{\rtf1\ansi\ansicpg1252
\deff0{\fonttbl{\f0\froman\fcharset0 Times New Roman;}{\f1\froman\fcharset0 Helvetica;}{\f2\froman\fcharset0 Arial;}{\f3\froman\fcharset0 unknown;}}
{\colortbl\red0\green0\blue0;\red255\green255\blue255;\red192\green192\blue192;}
{\stylesheet 
{\style\s1 \ql\fi0\li0\ri0\f2\fs32\b\cf0 heading 1;}
{\style\s2 \ql\fi0\li0\ri0\f2\fs28\b\i\cf0 heading 2;}
{\style\s3 \ql\fi0\li0\ri0\f2\fs26\b\cf0 heading 3;}
{\style\s0 \ql\fi0\li0\ri0\f2\fs24\cf0 Normal;}
}
{\*\listtable
}
{\*\listoverridetable
}
{\info}
\paperw11907\paperh16840\margl1440\margr1120\margt1720\margb1440
{\footer \pard\plain\s0\ql\fi0\li0\ri0\plain\f0 2026-04-15 10:03\par
}{\header \trowd
\trftsWidth3\trwWidth9347\trqc\trgaph10\trpaddl0\trpaddr0\trpaddfl3\trpaddfr3
\clbrdrb\brdrs\brdrw10\brdrcf1
\clbrdrr\brdrs\brdrw10\brdrcf1
\clbrdrt\brdrs\brdrw10\brdrcf1
\clbrdrl\brdrs\brdrw10\brdrcf1
\clcbpat1
\clftsWidth3
\clwWidth7630
\cellx7630\clbrdrb\brdrs\brdrw10\brdrcf1
\clbrdrr\brdrs\brdrw10\brdrcf1
\clbrdrt\brdrs\brdrw10\brdrcf1
\clbrdrl\brdrs\brdrw10\brdrcf1
\clcbpat1
\clftsWidth3
\clwWidth1716
\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f0 Centralna Baza Orzecze\u324? S\u261?d\u243?w Administracyjnych
\cell\pard\plain\intbl\s0\qr\fi0\li0\ri0\plain\f0 Str \f3{\field{\*\fldinst PAGE}{\fldrslt  }}\f0  / \f3{\field{\*\fldinst NUMPAGES \\* Arabic}{\fldrslt 1 }}
\cell \trowd
\trftsWidth3\trwWidth9347\trqc\trgaph10\trpaddl0\trpaddr0\trpaddfl3\trpaddfr3
\clbrdrb\brdrs\brdrw10\brdrcf1
\clbrdrr\brdrs\brdrw10\brdrcf1
\clbrdrt\brdrs\brdrw10\brdrcf1
\clbrdrl\brdrs\brdrw10\brdrcf1
\clcbpat1
\clftsWidth3
\clwWidth7630
\cellx7630\clbrdrb\brdrs\brdrw10\brdrcf1
\clbrdrr\brdrs\brdrw10\brdrcf1
\clbrdrt\brdrs\brdrw10\brdrcf1
\clbrdrl\brdrs\brdrw10\brdrcf1
\clcbpat1
\clftsWidth3
\clwWidth1716
\cellx9346\row
\pard}\pgwsxn11907\pghsxn16840
\marglsxn1440\margrsxn1120\margtsxn1720\margbsxn1440\pard\plain\s0\fi0\li0\ri0\plain\f1\fs24\b III OSK 2183/22 - Wyrok\b0\par
\par\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw30\brdrcf0
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw30\brdrcf0
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Data orzeczenia\b0
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 2025-11-05
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw30\brdrcf0
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw30\brdrcf0
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Data wp\u322?ywu\b0
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 2022-09-05
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b S\u261?d\b0
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Naczelny S\u261?d Administracyjny
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b S\u281?dziowie\b0
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Artur Ku\u347? /sprawozdawca/
\par Maciej Kobak
\par Teresa Zyglewska /przewodnicz\u261?cy/
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Symbol z opisem\b0
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 647  Sprawy zwi\u261?zane z ochron\u261? danych osobowych
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Has\u322?a tematyczne\b0
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Ochrona danych osobowych
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Sygn. powi\u261?zane\b0
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 II SA/Wa 790/21
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Skar\u380?ony organ\b0
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Generalny Inspektor Ochrony Danych Osobowych
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Tre\u347?\u263? wyniku\b0
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Oddalono skarg\u281? kasacyjn\u261?
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Powo\u322?ane przepisy\b0
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Dz.U. 2024 nr 0 poz 935; art. 184; Ustawa z dnia 30 sierpnia 2002 r. Prawo o post\u281?powaniu przed s\u261?dami administracyjnymi (t. j.)
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth9346
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Sentencja\b0
\par\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs22 Dnia 5 listopada 2025 roku Naczelny S\u261?d Administracyjny w sk\u322?adzie: Przewodnicz\u261?cy: s\u281?dzia NSA Teresa Zyglewska S\u281?dziowie: s\u281?dzia NSA Artur Ku\u347? (spr.) s\u281?dzia del. WSA Maciej Kobak Protokolant: asystent s\u281?dziego Adam P\u322?usa po rozpoznaniu w dniu 5 listopada 2025 roku na rozprawie w Izbie Og\u243?lnoadministracyjnej skargi kasacyjnej M. Z. prowadz\u261?cej dzia\u322?alno\u347?\u263? gospodarcz\u261? pod firm\u261? [...] od wyroku Wojew\u243?dzkiego S\u261?du Administracyjnego w Warszawie z 24 listopada 2021 r. sygn. akt II SA/Wa 790/21 w sprawie ze skargi M. Z. prowadz\u261?cej dzia\u322?alno\u347?\u263? gospodarcz\u261? pod firm\u261? [...] na decyzj\u281? Prezesa Urz\u281?du Ochrony Danych Osobowych z 5 stycznia 2021 r. nr DKE.561.11.2020.MM.106493 w przedmiocie na\u322?o\u380?enia administracyjnej kary pieni\u281?\u380?nej 1. oddala skarg\u281? kasacyjn\u261?, 2. odst\u281?puje od zas\u261?dzenia koszt\u243?w post\u281?powania kasacyjnego w ca\u322?o\u347?ci.
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth9346
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth9346
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Uzasadnienie\b0
\par\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs22 Wojew\u243?dzki S\u261?d Administracyjny w Warszawie wyrokiem z 24 listopada 2021 r. sygn. akt II SA/Wa 790/21 oddali\u322? skarg\u281? M. Z. prowadz\u261?cej dzia\u322?alno\u347?\u263? gospodarcz\u261? pod firm\u261? [...] (dalej: "skar\u380?\u261?ca") na decyzj\u281? Prezesa Urz\u281?du Ochrony Danych Osobowych (dalej: "PUODO") z 5 stycznia 2021 r. nr DKE.561.11.2020.MM.106493 w przedmiocie na\u322?o\u380?enia administracyjnej kary pieni\u281?\u380?nej.
\par 
\par W uzasadnieniu wyroku S\u261?d I instancji przyj\u261?\u322? nast\u281?puj\u261?ce okoliczno\u347?ci faktyczne i prawne.
\par 
\par W dniu 11 lipca 2019 r. do Urz\u281?du Ochrony Danych Osobowych wp\u322?yn\u281?\u322?o zg\u322?oszenie naruszenia ochrony danych osobowych z\u322?o\u380?one przez M. Z., przedsi\u281?biorc\u281? prowadz\u261?cego dzia\u322?alno\u347?\u263? gospodarcz\u261? pod firm\u261? "[...]" we [...]. W tre\u347?ci zg\u322?oszenia strona skar\u380?\u261?ca poinformowa\u322?a, \u380?e naruszenie polega\u322?o na nieuprawnionym skopiowaniu 1 kwietnia 2019 r. danych osobowych stu pacjent\u243?w z systemu ([...]) przychodni przez by\u322?ego pracownika celem wykorzystania ich do marketingu w\u322?asnych us\u322?ug. Strona skar\u380?\u261?ca wskaza\u322?a, \u380?e naruszenie dotyczy\u322?o nast\u281?puj\u261?cych kategorii danych osobowych pacjent\u243?w: numeru PESEL, imion i nazwisk, imion rodzic\u243?w, daty urodzenia, adresu zamieszkania lub pobytu oraz numeru telefonu. Strona skar\u380?\u261?ca podnios\u322?a, \u380?e zrezygnowa\u322?a z zawiadomienia os\u243?b, kt\u243?rych dane dotycz\u261?, o naruszeniu ochrony danych osobowych, pomimo, \u380?e oceni\u322?a ryzyko naruszenia praw i wolno\u347?ci os\u243?b fizycznych na wysokie.
\par 
\par W zwi\u261?zku z powy\u380?szym, PUODO wyst\u261?pieniem z 27 sierpnia 2019 r. skierowanym do skar\u380?\u261?cej, dzia\u322?aj\u261?c na podstawie art. 52 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r., poz. 1781, dalej: "u.o.d.o.") oraz art. 34 ust. 4 rozporz\u261?dzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony os\u243?b fizycznych w zwi\u261?zku z przetwarzaniem danych osobowych i w sprawie swobodnego przep\u322?ywu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016 r. - dalej: "RODO"), wezwa\u322? skar\u380?\u261?c\u261? do niezw\u322?ocznego zawiadomienia os\u243?b, kt\u243?rych dane dotycz\u261?, o naruszeniu ochrony ich danych osobowych oraz przekazania tym osobom zalece\u324? odno\u347?nie zminimalizowania potencjalnych negatywnych skutk\u243?w zaistnia\u322?ego naruszenia. Jednocze\u347?nie, organ nadzorczy wskaza\u322? stronie skar\u380?\u261?cej przyk\u322?adowe ryzyka zwi\u261?zane z tego rodzaju naruszeniem oraz przyk\u322?adowe zalecenia co do \u347?rodk\u243?w, jakie osoby dotkni\u281?te naruszeniem mog\u261? podj\u261?\u263? celem zabezpieczenia si\u281? przed negatywnymi skutkami naruszenia.
\par 
\par W zwi\u261?zku z brakiem reakcji strony skar\u380?\u261?cej na wyst\u261?pienie organu nadzorczego z 27 sierpnia 2019 r., PUODO wszcz\u261?\u322? post\u281?powanie administracyjne w sprawie niezawiadomienia os\u243?b, kt\u243?rych dane dotycz\u261?, o naruszeniu ochrony ich danych osobowych.
\par 
\par W wyniku analizy zgromadzonego materia\u322?u dowodowego, PUODO - dzia\u322?aj\u261?c na podstawie art. 58 ust. 2 lit. e RODO - decyzj\u261? administracyjn\u261? z 26 lutego 2020 r., nr ZWAD.405.2959.2019.TCz.68126, nakaza\u322? stronie skar\u380?\u261?cej zawiadomienie os\u243?b, kt\u243?rych dane dotycz\u261? - w terminie trzech dni od dnia, w kt\u243?rym decyzja stanie si\u281? ostateczna - o naruszeniu ochrony danych osobowych w celu przekazania im informacji wymaganych zgodnie z art. 34 ust. 2 RODO, tj.:
\par 
\par a) opisu charakteru naruszenia danych osobowych,
\par 
\par b) imienia i nazwiska oraz danych kontaktowych inspektora ochrony danych osobowych lub oznaczenia innego punktu kontaktowego, od kt\u243?rego mo\u380?na uzyska\u263? wi\u281?cej informacji,
\par 
\par c) opisu mo\u380?liwych konsekwencji naruszenia ochrony danych osobowych,
\par 
\par d) opisu \u347?rodk\u243?w zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu - w tym \u347?rodk\u243?w w celu zminimalizowania jego ewentualnych skutk\u243?w.
\par 
\par Powy\u380?sza decyzja sta\u322?a si\u281? prawomocna z dniem 2 kwietnia 2020 r.
\par 
\par Nast\u281?pnie, dzia\u322?aj\u261?c w celu sprawdzenia, czy na\u322?o\u380?one powy\u380?sz\u261? decyzj\u261? z 26 lutego 2020 r. obowi\u261?zki zosta\u322?y wykonane przez stron\u281? skar\u380?\u261?c\u261?, organ nadzorczy wszcz\u261?\u322? post\u281?powanie sprawdzaj\u261?ce.
\par 
\par Pismem z 8 maja 2020 r. organ nadzorczy wezwa\u322? stron\u281? skar\u380?\u261?c\u261? do z\u322?o\u380?enia wyja\u347?nie\u324? i przedstawienia wykazu os\u243?b, kt\u243?rym przekazano informacje, o kt\u243?rych mowa w nakazie zawartym w decyzji, a tak\u380?e informacji o sposobie ich przekazania oraz dowod\u243?w na ich przekazanie (kopii dziesi\u281?ciu przyk\u322?adowych zawiadomie\u324? wraz z potwierdzeniem ich nadania). Organ nadzorczy pouczy\u322? jednocze\u347?nie stron\u281? skar\u380?\u261?c\u261?, \u380?e stwierdzenie nieprzestrzegania nakazu na\u322?o\u380?onego przez ten organ skutkowa\u263? mo\u380?e na\u322?o\u380?eniem na ni\u261? administracyjnej kary pieni\u281?\u380?nej, zgodnie z art. 83 ust. 6 RODO.
\par 
\par W odpowiedzi na powy\u380?sze pismo PUODO, strona skar\u380?\u261?ca nie przes\u322?a\u322?a \u380?\u261?danych kopii powiadomie\u324?, a jedynie pismem, kt\u243?re wp\u322?yn\u281?\u322?o do urz\u281?du 20 maja 2020 r., poinformowa\u322?a organ nadzorczy, \u380?e "Niestety mimo naszych ch\u281?ci, nie byli\u347?my w stanie takiej listy stworzy\u263?, gdy\u380? nie wiemy kt\u243?rych pacjent\u243?w dane zebra\u322? lekarz, o kt\u243?rym mowa w zawiadomieniu z\u322?o\u380?onym przez [...]. Obecnie w naszych plac\u243?wkach leczy si\u281? ponad 35 tys. os\u243?b i powiadomienie wszystkich o mo\u380?liwo\u347?ci naruszenia ich danych osobowych jest a wykonalne".
