Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO) stwierdził naruszenie przez Fundację
Promocji Mediacji i Edukacji Prawnej Lex Nostra z siedzibą w Warszawie przy ul. Siennej 45 lok. 5 (dalej:
Fundacja) przepisu art. 33 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27.4.2016 r.
w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie
swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie
o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO), polegające na niezgłoszeniu Prezesowi
UODO naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po
stwierdzeniu naruszenia, oraz przepisu art. 34 ust. 1 RODO, polegające na niezawiadomieniu o naruszeniu
ochrony danych osobowych, bez zbędnej zwłoki osób, których dane dotyczą. Prezes UODO nałożył na
Fundację administracyjną karę pieniężną w wysokości 13 644 zł. i nakazał F undacji zawiadomienie osób,
których dane dotyczą, o naruszeniu ochrony danych osobowych w celu przekazania im informacji
wymaganych zgodnie z art. 34 ust. 2 RODO.
Ustalenia faktyczne
Fundacja jest organizacją pożytku publicznego, zajmującą się udzielaniem pomocy prawnej oraz porad prawnych
i psychologicznych osobom pokrzywdzonym w wyniku przestępstwa oraz ich rodzinom. Działa na rzecz ochrony praw
osób pokrzywdzonych przez instytucje publiczne, publiczny system ochrony zdrowia oraz podmioty działające
w branży ubezpieczeniowej, a także promowanie mediacji w szeroko rozumianym obrocie prawnym i gospodarczym
oraz życiu społecznym.
Do Urzędu Ochrony Danych Osobowych (dalej: UODO) w październiku 2020 r. wpłynęło zawiadomienie
o podejrzeniu naruszenia zasad przestrzegania przepisów o ochronie danych osobowych przez Fundację
polegającego na utracie danych osobowych wielu osób, jaka miała miejsce w styczniu 2020 r., na skutek kradzieży
teczek zawierających dane osobowe beneficjentów w mazowieckim biurze terenowym.
Jak wynika z zawiadomienia, kradzież była przedmiotem postępowania karnego niemniej jednak z analizy
przedłożonego postanowienia o umorzeniu dochodzenia wynika, że było ono prowadzone jedynie w kontekście
usiłowania popełnienia przestępstwa, nie zaś utraty dokumentów zawierających dane osobowe. O podejrzeniu
naruszenia zasad przestrzegania przepisów o ochronie danych osobowych organ nadzorczy został poinformowany
pismem z października 2020 r. przez Ministerstwo Sprawiedliwości będące organem sprawującym nadzór nad
Fundacją.
W związku z powyższym, w listopadzie 2020 r. Prezesem UODO, na podstawie art. 58 ust. 1 lit. a i e RODO, zwrócił
się do Fundacji o wskazanie, czy w związku z utratą danych osobowych wielu osób na skutek kradzieży teczek
zawierających dane osobowe beneficjentów, naruszenie zostało zgłoszone organowi nadzorczemu, a w przypadku
odpowiedzi przeczącej poproszono o przesłanie przeprowadzonej analizy przedmiotowego naruszenia, a także
o udzielenie informacji, czy został wyznaczony inspektor ochrony danych, a jeżeli tak, to czy administrator
konsultował z inspektorem ochrony danych możliwość zgłoszenia naruszenia organowi nadzorczemu.
W odpowiedzi na powyższe, Fundacja stwierdziła, iż nie zgłaszała organowi nadzorczemu naruszenia i nie ma
wyznaczonego w swojej organizacji inspektora ochrony danych. Ponadto Fundacja wskazała, że dokonana analiza
naruszenia dała ocenę jego wagi na poziomie niskim. Na jej podstawie Fundacja uznała, iż nie doszło do naruszenia
skutkującego koniecznością zawiadomienia Prezesa UODO.
