Milionowe kary dla spółdzielni za naruszenie RODO

Sprawa, opisywana przez „Rzeczpospolitą”, zaczęła się od poważnego incydentu z danymi osobowymi. Olsztyńska spółdzielnia mieszkaniowa udostępniła nieuprawnionej osobie informacje pozwalające zidentyfikować jednego z mieszkańców. Wśród ujawnionych danych znalazły się jego imię i nazwisko, numer PESEL oraz adres zamieszkania. Co więcej, informacje przez około 50 dni były dostępne w internecie. Urząd Ochrony Danych Osobowych uznał, że skala naruszenia stwarzała wysokie ryzyko dla praw i wolności osoby, której dane dotyczyły. Spółdzielnia nie zgłosiła jednak incydentu organowi nadzorczemu ani nie zawiadomiła poszkodowanego mieszkańca. UODO nałożył na nią karę w wysokości 52 tys. zł.

Spór nie dotyczył tylko samego naruszenia

Kluczowe pytanie pojawiło się jednak przy ustalaniu maksymalnego poziomu kary. Spółdzielnia argumentowała, że nie powinna być traktowana jak przedsiębiorca, ponieważ jej charakter prawny i cel działalności są inne niż w przypadku typowej firmy. Takiego stanowiska nie podzielił ostatecznie NSA. Wcześniej Wojewódzki Sąd Administracyjny przychylił się do argumentacji spółdzielni i uznał, że jej status prawny różni się od statusu przedsiębiorstwa. NSA przyjął jednak szerszą, funkcjonalną interpretację pojęcia przedsiębiorstwa stosowanego w prawie unijnym.

Może Cię zainteresuje: Czy trudno jest odzyskać lokal od nieuczciwych najemców?

Liczy się działalność, a nie forma prawna

Jak wskazał NSA, dla oceny, czy dany podmiot jest przedsiębiorstwem w rozumieniu przepisów RODO, znaczenie ma przede wszystkim to, czy prowadzi działalność gospodarczą. Nie decyduje natomiast jego forma prawna ani to, czy działa w celu osiągania zysku. W konsekwencji spółdzielnie mieszkaniowe mogą podlegać takim samym zasadom nakładania administracyjnych kar pieniężnych za naruszenia RODO jak przedsiębiorcy. To istotna zmiana z punktu widzenia spółdzielni, które dotychczas mogły argumentować, że ich szczególny, społeczny charakter przemawia za łagodniejszym traktowaniem.

Kara może być wielokrotnie wyższa

Konsekwencje tego stanowiska są poważne. W przypadku podmiotów objętych pełnym reżimem sankcji RODO maksymalna kara może sięgać 20 mln euro albo w przypadku przedsiębiorstwa 4 proc. całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa. Dla spółdzielni oznacza to konieczność znacznie poważniejszego podejścia do ochrony danych mieszkańców. Jednocześnie sam wyrok nie oznacza, że każda spółdzielnia za naruszenie RODO automatycznie otrzyma wielomilionową karę. Wysokość sankcji zależy od okoliczności konkretnej sprawy, charakteru naruszenia oraz tego, w jaki sposób administrator wywiązywał się ze swoich obowiązków.

Przeczytaj także: Jak mieszkanie to tylko z parkingiem

NSA zwrócił uwagę na skalę zaniedbania

W analizowanej sprawie szczególnie istotny był nie tylko sam fakt ujawnienia danych, ale również czas trwania naruszenia. Informacje mieszkańca pozostawały dostępne w internecie przez około 50 dni. Zdaniem sądu świadczyło to o wyjątkowej niefrasobliwości osób odpowiedzialnych za ochronę danych w spółdzielni. To właśnie takie zachowanie może mieć znaczenie przy ocenie dotkliwości sankcji. RODO wymaga bowiem nie tylko wdrożenia odpowiednich zabezpieczeń, ale również szybkiego reagowania, gdy dojdzie do incydentu.

Spółdzielnie powinny przejrzeć swoje procedury

Eksperci cytowani przez „Rzeczpospolitą” wskazują, że wyrok powinien być dla spółdzielni sygnałem do sprawdzenia, czy stosowane przez nie procedury rzeczywiście chronią dane mieszkańców. Dotyczy to przede wszystkim sposobu udostępniania dokumentów i informacji, kontroli dostępu, reagowania na incydenty oraz ich dokumentowania.

Kary za naruszenia RODO powinny być „skuteczne i odstraszające”. Ich wysokość nie zależy jednak wyłącznie od rodzaju naruszenia. Znaczenie ma również to, jak administrator realizował swoje obowiązki i jak zareagował na stwierdzony problem. Dla spółdzielni mieszkaniowych wniosek z wyroku jest więc prosty: status podmiotu działającego w szczególnym reżimie prawnym nie chroni przed wysokimi karami za zaniedbania związane z ochroną danych osobowych.

Źródło: portalsamorzadowy.pl