Decyzją z 21.8.2020 r. (sygn. ZSOŚS.421.25.2019), w konsekwencji zgłoszenia naruszenia ochrony danych
osobowych kandydatów na studia na Szkołę Główną Gospodarstwa Wiejskiego w Warszawie nałożona
została kara za naruszenie przepisów RODO w wysokości 50.000 zł.
Zgłoszenia naruszenia dokonała Uczelnia, w związku z incydentem polegającym na kradzieży prywatnego laptopa
pracownika SGGW, na którym znajdowała się baza danych kandydatów na studia z ostatnich 5 lat. Naruszenie
dotyczyło ponad 80 tys. rekordów i obejmowało m.in. dane takie jak:
• dane identyfikacyjne, w tym numer PESEL,
• dane adresowe,
• serię i numer dokumentów tożsamości,
• numer telefonu,
• informacje o dotychczasowym wykształceniu.
Pracownik Uczelni wykorzystywał prywatny laptop do celów służbowych, w tym do przetwarzania danych kandydatów
na studia na potrzeby czynności rekrutacyjnych, wbrew obowiązującym na Uczelni procedurom z zakresu ochrony
danych osobowych.
W związku z dokonanym zgłoszeniem, Prezes UODO wszczął postępowanie kontrolne.
W toku kontroli Prezes UODO stwierdził naruszenie przez Uczelnię przepisów o ochronie danych osobowych
polegające na:
• dokonaniu w sposób niewystarczający oceny skuteczności środków technicznych i organizacyjnych mających
zapewnić bezpieczeństwo przetwarzania danych osobowych kandydatów;
• nieuwzględnianiu w sposób wystarczający, przy korzystaniu z systemu służącego do przetwarzania danych
osobowych kandydatów, zasady rozliczalności;
• wypełnianiu przez inspektora ochrony danych zadań bez należytego uwzględnienia ryzyka związanego
z operacjami przetwarzania;
• nieuwzględnieniu w prowadzonym w SGGW rejestrze czynności przetwarzania danych osobowych, w zakresie
czynności przetwarzania danych osobowych kandydatów na studia pierwszego, drugiego stopnia i jednolitych
studiów magisterskich w SGGW wszystkich wymaganych przepisami RODO informacji.
Decydujące dla wymierzenia kary pieniężnej dla Uczelni przez Prezesa UODO było niestosowanie przyjętych
procedur w zakresie ochrony danych osobowych. Wdrożone zostały odpowiednie dokumenty, dostosowane
w pewnym zakresie do przepisów RODO, jednak ich wprowadzenie, bez weryfikowania sposobu ich funkcjonowania
w praktyce, Prezes UODO ocenił jako główną przyczynę zaistnienia incydentu związanego z wyciekiem danych.
Odpowiadając na zarzuty Prezesa UODO, Uczelnia wskazywała m.in., że wdrożyła wymagane przepisami RODO
procedury, powołała inspektora ochrony danych, podjęła wszelkie możliwe środki techniczne i organizacyjne, aby
zapewnić bezpieczeństwo ochrony danych osobowych, nie może natomiast odpowiadać za tzw. czynnik ludzki.
Zdaniem Uczelni, niezastosowanie się przez pracownika do obowiązujących w SGGW procedur nie może świadczyć
o zawinieniu Uczelni jako administratora danych.
W obszernym uzasadnieniu decyzji Prezes UODO zwrócił szczególną uwagę na rolę administratora danych
w procesie weryfikacji obszarów przetwarzania danych w organizacji oraz przyjętych środków technicznych
i organizacyjnych zapewniających bezpieczeństwo danych osobowych. Zdaniem organu nadzorczego, kluczowe jest
dokonywanie regularnych przeglądów przyjętej dokumentacji zawierającej opis stosownych procedur. Prezes UODO
podkreślił, że istotnym dokumentem składającym się na politykę ochrony danych osobowych jest plan utrzymania
zgodności oraz prowadzenia audytów wewnętrznych, w tym m.in.. monitorowania i audytu procedur wewnętrznych.
Prezes UODO stwierdził, że powołany przez SGGW inspektor ochrony danych nie był angażowany przez uczelnię
w proces rekrutacji na studia obejmujący funkcjonowanie systemu informatycznego przeznaczonego do tego
działania. W konsekwencji, IOD nie wypełniał swoich zadań z należytym uwzględnieniem ryzyka związanego


z operacjami przetwarzania. W ocenie organu nadzorczego, konieczne jest włączenie inspektora ochrony danych we
wszelkie procesy związane z przetwarzaniem danych, z uwagi na to, że inspektor, jako podmiot, który powinien
posiadać odpowiednią wiedzą w zakresie ochronnych danych osobowych, mógłby w każdym przypadku przyczynić
się do obniżenia ryzyka niewłaściwego przetwarzania danych.
Dodatkowo, wpływ na wymierzenie kary przez organ nadzorczy miał okres trwania naruszeń. Uczelnia
przechowywała dane kandydatów na studia z ostatnich 5 lat, przy czym zgodnie z przyjętymi przez SGGW
procedurami, okres przechowywania danych nie powinien być dłuższy niż 3 miesiące.
Prezes UODO zwrócił uwagę, iż: „Uczelnia, jako administrator danych, z uwagi na specyfikę funkcjonowania skalę
oraz zakres pozyskiwanych kategorii danych osobowych powinna w sposób szczególny zwracać uwagę na czynności
przetwarzania związane z procesem rekrutacji”.
To kolejna decyzja Prezesa UODO, w uzasadnieniu której, podkreślana jest waga praktyki w stosowaniu wdrożonych
w danej organizacji procedur dotyczących ochrony danych osobowych. Mając na uwadze aspekty praktyczne, należy
stwierdzić, że w przedmiotowej decyzji w sposób jasny i szczegółowy opisane zostały oczekiwania organu
nadzorczego dotyczące wymagane zakresu dokumentacji dotyczącej ochrony danych osobowych, sposobu
nadzorowania funkcjonowania procedur, sposobu przeprowadzania audytów wewnętrznych, jak również
dokonywania oceny ryzyka procesów przetwarzania danych.

Komentarz
Uzasadnienie komentowanej decyzji to kopalnia wiedzy na temat tego, jak zdaniem organu nadzorczego powinna
zostać przygotowana dokumentacja z zakresu ochrony danych osobowych, jak powinny zostać wdrożone procedury
oraz jakie są najważniejsze zadania administratora danych i inspektora ochrony danych. Wydaje się to szczególnie
istotne z tego względu, że w wielu podmiotach dokumentacje i procedury przygotowywane były naprędce, tak aby
zdążyć przed 25.5.2018, tj. terminem wejścia w życie przepisów RODO. Zapomina się jednak o konieczności
dokonywania ich aktualizacji. Na to przede wszystkim zwracał uwagę Prezes UODO w przedmiotowej decyzji.

decyzja Prezesa UODO z dnia 21.8.2020 r., sygn. ZSOŚS.421.25.2019