Prezes UODO po raz pierwszy nałożył karę pieniężną w wysokości 40.000 zł na podmiot publiczny –
Burmistrza Aleksandrowa Kujawskiego. Wojewódzki Sąd Administracyjny, oddalając skargę, utrzymał
przedmiotową decyzję w mocy.
Wyrokiem z 26.8.2020 r. (II SA/Wa 2826/19) Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę
Burmistrza Aleksandrowa Kujawskiego na decyzję o nałożeniu kary z tytułu naruszenia przepisów z zakresu ochrony
danych osobowych.
W komunikacje Prezesa UODO wskazano, że: „Zdaniem sądu Prezes UODO prawidłowo zastosował przepisy
ogólnego rozporządzenia o ochronie danych osobowych (…) W ocenie sądu nałożona na Burmistrza kara nie
stanowi nadmiernego obciążenia dla organu i jest adekwatna do stwierdzonych naruszeń w obszarze przetwarzania
danych.”
Pisemne uzasadnienie orzeczenia nie zostało jeszcze opublikowane.
Decyzja Prezesa UODO
W decyzji z 18.10.2019 r. (ZSPU.421.3.2019) Prezes UODO stwierdził naruszenie przez Burmistrza Aleksandrowa
Kujawskiego:
1.   zasady zgodności z prawem i zasady poufności oraz art. 28 ust. 3 ogólnego rozporządzenia o ochronie danych
     osobowych poprzez udostępnianie danych osobowych podmiotom prowadzącym stronę internetową Biuletynu
     Informacji Publicznej Urzędu Miejskiego w Aleksandrowie Kujawskim bez podstawy prawnej, tj. bez uprzedniego
     zawarcia umów powierzenia danych osobowych, o której mowa w art. 28 ust. 3 ogólnego rozporządzenia
     o ochronie danych,
2.   zasady ograniczenia przechowywania, oraz art. 24 ogólnego rozporządzenia o ochronie danych poprzez brak
     odpowiednich polityk dotyczących przetwarzania danych osobowych w Biuletynie Informacji Publicznej Urzędu
     Miejskiego w Aleksandrowie Kujawskim pod kątem ich aktualności i celowości publikacji oraz określających
     terminy usunięcia danych osobowych,
3.   zasady integralności i poufności, zasady prawidłowości, oraz art. 24 ogólnego rozporządzenia o ochronie danych
     poprzez nieprzeprowadzenie analizy ryzyka związanego z korzystaniem przez Burmistrza Aleksandrowa
     Kujawskiego z kanału YouTube w celu transmisji nagrań z obrad Rady Miasta Aleksandrowa Kujawskiego,
4.   zasady integralności i poufności, oraz art. 32 ogólnego rozporządzenia o ochronie danych poprzez niewdrożenie
     odpowiednich środków technicznych i organizacyjnych mających na celu zabezpieczenie danych osób
     fizycznych w związku z przechowywaniem nagrań sesji Rady Miasta Aleksandrowa Kujawskiego wyłącznie na
     serwerach YouTube, bez wykonywania i przechowywania kopii zapasowych tych nagrań w zasobach własnych
     Urzędu Miejskiego w Aleksandrowie Kujawskim,
5.   zasady rozliczalności, oraz art. 30 ust. 1 lit. d) oraz f) ogólnego rozporządzenia o ochronie danych poprzez
     niewskazanie w rejestrze czynności przetwarzania danych osobowych, dla czynności związanych z publikacją
     informacji na stronie Biuletynu Informacji Publicznej Urzędu Miasta w Aleksandrowie Kujawskim, wszystkich
     odbiorców danych oraz niewskazanie dla tych czynności przetwarzania planowanego terminu usunięcia danych
     w sposób zapewniający przetwarzanie danych zgodnie z zasadą ograniczonego przechowywania.
Zakres kontroli przeprowadzonej przez Prezesa UODO obejmował sposób przetwarzania danych osobowych przez
Burmistrza Aleksandrowa Kujawskiego w ramach procesu wysyłki korespondencji i prowadzenia Biuletynu Informacji
Publicznej (BIP), sposób prowadzenia rejestru czynności przetwarzania oraz dokumentowania naruszeń ochrony
danych osobowych.