Prezes UODO wszczął wobec Fundacji postępowanie administracyjne i wezwał do udzielenia dodatkowych
informacji: gdzie konkretnie znajdowały się teczki z danymi osobowymi, czy w przypadku niezabezpieczenia
dokumentacji zgodnie z przyjętymi w organizacji zasadami, ustalono osoby odpowiedzialne za naruszenie, czy jest
opracowana i wdrożona polityka bezpieczeństwa, a jeżeli tak, to w jaki sposób administrator monitoruje
przestrzeganie tych zasad przez pracowników, czy w dniu kradzieży dokumentów zawierających dane osobowe
zabezpieczenia były sprawne/działające, użyte zgodnie ze swoim przeznaczeniem (drzwi wejściowe oraz do
pozostałych pomieszczeń zamknięte na klucz), uruchomione (monitoring, alarm), jakie przepisy regulują okres
przechowywania lub też jego brak, akt osobowych osób, które korzystały z pomocy Fundacji, ewentualnie jakie
zostały ustalone przez administratora kryteria okresu przechowywania danych osobowych, jakie obywatelstwo
posiadały osoby, niemające numeru ewidencyjnego PESEL, których dane zostały utracone oraz zwrócono się
o przesłanie analizy naruszenia uwzględniającej wszelkie kryteria wzięte przez administratora pod uwagę przy
ostatecznej ocenie naruszenia praw i wolności osób fizycznych.



Uzasadnienie z decyzji Prezesa UODO
Przede wszystkim nie ulega wątpliwości, że w omawianej sprawie wystąpiło naruszenie bezpieczeństwa prowadzące
do przypadkowego utracenia oraz nieuprawnionego dostępu do danych osobowych przetwarzanych przez Fundację,
a zatem doszło do naruszenia ochrony danych osobowych.
Nie bez znaczenia dla oceny sytuacji pozostaje fakt, iż Fundacja nie jest w stanie dokładnie wskazać kategorii
danych osobowych zawartych w utraconej dokumentacji, co mogło przyczynić się do niewłaściwego oszacowania
przez nią ryzyka naruszenia. Jednocześnie, ze zgromadzonego materiału dowodowego nie wynika, aby Fundacja
podejmowała jakiekolwiek działania w celu zweryfikowania faktycznego zakresu danych osobowych znajdujących się
w skradzionej dokumentacji. Brak takiej weryfikacji powoduje zwiększenie poziomu ryzyka naruszenia praw lub
wolności tych osób.
Naruszenie poufności danych, jakie wystąpiło w przedmiotowej sprawie, w związku z naruszeniem ochrony danych
osobowych polegającym na utracie danych osobowych wielu osób, jaka miała miejsce w styczniu 2020 r., na skutek
kradzieży teczek zawierających dane osobowe beneficjentów, w szczególności danych dotyczących numerów
ewidencyjnych PESEL wraz z imionami i nazwiskami, adresami korespondencyjnymi, numerami telefonów, powoduje
wysokie ryzyko naruszenia praw lub wolności osób fizycznych.
Fundacja podejmując zatem decyzję o niezawiadomieniu o naruszeniu organu nadzorczego, jak i osób, których dane
dotyczą, w praktyce pozbawiła te osoby możliwości przeciwdziałania potencjalnym szkodom. Zawiadamiając bez
zbędnej zwłoki podmiot danych, administrator umożliwia osobie podjęcie niezbędnych działań zapobiegawczych
w celu ochrony praw lub wolności przed negatywnymi skutkami naruszenia.
Co do zasady administrator powinien zawiadomić indywidualnie osoby, których dane dotyczą, o naruszeniu ochrony
danych osobowych. Jeżeli jednak Fundacja nie posiada kopii skradzionych dokumentów, nie jest w stanie ich
odtworzyć lub nie przetwarza tych danych przy użyciu systemu informatycznego, i tym samym nie jest w stanie
zidentyfikować osób, których dane dotyczą, to stosownie do art. 34 ust. 3 lit. c RODO powinna dokonać
zawiadomienia tych osób poprzez wydanie publicznego komunikatu lub zastosowanie podobnego środka, aby
w równie skuteczny sposób poinformować osoby, których dane dotyczą, o naruszeniu.
W konsekwencji należy stwierdzić, że administrator nie dokonał zgłoszenia naruszenia ochrony danych osobowych
organowi nadzorczemu oraz nie zawiadomił bez zbędnej zwłoki osób, których dane dotyczą, o naruszeniu ochrony
ich danych, zgodnie z art. 34 ust. 1 RODO, co oznacza naruszenie przez administratora tych przepisów. Decydując
o nałożeniu na Fundację administracyjnej kary pieniężnej Prezes UODO – stosownie do treści art. 83 ust. 2 lit. a– k
RODO – wziął pod uwagę następujące okoliczności sprawy.
