Nie informowali o przetwarzaniu danych. Zapłacą 30 tysięcy złotych

Wydawane przez Prezesa Urzędu Ochrony Danych Osobowych decyzje dotyczące naruszeń unijnego rozporządzenia zwykle dotyczą ujawnienia lub wycieku danych. Tak było m.in. w przypadku dwóch polityków, którzy opublikowali informacje dotyczące osób niepełniących funkcji publicznych lub sprawy cyberataku na białostocki szpital dziecięcy. Instytucja ogłaszała także wszczęcie kontroli po wybuchu afery w Szpitalu Południowym.

Firma musi informować o przetwarzaniu danych

Bywają jednak przypadki, które na pierwszy rzut oka wyglądają na bardzo proste do rozwiązania. W zeszłym roku do Urzędu trafiła skarga, która dotyczyła niespełnienia obowiązku informacyjnego o przetwarzaniu danych wobec autorki pisma przez firmę Costalea. Zgodnie z wydaną w czerwcu 2025 roku decyzją, podmiot powinien dopełnić obowiązków nałożonych na niego przez RODO.

Jak jednak podano w komunikacie Urzędu Ochrony Danych Osobowych, dwie próby doręczenia decyzji na przełomie czerwca i lipca zakończyły się niepowodzeniem – uznano ją za doręczoną na drodze Kodeksu postępowania administracyjnego. Spółka nie reagowała również na kolejne pisma UODO wzywające do przedstawienia wyjaśnień i dowodów na dopełnienie obowiązków, a także upomnienia w tej sprawie.

„Skarżąca kilkukrotnie kontaktowała się telefonicznie z pracownikiem Departamentu Kar i Egzekucji UODO informując, że Spółka nie spełniła wobec niej obowiązku informacyjnego, o którym mowa w Decyzji” – czytamy w decyzji Prezesa UODO Mirosława Wróblewskiego.

Ignorowanie decyzji oznacza karę

W takiej sytuacji wszczęto kolejne postępowanie, tym razem dotyczące niewykonania decyzji wydanej przez UODO. Kara 29,1 tys. zł którą nałożono w jego wyniku, została ustalona w taki sposób, aby była proporcjonalna do wagi naruszenia przepisów oraz odstraszająca.

„W ocenie Prezesa UODO finansowa dolegliwość kary podkreśli bezprawność zachowania administratora świadczącego o świadomym i celowym braku chęci spełnienia obowiązku wskazanego w decyzji administracyjnej” – zaznaczono w komunikacie instytucji.

Istotne jest również to, że kara nie zwalnia z obowiązków przewidzianych w rozporządzeniu. Firma w dalszym ciągu musi spełnić obowiązek poinformowania autorki oryginalnej skargi o administratorze danych, do jakich celów są one zbierane, komu są przekazywane, ile wynosi retencja danych oraz o przysługujących osobie prawach. Prezes Urzędu zadeklarował, że będzie kontynuował działania ku wypełnieniu obowiązku prawnego przez spółkę.