 2021 r. – Spółka również nie odpowiedziała.
7. Kolejne (czwarte) wezwanie do uzupełnienia braków formalnych pisma z 19 sierpnia 2020 r. Prezes UODO skierował do Spółki 30 kwietnia 2021 r. Wezwanie to doręczone zostało Spółce 7 maja 2021 r. Również i ono pozostało bez żadnej odpowiedzi.
8. W wezwaniu Prezesa UODO z 30 kwietnia 2021 r. zawarte było pouczenie o możliwości nałożenia na Spółkę – w przypadku braku wyczerpującej odpowiedzi na to wezwanie – administracyjnej kary pieniężnej w związku z brakiem współpracy z Prezesem UODO w ramach wykonywania przez niego swoich zadań oraz niezapewnieniem dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań, zgodnie z art. 83 ust. 4 lit. a) lub art. 83 ust. 5 lit. e) rozporządzenia 2016/679.
9. Powyższe okoliczności stanu faktycznego Prezes UODO ustalił na podstawie całokształtu korespondencji urzędowej prowadzonej pomiędzy Spółką a Prezesem UODO, znajdującej się w aktach postępowania o sygnaturze DS.523.3850.2020. Korespondencja ta odzwierciedla całokształt prób uzyskania przez Prezesa UODO dostępu do informacji niezbędnych do realizacji jego zadań, to jest w tym przypadku – do rozpatrzenia sprawy o sygnaturze DS.523.3850.2020, a z drugiej strony – reakcję Spółki i jej pełnomocnika na żądania Prezesa UODO.

Postępowanie

10. W związku z nieudzieleniem przez Spółkę wiążących, i mających moc dowodową informacji niezbędnych do rozstrzygnięcia sprawy o sygnaturze DS.523.3850.2020, Prezes UODO wszczął wobec niej z urzędu – na podstawie art. 83 ust. 5 lit. e) Rozporządzenia 2016/679 – niniejsze postępowanie administracyjne (o sygnaturze DKE.561.24.2021) w przedmiocie nałożenia administracyjnej kary pieniężnej, w związku z naruszeniem art. 31 oraz art. 58 ust. 1 lit. a) i e) Rozporządzenia 2016/679. O wszczęciu postępowania Spółka poinformowana została pismem z 9 września 2021 r., doręczonym Spółce 14 września 2021 r. Pismem tym Spółka wezwana została także – celem ustalenia podstawy wymiaru kary, w oparciu o art. 101a ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), zwanej dalej „u.o.d.o.” – do przedstawienia sprawozdania finansowego lub innego dokumentu przedstawiającego wysokość obrotu i wyniku finansowego osiągniętego przez Spółkę w 2020 r.
11. W reakcji na pismo informujące o wszczęciu postępowania administracyjnego o sygnaturze DKE.561.24.2021 pełnomocnik Spółki, radca prawny S. K., uzupełnił – pismem z 15 września 2021 r., (które wpłynęło do Urzędu Ochrony Danych Osobowych 20 września 2021 r.) – braki formalne swojego pisma z 19 sierpnia 2020 r., przedstawiając odpis udzielonego mu przez Spółkę 19 sierpnia 2020 r. pełnomocnictwa, poświadczony przez siebie za zgodność z oryginałem. Jednocześnie, tym samym pismem, pełnomocnik Spółki wniósł o odstąpienie od nałożenia w niniejszym postępowaniu administracyjnej kary pieniężnej, wskazując przyczyny niewykazania w postępowaniu o sygnaturze DS.523.3850.2020 umocowania osoby składającej w imieniu Spółki wyjaśnienia do jej reprezentowania. Pełnomocnik Spółki wskazał, że omyłki, które nastąpiły w sprawie wiązały się z faktem, że w jednym czasie toczyły się przed Prezesem UODO trzy sprawy ze skarg osób o nazwisku C. (jedna ze Skargi Pani E. C. i dwie ze skarg Pana M. C.). We wszystkich tych sprawach Pan S. K. był pełnomocnikiem dwóch podmiotów, na działanie których wniesiono skargi: K. S.A. oraz K. Towarzystwo Funduszy Inwestycyjnych S.A. zarządzającego funduszem P. Fundusz Inwestycyjny Zamknięty. Dodatkowo, co podniósł pełnomocnik Spółki, w okresie pandemii COVID-19 „[…] w Spółce sugerowanym, a znaczną część czasu wymaganym modelem pracy była praca zdalna, zaś korespondencja do pełnomocnika trafiać miała w formie skanu, co mogło wpłynąć na wystąpienie omyłek i opóźnień”. Pełnomocnik Spółki wskazał, że Spółka de facto udzieliła wyczerpujących wyjaśnień pismem z 19 sierpnia 2020 r., że odpowiednie jego pełnomocnictwo znajdowało się w aktach sprawy o sygnaturze DS.523.4460.2020 (ze skargi M. C.) oraz że stan faktyczny sprawy DS.523.3850.2020 został wyjaśniony w piśmie, które pełnomocnik skierował do Prezesa UODO w imieniu K. S.A., w którym to piśmie „ również opisano działanie Spółki w relacji z N. [właściwie: P. Fundusz Inwestycyjny Zamknięty]”. Pełnomocnik Spółki podkreślił, że „naruszenie Spółki nie godziło w główny cel postępowań wyjaśniających Urzędu, którym jest zapewnienie ochrony danych osobowych wobec osób zainteresowanych. Nie wynikało ono ze złej woli lub bierności (odpowiedzi były kierowane z powołaniem na niewłaściwe sygnatury) lecz z powtarzających się omyłek pełnomocnika.” Na koniec pełnomocnik Spółki zadeklarował, że Spółka gotowa jest wyjaśnić dalsze wątpliwości organu.
12. Po rozpatrzeniu całości materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Przepisy prawne

