Kary RODO w Polsce – aktualna lista wszystkich kar pieniężnych do 2023 r.

Jakie kary RODO w Polsce nałożył organ nadzorczy? Takie oraz podobne pytania często nasuwają się podmiotom z wielu branż, także wśród naszych klientów.

W związku z Rozporządzeniem o ochronie danych osobowych największą sensacją okazała się wysokości kar, które mogą zostać nałożone na podmiot w związku z nieprzestrzeganiem przez niego przepisów. Nie ma w tym nic dziwnego, biorąc pod uwagę wysokość kar określonych w Rozporządzeniu.

Spis treści

Toggle

Najwyższa kara za naruszenie obowiązków RODO

4 911 732 PLN – to kwota największej kary za złamanie RODO, która została nałożona przez polski organ nadzorczy. Karę otrzymał  podmiot z branży energetycznej – Fortum Marketing and Sales Polska S.A.

Sprawa dotyczyła naruszenia, do którego doszło w czasie wprowadzenia zmian w systemie do przechowywania dokumentów zawierających szereg informacji na temat klientów administratora. Zmiany miały na celu utworzenie nowej bazy i poprawienie wydolności systemu. W czasie przeprowadzania zmian doszło do skopiowania przez nieuprawniony podmiot bazy zawierającej dane klientów administratora. Proces przeprowadzony został przez procesora.

Decyzja wydana przez organ nadzorczy w tej sprawie, pokazuje jak ważne jest podmiotów przetwarzających przez administratora. Samo podpisanie umowy powierzenia przetwarzania danych osobowych może okazać się niewystarczające..

Kary RODO w Polsce – aktualna lista

Poniżej przedstawiamy lista wszystkich kar nałożonych do tego czasu przez UODO od wejścia w życie Rozporządzenia o ochronie danych osobowych (RODO).

Kto nakłada kary za RODO?

Kompetencja do nakładania kary za nieprzestrzeganie lub naruszanie przepisów Rozporządzenia ochronie danych osobowych została przyznana krajowym organom nadzorczym. W Polsce jest nim Urząd Ochrony Danych Osobowych ( UODO). Kary za naruszenie RODO nakładane są w drodze decyzji administracyjnej przez Prezesa Urzędu Ochrony Danych Osobowych. Od takiej decyzji istnieje możliwość odwołania do Sądu Administracyjnego, z zachowaniem terminów określonych w kodeksie postępowania administracyjnego.

Kary RODO – Czy jesteśmy w stanie się przed nimi uchronić

Nałożenie kary pieniężnej za naruszenie przepisów RODO może nastąpić w wyniku wniesienia skargi do organu nadzorczego. Zgodnie z art. 77 ust. 1 RODO, skargę może wnieść każda osoba fizyczna, która podejrzewa, że jej dane osobowe przetwarzane są z naruszeniem zasad przetwarzania danych określonych   w rozporządzeniu. Wszczęcie postępowania administracyjnego może także nastąpić z inicjatywy urzędu. W przypadku, gdy organ nadzorczy stwierdzi naruszenie przepisów rozporządzenia RODO, może nałożyć administracyjną karę pieniężną. Nałożenie kary za naruszenie RODO może nastąpić niezależnie od innych środków lub działań podejmowanych przez podmiot danych.

Kara za złamanie RODO – komu grozi?

Na kary RODO narażeni są przede wszystkim administratorzy oraz podmioty przetwarzające[1] Kary RODO mogą być nakładane zarówno na przedsiębiorców jak i osoby fizyczne. Wskazać należy, że zgodnie z wytycznymi Grupy Roboczej Art. 29[2], za przedsiębiorstwo uznaje się, w tym przypadku, jednostkę gospodarczą, która może zostać utworzona przez spółkę dominującą i wszystkie zaangażowane podmioty zależne. Dodatkowo to taka jednostka gospodarcza, która prowadzi działalność handlową lub gospodarczą bez względu na osobę prawną.

Kara RODO – wysokość

Niewątpliwie najbardziej kontrowersyjna  jest wysokość opisanych w art. 83 RODO kar, który przewiduje dwa pułapy kar pieniężnych.

