Prezes Urzędu Ochrony Danych Osobowych jest polskim organem nadzorczym właściwym w sprawach ochrony danych. Urząd Ochrony Danych Osobowych, czyli UODO, zapewnia mu obsługę organizacyjną. Dla administratora najważniejsze jest rozróżnienie trzech sytuacji: skargi osoby na przetwarzanie jej danych, zgłoszenia naruszenia przez administratora oraz kontroli lub postępowania prowadzonego przez organ. Każda wymaga innej reakcji i właściwego sposobu przekazania informacji.
UODO nie zajmuje się wyłącznie karami. Organ może żądać wyjaśnień, badać praktykę przetwarzania, nakazywać usunięcie nieprawidłowości oraz ograniczać przetwarzanie. Z kolei odszkodowania dla osoby poszkodowanej dochodzi się przed sądem. Ten przewodnik wyjaśnia kompetencje organu, aktualne kanały kontaktu i najważniejsze etapy sprawy, aby administrator wiedział, co sprawdzić po otrzymaniu pisma, a osoba składająca skargę potrafiła określić swoje żądanie.
Prezes UODO i Urząd: kto podejmuje decyzje?
Zgodnie z ustawą o ochronie danych osobowych organem jest Prezes UODO, który wykonuje zadania przy pomocy Urzędu. Nie należy utożsamiać niezależnego organu nadzorczego ze zwykłym departamentem podległym ministrowi. Artykuł 52 RODO wymaga niezależności przy wykonywaniu zadań i uprawnień, a krajowa ustawa określa sposób powołania, kadencję i organizację obsługi.
Prezesa powołuje Sejm za zgodą Senatu. Kadencja trwa cztery lata od dnia złożenia ślubowania, a ta sama osoba może pełnić funkcję najwyżej przez dwie kadencje. Obecny Prezes, Mirosław Wróblewski, złożył ślubowanie 26 stycznia 2024 r.. Data głosowania, zgody Senatu i rozpoczęcia wykonywania obowiązków nie powinna być traktowana jako jeden dowolnie wybrany termin.
Niezależność nie oznacza braku kontroli prawnej. Wiążące rozstrzygnięcia podlegają kontroli sądowej, a Prezes przedstawia ustawowo określone sprawozdanie z działalności. Sprawozdania i opublikowane decyzje pozwalają poznać praktykę, lecz liczba skarg nie jest tym samym co liczba postępowań, decyzji czy kar. Przy korzystaniu ze statystyk trzeba sprawdzać rok, jednostkę zliczania i źródło danych.
Zakres nadzoru i jego granice
Artykuły 57 i 58 RODO obejmują monitorowanie przestrzegania przepisów, rozpatrywanie skarg, prowadzenie postępowań wyjaśniających, działalność informacyjną oraz współpracę z innymi organami. Uprawnienia obejmują uzyskiwanie potrzebnych informacji od administratorów i podmiotów przetwarzających oraz dostęp do danych i środków przetwarzania w granicach prawa. Zakres żądania trzeba więc odczytać w związku z konkretną sprawą.
Właściwość nie obejmuje nadzorowania przetwarzania przez sądy w ramach sprawowania wymiaru sprawiedliwości. Osobne reguły dotyczą również przetwarzania przez właściwe organy do celów ścigania przestępstw. Sam fakt, że problem dotyczy danych, nie oznacza, że wszystkie jego elementy rozstrzyga się według RODO. Trzeba ustalić cel przetwarzania, podmiot i właściwy reżim prawny.
Nadzór nad danymi może współistnieć z innymi regulacjami. W sektorze bankowym i finansowym ocena ochrony danych nie zastępuje nadzoru finansowego. Przy cookies i komunikacji elektronicznej trzeba z kolei rozdzielić wymagania dotyczące dostępu do urządzenia, komunikacji i późniejszego przetwarzania informacji. Pismo do jednego organu nie rozstrzyga automatycznie wszystkich tych kwestii.