13. Zgodnie z art. 57 ust. 1 lit. a) Rozporządzenia 2016/679, Prezes UODO, jako organ nadzorczy w rozumieniu art. 51 Rozporządzenia 2016/679, na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO uprawniony jest m. in. do prowadzenia postępowań w sprawie stosowania przepisów omawianego aktu prawnego (art. 57 ust. 1 lit. h)), w tym postępowań związanych z oceną naruszeń ochrony danych osobowych, zgłaszanych Prezesowi UODO przez administratorów danych stosownie do treści art. 33 Rozporządzenia 2016/679.
14. Dla umożliwienia realizacji tak określonych zadań, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 Rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a) oraz uprawnienie do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i informacji niezbędnych do realizacji jego zadań (art. 58 ust. 1 lit. e).
15. Naruszenie przepisów Rozporządzenia 2016/679, polegające na niezapewnieniu przez administratora lub podmiot przetwarzający dostępu do danych i informacji, o których mowa powyżej, skutkujące naruszeniem uprawnień organu określonych w art. 58 ust. 1, podlega zaś – zgodnie z art. 83 ust. 5 lit. e) in fine Rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
16. Dodatkowo zarówno administrator jak i podmiot przetwarzający obowiązani są na żądanie organu nadzorczego współpracować z nim w ramach wykonywania przez niego jego zadań, o czym stanowi art. 31 Rozporządzenia 2016/679. Niewywiązanie się z tego obowiązku zagrożone jest - zgodnie z art. 83 ust. 4 lit. a) Rozporządzenia 2016/679 – administracyjną karą pieniężną w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
17. Prezesowi UODO przysługuje ponadto szereg określonych w art. 58 ust. 2 uprawnień naprawczych, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów Rozporządzenia 2016/679 przez operacje przetwarzania. Prezes UODO, działając na podstawie art. 58 ust. 2 lit. b) Rozporządzenia 2016/679, może uznać za uzasadnione udzielenie administratorowi lub podmiotowi przetwarzającemu upomnienia w przypadku stwierdzenia naruszenia przepisów Rozporządzenia 2016/679, w tym przepisów art. 31 i art. 58 ust. 1 lit. e) tego aktu prawnego.
18. Zgodnie z motywem 148 Rozporządzenia 2016/679, aby egzekwowanie przepisów rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne – oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie, karę pieniężną można zastąpić upomnieniem. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte przez administratora dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące.