\par 
\par W dniu 1 czerwca 2020 r. organ nadzorczy skierowa\u322? do strony skar\u380?\u261?cej upomnienie, o kt\u243?rym mowa w art. 15 \u167? 1 ustawy z dna 17 czerwca 1966 r. o post\u281?powaniu egzekucyjnym w administracji (t. j. Dz. U. z 2020 r., poz. 1427 ze zm.), zawieraj\u261?ce wezwanie strony skar\u380?\u261?cej do wykonania nakazu zwartego w decyzji administracyjnej - w terminie 7 dni od dnia otrzymania wezwania - oraz do udokumentowania wykonania tego nakazu poprzez przedstawienie dowod\u243?w w postaci wykazu os\u243?b, kt\u243?re zosta\u322?y zawiadomione w zwi\u261?zku z naruszeniem ochrony ich danych osobowych, zawieraj\u261?cego informacj\u281?, w jaki spos\u243?b zawiadomienie zosta\u322?o przes\u322?ane, a tak\u380?e kopii wybranych dziesi\u281?ciu pism wraz z potwierdzeniami nadania.
\par 
\par Tego samego dnia pe\u322?nomocnik strony skar\u380?\u261?cej zosta\u322? r\u243?wnie\u380? telefonicznie poinformowany przez pracownika urz\u281?du o obowi\u261?zku wykonania nakazu decyzji PUODO i przedstawienia dowod\u243?w na jego wykonanie.
\par 
\par Pismem, kt\u243?re wp\u322?yn\u281?\u322?o do Urz\u281?du Ochrony Danych Osobowych 18 czerwca 2020 r., strona skar\u380?\u261?ca przedstawi\u322?a kopie dziesi\u281?ciu przes\u322?anych listem poleconym w dniu 10 czerwca 2020 r. zawiadomie\u324? o tre\u347?ci cyt. "Informujemy, \u380?e w roku 2019 mog\u322?o doj\u347?\u263? do naruszenia Pani/Pana danych osobowych (imi\u281?, nazwisko, nr telefonu) przez jednego z naszych lekarzy ([...]). Jednocze\u347?nie informujemy, \u380?e ta osoba w naszej klinice ju\u380? nie pracuje i toczy si\u281? przeciwko niemu post\u281?powanie wyja\u347?niaj\u261?ce. W razie pyta\u324? prosimy o kontakt z administratorem RODO w naszej plac\u243?wce: [...]@gmail.com".
\par 
\par W zwi\u261?zku z powy\u380?szym, organ nadzorczy wskaza\u322?, \u380?e przedstawione kopie zawiadomie\u324? nie zawiera\u322?y wszystkich informacji, do udzielenia kt\u243?rych zobowi\u261?zana zosta\u322?a strona skar\u380?\u261?ca nakazem zawartym w decyzji PUODO, tj. nie zawiera\u322?y informacji dotycz\u261?cych opisu charakteru naruszenia, opisu mo\u380?liwych konsekwencji naruszenia oraz opisu \u347?rodk\u243?w zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu - w tym \u347?rodk\u243?w w celu zminimalizowania jego ewentualnych skutk\u243?w.
\par 
\par W tej sytuacji, pismem z 17 lipca 2020 r. PUODO ponownie wezwa\u322? stron\u281? skar\u380?\u261?c\u261? do uzupe\u322?nienia wyja\u347?nie\u324? oraz przedstawienia dowod\u243?w dokumentuj\u261?cych wykonanie decyzji.
\par 
\par W odpowiedzi na ponowne wezwanie do z\u322?o\u380?enia wyja\u347?nie\u324? skar\u380?\u261?ca wyja\u347?ni\u322?a w wiadomo\u347?ci e-mail z 28 lipca 2020 r., \u380?e punkty zawieraj\u261?ce informacje, kt\u243?rych \u380?\u261?da\u322? organ nadzorczy w wezwaniu zosta\u322?y spe\u322?nione. Skar\u380?\u261?ca podnios\u322?a ponadto, \u380?e wskaza\u322?, i\u380? w razie pyta\u324? prosi o kontakt z administratorem RODO w plac\u243?wce prowadzonej przez skar\u380?\u261?c\u261?. Jednocze\u347?nie stwierdzi\u322?a, \u380?e nie da si\u281? tego punktu wyja\u347?ni\u263?, a ponadto wystarczy, \u380?e administrator danych wymieni\u322?, jakie dane zosta\u322?y naruszone. Skar\u380?\u261?ca poinformowa\u322?a tak\u380?e, i\u380? osoba, kt\u243?ra naruszy\u322?a dane osobowe ju\u380? nie pracuje w naszej klinice, a tak\u380?e wskaza\u322?a, \u380?e toczy si\u281? przeciwko niej post\u281?powanie wyja\u347?niaj\u261?ce. W zwi\u261?zku z powy\u380?szym, skar\u380?\u261?ca stwierdzi\u322?a, \u380?e - w jej ocenie - nie ma ju\u380? podstaw do ponownego wysy\u322?ania zawiadomie\u324? do pacjent\u243?w.
\par 
\par Organ nadzorczy uzna\u322? jednak, \u380?e z\u322?o\u380?one przez skar\u380?\u261?c\u261? powy\u380?sze wyja\u347?nienia oraz przedstawione przez ni\u261? dowody daj\u261? podstaw\u281? do stwierdzenia, i\u380? strona skar\u380?\u261?ca nie wykona\u322?a nakazu zawartego w decyzji administracyjnej Prezesa UODO z 26 lutego 2020 r.
\par 
\par W zwi\u261?zku z powy\u380?szym, pismem z 16 wrze\u347?nia 2020 r. PUODO wszcz\u261?\u322? z urz\u281?du post\u281?powanie administracyjne w przedmiocie na\u322?o\u380?enia na skar\u380?\u261?c\u261? administracyjnej kary pieni\u281?\u380?nej za nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 lit. e w zwi\u261?zku z art. 34 ust. 1 i 2 RODO. Jednocze\u347?nie, skar\u380?\u261?ca zosta\u322?a wezwana przez organ nadzorczy do przedstawienia danych finansowych w postaci sprawozdania finansowego, a w razie jego braku - o\u347?wiadczenia o wysoko\u347?ci obrotu i wyniku finansowego za 2019 r., celem ustalenia podstawy wymiaru administracyjnej kary pieni\u281?\u380?nej. W tre\u347?ci przedmiotowego pisma organ nadzorczy poinformowa\u322? tak\u380?e stron\u281? skar\u380?\u261?c\u261?, \u380?e je\u380?eli skar\u380?\u261?ca przedstawi dowody na wykonanie w ca\u322?o\u347?ci nakazu zawartego w decyzji PUODO, okoliczno\u347?\u263? ta mo\u380?e wp\u322?yn\u261?\u263? \u322?agodz\u261?co na wymiar administracyjnej kary pieni\u281?\u380?nej orzeczonej w niniejszym post\u281?powaniu lub te\u380? mo\u380?e spowodowa\u263? odst\u261?pienie od jej na\u322?o\u380?enia.
\par 
\par W odpowiedzi na powy\u380?sze pismo organu nadzorczego z 16 wrze\u347?nia 2020 r., skar\u380?\u261?ca w wiadomo\u347?ci e-mail z 24 wrze\u347?nia 2020 r. zobowi\u261?za\u322?a si\u281? do ponownego powiadomienia pacjent\u243?w, kt\u243?rych naruszenie dotyczy\u322?o.
\par 
\par W dniu 25 wrze\u347?nia 2020 r. skar\u380?\u261?ca skontaktowa\u322?a si\u281? telefonicznie z Urz\u281?dem Ochrony Danych Osobowych, prosz\u261?c o list\u281? przedstawionych przez siebie wcze\u347?niej w pi\u347?mie z 10 czerwca 2020 r. dziesi\u281?ciu zawiadomie\u324?.
\par 
\par Odnosz\u261?c si\u281? do powy\u380?szego, organ nadzorczy poinformowa\u322? skar\u380?\u261?c\u261?, \u380?e w zwi\u261?zku z obecnie prowadzonym wobec strony skar\u380?\u261?cej post\u281?powaniem w przedmiocie na\u322?o\u380?enia administracyjnej kary pieni\u281?\u380?nej za nieprzestrzeganie nakazu orzeczonego przez PUODO, skar\u380?\u261?ca zobowi\u261?zana jest przedstawi\u263? kompletne zawiadomienia os\u243?b, kt\u243?rych dane dotycz\u261?, o naruszeniu ochrony ich danych osobowych oraz list\u281? wszystkich os\u243?b, kt\u243?rych dotyczy\u322?o naruszenie wraz z potwierdzeniami wys\u322?ania zawiadomie\u324?, celem udokumentowania obowi\u261?zku wynikaj\u261?cego z nakazu zawartego w decyzji.
\par 
\par W dniu 28 wrze\u347?nia 2020 r. skar\u380?\u261?ca w wiadomo\u347?ci e-mail przes\u322?a\u322?a do Urz\u281?du Ochrony Danych Osobowych przyk\u322?adowe zawiadomienie, celem uzgodnienia jego tre\u347?ci z organem nadzorczym, a nast\u281?pnie przes\u322?ania osobom, kt\u243?rych dotyczy\u322?o naruszenie ochrony danych osobowych.
\par 
\par W zwi\u261?zku z powy\u380?szym, pracownik UODO skontaktowa\u322? si\u281? ze skar\u380?\u261?ca e-mailem 30 wrze\u347?nia 2020 r., a nast\u281?pnie telefonicznie 20 pa\u378?dziernika 2020 r., wyja\u347?niaj\u261?c stronie skar\u380?\u261?cej, \u380?e przedstawiony przez ni\u261? projekt zawiadomienia jest niekompletny. Jednocze\u347?nie, strona skar\u380?\u261?ca zosta\u322?a poinformowana, \u380?e zawiadomienie powinno wskazywa\u263? pe\u322?ny (zgodny ze zg\u322?oszeniem z 11 lipca 2019 r.) zakres danych osobowych ujawnionych w wyniku naruszenia, a tak\u380?e powinno zawiera\u263? opis mo\u380?liwych konsekwencji naruszenia ochrony danych osobowych i krok\u243?w zaradczych podj\u281?tych przez administratora. Ponadto, organ nadzorczy pouczy\u322? skar\u380?\u261?c\u261?, \u380?e przyk\u322?ady mo\u380?liwych konsekwencji i krok\u243?w zaradczych zosta\u322?y wskazane skar\u380?\u261?cej w tre\u347?ci decyzji z 26 lutego 2020 r.
\par 
\par Pismem, kt\u243?re wp\u322?yn\u281?\u322?o do Urz\u281?du Ochrony Danych Osobowych 2 listopada 2020 r., skar\u380?\u261?ca o\u347?wiadczy\u322?a, i\u380?: "Informuj\u281?, \u380?e zgodnie z wezwaniem przes\u322?anym przez Departament Kar i Egzekucji Urz\u281?du Ochrony Danych Osobowych, powiadomili\u347?my \u322?\u261?cznie 37 os\u243?b (poszkodowanych). Tyle os\u243?b ostatecznie wynika\u322?o z przeprowadzonej przez nasz dzia\u322? informatyczny analizy logowa\u324? i informacji, kt\u243?re widzia\u322? Pan D. B. Jednocze\u347?nie informuj\u281?, \u380?e s\u261? to wszystkie osoby poszkodowane w tej sprawie".
\par 
\par W za\u322?\u261?czonej do pisma li\u347?cie os\u243?b, kt\u243?rym skar\u380?\u261?ca przes\u322?a\u322?a zawiadomienia o naruszeniu ich danych osobowych, wskazano trzydzie\u347?ci siedem pozycji, przy czym dwie pozycje z listy powt\u243?rzy\u322?y si\u281?. Ponadto, do pisma skar\u380?\u261?ca za\u322?\u261?czy\u322?a: kopi\u281? wystawionej przez Poczt\u281? Polsk\u261? S.A. na rzecz skar\u380?\u261?cej faktury VAT nr [...] z 29 pa\u378?dziernika 2020 r. dokumentuj\u261?cej zakup trzydziestu siedmiu znaczk\u243?w pocztowych o warto\u347?ci 3,30 z\u322? ka\u380?dy, kopi\u281? o\u347?wiadczenia z 29 pa\u378?dziernika 2020 r. o tre\u347?ci "Potwierdzamy nadanie przez Pana [...] list\u243?w zwyk\u322?ych w ilo\u347?ci 37 sztuk" opatrzonego nieczytelnym podpisem i piecz\u281?ci\u261? o tre\u347?ci "[...]" oraz kopi\u281? niezaadresowanego przyk\u322?adowego zawiadomienia.
\par 
\par Ustosunkowuj\u261?c si\u281? do powy\u380?szego pisma strony skar\u380?\u261?cej Prezes UODO w pi\u347?mie z 19 listopada 2020 r. skierowa\u322? do skar\u380?\u261?cej wezwanie do uzupe\u322?nienia dowod\u243?w, wskazuj\u261?c w uzasadnieniu, \u380?e przes\u322?ane przez ni\u261? wyja\u347?nienia oraz dowody s\u261? niekompletne i nie daj\u261? podstawy do stwierdzenia, \u380?e strona skar\u380?\u261?ca istotnie powiadomi\u322?a osoby, kt\u243?rych dane dotycz\u261?, zgodnie z nakazem zawartym w decyzji administracyjnej PUODO z 26 lutego 2020 r. W konsekwencji, skar\u380?\u261?ca wezwana zosta\u322?a przez organ nadzorczy do uzupe\u322?nienia dowod\u243?w wykonania nakazu zawartego w decyzji, tj. do przes\u322?ania poprawnego wykazu 6 os\u243?b, kt\u243?rym zosta\u322?y przes\u322?ane zawiadomienia oraz kopii wszystkich zaadresowanych zawiadomie\u324? wraz z potwierdzeniem nadania przesy\u322?ek poleconych lub zwrotnych potwierdze\u324? odbioru - w terminie 7 dni od dnia dor\u281?czenia niniejszego pisma.
\par 
\par W odpowiedzi na powy\u380?sze wezwanie organu nadzorczego, strona skar\u380?\u261?ca w pi\u347?mie, kt\u243?re wp\u322?yn\u281?\u322?o do Urz\u281?du Ochrony Danych Osobowych 1 grudnia 2020 r., poinformowa\u322?a organ nadzorczy, \u380?e nie ma obowi\u261?zku wys\u322?ania list\u243?w poleconych i wystarczaj\u261?ce jest, je\u347?li skar\u380?\u261?ca wy\u347?le stosowne zawiadomienia listem zwyk\u322?ym, potwierdzaj\u261?c ich wysy\u322?k\u281?. Maj\u261?c to na wzgl\u281?dzie, strona skar\u380?\u261?ca uzna\u322?a tym samym, \u380?e wykona\u322?a stosowny nakaz, potwierdzaj\u261?c to faktur\u261? i za\u347?wiadczeniem pisemnym uzyskanym od pracownika poczty. Ponadto, strona skar\u380?\u261?ca stwierdzi\u322?a, \u380?e ilo\u347?\u263? zawiadomie\u324? jest poprawna, za\u347? powt\u243?rki pacjent\u243?w nie s\u261? przypadkowe, albowiem s\u261? one wynikiem tego, \u380?e dani pacjenci byli na wizycie dwukrotnie.
