Niedopełnienie obowiązków ochrony danych (RODO): odpowiedzialność i obrona administratora

Niedopełnienie obowiązków ochrony danych osobowych to jeden z najczęstszych powodów postępowań prowadzonych przez Prezesa Urzędu Ochrony Danych Osobowych (UODO). Odpowiedzialność może mieć trzy odrębne wymiary: administracyjny (kara pieniężna nakładana przez Prezesa UODO na podstawie art. 83 RODO), cywilny (odszkodowanie dla osoby poszkodowanej z art. 82 RODO) oraz – w cięższych przypadkach – karny (przepisy karne ustawy z 10 maja 2018 r. o ochronie danych osobowych). Dla administratora danych oznacza to, że jednego zdarzenia, na przykład wycieku bazy klientów, mogą dotyczyć równolegle trzy ścieżki. Ten artykuł wyjaśnia, jakie obowiązki najczęściej są naruszane, jak przebiega postępowanie kontrolne UODO i jakie realne argumenty obronne ma do dyspozycji administrator oraz podmiot przetwarzający (procesor).

Jakie obowiązki RODO są naruszane najczęściej

Zarzut niedopełnienia obowiązków najczęściej dotyczy: braku odpowiednich środków technicznych i organizacyjnych (art. 32 RODO – np. brak szyfrowania, brak kopii zapasowych, słabe hasła), niezgłoszenia naruszenia ochrony danych Prezesowi UODO w ciągu 72 godzin (art. 33 RODO) lub niezawiadomienia osób, których dane dotyczą (art. 34 RODO), braku realizacji praw podmiotu danych – prawa dostępu, sprostowania, usunięcia, ograniczenia czy sprzeciwu (art. 12–22 RODO), przetwarzania bez podstawy prawnej (art. 6 RODO) oraz niedopełnienia obowiązków informacyjnych (art. 13–14 RODO). Odrębną kategorią jest niewyznaczenie inspektora ochrony danych (IOD) tam, gdzie jest obowiązkowy (art. 37 RODO), oraz brak rejestru czynności przetwarzania (art. 30 RODO). Praktyczny wniosek: zanim ocenisz ryzyko kary, ustal precyzyjnie, który artykuł RODO miałby być naruszony – bo od tego zależy linia obrony.

Jak przebiega kontrola i postępowanie przed UODO

Postępowanie zwykle zaczyna się od skargi osoby, której dane dotyczą (art. 77 RODO), zgłoszenia naruszenia przez samego administratora albo od kontroli wszczętej z urzędu. Kontrolerzy UODO mają prawo wstępu do pomieszczeń, wglądu w dokumenty i systemy informatyczne oraz żądania wyjaśnień. Po kontroli sporządzany jest protokół, do którego administrator może wnieść zastrzeżenia – to pierwszy moment, w którym warto zaangażować prawnika. Następnie Prezes UODO prowadzi postępowanie administracyjne (na zasadach Kodeksu postępowania administracyjnego oraz ustawy z 10 maja 2018 r. o ochronie danych osobowych) i może wydać decyzję: upomnienie, nakaz dostosowania przetwarzania do przepisów, ograniczenie lub zakaz przetwarzania albo administracyjną karę pieniężną (art. 58 i art. 83 RODO). Kluczowe jest aktywne uczestnictwo: składanie pism, dowodów i wyjaśnień w terminie, bo bierność administratora jest interpretowana na jego niekorzyść.

Wysokość kar i kryteria ich wymierzania

RODO przewiduje dwa pułapy administracyjnych kar pieniężnych. Za lżejsze naruszenia (m.in. art. 25–39 – bezpieczeństwo, zgłaszanie naruszeń, IOD) kara wynosi do 10 mln euro lub 2 proc. rocznego światowego obrotu. Za cięższe (m.in. naruszenie zasad przetwarzania z art. 5–7 i praw podmiotów danych z art. 12–22) – do 20 mln euro lub 4 proc. obrotu (art. 83 ust. 4–5 RODO). To są jednak maksima, a nie kary automatyczne. Prezes UODO ustala wysokość kary, ważąc kryteria z art. 83 ust. 2 RODO: charakter, wagę i czas trwania naruszenia, jego umyślny lub nieumyślny charakter, działania podjęte w celu zminimalizowania szkody, stopień współpracy z organem, kategorie danych, których dotyczy naruszenie, oraz wcześniejsze naruszenia. Każdy z tych czynników jest jednocześnie potencjalnym argumentem łagodzącym, jeśli go udokumentujesz.