Ocena prawna

19. Odnosząc przytoczone powyżej przepisy Rozporządzenia 2016/679 do ustalonego w niniejszej sprawie stanu faktycznego stwierdzić należy, że Spółka, jako strona postępowania o sygnaturze DS.523.3850.2020, przez nieudzielenie wiążących, i mających moc dowodową wyjaśnień niezbędnych do rozstrzygnięcia sprawy o sygnaturze DS.523.3850.2020, naruszyła obowiązek zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań, wynikający z art. 58 ust. 1. lit. e) Rozporządzenia 2016/679. W konsekwencji brak dostępu do informacji, których Prezes UODO żądał od Spółki, stał na przeszkodzie wnikliwemu rozpatrzeniu sprawy i skutkował przedłużaniem wskazanego wyżej postępowania, co stoi z kolei w sprzeczności z podstawowymi zasadami rządzącymi postępowaniem administracyjnym – określonymi w art. 12 ust. 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm.), zwanej dalej „k.p.a.”, zasadami wnikliwości i szybkości postępowania.
20. Za mające moc dowodową informacje Prezes UODO nie mógł uznać wyjaśnień złożonych pismem z 19 sierpnia 2020 r. przez osobę, która nie wykazała się umocowaniem do działania w imieniu Spółki zgodnie z art. 33 § 3 k.p.a. Za takie prawidłowe wykazanie się umocowaniem do reprezentacji Spółki nie można uznać przedstawienia kopii pełnomocnictwa ani nie poświadczonej urzędowo, ani nie uwierzytelnionej przez profesjonalnego pełnomocnika występującego w sprawie. Za niezgodne z przywołanym wyżej przepisem art. 33 § 3 k.p.a. należy uznać również powołanie się na okoliczność, że odpowiednie pełnomocnictwo znajduje się w aktach innej sprawy. Z przepisu tego jednoznacznie wynika obowiązek złożenia dokumentu pełnomocnictwa w każdej sprawie, w której pełnomocnik występuje, z osobna. Tak jednoznacznie przyjmuje doktryna i orzecznictwo sądów administracyjnych: „Organ administracji nie ma obowiązku poszukiwania pełnomocnictwa w aktach innych niż akta konkretnej sprawy (zob. np. teza trzecia postanowienia NSA z 26 kwietnia 2012 r., II GZ 140/12, LEX nr 1321426).” (P. M. Przybysz [w:] Kodeks postępowania administracyjnego. Komentarz aktualizowany, LEX/el. 2021, art. 33.).
21. Prezes UODO czterokrotnie wzywał Spółkę – na podstawie art. 64 § 2 k.p.a. – do uzupełnienia braków formalnych pisma z 19 sierpnia 2020 r. (zob. pkt 4-7 uzasadnienia niniejszej decyzji), jednakże wezwania te (prawidłowo doręczone Spółce) pozostały bez odpowiedzi. Powyższe spowodowało konieczność wszczęcia niniejszego postępowania w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej, w rezultacie czego Spółka podjęła współpracę z Prezesem UODO. W odpowiedzi na informację o wszczęciu postępowania pełnomocnik Spółki złożył mianowicie do akt sprawy o sygnaturze DS.523.3850.2020 uwierzytelniony przez siebie odpis pełnomocnictwa, co pozwoliło Prezesowi UODO uznać za mające moc dowodową wyjaśnienia zawarte w piśmie pełnomocnika Spółki z 19 sierpnia 2020 r. To z kolei pozwoliło Prezesowi UODO podjąć dalsze czynności w sprawie DS.523.3850.2020. W związku z tym należy uznać, że z chwilą wpłynięcia do Urzędu Ochrony Danych Osobowych pisma pełnomocnika Spółki z załączonym odpisem pełnomocnictwa, to jest z dniem 20 września 2021 r. ustał stan naruszenia przepisów Rozporządzenia 2016/679 będący przedmiotem niniejszego postępowania (za jego początek należy uznać datę 10 listopada 2020 r. czyli datę upływu terminu uzupełnienia braków formalnych pisma z 19 sierpnia 2020 r. wyznaczonego Spółce w wezwaniu z 27 października 2020 r.).