\par 
\par W wyniku analizy zgromadzonego materia\u322?u dowodowego, PUODO, dzia\u322?aj\u261?c na podstawie art. 104 \u167? 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks post\u281?powania administracyjnego (t. j. Dz. U. z 2020 r., poz. 256 ze zm. - dalej: "k.p.a.") oraz art. 7 ust. 1 i 2, art. 60, art. 101, art. 101a i art. 103 u.o.d.o., a tak\u380?e art. 57 ust. 1 lit. a, art. 83 ust. 1-2 i ust. 6 w zw. z art. 58 ust. 2 lit. e oraz lit. i RODO, wyda\u322? 5 stycznia 2021 r. decyzj\u281?, na podstawie kt\u243?rej stwierdzaj\u261?c niewykonanie przez stron\u281? skar\u380?\u261?c\u261? nakazu okre\u347?lonego w decyzji administracyjnej PUODO z 26 lutego 2020 r., nr ZWAD.405.2959.2019.TCz.68126, na\u322?o\u380?y\u322? na stron\u281? skar\u380?\u261?c\u261? administracyjn\u261? kar\u281? pieni\u281?\u380?n\u261? w kwocie 85.588,00 z\u322?otych.
\par 
\par W uzasadnieniu decyzji PUODO zauwa\u380?y\u322? na wst\u281?pie, \u380?e w \u347?wietle art. 57 ust. 1 RODO, ka\u380?dy organ nadzorczy m.in. monitoruje i egzekwuje stosowanie rozporz\u261?dzenia (art. 57 ust. 1 lit. a) oraz prowadzi post\u281?powania w sprawie jego stosowania (art. 57 ust. 1 lit. h). Organ nadzorczy wskaza\u322?, \u380?e instrumentami realizacji zada\u324?, o kt\u243?rych mowa w art. 57 ust. 1 RODO, s\u261? uprawnienia naprawcze przyznane moc\u261? art. 58 ust. 2 RODO, w tym w szczeg\u243?lno\u347?ci uprawnienie do nakazania administratorowi zawiadomienia osoby, kt\u243?rej dane dotycz\u261?, o naruszeniu ochrony danych osobowych (art. 58 ust. 2 lit. e), a tak\u380?e uprawnienie do zastosowania, opr\u243?cz lub zamiast innych \u347?rodk\u243?w, o kt\u243?rych mowa w art. 58 ust. 2, administracyjnej kary pieni\u281?\u380?nej na mocy art. 83 cyt. rozporz\u261?dzenia (art. 58 ust. 2 lit. i).
\par 
\par PUODO podni\u243?s\u322?, \u380?e zgodnie z art. 83 ust. 6 RODO, nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 RODO podlega administracyjnej karze pieni\u281?\u380?nej w wysoko\u347?ci do 20.000.000 EURO, a w przypadku przedsi\u281?biorstwa - w wysoko\u347?ci do 4% jego ca\u322?kowitego rocznego \u347?wiatowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wy\u380?sza.
\par 
\par Maj\u261?c na wzgl\u281?dzie ustalony w sprawie stan faktyczny, PUODO stwierdzi\u322?, \u380?e skar\u380?\u261?ca nie wykona\u322?a nakazu zawartego w decyzji administracyjnej PUODO z 26 lutego 2020 r., nr ZWAD.405.2959.2019.TCz.68126.
\par 
\par PUODO zauwa\u380?y\u322?, \u380?e prawomocn\u261? decyzj\u261? administracyjn\u261? z 26 lutego 2020 r. skar\u380?\u261?ca zobowi\u261?zana zosta\u322?a do zawiadomienia os\u243?b, kt\u243?rych dane dotycz\u261? - w terminie trzech dni od dnia, w kt\u243?rym decyzja stanie si\u281? ostateczna - o naruszeniu ich danych osobowych, kt\u243?re mia\u322?o miejsce 1 kwietnia 2019 r., w celu przekazania im informacji wymaganych zgodnie z art. 34 ust. 2 RODO:
\par 
\par a) opisu charakteru naruszenia danych osobowych,
\par 
\par b) imienia i nazwiska oraz danych kontaktowych inspektora ochrony danych osobowych lub oznaczenia innego punktu kontaktowego, od kt\u243?rego mo\u380?na uzyska\u263? wi\u281?cej informacji,
\par 
\par c) opisu mo\u380?liwych konsekwencji naruszenia ochrony danych osobowych,
\par 
\par d) opisu \u347?rodk\u243?w zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu - w tym \u347?rodk\u243?w w celu zminimalizowania jego ewentualnych skutk\u243?w.
\par 
\par PUODO wskaza\u322? w przedmiotowej decyzji administracyjnej, \u380?e w\u322?a\u347?ciwe wywi\u261?zanie si\u281? z obowi\u261?zku okre\u347?lonego w art. 34 RODO ma zapewni\u263? osobom, kt\u243?rych dane dotycz\u261?, informacj\u281? o naruszeniu ochrony ich danych osobowych wraz z opisem mo\u380?liwych konsekwencji naruszenia ochrony danych osobowych oraz \u347?rodk\u243?w, kt\u243?re mog\u261? one podj\u261?\u263? w celu zminimalizowania jego ewentualnych negatywnych skutk\u243?w.
\par 
\par PUODO uzna\u322?, \u380?e skar\u380?\u261?ca nie udowodni\u322?a - ani w trakcie post\u281?powania sprawdzaj\u261?cego wykonanie decyzji, ani w trakcie niniejszego post\u281?powania w przedmiocie na\u322?o\u380?enia na skar\u380?\u261?c\u261? administracyjnej kary pieni\u281?\u380?nej - wykonania skierowanego do niego nakazu zawartego w decyzji administracyjnej z 26 lutego 2020r.
\par 
\par Podkre\u347?li\u322?, \u380?e zgodnie ze sformu\u322?owan\u261? w art. 5 ust. 2 RODO zasad\u261? rozliczalno\u347?ci, administrator danych jest odpowiedzialny za przestrzeganie przepisu art. 5 ust. 1 (w tym m.in. tzw. zasady legalno\u347?ci) i musi by\u263? w stanie wykaza\u263? ich przestrzeganie. Organ nadzorczy wskaza\u322?, \u380?e zastosowanie zasady rozliczalno\u347?ci w niniejszej sprawie oznacza, \u380?e strona skar\u380?\u261?ca zobowi\u261?zana jest, w szczeg\u243?lno\u347?ci w post\u281?powaniu przed PUODO, udowodni\u263? wykonanie nakazu zawartego w decyzji, kt\u243?re to wykonanie by\u322?oby r\u243?wnoznaczne z przywr\u243?ceniem przetwarzania przez ni\u261? danych osobowych do stanu zgodnego z prawem.
\par 
\par PUODO uzna\u322?, \u380?e w niniejszej sprawie skar\u380?\u261?ca nie przedstawi\u322?a dowod\u243?w na wykonanie obowi\u261?zku, o kt\u243?rym mowa w art. 34 ust. 1 i 2 RODO.
\par 
\par PUODO stwierdzi\u322? bowiem, \u380?e skar\u380?\u261?ca udowodni\u322?a jedynie, przedstawiaj\u261?c kopi\u281? pocztowej ksi\u261?\u380?ki nadawczej, skierowanie 10 czerwca 2020 r. zawiadomie\u324? o naruszeniu ochrony danych osobowych do dziesi\u281?ciu os\u243?b. Tymczasem, wed\u322?ug organu nadzorczego, uzna\u263? nale\u380?y, \u380?e tre\u347?\u263? tych zawiadomie\u324? bezsprzecznie nie odpowiada wymogom przewidzianym w art. 34 ust. 2 RODO. Ponadto, wed\u322?ug organu nadzorczego, liczba owych zawiadomie\u324? jest niewielka w stosunku do wskazanej w zg\u322?oszeniu z 11 lipca 2019 r. liczby stu os\u243?b, kt\u243?rych dane naruszono (czy te\u380? liczby trzydziestu siedmiu os\u243?b wskazanej przez skar\u380?\u261?c\u261? - po sprawdzeniu - w pi\u347?mie, kt\u243?re wp\u322?yn\u281?\u322?o do Urz\u281?du Ochrony Danych Osobowych 2 listopada 2020 r.). W konsekwencji, organ nadzorczy zarzuci\u322?, \u380?e dzia\u322?ania tego w \u380?aden spos\u243?b nie mo\u380?na uzna\u263? za wykonanie nakazu wyra\u380?onego we wspomnianej wy\u380?ej decyzji PUODO.
\par 
\par Jednocze\u347?nie, organ nadzorczy uzna\u322?, \u380?e dokumenty przedstawione przez skar\u380?\u261?c\u261?, jako dow\u243?d skierowania 28 lub 29 pa\u378?dziernika 2020 r. zawiadomie\u324? do trzydziestu siedmiu os\u243?b, nie wskazuj\u261? jednoznacznie, \u380?e takie zawiadomienia rzeczywi\u347?ci zosta\u322?y skierowane do os\u243?b, kt\u243?rych dane naruszono. Zdaniem organu nadzorczego, \u347?wiadcz\u261? o tym nast\u281?puj\u261?ce okoliczno\u347?ci:
\par 
\par a) faktura VAT nr [...] z 29 pa\u378?dziernika 2020 r. dokumentuje jedynie zakup trzydziestu siedmiu znaczk\u243?w pocztowych a nie wykonanie us\u322?ugi pocztowej (dor\u281?czenie przesy\u322?ki pocztowej);
\par 
\par b) brak jest pewno\u347?ci, \u380?e o\u347?wiadczenie o tre\u347?ci "Potwierdzamy nadanie przez Pana [...][...] list\u243?w zwyk\u322?ych w ilo\u347?ci 37 sztuk" pochodzi od operatora pocztowego (brak jest wskazania firmy operatora lub jakiegokolwiek innego jego oznaczenia); o\u347?wiadczenie to jest ponadto nieweryfikowalne i w zwi\u261?zku z tym niewiarygodne - ze wzgl\u281?du na nieczytelny podpis nie mo\u380?na bowiem zidentyfikowa\u263? osoby sk\u322?adaj\u261?cej to o\u347?wiadczenie;
\par 
\par c) nawet, gdyby powy\u380?sze o\u347?wiadczenie potwierdza\u322?o fakt wys\u322?ania przez stron\u281? skar\u380?\u261?c\u261? trzydziestu siedmiu list\u243?w zwyk\u322?ych (co jak wskazano wy\u380?ej nie zachodzi), to z ca\u322?\u261? pewno\u347?ci\u261? nie mo\u380?na w oparciu o nie (nawet bior\u261?c pod uwag\u281? r\u243?wnie\u380? faktur\u281? dokumentuj\u261?c\u261? zakup znaczk\u243?w pocztowych) stwierdzi\u263?, \u380?e by\u322?y to zawiadomienia, o kt\u243?rych mowa w nakazie zawartym w decyzji PUODO, oraz, \u380?e zawiera\u322?y tre\u347?\u263? zgodn\u261? z przedstawionym przez skar\u380?\u261?c\u261? przyk\u322?adowym (niezaadresowanym) zawiadomieniem, a ostatecznie \u380?e zosta\u322?y skierowane do os\u243?b dotkni\u281?tych naruszeniem (wymienionym w sporz\u261?dzonym przez skar\u380?\u261?c\u261? wykazie).
\par 
\par Maj\u261?c na wzgl\u281?dzie powy\u380?sze, PUODO stwierdzi\u322?, \u380?e brak jest podstaw do uznania, \u380?e skar\u380?\u261?ca, jako administrator danych, wywi\u261?za\u322?a si\u281? z ci\u261?\u380?\u261?cego na niej - na mocy art. 34 ust 1 i 2 RODO - obowi\u261?zku zawiadomienia os\u243?b, kt\u243?rych dane dotycz\u261?, o naruszeniu ochrony ich danych osobowych, b\u281?d\u261?cym przedmiotem zg\u322?oszenia z 11 lipca 2019 r., i tym samym nie spos\u243?b uzna\u263?, by wykona\u322?a ona nakaz zawarty w decyzji administracyjnej organu nadzorczego z 26 lutego 2020 r., sygn. ZWAD.405.2959.2019.TCz.68126. Jednocze\u347?nie, PUODO uzna\u322?, \u380?e stan nieprzestrzegania nakazu orzeczonego przez organ nadzorczy jest aktualny na dzie\u324? wydania niniejszej decyzji.
\par 
\par PUODO wskaza\u322? tak\u380?e, \u380?e stan naruszenia przepis\u243?w RODO stanowi\u261?cego przedmiot niniejszego post\u281?powania, polegaj\u261?cy na nieprzestrzeganiu nakazu orzeczonego przez organ nadzorczy, trwa od 6 marca 2020 r., to jest od dnia nast\u281?puj\u261?cego po dniu, w kt\u243?rym up\u322?yn\u261?\u322? wyznaczony w decyzji termin na jego wykonanie. Jednocze\u347?nie, PUODO uzna\u322?, \u380?e stan naruszenia przepis\u243?w RODO, kt\u243?rego usuni\u281?ciu s\u322?u\u380?y\u263? mia\u322? nakaz zawarty w decyzji, a kt\u243?ry polega\u322? na niepoinformowaniu o naruszeniu os\u243?b, kt\u243?rych to naruszenie dotyczy\u322?o, jest zdecydowanie d\u322?u\u380?szy, albowiem trwa co najmniej od lipca 2019 r., kiedy to skar\u380?\u261?ca dokona\u322?a zg\u322?oszenia naruszenia ochrony danych osobowych.
\par 
\par Organ nadzorczy stwierdzi\u322?, \u380?e strona skar\u380?\u261?ca - pomimo prawid\u322?owego dor\u281?czenia jej decyzji nak\u322?adaj\u261?cej nakaz - w \u380?aden spos\u243?b nie pr\u243?bowa\u322?a wykona\u263? wspomnianego nakazu, a jakiekolwiek dzia\u322?ania podj\u281?\u322?a dopiero na skutek interwencji PUODO, a dzia\u322?ania owe - w ocenie organu nadzorczego - by\u322?y opiesza\u322?e i nieskuteczne, co zwi\u281?kszy\u322?o ryzyko wyst\u261?pienia po stronie os\u243?b dotkni\u281?tych naruszeniem dodatkowych szk\u243?d.