W decyzji Prezesa UODO stwierdzono, że:
• w Biuletynie publikowane są dokumenty zawierające dane osobowe, jak np. oświadczenia majątkowe urzędników,
a okres publikacji jest okres dłuższy niż wynika to z przepisów prawa (publikowane były np. oświadczenia majątkowe
urzędników z 2010 r. podczas, gdy powinno się je udostępniać maksymalnie przez sześć lat),
• nawet jeśli dane zagadnienie nie zostało wprost uregulowane w przepisach prawa, to na administratorze danych
ciąży obowiązek kontroli nad prawidłowością procesu przetwarzania danych,


• nie zawarto umów powierzenia przetwarzania danych osobowych z podmiotami obsługującymi Biuletyn Informacji
Publicznej, a podmioty te uczestniczą w przetwarzaniu danych osobowych,
• Urząd Miejski w Aleksandrowie Kujawskim korzystał z serwera podmiotu zewnętrznego, bez zawarcia umowy
regulującej kwestię ochrony danych osobowych,
• nie zastosowano odpowiednich środków technicznych i organizacyjnych związanych z korzystaniem z kanału na
serwisie YouTube do nagrywania sesji rady miejskiej, w tym nie sporządzano kopii nagrań na serwerach innych niż
serwery YouTube,
• w prowadzonych przez Urząd rejestrach czynności brakowało określenia planowanych terminów usunięcia danych
osobowych, nie zostali również wskazani wszyscy odbiorcy danych, w tym podmioty przetwarzające.
Prezes UODO oceniając powyższe naruszenia nie znalazł podstaw do uznania, że zachodziły jakiekolwiek
okoliczności łagodzące, mające wpływ na ostateczny wymiar kary. W konsekwencji wymierzono karę w wysokości
40.000 zł, która należy uznać za wysoką, jak na nakładaną na podmiot publiczny. Maksymalna możliwa kara wynosi
bowiem 100.000 zł.
Aspekty praktyczne
Utrzymanie w mocy decyzji Prezesa UODO przez Wojewódzki Sąd Administracyjny, oznacza, że decyzję należy
traktować jako obowiązującą wykładnię i uszczegółowienie dość ogólnych przepisów RODO.
W decyzji zwrócono przede wszystkim uwagę na:
- prawidłowe ustalenie okresu przechowywania danych,
- sformułowanie procedur dotyczących RODO w sposób umożliwiający faktyczną kontrolę nad procesem
przetwarzania danych,
- sposób korzystania z popularnych serwisów internetowych.
Kwestia prawidłowego określenia retencji danych w praktyce niejednokrotnie stanowi nie lada wyzwanie. Nie ma
w tym zakresie kompleksowej regulacji prawnej. Prezes UODO zwrócił natomiast uwagę, że brak określonych
przepisami prawa okresów przetwarzania danych, nie powoduje, że można je przetwarzać bezterminowo. Konieczne
jest tu bowiem kierowanie się ogólnymi zasadami wynikającymi z RODO, przede wszystkim zasadą ograniczonego
przechowywania. Przy braku regulacji prawnych należy określić ten okres tak, aby przetwarzanie danych było zgodne
z celami, z którymi je pozyskano. Nie ma przy tym znaczenia czy podlegające przetwarzaniu dane są jawne czy nie,
oraz to, czy osoba której dane dotyczą nadal pełni funkcję publiczną, czy nie.
Ponadto, nawet posiadanie przez dany podmiot procedur dotyczących RODO nie oznacza, że podmiot nie może być
z tego tytułu ukarany. W Urzędzie Miejskim w Aleksandrowie Kujawskim została wdrożona wewnętrzna procedura
dotycząca prowadzenia BIP, jednakże nie zawierała ona zasad dotyczących przeglądu danych opublikowanych
w BIP pod kątem zapewnienia ich przetwarzania zgodnie z zasadą ograniczonego przechowywania.
Co więcej, z zachowaniem zasad ostrożności należy korzystać z serwisów w mediach społecznościowych.
W pierwszej kolejności należy przeprowadzić analizę ryzyka. Istotne jest także wprowadzenie odpowiednich środków
organizacyjnych i technicznych, mających zapewnić poufność, integralność, dostępność danych, jak również
możliwość reagowania na incydenty fizyczne lub techniczne.
Komentarz
Wydane orzeczenie stanowi przestrogę dla podmiotów publicznych, które, jak się okazuje, do kwestii ochrony danych
osobowych niejednokrotnie podchodzą w sposób nieadekwatny do skali przetwarzanych przez te podmioty danych.
Polityki dotyczące danych osobowych w podmiotach publicznych często sporządzane są na wzorach, zgodnie
z ogólnymi wytycznymi organów wyższego rzędu, które nie są niewystarczające, a przede wszystkim w praktyce nie
zawsze są stosowane.
Przechowywanie danych przez okres dłuższy niż jest wymagany także nie należy do rzadkości, nie tylko
w podmiotach publicznych, ale również w biznesie. Z puntu widzenia praktyki, istotne są wskazówki w decyzji
Prezesa UODO dotyczące korzystania z serwisów w mediach społecznościowych.
Należy oczekiwać, że konsekwencją decyzji Prezesa UODO i wyroku WSA w Warszawie będzie ograniczenie
nieodpowiednich praktyk, zarówno podmiotów publicznych, jak i prywatnych, związanych z przetwarzaniem danych
osobowych.
II SA/Wa 2826/19