22. Opisane wyżej postępowanie Spółki, polegające na braku reakcji na kierowane do niej wezwania Prezesa UODO, wyczerpuje ponadto – poza naruszeniem art. 58 ust. 1. lit. e) Rozporządzenia 2016/679 – znamiona naruszenia art. 31 tego rozporządzenia, który to artykuł nakłada na administratora i podmiot przetwarzający obowiązek współpracy z organem nadzorczym – na jego żądanie – w ramach wykonywania przez niego jego zadań. W ocenie Prezesa UODO nie ma wątpliwości, że przez pewien czas (od 10 listopada 2020 r. do 20 września 2021 r. – zob. pkt 21 uzasadnienia niniejszej decyzji) w postępowaniu o sygnaturze DS.523.3850.2020 nie można było mówić o współpracy ze strony Spółki i jej pełnomocnika, pomimo kierowanych do Spółki wezwań. Wezwania te w istocie formułowały „żądanie” organu nadzorczego, o którym mowa w art. 31 Rozporządzenia 2016/679.
23. Stwierdzając naruszenie przez Spółkę przepisów art. 58 ust. 1 lit. e) oraz art. 31 Rozporządzenia 2016/679, Prezes UODO dostrzega jednakże, że zostało ono usunięte przez Spółkę niezwłocznie i w pełnym zakresie po wszczęciu postępowania zakończonego wydaniem niniejszej decyzji. Za wiarygodne uznaje Prezes UODO wyjaśnienia pełnomocnika Spółki co do postępowania tejże Spółki w sprawie o sygnaturze DS.523.3850.2020. W szczególności dostrzega, że naruszenie miało charakter nieumyślny; wynikało z błędów ludzkich i niedociągnięć organizacyjnych związanych z przepływem informacji i dokumentów w Spółce oraz między Spółką i jej pełnomocnikiem, a które to niedociągnięcia spowodowane były wdużym stopniu pandemią COVID-19. Okoliczności sprawy, a w szczególności postawa Spółki w niniejszym postępowaniu pozwalają przyjąć, że jej brak reakcji na wezwania Prezesa UODO w sprawie o sygnaturze DS.523.3850.2020 nie wynikała ze złej woli, ani nie miała na celu świadomego utrudnienia postępowania. Przeciwnie – następcza, aktywna postawa Spółki wskazuje na jej powrót do pełnej i sprawnej współpracy z Prezesem UODO, co było podstawowym – poza aspektem represyjnym – celem wszczęcia niniejszego postępowania.
24. W ocenie organu nadzorczego, samo już wszczęcie postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej oraz realna perspektywa wymierzenia kary finansowej stały się dla Spółki wyraźnym sygnałem tego, iż uchylanie się od obowiązków nałożonych przepisami Rozporządzenia 2016/679, również tych procesowych (związanych z prowadzonymi przez Prezesa UODO postępowaniami), nieuchronnie prowadziło będzie do zastosowania wobec niej w przyszłości surowszych, przewidzianych tymi przepisami sankcji. Należy bowiem zauważyć, że w przypadku zaistnienia podobnego zdarzenia w przyszłości, każde upomnienie udzielone Spółce przez Prezesa UODO będzie brane pod uwagę przy wymierzaniu ewentualnej administracyjnej kary pieniężnej, zgodnie z zasadami określonymi w art. 83 ust. 2 Rozporządzenia 2016/679.  
25. Mając powyższe na uwadze, działając na podstawie art. 58 ust. 2 lit. b) Rozporządzenia 2016/679, zgodnie z którym każdemu organowi nadzorczemu przysługuje w zakresie prowadzonych postępowań uprawnienie do udzielania upomnienia administratorowi lub podmiotowi przetwarzającemu, w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania, Prezes UODO uznał za uzasadnione udzielenie Spółce upomnienia za naruszenie przepisów art. 31 oraz art. 58 ust. 1 lit. e) Rozporządzenia 2016/679, przyjmując, że w świetle kryteriów określonych w art. 83 ust. 1 i 2 Rozporządzenia 2016/679 sankcja ta będzie proporcjonalna do naruszenia, to znaczy będzie skuteczna i konieczna do realizacji zakładanych celów niniejszego postępowania, ale i jednocześnie w jak najmniejszym stopniu dolegliwa dla Spółki.
26. W tym stanie faktycznym i prawnym Prezes UODO rozstrzygnął jak w sentencji.

Pouczenie

Decyzja jest ostateczna. Od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa UODO (adres: ul. Stawki 2, 00 - 193 Warszawa). Wpis od skargi wynosi 200 zł. W postępowaniu przed Wojewódzkim Sądem Administracyjnym strona ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.