\par 
\par PUODO podkre\u347?li\u322?, \u380?e zar\u243?wno w trakcie post\u281?powania sprawdzaj\u261?cego wykonanie decyzji nak\u322?adaj\u261?cej nakaz, jak i w trakcie niniejszego post\u281?powania w przedmiocie na\u322?o\u380?enia na skar\u380?\u261?c\u261? administracyjnej kary pieni\u281?\u380?nej, pracownik Urz\u281?du Ochrony Danych Osobowych udzieli\u322? stronie skar\u380?\u261?cej szeregu wskaz\u243?wek dotycz\u261?cych wykonania nakazu, w szczeg\u243?lno\u347?ci dotycz\u261?cych prawid\u322?owego sformu\u322?owania zawiadomie\u324? i formy ich przekazania osobom zainteresowanym, a tak\u380?e sposobu udokumentowania tych czynno\u347?ci przed organem nadzorczym.
\par 
\par W tej sytuacji, jak stwierdzi\u322? organ nadzorczy, niezastosowanie si\u281? przez skar\u380?\u261?c\u261? do tych wskaz\u243?wek, a wr\u281?cz ich ignorowanie, \u347?wiadczy o ra\u380?\u261?cym lekcewa\u380?eniu przez stron\u281? skar\u380?\u261?c\u261? obowi\u261?zk\u243?w zwi\u261?zanych z ochron\u261? danych osobowych.
\par 
\par W konsekwencji, PUODO uzna\u322?, \u380?e w niniejszej sprawie zaistnia\u322?y przes\u322?anki uzasadniaj\u261?ce na\u322?o\u380?enie na skar\u380?\u261?c\u261? - na podstawie art. 83 ust. 6 RODO - administracyjnej kary pieni\u281?\u380?nej w zwi\u261?zku z nieprzestrzeganiem nakazu orzeczonego na podstawie art. 58 ust. 2 lit. e RODO.
\par 
\par PUODO wskaza\u322?, \u380?e decyduj\u261?c o na\u322?o\u380?eniu w niniejszej sprawie na skar\u380?\u261?c\u261? administracyjnej kary pieni\u281?\u380?nej oraz ustalaj\u261?c jej wysoko\u347?\u263?, wzi\u261?\u322? pod uwag\u281? nast\u281?puj\u261?ce okoliczno\u347?ci wp\u322?ywaj\u261?ce obci\u261?\u380?aj\u261?co na ocen\u281? naruszenia:
\par 
\par a) charakter, wag\u281? i czas trwania naruszenia przy uwzgl\u281?dnieniu charakteru, zakresu lub celu danego przetwarzania (art. 83 ust. 2 lit. a RODO) - organ nadzorczy podni\u243?s\u322?, \u380?e oceniaj\u261?c t\u261? okoliczno\u347?\u263? mia\u322? na wzgl\u281?dzie lekcewa\u380?enie przez skar\u380?\u261?c\u261? orzeczonego wobec niej nakazu, b\u281?d\u261?cego w istocie skonkretyzowaniem obowi\u261?zku przewidzianego przepisami RODO, co oznacza w istocie lekcewa\u380?enie przepis\u243?w o ochronie danych osobowych i roli PUODO w systemie ochrony danych osobowych okre\u347?lonym przepisami RODO; PUODO stwierdzi\u322?, \u380?e takie post\u281?powanie skar\u380?\u261?cej, jako przedsi\u281?biorcy b\u281?d\u261?cego podmiotem profesjonalnie i na du\u380?\u261? skal\u281? przetwarzaj\u261?cego dane osobowe pacjent\u243?w (w tym dane dotycz\u261?ce zdrowia, a wi\u281?c dane podlegaj\u261?ce szczeg\u243?lnej ochronie na mocy art. 9 RODO) uzna\u263? nale\u380?y za maj\u261?ce du\u380?\u261? wag\u281? i za szczeg\u243?lnie naganne; organ nadzorczy wskaza\u322? jednocze\u347?nie, \u380?e wag\u281? naruszenia zwi\u281?ksza dodatkowo okoliczno\u347?\u263?, \u380?e dokonane przez skar\u380?\u261?c\u261? naruszenie nie by\u322?o zdarzeniem jednorazowym i incydentalnym, lecz dzia\u322?aniem maj\u261?cym w niniejszej sprawie charakter ci\u261?g\u322?y i d\u322?ugotrwa\u322?y; organ nadzorczy uzna\u322?, \u380?e tak d\u322?ugi czas trwania naruszenia sprzeczny jest z ratio legis przepisu art. 34 RODO zak\u322?adaj\u261?cego, \u380?e dla zminimalizowania ryzyka powstania szk\u243?d po stronie os\u243?b dotkni\u281?tych naruszeniem, zawiadomienie o naruszeniu ich danych osobowych powinno nast\u261?pi\u263? jak najszybciej ("bez zb\u281?dnej zw\u322?oki", jak stanowi art. 34 ust. 1 RODO); organ nadzorczy zauwa\u380?y\u322? w tym miejscu, \u380?e wag\u281? naruszenia przez administratora tego obowi\u261?zku podkre\u347?lono m.in. w Wytycznych WP 253 Grupy Roboczej Art. 29 z dnia 3 pa\u378?dziernika 2017 r. w sprawie stosowania i ustalania administracyjnych kar pieni\u281?\u380?nych do cel\u243?w Rozporz\u261?dzenia 2016/679 (https://uodo.gov.pl/pl/10/13), zgodnie z kt\u243?rymi "administrator/podmiot przetwarzaj\u261?cy, kt\u243?ry wykaza\u322? si\u281? niedba\u322?o\u347?ci\u261?, gdy\u380? nie dope\u322?ni\u322? obowi\u261?zku powiadomienia lub co najmniej nie powiadomi\u322? o wszystkich szczeg\u243?\u322?ach naruszenia wskutek niepoprawnej oceny rozmiaru naruszenia, mo\u380?e wed\u322?ug organu nadzorczego zas\u322?u\u380?y\u263? na powa\u380?niejsz\u261? sankcj\u281? - innymi s\u322?owy jest ma\u322?o prawdopodobne, by takie naruszenie zosta\u322?o uznane za niewielkie";
\par 
\par b) umy\u347?lny charakter naruszenia (art. 83 ust. 2 lit. b RODO) - wskazuj\u261?c, \u380?e umy\u347?lne naruszenia s\u261? powa\u380?niejsze ni\u380? te nieumy\u347?lne, a w konsekwencji cz\u281?\u347?ciej wi\u261?\u380?\u261? si\u281? z na\u322?o\u380?eniem administracyjnej kary pieni\u281?\u380?nej; organ nadzorczy zauwa\u380?y\u322?, \u380?e strona skar\u380?\u261?ca w toku post\u281?powania ignorowa\u322?a zalecenia organu nadzorczego co do poprawnego wykonania ci\u261?\u380?\u261?cego na niej obowi\u261?zku, co wskazuje na celowe nieprzestrzeganie nakazu; PUODO podkre\u347?li\u322? jednocze\u347?nie, \u380?e na \u380?adnym etapie post\u281?powania skar\u380?\u261?ca nie przedstawi\u322?a kompletnych dowod\u243?w na wykonanie nakazu zawartego w decyzji;
\par 
\par c) niezadowalaj\u261?cy stopie\u324? wsp\u243?\u322?pracy z organem nadzorczym w celu usuni\u281?cia naruszenia oraz z\u322?agodzenia jego ewentualnych negatywnych skutk\u243?w (art. 83 ust. 2 lit. f RODO) - organ nadzorczy stwierdzi\u322?, \u380?e dokonuj\u261?c oceny wsp\u243?\u322?pracy skar\u380?\u261?cej z PUODO w toku ca\u322?ej sprawy zainicjowanej zg\u322?oszeniem przez ni\u261? w dniu 11 lipca 2019 r. naruszenia ochrony danych osobowych - uzna\u322?, \u380?e jeszcze przed zaistnieniem naruszenia, to jest przed dat\u261? 6 marca 2020 r. (dat\u261? up\u322?ywu terminu wykonania nakazu wyra\u380?onego w decyzji z dnia 26 lutego 2020 r.) strona skar\u380?\u261?ca zlekcewa\u380?y\u322?a ca\u322?kowicie zastosowane wobec niej \u347?rodki, a wi\u281?c zar\u243?wno wyst\u261?pienie PUODO z 27 sierpnia 2019 r., jak i sam\u261? decyzj\u281? PUODO z 26 lutego 2020 r.; organ nadzorczy zauwa\u380?y\u322?, \u380?e pomimo prawid\u322?owego dor\u281?czenia skar\u380?\u261?cej obu dokument\u243?w, nie podj\u281?\u322?a ona \u380?adnych dzia\u322?a\u324? celem ich wykonania; organ nadzorczy podni\u243?s\u322?, \u380?e dopiero po wszcz\u281?ciu post\u281?powania sprawdzaj\u261?cego wykonanie decyzji, jak r\u243?wnie\u380? w trakcie niniejszego post\u281?powania w przedmiocie na\u322?o\u380?enia na stron\u281? skar\u380?\u261?c\u261? administracyjnej kary pieni\u281?\u380?nej, skar\u380?\u261?ca nawi\u261?za\u322?a korespondencj\u281? z organem nadzorczym oraz podj\u281?\u322?a pewne dzia\u322?ania w celu wykonania nakazu zawartego w decyzji.
\par 
\par Ponadto, organ nadzorczy stwierdzi\u322?, \u380?e pozosta\u322?e przes\u322?anki wymiaru administracyjnej kary pieni\u281?\u380?nej wskazane w art. 83. ust. 2 RODO nie mia\u322?y wp\u322?ywu (obci\u261?\u380?aj\u261?cego lub \u322?agodz\u261?cego) na dokonan\u261? przez PUODO ocen\u281? naruszenia (w tym miejscu organ nadzorczy wymieni\u322?: stopie\u324? odpowiedzialno\u347?ci administratora z uwzgl\u281?dnieniem wdro\u380?onych \u347?rodk\u243?w technicznych i organizacyjnych, wszelkie wcze\u347?niejsze naruszenia ze strony administratora, kategorie danych osobowych, kt\u243?rych dotyczy\u322?o naruszenie, spos\u243?b w jaki organ nadzorczy dowiedzia\u322? si\u281? o naruszeniu, przestrzeganie zastosowanych w tej samej sprawie \u347?rodk\u243?w, o kt\u243?rych mowa w art. 58 ust. 2 RODO, stosowanie zatwierdzonych kodeks\u243?w post\u281?powania lub zatwierdzonych mechanizm\u243?w certyfikacji, osi\u261?gni\u281?te w zwi\u261?zku z naruszeniem korzy\u347?ci finansowe lub unikni\u281?te straty).
\par 
\par PUODO podni\u243?s\u322?, \u380?e stosownie do brzmienia art. 83 ust. 1 RODO, na\u322?o\u380?ona przez organ nadzorczy administracyjna kara pieni\u281?\u380?na powinna by\u263? w ka\u380?dym indywidualnym przypadku skuteczna, proporcjonalna i odstraszaj\u261?ca.
\par 
\par Maj\u261?c powy\u380?sze na wzgl\u281?dzie, organ nadzorczy uzna\u322?, \u380?e kara na\u322?o\u380?ona w niniejszym post\u281?powaniu na stron\u281? skar\u380?\u261?c\u261? spe\u322?nia te kryteria. PUODO stwierdzi\u322? bowiem, \u380?e na\u322?o\u380?ona niniejsz\u261? decyzj\u261? kara jest proporcjonalna do du\u380?ej wagi i nagannego charakteru stwierdzonego naruszenia. Kara ta spe\u322?ni ponadto, jak uzna\u322? organ nadzorczy, funkcj\u281? odstraszaj\u261?c\u261?, a tak\u380?e b\u281?dzie jasnym sygna\u322?em zar\u243?wno dla strony skar\u380?\u261?cej, jak i dla innych adresat\u243?w decyzji PUODO, \u380?e nieprzestrzeganie orzeczonego przez niego nakazu stanowi odr\u281?bne (niezale\u380?ne od naruszenia, kt\u243?rego usuni\u281?cie le\u380?a\u322?o u podstaw orzeczonego nakazu) naruszenie i to naruszenie o znacznej wadze.
\par 
\par W tym miejscu, organ nadzorczy wskaza\u322?, \u380?e na\u322?o\u380?enie na stron\u281? skar\u380?\u261?c\u261? administracyjnej kary pieni\u281?\u380?nej jest \u347?rodkiem, kt\u243?ry zapewni przestrzeganie nakazu orzeczonego wobec niej w drodze decyzji z 26 lutego 2020 r.
\par 
\par PUODO zauwa\u380?y\u322? jednocze\u347?nie, \u380?e wobec nieprzedstawienia przez stron\u281? skar\u380?\u261?c\u261? \u380?\u261?danych przez organ nadzorczy danych finansowych za rok 2019, ustalaj\u261?c wysoko\u347?\u263? administracyjnej kary pieni\u281?\u380?nej w niniejszej sprawie wzi\u281?to pod uwag\u281? szacunkow\u261? wielko\u347?\u263? przedsi\u281?biorstwa strony skar\u380?\u261?cej oraz specyfik\u281?, zakres i skal\u281? jej dzia\u322?alno\u347?ci. Organ nadzorczy wskaza\u322?, \u380?e w trakcie post\u281?powania ustali\u322?, i\u380? skar\u380?\u261?ca prowadzi dzia\u322?alno\u347?\u263? gospodarcz\u261? na du\u380?\u261? skal\u281? w sektorze us\u322?ug generuj\u261?cym niew\u261?tpliwie du\u380?e przychody i zyski, to jest w ochronie zdrowia. PUODO zauwa\u380?y\u322?, \u380?e z informacji przedstawionych na stronie internetowej strony skar\u380?\u261?cej (http://ortodent.wroc.pl/kontakt/) wynika, \u380?e prowadzi ona co najmniej trzy plac\u243?wki medyczne. Organ nadzorczy wskaza\u322? ponadto, \u380?e du\u380?\u261? skal\u281? dzia\u322?alno\u347?ci skar\u380?\u261?cej potwierdzi\u322? r\u243?wnie\u380? sam pe\u322?nomocnik strony skar\u380?\u261?cej w pi\u347?mie, kt\u243?re wp\u322?yn\u281?\u322?o do Urz\u281?du Ochrony Danych Osobowych 20 maja 2020 r., w kt\u243?rym stwierdzi\u322? on, \u380?e obecnie w plac\u243?wkach skar\u380?\u261?cej leczy si\u281? ponad 35 tys. os\u243?b.
\par 
\par Maj\u261?c powy\u380?sze na wzgl\u281?dzie, Prezes UODO stwierdzi\u322?, \u380?e orzeczona w niniejszej sprawie administracyjna kara pieni\u281?\u380?na nie b\u281?dzie wi\u261?za\u263? si\u281? z nadmiernym uszczerbkiem dla prowadzonej przez skar\u380?\u261?c\u261? dzia\u322?alno\u347?ci.
