Maksymalna kara za naruszenie RODO - ile wynosi i od czego zależy?

RODO, czyli ogólne rozporządzenie o ochronie danych (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679), wprowadziło jeden z najsurowszych systemów kar finansowych w prawie europejskim. Maksymalna administracyjna kara pieniężna może wynieść do 20 milionów euro albo do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego - w zależności od tego, która kwota jest wyższa. W Polsce organem nadzorczym egzekwującym te przepisy jest Prezes Urzędu Ochrony Danych Osobowych (UODO). W tym artykule wyjaśniamy, jakie są dwa progi kar, od czego zależy ich wysokość, ile realnie wynoszą polskie kary, jakie limity dotyczą sektora publicznego oraz jak zorganizować zgodność, by uniknąć sankcji.

Dwa progi kar administracyjnych w RODO

Art. 83 RODO przewiduje dwa poziomy maksymalnych kar, w zależności od tego, który przepis został naruszony. Niższy próg - do 10 milionów euro lub do 2% rocznego światowego obrotu (art. 83 ust. 4 RODO) - dotyczy naruszeń obowiązków o charakterze raczej organizacyjno-technicznym: m.in. obowiązków administratora i podmiotu przetwarzającego (art. 8, 11, 25-39, 42 i 43 RODO), w tym bezpieczeństwa przetwarzania, prowadzenia rejestru czynności, zgłaszania naruszeń i powołania inspektora ochrony danych. Wyższy próg - do 20 milionów euro lub do 4% obrotu (art. 83 ust. 5 RODO) - obejmuje naruszenia podstawowych zasad i praw: zasad przetwarzania (art. 5), warunków legalności i zgody (art. 6, 7, 9), praw osób, których dane dotyczą (art. 12-22) oraz zasad transferu danych do państw trzecich (art. 44-49). W każdym przypadku stosuje się kwotę wyższą spośród wartości kwotowej i procentu obrotu.

Od czego zależy wysokość kary

Kara nie jest nakładana automatycznie w maksymalnej wysokości - art. 83 ust. 2 RODO wymienia kryteria, które organ nadzorczy musi rozważyć. Należą do nich: charakter, waga i czas trwania naruszenia oraz liczba poszkodowanych osób i rozmiar poniesionej przez nie szkody; umyślny lub nieumyślny charakter naruszenia; działania podjęte w celu zminimalizowania szkody; stopień odpowiedzialności z uwzględnieniem wdrożonych środków technicznych i organizacyjnych; wszelkie wcześniejsze naruszenia; stopień współpracy z organem nadzorczym; kategorie danych objętych naruszeniem (szczególnie dane wrażliwe z art. 9 RODO) oraz sposób, w jaki organ dowiedział się o naruszeniu. W praktyce proaktywna postawa - szybkie zgłoszenie, współpraca z UODO, naprawienie skutków - może istotnie obniżyć karę. Kara ma być, zgodnie z art. 83 ust. 1 RODO, skuteczna, proporcjonalna i odstraszająca.

Limity kar dla sektora publicznego w Polsce

Polski ustawodawca skorzystał z możliwości złagodzenia kar dla podmiotów publicznych. Zgodnie z art. 102 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, Prezes UODO może nałożyć na jednostki sektora finansów publicznych, instytuty badawcze oraz Narodowy Bank Polski administracyjną karę pieniężną w wysokości do 100 000 zł. Dla państwowych i samorządowych instytucji kultury limit ten jest jeszcze niższy i wynosi do 10 000 zł. To istotne odstępstwo od zasad ogólnych RODO - milionowe kary liczone od obrotu dotyczą przede wszystkim przedsiębiorców, a nie urzędów. Nie oznacza to jednak bezkarności sektora publicznego: poza karą finansową Prezes UODO dysponuje pełnym katalogiem środków naprawczych, a urzędy bywają karane np. za niezgłoszenie naruszenia czy brak odpowiednich zabezpieczeń.

Najwyższe kary nałożone w Polsce - przykłady

Praktyka decyzyjna Prezesa UODO pokazuje, że kary potrafią być dotkliwe. Do najgłośniejszych decyzji należą m.in. kara nałożona na sklep internetowy Morele.net (pierwotnie ok. 2,8 mln zł, w toku postępowań sądowych kwota była weryfikowana), kara dla Fortum Marketing and Sales Polska w wysokości ponad 4,9 mln zł (związana z naruszeniem przy udziale podmiotu przetwarzającego), kara dla spółki z sektora telekomunikacyjnego za niewystarczające zabezpieczenia (ok. 1,6 mln zł) oraz kara dla ID Finance Poland. Najwyższą jak dotąd karą w Polsce była sankcja nałożona na Pocztę Polską (ok. 27 mln zł). Należy pamiętać, że część decyzji UODO bywa uchylana lub korygowana przez sądy administracyjne (WSA, NSA), dlatego konkretne kwoty należy weryfikować w aktualnych rejestrach decyzji. Wniosek jest jednak stały: brak realnych zabezpieczeń i lekceważenie obowiązków informacyjnych są karane najsurowiej.