Skarga osoby a obowiązki administratora
Artykuł 77 RODO daje osobie prawo złożenia skargi, gdy uważa, że przetwarzanie dotyczących jej danych narusza przepisy. Można zwrócić się w szczególności do organu w państwie zwykłego pobytu, miejsca pracy albo domniemanego naruszenia. Nie jest to procedura przeznaczona wyłącznie dla klientów przedsiębiorstw: może dotyczyć także pracownika, pacjenta czy osoby, której informacje opublikowano w internecie.
W sprawie niewykonania prawa dostępu, sprostowania lub sprzeciwu istotne jest wcześniejsze skierowanie odpowiedniego żądania do administratora. Trzeba ustalić, o co osoba wystąpiła, kiedy i jak administrator zareagował. Aktualne objaśnienie UODO dotyczące skarg omawia właśnie tę sytuację. Nie należy z niego wyprowadzać ogólnego wymogu wyczerpania kontaktów z administratorem przed każdą skargą dotyczącą dowolnego naruszenia RODO.
Dobrze przygotowana skarga opisuje konkretne przetwarzanie oraz oczekiwany rezultat. Zamiast samego stwierdzenia, że organizacja „łamie RODO”, warto wskazać publikację, odbiorcę danych, treść wcześniejszego wniosku i odpowiedź. Dołączone dowody powinny być związane ze sprawą. Przekazanie dużego zbioru dokumentów z niepotrzebnymi danymi innych osób może utrudnić ustalenie, czego dokładnie dotyczy zarzut.
Osoba składająca skargę może wskazać, jakiej ochrony swoich praw oczekuje, ale nie wybiera wysokości administracyjnej kary pieniężnej. O zastosowaniu tego środka rozstrzyga organ na podstawie przepisów i okoliczności sprawy. Wpływy z kar są dochodem budżetu państwa, a nie wypłatą dla skarżącego. Dlatego żądanie zaprzestania przetwarzania, oczekiwanie ukarania organizacji i roszczenie o naprawienie szkody trzeba od siebie odróżnić.
Jak obecnie przekazać skargę i gdzie szukać kontaktu
Skargę do Prezesa UODO można złożyć papierowo w Urzędzie lub przesłać na jego adres. Aktualny adres to ul. Stanisława Moniuszki 1A, 00-014 Warszawa. Infolinia 606 950 000 działa w dni robocze w godzinach 10.00–14.00. Dane i godziny warto sprawdzić na urzędowej stronie kontaktowej, zwłaszcza korzystając ze starszego wzoru pisma.
Dla indywidualnej skargi elektronicznej UODO wskazuje adres do e-Doręczeń AE:PL-67085-31860-RWFHC-35. Pismo musi spełniać wymagania dotyczące podpisu lub właściwego uwierzytelnienia oraz zawierać wymagane dane kontaktowe. Zasady dla pełnomocnictw elektronicznych i ich odpisów opisuje instrukcja składania skarg za pomocą e-Doręczeń. Zwykły e-mail nie jest właściwą drogą wniesienia takiej skargi.
Nie należy mylić skargi do Prezesa UODO ze skargą do sądu administracyjnego na jego decyzję. Ta druga ma własne przepisy procesowe, omówione dalej. Również infolinia służy uzyskaniu informacji, a nie zastępuje skutecznego wniesienia pisma ani nie wydaje wiążącego rozstrzygnięcia konkretnego sporu. Zachowaj dowód wysłania, treść dokumentu i potwierdzenie jego doręczenia.
Zgłoszenie naruszenia to odrębna sprawa
Administrator zgłasza naruszenie ochrony danych na podstawie artykułu 33 RODO bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób. Przy późniejszym zgłoszeniu trzeba podać przyczyny opóźnienia. Dokumentuje się wszystkie naruszenia ochrony danych, również te, których nie zgłoszono.