\par 
\par W skardze do Wojew\u243?dzkiego S\u261?du Administracyjnego w Warszawie skar\u380?\u261?ca wnios\u322?a o uchylenie zaskar\u380?onej decyzji w ca\u322?o\u347?ci oraz umorzenie post\u281?powania jako bezprzedmiotowego, ewentualnie o odst\u261?pienie od na\u322?o\u380?enia administracyjnej kary pieni\u281?\u380?nej i poprzestanie na pouczeniu, z uwagi na przedstawienie przez stron\u281? skar\u380?\u261?c\u261? dowod\u243?w potwierdzaj\u261?cych wykonanie przez ni\u261? nakazu orzeczonego przez organ nadzorczy, skar\u380?\u261?ca zarzuci\u322? organowi nadzorczemu:
\par 
\par I. naruszenie przepis\u243?w post\u281?powania, maj\u261?ce istotny wp\u322?yw na wynik post\u281?powania, w szczeg\u243?lno\u347?ci naruszenie art. 7 k.p.a. i art. 77 k.p.a., art. 79a \u167? 2 k.p.a., art. 80 k.p.a. w zw. z art. art. 86 k.p.a. w zw. z art. 10 k.p.a. oraz art. 107 \u167? 3 k.p.a. - poprzez:
\par 
\par - zaniechanie dokonania nale\u380?ytego wyja\u347?nienia stanu faktycznego sprawy i pobie\u380?ne przeprowadzenie post\u281?powania dowodowego w sprawie, bez wyja\u347?nienia przyczyn takiego post\u281?powania, czego wynikiem jest zgromadzenie niepe\u322?nego materia\u322?u dowodowego i przeprowadzenie jego dowolnej i subiektywnej oceny;
\par 
\par - brak podj\u281?cia z urz\u281?du przez organ nadzorczy czynno\u347?ci niezb\u281?dnych do wyja\u347?nienia stanu faktycznego oraz za\u322?atwienia sprawy, maj\u261?c na wzgl\u281?dzie interes spo\u322?eczny i s\u322?uszny interes obywateli, a w szczeg\u243?lno\u347?ci czynno\u347?ci zawiadomienia os\u243?b potencjalnie pokrzywdzonych naruszeniem ich danych osobowych, pomimo posiadania przez organ wszelkich danych umo\u380?liwiaj\u261?cych z urz\u281?du podj\u281?cie takich czynno\u347?ci;
\par 
\par - brak wyja\u347?nienia w\u261?tpliwo\u347?ci co do stopnia ryzyka naruszenia praw i wolno\u347?ci os\u243?b fizycznych, kt\u243?rych naruszenie dotyczy\u322?o i przyj\u281?cie, \u380?e stopie\u324? tego ryzyka by\u322? wysoki, pomimo informacji zamieszonej przez skar\u380?\u261?c\u261? w pkt. 10 "Zg\u322?oszenia naruszenia ochrony danych osobowych" z dnia 11 lipca 2019 r. , i\u380? przedsi\u281?biorca zrezygnowa\u322? z zawiadomienia w/w os\u243?b z uwagi na brak wysokiego ryzyka naruszenia ich praw i wolno\u347?ci, a w konsekwencji braku wyja\u347?nienia tej rozbie\u380?no\u347?ci - na\u322?o\u380?enie na przedsi\u281?biorc\u281? dalszych obowi\u261?zk\u243?w podj\u281?cia przez niego czynno\u347?ci, z za\u322?o\u380?eniem wysokiego stopnia ryzyka naruszenia;
\par 
\par - zaniechanie przes\u322?uchania strony skar\u380?\u261?cej, pomimo istniej\u261?cych w\u261?tpliwo\u347?ci w sprawie i niewyja\u347?nionych fakt\u243?w istotnych dla rozstrzygni\u281?cia, w tym zakresu os\u243?b podlegaj\u261?cych zawiadomieniu o naruszeniu;
\par 
\par - niewyja\u347?nienie przyczyn przyj\u281?cia maksymalnej wysoko\u347?ci na\u322?o\u380?onej kary administracyjnej oraz nieprecyzyjne wskazanie w uzasadnieniu faktycznym spornej decyzji fakt\u243?w, kt\u243?re organ uzna\u322? za udowodnione, dowod\u243?w, na kt\u243?rych si\u281? opar\u322?, a tak\u380?e przyczyn, z powodu kt\u243?rych innym dowodom odm\u243?wi\u322? wiarygodno\u347?ci i mocy dowodowej;
\par 
\par II. naruszenie zasady post\u281?powania zawartej w przepisie art. 7 k.p.a. w zw. z art. 83 RODO - poprzez naruszenie granic uznania administracyjnego w wyniku na\u322?o\u380?enia maksymalnej kary pieni\u281?\u380?nej w wysoko\u347?ci niewsp\u243?\u322?miernej do okoliczno\u347?ci sprawy i wagi naruszenia;
\par 
\par III. poczynienie wadliwych ustale\u324? faktycznych w sprawie - polegaj\u261?cych na przyj\u281?ciu, \u380?e strona skar\u380?\u261?ca nieprawid\u322?owo wykona\u322?a nakaz zawarty w decyzji administracyjnej PUODO z 26 lutego 2020 r., podczas gdy w istocie nakaz ten zosta\u322? prawid\u322?owo wykonany, o czym organ nadzorczy zosta\u322? przez przedsi\u281?biorc\u281? pisemnie powiadomiony.
\par 
\par Ponadto, strona skar\u380?\u261?ca - powo\u322?uj\u261?c si\u281? na art. 106 P.p.s.a. - wnios\u322?a o dopuszczenie i przeprowadzenie dowod\u243?w z nast\u281?puj\u261?cych dokument\u243?w:
\par 
\par - pisma z 15 stycznia 2021 r. skierowanego do PUODO wraz z potwierdzeniem nadania tego pisma,
\par 
\par - za\u322?\u261?cznik\u243?w do pisma z 15 stycznia 2021 r. skierowanego do PUODO, w tym 37 "Zawiadomie\u324? o naruszeniu RODO" wraz z dowodami ich nadania,
\par 
\par - potwierdze\u324? odbioru w/w pism,
\par 
\par - umowy o \u347?wiadczenie us\u322?ug z 18 stycznia 2021 r. zawartej z W. L., prowadz\u261?cym dzia\u322?alno\u347?\u263? gospodarcz\u261? pod nazw\u261? Ochrona Danych Osobowych W. L., pe\u322?ni\u261?cym funkcj\u281? Inspektora Ochrony Danych Osobowych (IOD) w przedsi\u281?biorstwie skar\u380?\u261?cej, celem wykazania prawid\u322?owego wykonania nakazu zawartego w decyzji administracyjnej PUODO z 26 lutego 2020 r., a tak\u380?e dzia\u322?a\u324? podj\u281?tych przez skar\u380?\u261?c\u261?, maj\u261?cych zapobiec wyst\u261?pieniu narusze\u324? w przysz\u322?o\u347?ci, a w konsekwencji w celu wykazania bezprzedmiotowo\u347?ci spornego post\u281?powania.
\par 
\par W uzasadnieniu skargi skar\u380?\u261?ca rozwin\u281?\u322?a powy\u380?sze zarzuty.
\par 
\par W odpowiedzi na skarg\u281? PUODO wni\u243?s\u322? o jej oddalenie, podtrzymuj\u261?c swoje dotychczasowe stanowisko wyra\u380?one w uzasadnieniu zaskar\u380?onej decyzji.
\par 
\par Jednocze\u347?nie, organ nadzorczy wni\u243?s\u322? o nieuwzgl\u281?dnienie wniosk\u243?w dowodowych zg\u322?oszonych przez stron\u281? skar\u380?\u261?c\u261? w tre\u347?ci skargi, ze wzgl\u281?du na brak jakiegokolwiek zwi\u261?zku wskazanych przez skar\u380?\u261?c\u261? dokument\u243?w z przedmiotem sprawy (wykonaniem nakazu PUODO, kt\u243?ry polega\u322? na zawiadomieniu os\u243?b, kt\u243?rych dane dotycz\u261?, o naruszeniu ich danych osobowych), a tak\u380?e ze wzgl\u281?du na brak znaczenia tych dowod\u243?w dla ustalenia stanu faktycznego sprawy na dzie\u324? wydania zaskar\u380?onej decyzji, tj. na dzie\u324? 5 stycznia 2021 r.
\par 
\par Powo\u322?anym na wst\u281?pie wyrokiem Wojew\u243?dzki S\u261?d Administracyjny w Warszawie oddali\u322? skarg\u281? na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. \u8211? Prawo o post\u281?powaniu przed s\u261?dami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm., dalej: "p.p.s.a.").
\par 
\par S\u261?d I instancji uzna\u322?, \u380?e PUODO, nak\u322?adaj\u261?c na skar\u380?\u261?ca administracyjn\u261? kar\u281? pieni\u281?\u380?n\u261? w wysoko\u347?ci 85.588 z\u322?otych, nie naruszy\u322? obowi\u261?zuj\u261?cych przepis\u243?w, albowiem prawid\u322?owo przyj\u261?\u322?, \u380?e w niniejszej sprawie skar\u380?\u261?ca, jako administrator danych, nie wykona\u322?a nakazu na\u322?o\u380?onego na ni\u261? decyzj\u261? administracyjn\u261? PUODO z 26 lutego 2020 r.
\par 
\par S\u261?d stwierdzi\u322?, \u380?e PUODO zasadnie przyj\u261?\u322? w uzasadnieniu zaskar\u380?onej decyzji z 5 stycznia 2021 r., \u380?e na dzie\u324? jej wydania brak jest podstaw do uznania, i\u380? skar\u380?\u261?ca, jako administrator danych, wywi\u261?za\u322?a si\u281? z ci\u261?\u380?\u261?cego na niej - na mocy art. 34 ust 1 i 2 RODO - obowi\u261?zku zawiadomienia os\u243?b, kt\u243?rych dane dotycz\u261?, o naruszeniu ochrony ich danych osobowych, b\u281?d\u261?cym przedmiotem zg\u322?oszenia z 11 lipca 2019 r. Tym samym, PUODO prawid\u322?owo uzna\u322?, \u380?e skar\u380?\u261?ca nie wykona\u322?a nakazu zawartego w decyzji administracyjnej PUODO z 26 lutego 2020 r.
\par 
\par S\u261?d nie zgodzi\u322? si\u281? przede wszystkim z postawionym przez skar\u380?\u261?c\u261? zarzutem zaniechania przez organ nadzorczy dokonania nale\u380?ytego wyja\u347?nienia stanu faktycznego sprawy i jednocze\u347?nie pobie\u380?nego przeprowadzenia post\u281?powania dowodowego w sprawie i tym samym zgromadzenia niepe\u322?nego materia\u322?u dowodowego i przeprowadzenia jego dowolnej i subiektywnej oceny.
\par 
\par Zdaniem S\u261?du, skoro decyzja z 26 lutego 2020 r. nak\u322?adaj\u261?ca na skar\u380?\u261?c\u261?, jako administratora danych, stosowny nakaz sta\u322?a si\u281? z uwagi na brak jej zaskar\u380?enia do s\u261?du administracyjnego prawomocna, to organ nadzorczy mia\u322? pe\u322?ne prawo - dzia\u322?aj\u261?c w celu sprawdzenia, czy na\u322?o\u380?one obowi\u261?zki zosta\u322?y wykonane przez skar\u380?\u261?c\u261? - wszcz\u261?\u263? stosowne post\u281?powanie sprawdzaj\u261?ce, pouczaj\u261?c jednocze\u347?nie skar\u380?\u261?c\u261?, \u380?e stwierdzenie nieprzestrzegania nakazu na\u322?o\u380?onego przez ten organ skutkowa\u263? mo\u380?e na\u322?o\u380?eniem na ni\u261? administracyjnej kary pieni\u281?\u380?nej, zgodnie z art. 83 ust. 6 RODO.
\par 
\par W ocenie S\u261?du, zebrany w sprawie materia\u322? dowodowy jest wyczerpuj\u261?cy i zosta\u322? poddany przez organ nadzorczy wszechstronnemu i wnikliwemu rozpatrzeniu, w wyniku czego dosz\u322?o do prawid\u322?owego ustalenia stanu faktycznego sprawy.
\par 
\par Prezes UODO, przeprowadzaj\u261?c wspomniane post\u281?powanie sprawdzaj\u261?ce, dokona\u322? wszelkich ocen, przy uwzgl\u281?dnieniu ca\u322?okszta\u322?tu zgromadzonego w sprawie materia\u322?u dowodowego oraz w kontek\u347?cie odpowiednio zastosowanych przepis\u243?w prawa, w tym przede wszystkim przepis\u243?w RODO oraz u.o.d.o.
\par 
\par S\u261?d I instancji wyra\u378?nie wskaza\u322?, \u380?e - wbrew sugestiom skar\u380?\u261?cej - ustalaj\u261?c stan faktyczny sprawy, Prezes UODO zobowi\u261?zany by\u322? ustali\u263? \u243?w stan na dzie\u324? wydania zaskar\u380?onej decyzji, albowiem nie m\u243?g\u322? wzi\u261?\u263? pod uwag\u281? wyja\u347?nie\u324? i dowod\u243?w przedstawionych przez skar\u380?\u261?c\u261? w pi\u347?mie opatrzonym dat\u261? 15 stycznia 2021 r. (zawieraj\u261?cym za\u322?\u261?czniki w postaci 37 pism \u8211? "Zawiadomie\u324? o naruszeniu RODO" - wraz z potwierdzeniami ich nadania listami poleconymi 18 stycznia 2021 r.), a wi\u281?c ju\u380? po wydaniu zaskar\u380?onej decyzji. Nie ulega w\u261?tpliwo\u347?ci, \u380?e pismo to z\u322?o\u380?one zosta\u322?o do akt spraw po dacie wydania zaskar\u380?onej decyzji, to jest po 5 stycznia 2021 r. Wed\u322?ug S\u261?du, przyj\u261?\u263? nale\u380?y w tej sytuacji, \u380?e przedstawienie przez skar\u380?\u261?c\u261? pe\u322?nych i wyczerpuj\u261?cych dowod\u243?w wykonania przez ni\u261? nakazu by\u322?o dopiero efektem dor\u281?czenia jej zaskar\u380?onej decyzji nak\u322?adaj\u261?cej administracyjn\u261? kar\u281? pieni\u281?\u380?n\u261?.