Stwierdzone w niniejszej sprawie naruszenie ma znaczną wagę i poważny charakter, ponieważ może doprowadzić
do szkód majątkowych lub niemajątkowych dla osób, których dane zostały naruszone, a prawdopodobieństwo ich
wystąpienia jest wysokie. Wysokie ryzyko wystąpienia negatywnych konsekwencji dla osób, których dane zostały
przez Fundację utracone, a tym samym wagę naruszenia, potwierdzają okoliczności zdarzenia mającego miejsce
w styczniu 2020 r., w szczególności to, że nie było to przypadkowe zdarzenie, a celowe działanie osoby lub osób
trzecich (nieznanych ani Fundacji, ani Prezesowi UODO, ani organom ścigania prowadzącym postępowanie
w sprawie kradzieży) działających w sposób przestępny i co do których założyć należy – w związku z takim
sposobem działania – złą wolę jako motyw tego działania.
Czas trwania naruszenia przepisu art. 34 ust. 1 RODO jest w ocenie Prezesa UODO bardzo długi. Od powzięcia
przez Fundację informacji o naruszeniu ochrony danych osobowych do chwili obecnej (naruszenie nie zostało
usunięte) upłynęło piętnaście miesięcy, w trakcie których ryzyko naruszenia praw lub wolności osób dotkniętych
naruszeniem mogło się zrealizować, a czemu osoby te nie mogłyby przeciwdziałać ze względu na niewywiązanie się
przez Fundację z obowiązku powiadomienia ich o naruszeniu. Za długi Prezes UODO uznaje również czas trwania
naruszenia przepisu art. 33 ust. 1 RODO – w odpowiedzi na trzy kierowane do niej wezwania i po upływie dwunastu
miesięcy od powzięcia informacji o naruszeniu ochrony danych osobowych - udzieliła Prezesowi UODO informacji
wyczerpujących treść zgłoszenia. W niniejszej sprawie ustalono, że naruszenie dotyczyło danych osobowych wielu
osób – na skutek kradzieży teczek zawierających dane osobowe beneficjentów – to jest 96 osób, które korzystały
z pomocy prawnej w Fundacji.
Ponadto Fundacja podjęła świadomą decyzję, by nie zawiadamiać o naruszeniu Prezesa UODO, jak i osób, których
dane dotyczą, pomimo powzięcia informacji o utracie danych osobowych wielu osób na skutek kradzieży teczek
zawierających dane osobowe, lekceważąc również kierowane do niej pisma Prezesa UODO wskazujące na ciążące
na administratorze obowiązki. W niniejszej sprawie Prezes UODO uznał współpracę Fundacji za niezadowalającą.
Ocena ta dotyczy reakcji Fundacji na pisma Prezesa UODO wskazujące na obowiązki administratora.
W ocenie Prezesa UODO, zastosowana administracyjna kara pieniężna spełnia w ustalonych okolicznościach
niniejszej sprawy funkcje, o których mowa w art. 83 ust. 1 RODO, tzn. jest w tym indywidualnym przypadku
skuteczna, proporcjonalna i odstraszająca.



Komentarz
Warto wskazać, że Prezes UODO negatywnie ocenił przedstawioną przez Fundację w tej sprawie analizę ryzyka
stanowiąca załącznik do jej wyjaśnień. Dokument sprowadzał się do wydruku z kalkulatora wagi naruszeń ochrony
danych osobowych udostępnianego na stronie internetowej jednego z podmiotów świadczących usługi wsparcia
w zakresie ochrony danych osobowych. Prezes UODO wskazał, że kalkulator może stanowić co najwyżej dodatkowe
źródło pomocnicze i nie może być samodzielną podstawą podejmowania decyzji przez jakikolwiek podmiot lub
osobę, które korzystają z kalkulatora na własną odpowiedzialność.

Decyzja Prezesa UODO z 30.6.2021 r., DKN.5131.11.2020