Prezes UODO Decyzją z dnia 2 lipca 2020 r. nałożył na Głównego Geodetę Kraju (GGK) karę w wysokości 100 tyś. zł za naruszenie polegające na „niezapewnieniu […], w trakcie kontroli przestrzegania przepisów o ochronie danych osobowych […], dostępu do pomieszczeń, sprzętu i środków służących do przetwarzania danych osobowych oraz dostępu do danych osobowych i informacji niezbędnych Prezesowi Urzędu Ochrony Danych Osobowych do realizacji jego zadań, a także na braku współpracy […] w trakcie tej kontroli”. Sankcja nałożona przez Prezesa jest maksymalną karą, jaka może zostać nałożona na jednostkę administracji publicznej. Warto zaznaczyć, że Prezes UODO ukarał GGK dwukrotnie. Druga sankcja nałożona została Decyzją z dnia 24 sierpnia 2020 r. za „udostępnianie na portalu o nazwie GEOPORTAL2 („geoportal.gov.pl”) bez podstawy prawnej danych osobowych w zakresie numerów ksiąg wieczystych pozyskanych z ewidencji gruntów i budynków (prowadzonej przez starostów)”. Kara ta również wynosiła 100 tys. zł.
UNIEMOŻLIWIENIE DZIAŁAŃ KONTROLEROM
Cała sprawa swój początek miała w lutym 2020 roku. Prezes UODO kontrolował wtedy starostwo w Jarocinie. Zauważył wówczas, że starosta na podstawie porozumienia przekazuje dane z ewidencji gruntów i budynków (w tym numery ksiąg wieczystych) Głównemu Geodecie Kraju, który następnie publikuje je na portalu „GEOPORTAL2”. Prezes UODO chcąc sprawdzić podstawę prawną udostępniania tych danych, zdecydował się przeprowadzić kontrolę u GGK.
Główny Geodeta Kraju nie chciał współpracować z organem nadzorczym. Okazane legitymacje oraz upoważnienia do przeprowadzenia kontroli okazane przez pracowników UODO nie przekonały GKK do współpracy. Nie podpisał on stosownych oświadczeń oraz odmówił wyrażenia zgody na przeprowadzenie kontroli, twierdząc, że publikowane informacje nie stanowią danych osobowych. Postawa GGK uniemożliwiła kontrolerom m.in. ustalenie, czy wdrożono odpowiednie środki techniczne w celu zapewnienia bezpieczeństwa danych.
GGK złożył skargę na decyzję Prezesa UODO. Wojewódzki Sąd Administracyjny w Warszawie na posiedzeniu niejawnym oddalił skargę, przyznając rację Prezesowi UODO. Stwierdził również, że wymierzenie maksymalnej kary w wysokości 100 tyś zł jest uzasadnione okolicznościami sprawy. Warto zaznaczyć, że GGK nie mógł obronić swojego stanowiska, ponieważ nie dopuszczając do kontroli, nie przedstawił argumentów, które mogły posłużyć za dowód w sprawie.
DRUGA KARA NAŁOŻONA NA GŁÓWNEGO GEODETĘ KRAJU
Maksymalny wymiar drugiej kary był naturalną konsekwencją uniemożliwienia kontroli. W tym przypadku kara nałożona została za naruszenie zasady zgodności z prawem przetwarzania danych osobowych oraz udostępnianie ich bez podstawy prawnej na platformie „GEOPORTAL2”.
Jak już wspomniano, GGK nie współpracował z kontrolerami w oczekiwanym stopniu. Złożył jedynie zeznanie i udostępnił dokumentację, wskazującą na zastosowanie odpowiednich środków bezpieczeństwa danych oraz wyznaczenie inspektora ochrony danych. GGK nie wskazał jednak podstawy prawnej udostępniania danych osobowych.
NIE TYLKO GGK ZOSTAŁ UKARANY ZA BRAK WSPÓŁPRACY
Kara za brak współpracy nie została nałożona jedynie na GKK. Prezes UODO nakładając kary daje wyraźny sygnał, że do jego kontroli należy podchodzić poważnie.
Za brak współpracy ukarano również:
Vis Consulting – 20 tyś. zł. Kontrolerzy UODO pod adresem siedziby firmy zastali wirtualne biuro. Co ciekawe akurat w dniu, w którym kontrolerzy próbowali ponownie skontaktować się ze spółką, jej władze podjęły uchwałę o likwidacji. Później w rozmowie telefonicznej pełnomocnik Vis Consulting poinformował, że „kontrola się nie odbędzie”;
Funeda – ponad 22 tyś. zł. Do firmy wysłane zostały pisma. Spółka odbierała korespondencję, jednak nie wystosowała żadnej odpowiedzi, nie odpowiadała również na próby kontaktu telefonicznego ze strony Urzędu;
Smart Cities – 12 tyś. zł. Prezes UODO zwrócił się do spółki o ustosunkowanie się do treści skargi, która została na nią złożona. Spółka udzieliła wyjaśnień, które Prezes UODO uznał za niepełne i niewystarczające, dlatego zwrócił się o ich uzupełnienie. Jednak spółka nie udzieliła informacji niezbędnych do rozpatrzenia sprawy;
Przedsiębiorca prowadzący żłobek i przedszkole (Pani A.T.) – 5 tyś. zł. Firma nie zapewniła dostępu do danych znajdujących się w placówce i innych informacji niezbędnych do przeprowadzenia kontroli;
PNP S.A. – ponad 22 tyś. zł. W tym przypadku nie odpowiedziano na trzykrotne wezwanie Prezesa UODO do ustosunkowania się do treści skargi oraz złożenia wyjaśnień. Pisma dostarczane na rejestrowy adres firmy nie były odbierane pomimo dwukrotnej awizacji.
KONSEKWENCJE BRAKU WSPÓŁPRACY Z UODO
Jak widać z powyższych przykładów niektórym decydentom administratorów wydaje się, że mogą uniknąć kary lub innych przykrych konsekwencji, próbując unikać kontaktu z przedstawicielami UODO. Jednakże nieodbieranie korespondencji, brak odpowiedzi, czy nawet likwidacja spółki nie uchronią podmiotu od odpowiedzialności. A przykład kar nałożonych na GGK pokazuje, że konsekwencje mogą być nawet poważniejsze przy braku współpracy. Nie dość, że niemal pewna jest kara pieniężna za utrudnianie kontroli, to również można zostać ukaranym za uchybienia, które miało być kontrolowane. W takim przypadku administrator traci w ogóle możliwość wykazania się argumentami, które mogłoby działać na jego korzyść, zarówno przy ustalaniu wysokości kary, jak i podczas postępowania przed sądem administracyjnym rozpatrującym ewentualną skargę na decyzję UODO.
Co więcej, przynajmniej dwie spośród osób, które podejmowały – jak się okazało – chybione decyzje dotyczące relacji z UODO, mogą spodziewać się także odpowiedzialności karnej. Prezes UODO złożył do prokuratury zawiadomienie o podejrzeniu popełnienia przestępstwa przez Głównego Geodetę Kraju oraz Prezesa Vis Consulting. Utrudnianie lub udaremnianie kontroli przestrzegania przepisów o ochronie danych osobowych jest bowiem przestępstwem penalizowanym grzywną, karą ograniczenia wolności albo pozbawienia wolności do lat dwóch, zgodnie z art. 108 Ustawy o ochronie danych osobowych.