\par 
\par S\u261?d podkre\u347?li\u322?, \u380?e zgodnie z art. 34 ust. 1 RODO, to na administratorze danych ci\u261?\u380?y obowi\u261?zek niezw\u322?ocznego zawiadomienia podmiot\u243?w danych o naruszeniu ochrony ich danych osobowych, kt\u243?re mo\u380?e powodowa\u263? wysokie ryzyko naruszenia ich praw lub wolno\u347?ci. W tej sytuacji, za ca\u322?kowicie bezpodstawne uzna\u263? nale\u380?y sugestie skar\u380?\u261?cej jakoby powy\u380?sze dzia\u322?ania (czyli dokonanie przez PUODO - w zast\u281?pstwie skar\u380?\u261?cej, jako administratora - skutecznego zawiadomienia o naruszeniu os\u243?b, kt\u243?rych dane dotycz\u261?) mie\u347?ci\u322?y si\u281? w przys\u322?uguj\u261?cych organowi nadzorczemu, na podstawie RODO, instrumentach naprawczych, z kt\u243?rych rzekomo - jak podnios\u322?a skar\u380?\u261?ca - organ nadzorczy w spos\u243?b nieuprawniony nie skorzysta\u322?.
\par 
\par S\u261?d I instancji stwierdzi\u322?, \u380?e PUODO skorzysta\u322? z w\u322?a\u347?ciwego i jedynego przys\u322?uguj\u261?cego mu w takich przypadkach \u347?rodka (uprawnienia naprawczego), nakazuj\u261?c w drodze decyzji administracyjnej skar\u380?\u261?cej, jako administratorowi danych osobowych os\u243?b dotkni\u281?tych naruszeniem, zawiadomienie tych os\u243?b o naruszeniu ochrony ich danych osobowych.
\par 
\par S\u261?d uzna\u322? ponadto, \u380?e ca\u322?kowicie nieuprawniony w niniejszej sprawie jest zarzut braku wyja\u347?nienia przez PUODO w\u261?tpliwo\u347?ci co do stopnia ryzyka naruszenia praw i wolno\u347?ci os\u243?b fizycznych, kt\u243?rych naruszenie dotyczy\u322?o, i przyj\u281?cie, \u380?e stopie\u324? tego ryzyka by\u322? wysoki, pomimo informacji zamieszczonej przez skar\u380?\u261?c\u261? w zg\u322?oszeniu z 11 wrze\u347?nia 2019 r., w kt\u243?rej administrator danych poinformowa\u322? organ nadzorczy, i\u380? przedsi\u281?biorca zrezygnowa\u322? z zawiadomienia ww. os\u243?b z uwagi na brak wysokiego ryzyka naruszenia ich praw i wolno\u347?ci. Zdaniem S\u261?du, nie ulega w\u261?tpliwo\u347?ci, \u380?e sporna okoliczno\u347?\u263? (vide: ustalenie stopnia ryzyka zwi\u261?zanego z naruszeniem ochrony danych osobowych) nie mog\u322?a by\u263? przedmiotem post\u281?powania zako\u324?czonego wydaniem zaskar\u380?onej decyzji z 5 stycznia 2021 r., albowiem jego przedmiotem by\u322?o wy\u322?\u261?cznie rozwa\u380?enie podstaw do na\u322?o\u380?enia administracyjnej kary pieni\u281?\u380?nej w zwi\u261?zku z nieprzestrzeganiem prawomocnego nakazu orzeczonego przez PUODO we wspomnianej wy\u380?ej decyzji z 26 lutego 2020 r. S\u261?d zwr\u243?ci\u322? uwag\u281?, \u380?e wskazana okoliczno\u347?\u263? by\u322?a wzi\u281?ta pod uwag\u281? w toku post\u281?powania w przedmiocie zg\u322?oszenia naruszenia ochrony danych osobowych, kt\u243?re zako\u324?czy\u322?o si\u281? prawomocn\u261? decyzj\u261? z 26 lutego 2020 r. W tej sytuacji, strona skar\u380?\u261?ca, nie zaskar\u380?aj\u261?c tej decyzji PUODO do Wojew\u243?dzkiego S\u261?du Administracyjnego w Warszawie, zaakceptowa\u322?a dokonan\u261? w niej przez organ nadzorczy ocen\u281? ryzyka naruszenia praw i wolno\u347?ci os\u243?b dotkni\u281?tych naruszeniem. W konsekwencji S\u261?d uzna\u322?, \u380?e niedopuszczalnym jest wi\u281?c podnoszenie tej okoliczno\u347?ci w niniejszym post\u281?powaniu.
\par 
\par Skar\u380?\u261?ca wywiod\u322?a skarg\u281? kasacyjn\u261? od powy\u380?szego wyroku zarzucaj\u261?c naruszenie:
\par 
\par I. przepis\u243?w post\u281?powania, tj.:
\par 
\par 1. art. 141 \u167?4 p.p.s.a. polegaj\u261?ce na tym, \u380?e WSA w Warszawie nie odni\u243?s\u322? si\u281? do zarzutu skar\u380?\u261?cej, poczynienia wadliwych ustale\u324? faktycznych w sprawie, polegaj\u261?cych na przyj\u281?ciu, \u380?e przedsi\u281?biorca nieprawid\u322?owo wykona\u322? nakaz decyzji administracyjnej PUODO z 26 lutego 2020 r. sygn. akt ZWAD.405.2959.219.TCz68126, podczas gdy w istocie nakaz ten zosta\u322? prawid\u322?owo wykonany, o czym PUODO zosta\u322? przez przedsi\u281?biorc\u281? pisemnie powiadomiony,
\par 
\par 2. art. 145 \u167? 1 pkt 1 lit. "c" p.p.s.a. w zw. z art. 7 k.p.a. i art. 77 k.p.a. przez nieuchylenie zaskar\u380?onej decyzji PUODO z 5 stycznia 2021 r. nr DKE.561.11.2020.MM. 106493, mimo \u380?e wydaj\u261?c t\u281? decyzj\u281? organ ewidentnie nie podj\u261?\u322? wszelkich czynno\u347?ci niezb\u281?dnych do wyja\u347?nienia stanu faktycznego, w tym przede wszystkim nie przes\u322?ucha\u322? \u347?wiadka M. K. oraz strony,
\par 
\par 3. naruszenie przepisu art. 145 \u167? 1 pkt 1 lit. "c" p.p.s.a. w zw. z art. 10 \u167? 1 k.p.a. przez nieuchylenie zaskar\u380?onej decyzji, mimo \u380?e organ nie umo\u380?liwi\u322? stronie przed wydaniem decyzji wypowiedzenia si\u281? co do zebranych dowod\u243?w i materia\u322?\u243?w. Gdyby organ spe\u322?ni\u322? ten ustawowy obowi\u261?zek niew\u261?tpliwie strona wys\u322?a\u322?aby pisma "przedstawione przez skar\u380?\u261?c\u261? w pi\u347?mie opatrzonym dat\u261? 15 stycznia 2021 r.", (str. 26 wiersz 7-8 od g\u243?ry zaskar\u380?onego wyroku), jeszcze przed wydaniem zaskar\u380?onej decyzji PUODO o na\u322?o\u380?eniu administracyjnej kary pieni\u281?\u380?nej;
\par 
\par II. prawa materialnego tj.:
\par 
\par 1. art. 34 ust. 2 RODO, przez b\u322?\u281?dn\u261? jego wyk\u322?adni\u281?, \u380?e "tre\u347?\u263? tych zawiadomie\u324? bezsprzecznie nie odpowiada wymogom przewidzianym w art. 34 ust. 2 RODO", mimo \u380?e prima facie pismo opisane przez WSA w Warszawie na stronie 4 wiersz 15-21 od g\u243?ry zaskar\u380?onego wyroku, wymogi te spe\u322?nia.
\par 
\par Podnosz\u261?c powy\u380?sze zarzuty skar\u380?\u261?ca kasacyjnie wnios\u322?a o uchylenie zaskar\u380?onego wyroku przez Wojew\u243?dzki S\u261?d Administracyjny w Warszawie i zas\u261?dzenie koszt\u243?w zast\u281?pstwa adwokackiego w post\u281?powaniu ze skargi kasacyjnej a tak\u380?e op\u322?aty od skargi kasacyjnej oraz ponowne rozpoznanie sprawy przez ten S\u261?d. W przypadku, gdy WSA w Warszawie nie rozpozna skargi kasacyjnej w trybie art. 179a p.o.p.s.a. o uchylenie zaskar\u380?onego wyroku przez Naczelny S\u261?d Administracyjny w ca\u322?o\u347?ci i przekazanie sprawy do ponownego rozpoznania Wojew\u243?dzkiemu S\u261?dowi Administracyjnemu w Warszawie oraz o zas\u261?dzenie koszt\u243?w zast\u281?pstwa adwokackiego, a tak\u380?e zwrotu op\u322?aty od skargi kasacyjnej.
\par 
\par Skar\u380?\u261?ca kasacyjnie wnios\u322?a o rozpoznanie skargi kasacyjnej na rozprawie.
\par 
\par Pismem z 28 lipca 2022 r. organ z\u322?o\u380?y\u322? odpowied\u378? na skarg\u281? kasacyjn\u261? wnosz\u261?c jej oddalenie.
\par 
\par Naczelny S\u261?d Administracyjny zwa\u380?y\u322?, co nast\u281?puje.
\par 
\par 1. Stosownie do art. 183 \u167? 1 p.p.s.a., Naczelny S\u261?d Administracyjny rozpoznaje spraw\u281? w granicach skargi kasacyjnej, bior\u261?c pod rozwag\u281? z urz\u281?du jedynie niewa\u380?no\u347?\u263? post\u281?powania. W rozpoznawanej sprawie nie zachodzi \u380?adna z okoliczno\u347?ci skutkuj\u261?cych niewa\u380?no\u347?ci\u261? post\u281?powania, o jakich mowa w art. 183 \u167? 2 p.p.s.a. i nie zachodzi \u380?adna z przes\u322?anek, o kt\u243?rych mowa w art. 189 p.p.s.a., kt\u243?re Naczelny S\u261?d Administracyjny rozwa\u380?a z urz\u281?du dokonuj\u261?c kontroli zaskar\u380?onego skarg\u261? kasacyjn\u261? wyroku. W tych okoliczno\u347?ciach w sprawie badaniu podlega\u322?y wy\u322?\u261?cznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.
\par 
\par Rozpoznaj\u261?c spraw\u281? Naczelny S\u261?d Administracyjny zwi\u261?zany jest granicami skargi. Zwi\u261?zanie granicami skargi oznacza zwi\u261?zanie podstawami zaskar\u380?enia wskazanymi w skardze kasacyjnej oraz jej wnioskami. Naczelny S\u261?d Administracyjny bada przy tym wszystkie podniesione przez stron\u281? skar\u380?\u261?c\u261? kasacyjnie zarzuty naruszenia prawa (tak NSA w uchwale pe\u322?nego sk\u322?adu z 26 pa\u378?dziernika 2009 r. sygn. akt I OPS 10/09, opubl. w ONSAiWSA 2010 z. 1 poz. 1).
\par 
\par Zgodnie z art. 174 p.p.s.a. skarg\u281? kasacyjn\u261? mo\u380?na oprze\u263? na nast\u281?puj\u261?cych podstawach: 1) naruszeniu prawa materialnego przez b\u322?\u281?dn\u261? jego wyk\u322?adni\u281? lub niew\u322?a\u347?ciwe zastosowanie, a tak\u380?e 2) naruszeniu przepis\u243?w post\u281?powania, je\u380?eli uchybienie to mog\u322?o mie\u263? istotny wp\u322?yw na wynik sprawy.
\par 
\par Stosownie do art. 176 p.p.s.a. strona skar\u380?\u261?ca kasacyjnie ma obowi\u261?zek przytoczy\u263? podstawy skargi kasacyjnej wnoszonej od wyroku S\u261?du I instancji i szczeg\u243?\u322?owo je uzasadni\u263? wskazuj\u261?c, kt\u243?re przepisy ustawy zosta\u322?y naruszone, na czym to naruszenie polega\u322?o i jaki mia\u322?o wp\u322?yw na wynik sprawy. Rola Naczelnego S\u261?du Administracyjnego w post\u281?powaniu kasacyjnym ogranicza si\u281? do skontrolowania i zweryfikowania zarzut\u243?w wnosz\u261?cego skarg\u281? kasacyjn\u261?.
\par 
\par Skarga kasacyjna jest niezasadna.
\par 
\par 2. Istota sprawy sprowadza si\u281? do oceny zgodno\u347?ci z prawem wyroku S\u261?du I instancji, kt\u243?ry oddali\u322? skarg\u281? od decyzji PUODO nak\u322?adaj\u261?c na stron\u281? skar\u380?\u261?ca administracyjn\u261? kar\u281? pieni\u281?\u380?n\u261? w wysoko\u347?ci 85 588 z\u322? w zwi\u261?zku z niewykonaniem nakazu na\u322?o\u380?onego na ni\u261? decyzj\u261? administracyjn\u261? PUODO z 26 lutego 2020 r. W decyzji tej PUODO nakaza\u322? stronie skar\u380?\u261?cej zawiadomienie os\u243?b, kt\u243?rych dane dotycz\u261? (w terminie 3 dni od dnia, w kt\u243?rym decyzja stanie si\u281? ostateczna) o naruszeniu ochrony danych osobowych (polegaj\u261?cym na skopiowaniu danych osobowych 100 pacjent\u243?w z systemu przychodni przez by\u322?ego pracownika celem wykorzystania ich do marketingu w\u322?asnych us\u322?ug) w celu przekazania im informacji wymaganych zgodnie z art. 34 ust. 2 rozporz\u261?dzenia RODO. Tymczasem w niniejszej sprawie:
\par 
\par - strona skar\u380?\u261?ca udowodni\u322?a jedynie (przedstawiaj\u261?c kopi\u281? pocztowej ksi\u261?\u380?ki nadawczej) skierowanie 10 czerwca 2020 r. zawiadomie\u324? o naruszeniu ochrony danych osobowych do 10 os\u243?b;
\par 
\par - wed\u322?ug organu, tre\u347?\u263? zawiadomie\u324? nie odpowiada\u322?a wymogom przewidzianym w art. 34 ust. 2 rozporz\u261?dzenia RODO;
\par 
\par - liczba wskazanych zawiadomie\u324? by\u322?a niewielka w stosunku do wskazanej w zg\u322?oszeniu z 11 lipca 2019 r. liczby 100 os\u243?b, kt\u243?rych dane naruszono (czy te\u380? liczby 37 os\u243?b wskazanej przez skar\u380?\u261?c\u261? - po sprawdzeniu - w pi\u347?mie, kt\u243?re wp\u322?yn\u281?\u322?o do UODO w 2 listopada 2020 r.);
\par 
\par - PUODO nie m\u243?g\u322? wzi\u261?\u263? pod uwag\u281? wyja\u347?nie\u324? i dowod\u243?w przedstawionych przez skar\u380?\u261?c\u261? w pi\u347?mie opatrzonym dat\u261? 15 stycznia 2021 r. (zawieraj\u261?cym za\u322?\u261?czniki w postaci 37 pism - "Zawiadomie\u324? o naruszeniu RODO" - wraz z potwierdzeniami ich nadania listami poleconymi w dniu 18 stycznia 2021 r.), a wi\u281?c ju\u380? po wydaniu zaskar\u380?onej decyzji; pismo to z\u322?o\u380?one zosta\u322?o do akt spraw po dacie wydania zaskar\u380?onej decyzji (czyli po 5 stycznia 2021 r.);
\par 
\par - S\u261?d I instancji przyj\u261?\u322?, \u380?e przedstawienie przez skar\u380?\u261?c\u261? pe\u322?nych i wyczerpuj\u261?cych dowod\u243?w wykonania przez ni\u261? nakazu by\u322?o dopiero efektem dor\u281?czenia skar\u380?\u261?cej zaskar\u380?onej decyzji nak\u322?adaj\u261?cej administracyjn\u261? kar\u281? pieni\u281?\u380?n\u261?.
