Milczenie administratora jako samodzielna podstawa kary: lekcja z krakowskiej sprawy UODO

Krakowski przedsiębiorca zapłaci ponad 31 tys. zł kary nie dlatego, że udowodniono mu konkretne naruszenie przepisów o ochronie danych, lecz dlatego, że przestał odpowiadać na pytania urzędu. Sprawa jest pouczająca: UODO może ukarać administratora wyłącznie za odmowę współpracy, zanim jeszcze rozstrzygnie, czy pierwotny zarzut był zasadny.

Najważniejsze:

• Prezes UODO nałożył na krakowskiego przedsiębiorcę karę w wysokości 31 507 zł, podstawą była odmowa współpracy w toku postępowania, a nie udowodnione naruszenie ochrony danych.
• Sprawa dotyczyła serwisów lexspace.pl i adwokatura.info, gromadzących dane osobowe przedstawicieli zawodów prawniczych oraz osób korzystających z ich usług.
• Na obu stronach brakowało jakichkolwiek danych kontaktowych administratora, co pozbawiało użytkowników możliwości realizacji praw wynikających z przepisów o ochronie danych osobowych.
• Przedsiębiorca początkowo podjął współpracę z urzędem, po czym całkowicie przestał reagować na wezwania, maile i telefony pracowników UODO.
• Urząd ocenił tę postawę jako bierną lub wręcz lekceważącą i uznał nałożenie kary za konieczne, nawet bez ostatecznego rozstrzygnięcia sprawy w meritum.

Skąd wzięła się sprawa: dwa portale prawnicze bez śladu administratora

Do Prezesa UODO Mirosława Wróblewskiego trafiły sygnały o nieprawidłowościach przy obsłudze danych osobowych na dwóch portalach internetowych: lexspace.pl oraz adwokatura.info. Oba serwisy gromadziły informacje o przedstawicielach zawodów prawniczych, adwokatach i radcach prawnych, a równolegle obsługiwały osoby zainteresowane pomocą prawną. Wspólny mianownik obu przypadków był prosty: żaden z serwisów nie zawierał danych pozwalających na zidentyfikowanie i skontaktowanie się z podmiotem odpowiedzialnym za przetwarzanie tych danych.

To pozornie drobne niedopatrzenie ma poważne konsekwencje praktyczne. Każda osoba, której dane figurują w serwisie, ma prawo wiedzieć, kto nimi zarządza, a także zażądać wglądu w swoje dane, ich poprawienia lub usunięcia. Gdy strona nie ujawnia żadnych danych kontaktowych podmiotu odpowiedzialnego, realizacja tych uprawnień staje się iluzoryczna. To właśnie ten mechanizm, celowa lub niedbała niedostępność administratora, był punktem wyjścia do wszczęcia postępowania.

Czytaj także: Pacjenci onkologiczni a sektor finansowy: UODO domaga się systemowej ochrony danych

W toku czynności wyjaśniających organ nadzorczy powiązał oba portale z działalnością jednego krakowskiego przedsiębiorcy. Ten sam przedsiębiorca potwierdził następnie, że pełni rolę administratora danych osobowych przetwarzanych w obu serwisach.

Anatomia ignorowania urzędu: jak bierność staje się karą

Przebieg sprawy warto rozpisać krok po kroku, bo pokazuje precyzyjnie, w którym momencie postawa administratora przestaje być brakiem inicjatywy, a staje się samodzielną podstawą do sankcji.

• Etap 1, pierwsze wyjaśnienia: Na początku postępowania przedsiębiorca nawiązał kontakt z UODO i przekazał wstępne informacje. Zadeklarował tym samym gotowość do współpracy.
• Etap 2, wyjaśnienia niewystarczające: Urząd stwierdził, że złożone odpowiedzi nie wyczerpują zadanych pytań i nie dają podstaw do zamknięcia postępowania w meritum. Przedsiębiorca był wzywany do uzupełnienia wyjaśnień.
• Etap 3, ostrzeżenie o konsekwencjach: UODO poinformował administratora wprost, że dalsze nieprzekazywanie wymaganych informacji może skutkować nałożeniem administracyjnej kary pieniężnej. Ostrzeżenie zostało zignorowane.
• Etap 4, całkowita bierność: Mimo wielokrotnych prób kontaktu, zarówno telefonicznych, jak i mailowych, administrator przestał reagować na wezwania organu nadzorczego.
• Etap 5, decyzja o karze: UODO ocenił opisaną postawę jako bierną lub wręcz lekceważącą i nałożył karę pieniężną w wysokości 31 507 zł.