Aktualna instrukcja zgłoszenia naruszenia kieruje administratorów do dedykowanego formularza na biznes.gov.pl. Nie należy stosować do niego bez sprawdzenia instrukcji przeznaczonej dla indywidualnych skarg. Jeżeli przetwarzanie ma charakter transgraniczny, trzeba również ustalić właściwy organ. Sam udział osób z kilku państw nie przesądza, że zgłoszenie powinno zawsze trafić do Prezesa UODO.
Ocena zgłoszenia organowi jest odrębna od zawiadomienia osób o wysokim ryzyku na podstawie artykułu 34. Podmiot przetwarzający zawiadamia administratora bez zbędnej zwłoki; nie ma własnego ogólnego okresu 72 godzin na oczekiwanie z informacją. Szczegóły oceny i dokumentacji przedstawia przewodnik dotyczący artykułu 33. Zgłoszenie nie jest ani przyznaniem automatycznej odpowiedzialności za każde uchybienie, ani gwarancją uniknięcia kontroli.
Co oznacza rozpoczęcie kontroli?
Kontrola może wynikać z planu, uzyskanych informacji lub monitorowania przestrzegania przepisów. Ustawa przewiduje okazanie imiennego upoważnienia oraz odpowiedniego dokumentu kontrolującego. Administrator powinien sprawdzić zakres kontroli i wyznaczyć pisemnie osobę upoważnioną do reprezentowania go podczas czynności. Nie należy uzależniać współpracy wyłącznie od obecności jednego pracownika, który akurat jest nieobecny.
Kontrolujący może badać dokumenty i informacje bezpośrednio związane z zakresem kontroli, przeprowadzać oględziny systemów oraz żądać wyjaśnień. Ustawa przewiduje również przesłuchanie pracownika jako świadka. Administrator zapewnia warunki przeprowadzenia kontroli, sporządza wymagane kopie lub wydruki i potwierdza ich zgodność z oryginałem. Dobrą praktyką jest prowadzenie własnego wykazu przekazanych dokumentów i osób udzielających wyjaśnień.
Artykuł 89 określa czas kontroli jako nie dłuższy niż 30 dni od okazania upoważnienia i właściwego dokumentu. Nie mówi o 30 dniach roboczych. Do tego okresu nie wlicza się terminów przewidzianych na zgłoszenie zastrzeżeń do protokołu albo jego podpisanie i doręczenie przez kontrolowanego. Nie należy też utożsamiać długości kontroli z całym czasem późniejszego postępowania administracyjnego.
Protokół i zastrzeżenia: reaguj na konkretne ustalenia
Przebieg kontroli trafia do protokołu. Kontrolowany ma siedem dni od przedstawienia protokołu do podpisu na jego podpisanie albo zgłoszenie pisemnych zastrzeżeń. Warto zatem wcześniej ustalić obieg dokumentu między osobą reprezentującą organizację, prawnikiem i pracownikami znającymi fakty. Termin ten nie powinien zostać przeoczony dlatego, że wiadomość pozostała w ogólnej skrzynce.
Zastrzeżenia powinny wskazywać konkretny fragment, proponowane sprostowanie i dowód. Jeżeli protokół opisuje brak przeglądu uprawnień, odpowiedzią może być dokumentacja rzeczywiście wykonanych przeglądów, a nie nowa polityka sporządzona po kontroli. Działania naprawcze są ważne, ale trzeba uczciwie odróżnić stan wcześniejszy od stanu osiągniętego później. Zmiana daty dokumentu nie zastępuje dowodu jego wcześniejszego stosowania.
Kontrolujący analizuje zastrzeżenia i może wykonać dodatkowe czynności. Gdy uzna je za zasadne, zmienia lub uzupełnia protokół aneksem; nieuwzględnienie wymaga przekazania informacji z uzasadnieniem. Brak podpisu i brak zastrzeżeń w terminie są traktowane jako odmowa podpisania. Sama odmowa nie powoduje, że ustalenia kontroli znikają albo dalsze czynności stają się niemożliwe.