\par 
\par Podstaw\u261? prawn\u261? wydanej przez PUODO decyzji by\u322? art. 83 ust. 1-2 rozporz\u261?dzenia RODO, zgodnie z kt\u243?rym: "Ka\u380?dy organ nadzorczy zapewnia, by stosowane na mocy niniejszego artyku\u322?u za naruszenia niniejszego rozporz\u261?dzenia administracyjne kary pieni\u281?\u380?ne, o kt\u243?rych mowa w ust. 4, 5 i 6, by\u322?y w ka\u380?dym indywidualnym przypadku skuteczne, proporcjonalne i odstraszaj\u261?ce. 2. Administracyjne kary pieni\u281?\u380?ne nak\u322?ada si\u281?, zale\u380?nie od okoliczno\u347?ci ka\u380?dego indywidualnego przypadku, opr\u243?cz lub zamiast \u347?rodk\u243?w, o kt\u243?rych mowa w art. 58 ust. 2 lit. a)-h) oraz j). Decyduj\u261?c, czy na\u322?o\u380?y\u263? administracyjn\u261? kar\u281? pieni\u281?\u380?n\u261?, oraz ustalaj\u261?c jej wysoko\u347?\u263?, zwraca si\u281? w ka\u380?dym indywidualnym przypadku nale\u380?yt\u261? uwag\u281? na: a) charakter, wag\u281? i czas trwania naruszenia przy uwzgl\u281?dnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych os\u243?b, kt\u243?rych dane dotycz\u261?, oraz rozmiaru poniesionej przez nie szkody; b) umy\u347?lny lub nieumy\u347?lny charakter naruszenia; c) dzia\u322?ania podj\u281?te przez administratora lub podmiot przetwarzaj\u261?cy w celu zminimalizowania szkody poniesionej przez osoby, kt\u243?rych dane dotycz\u261?; d) stopie\u324? odpowiedzialno\u347?ci administratora lub podmiotu przetwarzaj\u261?cego z uwzgl\u281?dnieniem \u347?rodk\u243?w technicznych i organizacyjnych wdro\u380?onych przez nich na mocy art. 25 i 32; e) wszelkie stosowne wcze\u347?niejsze naruszenia ze strony administratora lub podmiotu przetwarzaj\u261?cego; f) stopie\u324? wsp\u243?\u322?pracy z organem nadzorczym w celu usuni\u281?cia naruszenia oraz z\u322?agodzenia jego ewentualnych negatywnych skutk\u243?w; g) kategorie danych osobowych, kt\u243?rych dotyczy\u322?o naruszenie; h) spos\u243?b, w jaki organ nadzorczy dowiedzia\u322? si\u281? o naruszeniu, w szczeg\u243?lno\u347?ci, czy i w jakim zakresie administrator lub podmiot przetwarzaj\u261?cy zg\u322?osili naruszenie; i) je\u380?eli wobec administratora lub podmiotu przetwarzaj\u261?cego, kt\u243?rych sprawa dotyczy, zosta\u322?y wcze\u347?niej zastosowane w tej samej sprawie \u347?rodki, o kt\u243?rych mowa w art. 58 ust. 2 - przestrzeganie tych \u347?rodk\u243?w; j) stosowanie zatwierdzonych kodeks\u243?w post\u281?powania na mocy art. 40 lub zatwierdzonych mechanizm\u243?w certyfikacji na mocy art. 42; oraz k) wszelkie inne obci\u261?\u380?aj\u261?ce lub \u322?agodz\u261?ce czynniki maj\u261?ce zastosowanie do okoliczno\u347?ci sprawy, takie jak osi\u261?gni\u281?te bezpo\u347?rednio lub po\u347?rednio w zwi\u261?zku z naruszeniem korzy\u347?ci finansowe lub unikni\u281?te straty" a tak\u380?e art. 83 ust. 5 rozporz\u261?dzenia RODO w brzmieniu: "nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 podlega na mocy ust. 2 niniejszego artyku\u322?u administracyjnej karze pieni\u281?\u380?nej w wysoko\u347?ci do 20 000 000 EUR, a w przypadku przedsi\u281?biorstwa - w wysoko\u347?ci do 4 % jego ca\u322?kowitego rocznego \u347?wiatowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wy\u380?sza". Z rozporz\u261?dzenia RODO wynika r\u243?wnie\u380? to, \u380?e: "Ka\u380?demu organowi nadzorczemu przys\u322?uguj\u261? wszystkie nast\u281?puj\u261?ce uprawnienia naprawcze: (...) e) nakazanie administratorowi zawiadomienia osoby, kt\u243?rej dane dotycz\u261?, o naruszeniu ochrony danych, i) zastosowanie, opr\u243?cz lub zamiast \u347?rodk\u243?w, o kt\u243?rych mowa w niniejszym ust\u281?pie, administracyjnej kary pieni\u281?\u380?nej na mocy art. 83, zale\u380?nie od okoliczno\u347?ci konkretnej sprawy (por. art. 58 ust. 2 lit e i lit i rozporz\u261?dzenia RODO).
\par 
\par 3. W skardze kasacyjnej zarzucono naruszenie prawa materialnego, jak i naruszenie przepis\u243?w post\u281?powania. W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepis\u243?w post\u281?powania, co do zasady w pierwszej kolejno\u347?ci rozpoznaniu podlegaj\u261? zarzuty naruszenia przepis\u243?w post\u281?powania (por. wyrok NSA z 27 czerwca 2012 r., sygn. akt II GSK 819/11, LEX nr 1217424; wyrok NSA z 26 marca 2010 r., sygn. akt II FSK 1842/08, LEX nr 596025; wyrok NSA z 4 czerwca 2014 r., sygn. akt II GSK 402/13, LEX nr 1488113; wyrok NSA z 17 lutego 2023 r., sygn. akt II GSK 1458/19; wyrok NSA z 1 marca 2023 r., sygn. akt I FSK 375/20). Dopiero bowiem po przes\u261?dzeniu, \u380?e stan faktyczny przyj\u281?ty przez s\u261?d w zaskar\u380?onym wyroku jest prawid\u322?owy, albo nie zosta\u322? dostatecznie podwa\u380?ony, mo\u380?na przej\u347?\u263? do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez s\u261?d pierwszej instancji przepis prawa materialnego. Dla uznania za usprawiedliwion\u261? podstaw\u281? kasacyjn\u261? z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepis\u243?w post\u281?powania, ale nadto wymagane jest, aby skar\u380?\u261?cy wykaza\u322?, \u380?e nast\u281?pstwa stwierdzonych wadliwo\u347?ci post\u281?powania by\u322?y tego rodzaju lub skali, i\u380? kszta\u322?towa\u322?y one lub wsp\u243?\u322?kszta\u322?towa\u322?y tre\u347?\u263? kwestionowanego w sprawie orzeczenia (por. wyrok NSA z 26 lutego 2014 r., sygn. akt II GSK 1868/12, LEX nr 1495116; wyrok NSA z 29 listopada 2022 r., sygn. akt I OSK 931/22).
\par 
\par W ramach zarzutu naruszenia przepis\u243?w post\u281?powania strona skar\u380?\u261?ca kasacyjnie wskazuje na: a) art. 141 \u167? 4 p.p.s.a. (poprzez brak odniesienia si\u281? do wszystkich zarzut\u243?w skar\u380?\u261?cej); b) art. 145 \u167? 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7 k.p.a. i art. 77 k.p.a. (poprzez brak wyja\u347?nienie stanu faktycznego); c) art. 145 \u167? 1 pkt 1 lit. c p.p.s.a. w zw. z art. 10 \u167? 1 k.p.a. (poprzez uniemo\u380?liwienie stronie przed wydaniem decyzji wypowiedzenia si\u281? co do zebranych dowod\u243?w i materia\u322?\u243?w). Z kolei w ramach naruszenia prawa materialnego skar\u380?\u261?cy kasacyjnie wskaza\u322? art. 34 ust. 2 rozporz\u261?dzenia RODO przez b\u322?\u281?dn\u261? jego wyk\u322?adni\u281?. Zdaniem NSA, ze wzgl\u281?du na tak sformu\u322?owane w skardze kasacyjnej zarzut\u243?w mo\u380?na odnie\u347?\u263? si\u281? do nich w spos\u243?b \u322?\u261?czny.
\par 
\par 3. W ocenie NSA, skarga kasacyjna nie zas\u322?uguje na uwzgl\u281?dnienie i \u380?aden z niezbyt obszernie uzasadnionych zarzut\u243?w nie m\u243?g\u322? odnie\u347?\u263? zamierzonego skutku z kilku zasadniczych powod\u243?w.
\par 
\par Po pierwsze \u8211? niezasadny jest zarzut naruszenia art. 141 \u167? 4 p.p.s.a. polegaj\u261?cy na tym, \u380?e "(...) WSA w Warszawie nie odni\u243?s\u322? si\u281? do zarzutu skar\u380?\u261?cej, poczynienia wadliwych ustale\u324? faktycznych w sprawie, polegaj\u261?cych na przyj\u281?ciu, \u380?e przedsi\u281?biorca nieprawid\u322?owo wykona\u322? nakaz decyzji administracyjnej (...) podczas gdy w istocie nakaz ten zosta\u322? prawid\u322?owo wykonany, o czym Prezes UODO zosta\u322? przez przedsi\u281?biorc\u281? pisemnie powiadomiony". Zdaniem NSA, uzasadnienie zaskar\u380?onego wyroku S\u261?du I instancji sporz\u261?dzone zosta\u322?o w spos\u243?b odpowiadaj\u261?cy art. 141 \u167? 4 p.p.s.a. Zawiera wszystkie obligatoryjne elementy takiego uzasadnienia, tj. przedstawienie stanu sprawy, przedstawienie zarzut\u243?w podniesionych w skardze, podstaw\u281? prawn\u261? rozstrzygni\u281?cia oraz jej wyja\u347?nienie. Wskaza\u263? trzeba, \u380?e S\u261?d I instancji:
\par 
\par - precyzyjnie przedstawi\u322? w cz\u281?\u347?ci historycznej uzasadnienia wyroku stan faktyczny i prawny sprawy, w tym dokonane przez PUODO ustalenia w tym zakresie i ocen\u281? prawn\u261? tego stanu;
\par 
\par - oceni\u322? i zaakceptowa\u322? stanowisko PUODO przedstawione w zaskar\u380?onej decyzji, wskazuj\u261?c na podj\u281?te przez skar\u380?\u261?c\u261? kasacyjnie przed wydaniem zaskar\u380?onej decyzji nieudane pr\u243?by wykonania nakazu okre\u347?lonego w decyzji PUODO z 26 lutego 2020 r. (s. 9- 11 uzasadnienia wyroku);
\par 
\par - prawid\u322?owo przyj\u261?\u322? po dokonaniu w\u322?asnej analizy sprawy, \u380?e ustalony przez PUODO stan faktyczny sprawy nie budzi\u322? w\u261?tpliwo\u347?ci (s. 22 uzasadnienia wyroku);
\par 
\par - wskaza\u322? na ustalenia dotycz\u261?ce wykonania nakazu ju\u380? po wydaniu zaskar\u380?onej decyzji oraz jego udokumentowanie przez skar\u380?\u261?c\u261? w skardze do WSA w Warszawie (s. 16-17 uzasadnienia wyroku);
\par 
\par - wskaza\u322?, \u380?e PUODO zobowi\u261?zany by\u322? ustali\u263? stan sprawy na dzie\u324? wydania zaskar\u380?onej decyzji, gdy\u380? nie m\u243?g\u322? wzi\u261?\u263? pod uwag\u281? wyja\u347?nie\u324? i dowod\u243?w przedstawionych przez skar\u380?\u261?c\u261? w pi\u347?mie z 15 stycznia 2021 r. (zawieraj\u261?cym za\u322?\u261?czniki w postaci 37 pism - "Zawiadomie\u324? o naruszeniu RODO" - wraz z potwierdzeniami ich nadania listami poleconymi w dniu 18 stycznia 2021 r.), a wi\u281?c ju\u380? po wydaniu zaskar\u380?onej decyzji; nie ulega w\u261?tpliwo\u347?ci, \u380?e pismo to z\u322?o\u380?one zosta\u322?o do akt spraw po dacie wydania zaskar\u380?onej decyzji nak\u322?adaj\u261?cej administracyjn\u261? kar\u281? pieni\u281?\u380?n\u261?.
\par 
\par Podsumowuj\u261?c, zarzut naruszenia przez S\u261?d I instancji art. 141 \u167? 4 p.p.s.a. jest niezasadny. Uzasadnienie zaskar\u380?onego wyroku zawiera bowiem wszystkie elementy wskazane w tym przepisie, co pozwala na dokonanie przez NSA oceny trafno\u347?ci przes\u322?anek, na kt\u243?rych opar\u322? si\u281? S\u261?d I instancji.