Rozporządzenie określa najwyższą karę w wysokości do 20 mln euro, a w przypadku przedsiębiorstwa kara wynosi  do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Jest ona dopuszczalna w przypadku naruszenia RODO poprzez:

• brak spełnienia podstawowych zasad przetwarzania danych osobowych, w tym warunków zgody,
• brak realizacji praw osób, których dane dotyczą, o których mowa w art. 12–22,
• naruszenie obowiązku dotyczących przekazywania danych osobowych odbiorcy lub organizacji międzynarodowej,
• naruszenie obowiązków, które wynikają z prawa państwa członkowskiego na podstawie rozdziału IX, tzn. nieprzestrzeganie wyjątków od ochrony danych wprowadzonych przez państwa członkowskie,
• nieprzestrzeganie nakazu ograniczenia przetwarzania lub zawieszenia przepływu danych orzeczonego przez organ nadzorczy,
• niezapewnienie dostępu do danych oraz do informacji niezbędnych organowi nadzorczemu do realizacji swoich działań.

Kara za naruszenie RODO – dodatkowe informacje

W przypadku, gdy zaistnieje inne naruszenie RODO– wyżej nie wskazane, najwyższą przewidzianą jest kara w wysokości do 10 mln euro, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Katalog tych naruszeń obejmuje brak realizacji obowiązków administratora i podmiotu przetwarzającego, o których mowa w art. 8, 11, 25 –39 oraz 42 i 43 RODO.

Wysokość kary RODO, nakładana przez organ nadzorczy powinna uwzględniać indywidualny charakter każdej sprawy.

Art. 83 ust. 2 RODO zawiera katalog okoliczności, które, w przypadku, gdy wystąpi naruszenie RODO, powinny zostać wzięte pod uwagę przez organ nadzorczy. Wartym podkreślenia jest, że katalog nie stanowi zbioru zamkniętego.

Rozporządzenie wskazuje na konieczność wzięcia pod uwagę wszelkich okoliczności danej sytuacji, uwzględniając przy tym charakter wagę i czas trwania naruszenia oraz jego konsekwencje. Organ skupia się też na działaniach podjętych przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą oraz stopnia odpowiedzialności administratora (lub procesora) z uwzględnieniem wdrożonych środków technicznych i organizacyjnych. Organ nadzorczy badając naruszenia powinien zwrócić uwagę także na to czy zostały podjęte środki w celu zastosowania się do obowiązków wynikających z rozporządzenia. Należy wziąć pod uwagę, także wszelkie inne czynniki obciążające i łagodzące, mające zastosowanie do okoliczności sprawy.

Kara za naruszenie RODO – kiedy może zostać nałożona?

Istotna jest także kategoria naruszonych danych osobowych, np. to z jakim zasobem danych mieliśmy do czynienia, także czy na tej podstawie jesteśmy w stanie pozyskać dużo informacji o osobie, której dane uległy, np. wyciekowi.

Przy wymierzeniu kary RODO, organ bierze pod uwagę również stopień współpracy podmiotu, w celu usunięcia naruszenie oraz złagodzenia jego ewentualnych negatywnych skutków. Organ zwraca także uwagę na przeszłość podmiotu w kontekście wcześniejszych naruszeń z jego strony, a także to w jaki sposób dowiedział się o naruszeniu.

Co ważne, nałożenie kary pieniężnej RODO nie wpływa na wydanie orzeczeń przez inne  organy nadzorcze. Zatem obok kar pieniężnych organ stosować może także, tak zwane uprawnienia naprawcze, które wymienia art 58 RODO. Są to:

• wydawanie ostrzeżeń,
• udzielanie upomnień,
• nakazanie spełnienia żądania osoby, której dane dotyczą,
• nakazanie dostosowania operacji przetwarzania do przepisów RODO,
• nakazanie zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych,
• wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania,
• nakazanie sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie powiadomienia o tych czynnościach odbiorców,
• cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji,
• nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej.

Złożenie skargi do Prezesa Urzędu Ochrony Danych Osobowych nie wyklucza podjęcia działań na drodze sądowej. Pozwala na to art. 79 RODO. Rozporządzenie ponadto, daje możliwość dochodzenia przed sądem odszkodowania, jeśli osoba, której dane zostały naruszone poniosła szkodę majątkową lub niemajątkową. Pamiętajmy zatem, że kara za naruszenie RODO dla administratora to nie tylko kara pieniężna nałożona przez organ nadzorczy.

[1] W przepisach wskazano także podmioty certyfikujące i monitorujące przestrzeganie kodeksów postępowania.

[2] Wytyczne w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia nr 2016/679

Przeczytaj również: Kara RODO dla francuskiej grupy Accor