Postępowanie i ochrona poufnych informacji
Postępowanie przed Prezesem UODO jest jednoinstancyjne. W sprawach nieuregulowanych ustawą stosuje się właściwe przepisy Kodeksu postępowania administracyjnego. Jeśli potrzebne są dodatkowe dowody, organ może przeprowadzić kontrolę również w toku postępowania. Organizacja powinna odpowiadać na zakres żądania, wyjaśniać kontekst dokumentów i zachować spójność między przedstawianymi informacjami a faktyczną konfiguracją systemów.
Tajemnica przedsiębiorstwa nie uzasadnia automatycznej odmowy przekazania materiału organowi. Artykuł 65 umożliwia zastrzeżenie chronionych informacji, dokumentów lub ich części, ale wymaga również wersji niezawierającej tych informacji. Bez tej wersji zastrzeżenie jest nieskuteczne. Organ może je uchylić, jeżeli przesłanki tajemnicy przedsiębiorstwa nie są spełnione. Ochrona poufności wymaga więc konkretnych działań, a nie samej etykiety na całym piśmie.
Nie ma jednego gwarantowanego czasu zakończenia każdej sprawy. Artykuł 78 ustęp 2 RODO przewiduje drogę sądową, gdy właściwy organ nie rozpatruje skargi lub nie informuje w ciągu trzech miesięcy o postępach albo wyniku. Nie jest to obietnica ostatecznej decyzji w trzy miesiące. Krajowy artykuł 62 wymaga przy zawiadomieniu o niezałatwieniu sprawy w terminie także informacji o jej stanie i wykonanych czynnościach.
Nakaz, upomnienie i kara pieniężna
Organ dobiera środki do stwierdzonego problemu. Nakaz dostosowania przetwarzania może dotyczyć spełnienia praw osoby, retencji, zabezpieczeń albo innego naruszenia. Możliwe jest także ograniczenie lub zakaz przetwarzania. W szczególnych okolicznościach artykuł 70 ustawy umożliwia czasowe ograniczenie już w toku postępowania, gdy uprawdopodobniono naruszenie, a dalsze przetwarzanie może wywołać poważne i trudne do usunięcia skutki.
Kary z artykułu 83 RODO mają różne górne granice. Niższy poziom wynosi do 10 mln euro, a w przypadku przedsiębiorstwa do 2% poprzedniego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa. Wyższy poziom to odpowiednio 20 mln euro lub 4%. Właściwy poziom zależy od naruszonego przepisu; wysokość konkretnej kary wymaga oceny okoliczności, a nie mechanicznego zastosowania maksimum.
Podmioty publiczne nie korzystają z ogólnego zwolnienia od kar. Artykuł 102 przewiduje limit do 100 tys. zł dla wskazanych jednostek sektora finansów publicznych, instytutów badawczych i NBP, a do 10 tys. zł dla jednostek wymienionych w artykule 9 punkcie 13 ustawy o finansach publicznych. Trzeba ustalić dokładną kategorię podmiotu. Publiczny udziałowiec spółki nie wystarcza sam w sobie do zastosowania tych limitów.
Co pokazuje sprawa Aleksandrowa Kujawskiego?
W decyzji z 18 października 2019 r., ZSPU.421.3.2019, nałożono karę 40 tys. zł oraz nakazano określone działania naprawcze. Sprawa obejmowała między innymi relacje z dostawcami, okresy publikowania danych w BIP, analizę ryzyka, kopie nagrań i zawartość rejestru. UODO poinformował o oddaleniu skargi kasacyjnej przez NSA 28 lutego 2024 r., co podtrzymało rozstrzygnięcie.