\par 
\par Po drugie - niezasadny jest zarzut naruszenia art. 145 \u167? 1 pkt. 1 lit. c p.p.s.a. w zw. z art. 7 k.p.a. i art. 77 k.p.a. Wskaza\u263? trzeba, \u380?e zgodnie z art. 33 ust. 5 rozporz\u261?dzenia RODO: "Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczno\u347?ci naruszenia ochrony danych osobowych, jego skutki oraz podj\u281?te dzia\u322?ania zaradcze. Dokumentacja ta musi pozwoli\u263? organowi nadzorczemu weryfikowanie przestrzegania niniejszego artyku\u322?u". Zatem to administrator musi by\u263? w stanie wykaza\u263?, \u380?e przestrzega przepis\u243?w prawa w tym zakresie. To w\u322?a\u347?nie na skar\u380?\u261?cej kasacyjnie ci\u261?\u380?y\u322? obowi\u261?zek udokumentowania dzia\u322?a\u324? zaradczych podj\u281?tych w zwi\u261?zku z naruszeniem ochrony przetwarzanych przez siebie danych osobowych, w tym dokonania zawiadomie\u324? o tym naruszeniu os\u243?b, kt\u243?rych dane dotycz\u261?. "Udokumentowanie" za\u347? polega na wytworzeniu dokument\u243?w opisuj\u261?cych ca\u322?okszta\u322?t okoliczno\u347?ci zwi\u261?zanych z naruszeniem ochrony danych osobowych, ich przechowywaniu i - w razie potrzeby - przedstawianiu ich organowi nadzorczemu weryfikuj\u261?cemu wykonanie przez administratora obowi\u261?zk\u243?w zwi\u261?zanych z powsta\u322?ym naruszeniem. Dodatkowo nale\u380?y wskaza\u263?, \u380?e zgodnie z art. 5 ust. 2 rozporz\u261?dzenia RODO: "Administrator jest odpowiedzialny za przestrzeganie przepis\u243?w ust. 1 i musi by\u263? w stanie wykaza\u263? ich przestrzeganie ("rozliczalno\u347?\u263?")". Zasada ta zwana jako "zasada rozliczalno\u347?ci" pozostawia administratorowi swobod\u281? w wyborze sposobu dokonania powiadomie\u324? os\u243?b dotkni\u281?tych naruszeniem. Ze zgromadzonego w sprawie materia\u322?u dowodowego wynika, \u380?e PUODO, w toku post\u281?powa\u324? toczonych z udzia\u322?em skar\u380?\u261?cej, udziela\u322? jej wskaz\u243?wek odno\u347?nie do prawid\u322?owego wykonania nakazu i na bie\u380?\u261?co - w oparciu o przedstawiane przez ni\u261? dokumenty - informowa\u322? j\u261? dlaczego przedstawione dokumenty nie wykazuj\u261? wykonania przez ni\u261? obowi\u261?zku (tj. nie stanowi\u261? dowodu na wykonanie tego obowi\u261?zku). Skar\u380?\u261?ca podj\u281?\u322?a pr\u243?by dokonania zawiadomie\u324? os\u243?b dotkni\u281?tych naruszeniem drog\u261? korespondencyjn\u261?, korzystaj\u261?c z us\u322?ug Poczty Polskiej. Udokumentowanie tych pr\u243?b powinno by\u263? zatem wykazane kopiami pism i standardowymi w takich przypadkach potwierdzeniami ich nadania u operatora pocztowego lub odebrania przez adresat\u243?w. Pr\u243?ba wykazania w skardze kasacyjnej, \u380?e: "Pan M. K. kupi\u322? 37 znaczk\u243?w na listy i je wys\u322?a\u322?" i zarzut braku przes\u322?uchania przez organ tej osoby na wskazan\u261? okoliczno\u347?\u263? nie mo\u380?e by\u263? potraktowana jako zarzut wskazuj\u261?cy na ra\u380?\u261?ce braki w post\u281?powaniu dowodowym prowadzonym przez organ. Jeszcze raz nale\u380?y wskaza\u263?, \u380?e to na skar\u380?\u261?cej kasacyjnie spoczywa obowi\u261?zek posiadania dokument\u243?w na wskazan\u261? okoliczno\u347?\u263? (art. 33 ust. 5 rozporz\u261?dzenia RODO) oraz obowi\u261?zek wykazania przed organem nadzorczym wykonania obowi\u261?zku (art. 5 ust. 2 rozporz\u261?dzenia RODO). Obowi\u261?zki organu administracyjnego wynikaj\u261?ce z art. 7 k.p.a. i art. 77 k.p.a. nie s\u261? bowiem nieograniczone. Na\u322?o\u380?enie na organy prowadz\u261?ce post\u281?powanie administracyjne obowi\u261?zku wyczerpuj\u261?cego zebrania i rozpatrzenia ca\u322?ego materia\u322?u dowodowego nie zwalnia bowiem stron post\u281?powania od wsp\u243?\u322?udzia\u322?u w realizacji tego obowi\u261?zku. Dotyczy to zw\u322?aszcza sytuacji, gdy nieudowodnienie okre\u347?lonych okoliczno\u347?ci faktycznych mo\u380?e prowadzi\u263? do rezultat\u243?w niekorzystnych dla stron. Dodatkowo nale\u380?y wskaza\u263?, \u380?e skar\u380?\u261?ca kasacyjnie ani w toku post\u281?powania sprawdzaj\u261?cego wykonanie decyzji ani w post\u281?powaniu w przedmiocie na\u322?o\u380?enia na ni\u261? administracyjnej kary pieni\u281?\u380?nej, b\u281?d\u261?c \u347?wiadoma, \u380?e przedstawione w post\u281?powaniach dokumenty nie wykazuj\u261? wykonania przez ni\u261? nakazu PUODO nie wnioskowa\u322?a o przeprowadzenie dowod\u243?w z zezna\u324? \u347?wiadka M. K. (b\u281?d\u261?cego pracownikiem skar\u380?\u261?cej) oraz z wyja\u347?nie\u324? samej skar\u380?\u261?cej.
\par 
\par Podsumowuj\u261?c, zarzut naruszenia zaskar\u380?onym wyrokiem art. 145 \u167? 1 lit. c p.p.s.a. w zw. z art. 7 k.p.a. i art. 77 k.p.a. jest ca\u322?kowicie bezzasadny. S\u261?d I instancji prawid\u322?owo uzna\u322?, \u380?e PUODO wydaj\u261?c w dniu 5 stycznia 2021 r. sporne rozstrzygni\u281?cie, nie dopu\u347?ci\u322? si\u281? naruszenia przepis\u243?w procedury administracyjnej, a w szczeg\u243?lno\u347?ci art. 7 k.p.a., art. 77 \u167? 1 k.p.a., art. 80 k.p.a., a tak\u380?e art. 107 \u167? 3 k.p.a. w zwi\u261?zku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Wyja\u347?ni\u322? bowiem wszystkie okoliczno\u347?ci istotne dla prawid\u322?owego i pe\u322?nego rozstrzygni\u281?cia sprawy, a tak\u380?e dokona\u322? w\u322?a\u347?ciwej oceny zebranego w sprawie materia\u322?u dowodowego oraz przeprowadzi\u322? ocen\u281? w kontek\u347?cie w\u322?a\u347?ciwie zastosowanych przepis\u243?w prawa materialnego.
\par 
\par Po trzecie \u8211? bezzasadny jest zarzut naruszenia przez S\u261?d I instancji art. 145 \u167? 1 pkt. 1 lit. c p.p.s.a. w zw. z art. 10 \u167? 1 k.p.a. przez nieuchylenie zaskar\u380?onej decyzji "(...) mimo \u380?e organ nie umo\u380?liwi\u322? stronie przed wydaniem decyzji wypowiedzenia si\u281? co do zebranych dowod\u243?w i materia\u322?\u243?w''. PUODO w pi\u347?mie z 16 wrze\u347?nia 2020 r. poinformowa\u322? skar\u380?\u261?c\u261? kasacyjnie, \u380?e w sprawie zgromadzony zosta\u322? materia\u322? dowodowy wystarczaj\u261?cy do wydania decyzji administracyjnej w przedmiocie na\u322?o\u380?enia administracyjnej kary pieni\u281?\u380?nej oraz \u380?e przed wydaniem decyzji ma ona mo\u380?liwo\u347?\u263? wypowiedzenia si\u281? co do zebranych dowod\u243?w i materia\u322?\u243?w na podstawie art. 10 \u167?1 k.p.a. PUODO umo\u380?liwi\u322? zatem skar\u380?\u261?cej czynny udzia\u322? w post\u281?powaniu i na bie\u380?\u261?co informowa\u322? j\u261? o podejmowanych w sprawie czynno\u347?ciach. Skar\u380?\u261?ca w \u380?aden spos\u243?b nie wykaza\u322?a, \u380?e zosta\u322?o jej uniemo\u380?liwione podj\u281?cie konkretnych czynno\u347?ci procesowych (np. z\u322?o\u380?enie wniosk\u243?w dowodowych, przedstawienie o\u347?wiadcze\u324?, itp.). Skar\u380?\u261?ca wskaza\u322?a jedynie, \u380?e: "(...) gdyby organ wype\u322?ni\u322? sw\u243?j ustawowy obowi\u261?zek wynikaj\u261?cy z art. 10 \u167? 1 kpa i przed wydaniem zaskar\u380?onej decyzji umo\u380?liwi\u322? stronie wypowiedzenie si\u281? co do zebranych dowod\u243?w i materia\u322?\u243?w, strona niew\u261?tpliwie wykona\u322?aby ju\u380? na tym etapie bezpodstawne \u380?\u261?dania organu, wychodz\u261?ce poza zakres art. 34 RODO tak, jak wykona\u322?a go po zapoznaniu si\u281? ze stanowiskiem organu wysy\u322?aj\u261?c 37 niekwestionowanych przez organ oraz przez WSA pism, dopiero w dniu 15.01.2021r.". Zarzut taki jest zupe\u322?nie niezasadny.
\par 
\par Po czwarte - zarzut naruszenia przepisu prawa materialnego - art. 34 ust. 2 rozporz\u261?dzenia RODO przez b\u322?\u281?dn\u261? jego wyk\u322?adni\u281? jest ma\u322?o czytelny i praktycznie nie zawiera uzasadnienia. Jest w spos\u243?b oczywisty bezzasadny. Pe\u322?nomocnik skar\u380?\u261?cej zaleca dokonanie "por\u243?wnania" tre\u347?ci pisma z 10 czerwca 2020 r. z art. 34 ust. 2 rozporz\u261?dzenia RODO w zw. z art. 33 ust. 3 lit. b, c) i d) rozporz\u261?dzenia RODO, sam jednak takiej analizy nie przeprowadza, poprzestaj\u261?c na stwierdzeniu, \u380?e pismo to "prima facie" wymogi wy\u380?ej wskazanego przepisu spe\u322?nia. Zgodnie ze wskazanym art. 34 ust. 2 rozporz\u261?dzenia RODO: "Zawiadomienie, o kt\u243?rym mowa w ust. 1 niniejszego artyku\u322?u, jasnym i prostym j\u281?zykiem opisuje charakter naruszenia ochrony danych osobowych oraz zawiera przynajmniej informacje i \u347?rodki, o kt\u243?rych mowa w art. 33 ust. 3 lit. b), c) i d)". Zdaniem NSA, zasadnie wskaza\u322? PUODO w odpowiedzi na skarg\u281?, \u380?e pismo skar\u380?\u261?cej z 10 czerwca 2020 r. zawiadamiaj\u261?ce osoby dotkni\u281?te naruszeniem ich danych osobowych o tym naruszeniu, nie spe\u322?nia wymog\u243?w okre\u347?lonych w art. 34 ust. 2 w zwi\u261?zku z art. 33 ust. 3 lit. b), c) i d) rozporz\u261?dzenia RODO, gdy\u380? nie zawiera: opisu charakteru naruszenia, opisu mo\u380?liwych konsekwencji naruszenia oraz opisu \u347?rodk\u243?w zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu, w tym w celu zminimalizowania jego ewentualnych negatywnych skutk\u243?w.
\par 
\par Na koniec nale\u380?y wskaza\u263?, \u380?e S\u261?d I instancji zasadnie wskaza\u322?, \u380?e sporna administracyjna kara pieni\u281?\u380?na, wbrew zarzutom strony skar\u380?\u261?cej, by\u322?a proporcjonalna, odstraszaj\u261?ca, a tak\u380?e skuteczna, o czym \u347?wiadczy wykonanie przez skar\u380?\u261?c\u261? nakazu okre\u347?lonego w decyzji PUODO niezw\u322?ocznie po dor\u281?czeniu stronie skar\u380?\u261?cej zaskar\u380?onej decyzji z 5 stycznia 2021 r. Zatem wszelkie dzia\u322?ania sanuj\u261?ce podj\u281?te przez skar\u380?\u261?c\u261? po dacie wydania zaskar\u380?onej decyzji nak\u322?adaj\u261?cej administracyjn\u261? kar\u281? pieni\u281?\u380?n\u261?, nie mog\u322?y by\u263? wzi\u281?te pod uwag\u281? przez S\u261?d I instancji. W niniejszej sprawie samo wykonanie obowi\u261?zku nast\u261?pi\u322?o dopiero po dacie wydania decyzji PUODO z 5 stycznia 2021 r., gdy\u380? wszystkie potwierdzenia wys\u322?ania zawiadomie\u324? nosz\u261? dat\u281? 18 stycznia 2021 r.
\par 
\par 4. W tym stanie rzeczy Naczelny S\u261?d Administracyjny, na podstawie art. 184 p.p.s.a. oddali\u322? skarg\u281? kasacyjn\u261? jako niemaj\u261?c\u261? usprawiedliwionych podstaw.
\par 
\par O kosztach orzeczono na podstawie art. 207 \u167? 2 p.p.s.a.
\par 
\par -----------------------
\par 
\par #
\par 
\par 27
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrt\brdrs\brdrw5\brdrcf2
\clbrdrl\brdrs\brdrw5\brdrcf2
\clcbpat1
\clftsWidth3
\clwWidth9346
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrb\brdrs\brdrw10\brdrcf1
\clbrdrr\brdrs\brdrw10\brdrcf1
\clbrdrl\brdrs\brdrw10\brdrcf1
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrb\brdrs\brdrw10\brdrcf1
\clbrdrr\brdrs\brdrw10\brdrcf1
\clbrdrl\brdrs\brdrw10\brdrcf1
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain
\cell\pard\plain\intbl\s0\fi0\li0\ri0\plain
\cell \trowd
\trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3
\clbrdrb\brdrs\brdrw10\brdrcf1
\clbrdrr\brdrs\brdrw10\brdrcf1
\clbrdrl\brdrs\brdrw10\brdrcf1
\clcbpat1
\clftsWidth3
\clwWidth1869
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrb\brdrs\brdrw10\brdrcf1
\clbrdrr\brdrs\brdrw10\brdrcf1
\clbrdrl\brdrs\brdrw10\brdrcf1
\clcbpat1
\clftsWidth3
\clwWidth7477
\clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row
\pard}