NSA podtrzymuje decyzję Prezesa UODO w sprawie kary pieniężnej 52 tys. zł dla spółdzielni mieszkaniowej za niezgłoszenie incydentu i niepowiadomienie osoby dotkniętej naruszeniem

Naczelny Sąd Administracyjny podtrzymał decyzję Prezesa UODO w sprawie spółdzielni mieszkaniowej, która nie zgłosiła organowi nadzorczemu naruszenia ochrony danych osobowych oraz nie zawiadomiła o naruszeniu osoby, której dane dotyczą. Decyzję tę uchylił wcześniej Wojewódzki Sąd Administracyjny, ale NSA ten wyrok uchylił 26 sierpnia 2026 r. i oddalił skargę administratora, w pełni podzielając argumenty przedstawione w skardze kasacyjnej Prezesa UODO.

Sprawa trafiła do NSA wskutek skargi kasacyjnej Prezesa UODO na wyrok WSA w Warszawie. Uchylił on decyzję organu nadzorczego nakładającą karę pieniężną na spółdzielnię mieszkaniową za niezgłoszenie naruszenia ochrony danych osobowych i niepowiadomienie osoby, której on dotyczył. Wojewódzki Sąd Administracyjny uznał, że Prezes UODO w decyzji nie użył "przekonujących argumentów przemawiających za uznaniem, że naruszenie ochrony danych osobowych u administratora mogło powodować wyższe niż małe ryzyko naruszenia praw lub wolności osób fizycznych". Naczelny Sąd Administracyjny odrzucił ten argument sądu pierwszej instancji. Zdaniem NSA organ nadzorczy w uzasadnieniu decyzji wykazał przyczyny, dla których uznał, że ujawnienie takich danych jak PESEL, imię i nazwisko oraz adres zamieszkania osoby fizycznej stanowiło wysokie ryzyko naruszenia praw i wolności osoby fizycznej.

Tym samym NSA potwierdził, że spółdzielnia powinna zgłosić Prezesowi UODO naruszenie ochrony danych, a także musi o nim powiadomić osobę, której dane dotyczą - co organ nadzorczy nakazał w swojej decyzji.

WSA miał też wątpliwość czy Prezes UODO słusznie uznał spółdzielnię mieszkaniową za przedsiębiorcę i tym samym prawidłowo wyliczył karę pieniężną w oparciu o art. 83 ust. 4 RODO, czyli ogólnego rozporządzenia o ochronie danych osobowych. Jednak także w tym przypadku NSA nie zgodził się z sądem niższej instancji i przyznał rację Prezesowi UODO. W uzasadnieniu wyroku wskazał, że spółdzielnia mieszkaniowa jest "przedsiębiorcą" w rozumieniu tego przepisu.

Przypomnijmy, że decyzja Prezesa UODO dotyczy naruszenia ochrony danych osobowych, polegającego na ujawnieniu przez spółdzielnię (administratora danych) informacji o sporze między nią a członkiem spółdzielni - kserokopii zawiadomienia o podejrzeniu przestępstwa wraz z danymi osobowymi.

Sprawę tę administrator odnotował jedynie w wewnętrznym rejestrze naruszeń.

Każdy administrator w przypadku wystąpienia naruszenia ochrony danych osobowych jest zobowiązany w terminie do 72 godzin od jego stwierdzenia zgłosić je Prezesowi UODO, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem dla praw lub wolności osób fizycznych.

Administrator ocenia to prawdopodobieństwo dokonując analizy ryzyka. Powinna ona brać pod uwagę przede wszystkim zagrożenia dla podmiotu danych, a nie interesy administratora. W tej sprawie administrator tego nie zrobił, analizy nie był w stanie przedstawić. Jego twierdzenie, że ryzyko jest mało prawdopodobne, nie ma więc podstaw.

Prezes Urząd Ochrony Danych Osobowych nałożył więc na spółdzielnię prawie 52 tys. złotych kary. Ze szczegółami tej decyzji mogą się Państwo zapoznać pod linkiem: https://uodo.gov.pl/pl/138/2658

Sygn. akt III OSK 251/24