Jak przebiega postępowanie i nakładanie kary

Postępowanie przed Prezesem UODO toczy się w trybie Kodeksu postępowania administracyjnego. Może zostać wszczęte z urzędu (np. po skardze osoby, której dane dotyczą, lub po zgłoszeniu naruszenia ochrony danych). Organ może przeprowadzić kontrolę, zażądać dokumentów i wyjaśnień, a podmiot ma prawo przedstawić swoje stanowisko przed wydaniem decyzji (zasada czynnego udziału strony). Kara pieniężna może być orzeczona samodzielnie albo łącznie ze środkami naprawczymi z art. 58 ust. 2 RODO (upomnienie, nakaz dostosowania przetwarzania, ograniczenie lub zakaz przetwarzania). Od decyzji Prezesa UODO przysługuje skarga do Wojewódzkiego Sądu Administracyjnego w Warszawie, a następnie skarga kasacyjna do Naczelnego Sądu Administracyjnego. Warto pamiętać, że wniesienie skargi co do zasady nie wstrzymuje wykonania decyzji, chyba że sąd postanowi inaczej.

Sankcje niefinansowe i środki naprawcze

Kara pieniężna to nie jedyne narzędzie organu nadzorczego. Art. 58 ust. 2 RODO daje Prezesowi UODO szeroki katalog uprawnień naprawczych, które bywają stosowane zamiast grzywny lub obok niej. Należą do nich: ostrzeżenia dotyczące możliwego naruszenia, upomnienia za już zaistniałe naruszenie, nakaz spełnienia żądania osoby, której dane dotyczą, nakaz dostosowania operacji przetwarzania do przepisów w określonym terminie, czasowe lub całkowite ograniczenie przetwarzania (w tym zakaz), nakaz zawiadomienia osób o naruszeniu, a nawet cofnięcie certyfikacji. W przypadku drobnych naruszeń lub gdy grzywna stanowiłaby nieproporcjonalne obciążenie dla osoby fizycznej, organ może poprzestać na upomnieniu (motyw 148 RODO). Te środki bywają dla firm równie dolegliwe co grzywna - np. zakaz przetwarzania danych może sparaliżować działalność.

Odpowiedzialność karna i cywilna - poza karą administracyjną

Naruszenie ochrony danych może rodzić odpowiedzialność wykraczającą poza karę administracyjną UODO. Po pierwsze, polska ustawa o ochronie danych osobowych przewiduje odpowiedzialność karną osób fizycznych: art. 107 przewiduje za przetwarzanie danych bez podstawy prawnej lub przez osobę nieuprawnioną karę grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2, a w przypadku danych szczególnej kategorii (wrażliwych) - do lat 3. Odpowiedzialność karną ponoszą osoby fizyczne, nie zaś organizacje jako takie. Po drugie, każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo do odszkodowania na podstawie art. 82 RODO - i prawo to nie jest ograniczone żadnym ustawowym limitem kwotowym. Roszczeń tych dochodzi się przed sądem powszechnym (cywilnym). Oznacza to, że firma może jednocześnie zapłacić karę administracyjną UODO i odpowiadać cywilnie wobec poszkodowanych osób.

Jak zorganizować zgodność i uniknąć kar

Najlepszą ochroną przed karą jest udokumentowana, realna zgodność z RODO. W praktyce warto zadbać o kilka filarów: prowadzenie rejestru czynności przetwarzania (art. 30 RODO) i mapowanie przepływów danych; wdrożenie adekwatnych środków technicznych i organizacyjnych zapewniających bezpieczeństwo (art. 32 RODO), takich jak szyfrowanie, kontrola dostępu i kopie zapasowe; przejrzyste klauzule informacyjne i prawidłowe zbieranie zgód; procedurę reagowania na naruszenia, w tym zgłaszanie do UODO w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO) oraz, gdy trzeba, zawiadamianie osób (art. 34 RODO); zawieranie umów powierzenia przetwarzania (art. 28 RODO) z podmiotami przetwarzającymi; w wymaganych przypadkach - powołanie inspektora ochrony danych (art. 37 RODO) oraz przeprowadzanie oceny skutków dla ochrony danych (DPIA, art. 35 RODO). Regularne audyty i szkolenia personelu nie tylko zmniejszają ryzyko naruszeń, ale - jako dowód proaktywności - mogą obniżyć ewentualną karę.