Kluczowe jest rozróżnienie, które łatwo przeoczyć: nałożona sankcja nie jest orzeczeniem o naruszeniu ochrony danych. Urząd nie mógł zakończyć postępowania w meritum właśnie dlatego, że administrator odmówił dostarczenia niezbędnych informacji. Kara dotyczy wyłącznie uniemożliwienia organowi nadzorczemu wykonania jego zadań. Jednocześnie sprawa w meritum pozostaje otwarta, co oznacza, że przedsiębiorca może jeszcze stanąć przed dodatkową odpowiedzialnością, jeśli postępowanie zostanie wznowione lub uzupełnione.

Ile boli 31 507 zł? Kara w praktycznym kontekście

Artykuły o decyzjach UODO rzadko zadają wprost pytanie, które czytelnik i tak ma w głowie: czy nałożona kwota to realne uderzenie finansowe, czy raczej symboliczny sygnał?

Dla małego lub jednoosobowego przedsiębiorcy prowadzącego serwisy internetowe kwota ponad 31 tys. zł może stanowić realne uderzenie finansowe. Przy marżach charakterystycznych dla małych platform czy usług cyfrowych, gdzie koszty stałe pochłaniają znaczną część wpływów, taka sankcja może oznaczać wyzerowanie zysku z całego kwartału lub konieczność sięgnięcia do rezerw. To nie jest kara symboliczna dla kogoś, kto nie prowadzi działalności na dużą skalę.

Istotny jest też drugi wymiar: ta kara poprzedza ewentualne orzeczenie o naruszeniu danych. Przedsiębiorca zapłacił już za uniemożliwienie urzędowi sprawdzenia sprawy, a gdyby sprawa została rozstrzygnięta niekorzystnie, mógłby stanąć przed kolejną, odrębną sankcją. Obie odpowiedzialności są od siebie niezależne i mogą się kumulować.

Czy to precedens? Kary za brak współpracy a praktyka UODO

Karanie administratorów za odmowę współpracy z organem nadzorczym, a nie wyłącznie za stwierdzone naruszenia danych w meritum, wpisuje się w szerszą praktykę europejskich organów nadzorczych działających na gruncie RODO. Mechanizm jest z założenia symetryczny: skoro administrator ma obowiązek współpracy, a organ nadzorczy ma zadanie kontroli, to blokowanie tej kontroli powinno pociągać za sobą niezależne konsekwencje. W przeciwnym razie milczenie byłoby racjonalną strategią ochrony przed wykryciem naruszeń.

Opisana sprawa pokazuje, że UODO traktuje ten mechanizm poważnie nawet wobec małych podmiotów, a nie tylko dużych firm czy instytucji publicznych. Dla przedsiębiorcy prowadzącego serwis internetowy, nawet niszowy, wnioski są jednoznaczne: urząd jest w stanie i skłonny egzekwować obowiązek współpracy niezależnie od skali działalności.

Dwa obowiązki, które warto sprawdzić już dziś

Ze sprawy wyłaniają się dwa obszary, których zaniedbanie może prowadzić do problemów z organem nadzorczym. Warto potraktować je jako praktyczną listę kontrolną.

Widoczność danych administratora na stronie

Jeśli serwis internetowy przetwarza dane osobowe, rejestruje konta, przechowuje zapytania, prowadzi bazę specjalistów lub zbiera dane kontaktowe, podmiot za to odpowiedzialny ma obowiązek podać przynajmniej swoją nazwę lub imię i nazwisko oraz działający adres do korespondencji lub adres e-mail. Brak tych informacji to nie formalność, lecz realna przeszkoda dla użytkowników chcących skorzystać ze swoich praw, co może stać się podstawą skargi do UODO i wszczęcia postępowania.

Reagowanie na wezwania organu nadzorczego

Jeśli UODO kieruje pytania do administratora w ramach postępowania, odpowiedź jest obowiązkiem, a nie opcją. Wyjaśnienia lakoniczne, niezwiązane z pytaniami lub całkowite milczenie mogą być ocenione jako odmowa współpracy. Urząd informuje o możliwych konsekwencjach, ale jak pokazuje opisana sprawa, ta informacja jest zapowiedzią realnej sankcji, a nie kurtuazyjnym przypomnieniem.

Co to oznacza dla osób, których dane trafiły do takich serwisów

Przedstawiciele zawodów prawniczych oraz inne osoby, których dane były przetwarzane w portalach lexspace.pl i adwokatura.info, mogą wyciągnąć z tej sprawy wniosek praktyczny: jeśli strona internetowa przetwarza dane osobowe, a nie ujawnia żadnych informacji o podmiocie za to odpowiedzialnym, jest to nieprawidłowość, którą można zgłosić do UODO. Opisana sprawa pokazuje, że organ nadzorczy takie sygnały traktuje poważnie, wszczyna postępowania wyjaśniające i ma narzędzia pozwalające dotrzeć nawet do administratora aktywnie unikającego kontaktu.

Fot. Yan Krukau / Pexels