Praktyczna lekcja dotyczy powiązania dokumentacji z działaniem usługi. Sama publiczna dostępność informacji nie usuwa obowiązków administratora, a korzystanie z zewnętrznej infrastruktury nie przenosi wszystkich decyzji na dostawcę. Nie należy upraszczać tej sprawy do tezy, że ukarano samo używanie YouTube. Dla innych historycznych spraw pomocne jest zestawienie kar UODO, z zachowaniem rozróżnienia decyzji organu i późniejszej kontroli sądowej.
Zaskarżenie decyzji i roszczenie odszkodowawcze
Skargę na decyzję wnosi się do Wojewódzkiego Sądu Administracyjnego w Warszawie za pośrednictwem Prezesa UODO, co do zasady w ciągu 30 dni od doręczenia rozstrzygnięcia. Podstawę terminów i drogi wniesienia określają artykuły 53 i 54 Prawa o postępowaniu przed sądami administracyjnymi. Sprawdź pouczenie decyzji, datę doręczenia oraz wymagania konkretnego pisma.
Dla elektronicznej skargi sądowej aktualny artykuł 54 paragraf 1a wskazuje elektroniczną skrzynkę podawczą organu. Nie wolno bez sprawdzenia przenosić tu instrukcji e-Doręczeń dotyczącej zwykłej skargi do UODO. Ustawa przewiduje zastąpienie tego brzmienia dopiero od 1 października 2029 r. Rozróżnienie ma znaczenie praktyczne, bo podobna nazwa „skarga” nie oznacza identycznego trybu wniesienia.
Artykuł 74 ustawy o ochronie danych osobowych stanowi, że wniesienie przez stronę skargi do sądu administracyjnego wstrzymuje wykonanie decyzji w zakresie administracyjnej kary pieniężnej. Nie należy rozszerzać tego skutku automatycznie na wszystkie nakazy zawarte w decyzji. Organizacja powinna oddzielnie ustalić, które obowiązki musi wykonywać w czasie sporu i jakie środki procesowe są dostępne.
Odszkodowanie na podstawie artykułu 82 RODO wymaga naruszenia, szkody majątkowej lub niemajątkowej i związku przyczynowego. Nie przysługuje automatycznie za sam fakt uchybienia. Jednocześnie artykuł 97 polskiej ustawy wiąże sąd rozpoznający naprawienie szkody ustaleniami prawomocnej decyzji Prezesa UODO co do stwierdzenia naruszenia. Nie oznacza to automatycznego ustalenia istnienia szkody ani jej wysokości; te zagadnienia trzeba rozpatrywać osobno.
Jak przygotować organizację do kontaktu z organem?
Wyznacz osobę koordynującą korespondencję i zapewnij jej zastępstwo. Inspektor ochrony danych może doradzać i być punktem kontaktowym, lecz odpowiedzialność administratora nie przechodzi na IOD. Sprawdź, kto zna proces, kto posiada dowody techniczne i kto jest uprawniony do reprezentacji. Takie ustalenia pozwalają odpowiadać rzeczowo bez improwizowania kompetencji po otrzymaniu wezwania.
Przygotuj spójny rejestr czynności przetwarzania, dokumentację decyzji o retencji i dowody stosowania zabezpieczeń. Artykuł 32 RODO wymaga środków odpowiednich do ryzyka; sama zakupiona usługa lub podpisana polityka nie pokazuje, jak środki działają. Dokumentuj naprawy z rzeczywistymi datami oraz sprawdzaj, czy problem usunięto również w powiązanych procesach.
Szerszy przewodnik zgodności z RODO pomaga uporządkować te zadania poza konkretnym postępowaniem. W kontakcie z organem najważniejsze są jednak precyzyjne fakty, właściwa droga przekazania pisma i pilnowanie terminów. Ani brak natychmiastowej reakcji UODO, ani samo przesłanie dokumentów nie stanowią potwierdzenia zgodności całej organizacji.