Linie obrony administratora i podmiotu przetwarzającego

Skuteczna obrona w sprawie o niedopełnienie obowiązków opiera się na faktach i dokumentach, nie na deklaracjach. Najczęstsze argumenty: (1) wykazanie, że wdrożono adekwatne środki techniczne i organizacyjne odpowiadające ryzyku (analiza ryzyka, polityki bezpieczeństwa, szkolenia, testy) – RODO wymaga środków "odpowiednich", nie absolutnej skuteczności; (2) wykazanie braku winy lub winy nieumyślnej oraz natychmiastowej reakcji po wykryciu incydentu; (3) podważenie kwalifikacji zdarzenia jako naruszenia ochrony danych w rozumieniu art. 4 pkt 12 RODO; (4) wskazanie, że konkretny obowiązek spoczywał na podmiocie przetwarzającym, a granice odpowiedzialności reguluje umowa powierzenia z art. 28 RODO; (5) zarzuty proceduralne – przekroczenie zakresu kontroli, naruszenie prawa do czynnego udziału w postępowaniu, błędy w ustaleniu stanu faktycznego. Warto też udokumentować współpracę z UODO i wprowadzone środki naprawcze, bo to bezpośrednio obniża karę na podstawie art. 83 ust. 2 RODO.

Odpowiedzialność cywilna: roszczenie o odszkodowanie z art. 82 RODO

Niezależnie od postępowania przed UODO osoba, która poniosła szkodę majątkową lub niemajątkową, może wystąpić z pozwem cywilnym o odszkodowanie i zadośćuczynienie (art. 82 RODO, art. 79 RODO). Charakterystyczny jest tu odwrócony ciężar dowodu: to administrator lub podmiot przetwarzający musi udowodnić, że w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do szkody (art. 82 ust. 3 RODO). Dla obrony oznacza to konieczność zgromadzenia dowodów należytej staranności jeszcze przed procesem. Powód musi jednak wykazać samą szkodę i związek przyczynowy z naruszeniem – Trybunał Sprawiedliwości UE wyjaśnił, że samo naruszenie RODO nie rodzi automatycznie prawa do odszkodowania, jeśli nie doszło do rzeczywistej szkody. To istotna linia obrony przed roszczeniami opartymi wyłącznie na hipotetycznym "poczuciu zagrożenia".

Odpowiedzialność karna za naruszenia związane z danymi

Najpoważniejsze naruszenia mogą skutkować odpowiedzialnością karną na podstawie ustawy z 10 maja 2018 r. o ochronie danych osobowych. Art. 107 tej ustawy przewiduje grzywnę, karę ograniczenia wolności albo pozbawienia wolności do lat dwóch za przetwarzanie danych bez podstawy prawnej lub wbrew dopuszczalności przetwarzania; przy danych szczególnych kategorii (art. 9 RODO – m.in. dane o zdrowiu, poglądach, danych biometrycznych) zagrożenie sięga do 3 lat. Art. 108 ustawy penalizuje udaremnianie lub utrudnianie kontroli prowadzonej przez UODO (grzywna, ograniczenie wolności albo pozbawienie wolności do lat dwóch). Dlatego utrudnianie czynności kontrolnych jest jednym z najgorszych możliwych posunięć – zamiast pomóc, generuje nowy, samodzielny zarzut karny. W razie zarzutów karnych obrona przebiega według Kodeksu postępowania karnego i wymaga osobnej strategii.

Praktyczne kroki: od incydentu do zamknięcia sprawy

Gdy dojdzie do incydentu, działaj w ustalonej kolejności. Po pierwsze: zabezpiecz dowody i opanuj naruszenie technicznie (odetnij dostęp, zmień hasła, przywróć dane z kopii). Po drugie: oceń, czy naruszenie wymaga zgłoszenia do UODO w ciągu 72 godzin (art. 33 RODO) i czy trzeba zawiadomić osoby (art. 34 RODO) – brak zgłoszenia bywa surowiej oceniany niż sam incydent. Po trzecie: sporządź wewnętrzną dokumentację naruszenia (obowiązkową na mocy art. 33 ust. 5 RODO). Po czwarte: skonsultuj się z IOD i prawnikiem przed złożeniem wyjaśnień Prezesowi UODO – nieprzemyślane pismo potrafi przesądzić o wyniku. Po piąte: jeśli zapadnie niekorzystna decyzja, przysługuje skarga do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od jej doręczenia (art. 78 RODO), a od wyroku WSA – skarga kasacyjna do Naczelnego Sądu Administracyjnego.