NSA ostatecznie utrzymał w mocy karę Prezesa UODO na mazowieckie OHP

Prezes UODO nie nakłada kar za sam wyciek danych, kluczowa jest postawa administratora przy dokonywaniu analizy ryzyka, wdrażaniu zabezpieczeń, stosowaniu się do własnych zaleceń, a także jego współpraca z Urzędem po incydencie. Prezes UODO ukarał Komendanta Mazowieckiej Wojewódzkiej Komendy Ochotniczych Hufców Pracy - a sądy administracyjne dwóch instancji przyznały mu rację.

Naczelny Sąd Administracyjny 3 listopada 2026 r. oddalił skargę kasacyjną komendanta wojewódzkiego OHP na decyzję Prezesa UODO, która nakładała na niego karę administracyjną w wysokości 15 tys. zł. Tym samym NSA podzielił ocenę Wojewódzkiego Sądu Administracyjnego w Warszawie, który 4 kwietnia 2024 r. również oddalił skargę tego administratora, tym samym podtrzymując decyzję Prezesa UODO.

Służbowy laptop kierownika skradziony

Dotyczyła ona kradzieży laptopa służbowego z samochodu osoby pełniącej funkcję kierowniczą w mazowieckim OHP. W wyniku tego doszło do wycieku danych trzech osób, które znajdowały się na tym urządzeniu przenośnym. Komputer został skradziony w czasie delegacji, a więc poza strefą przetwarzania danych wyznaczonych w wewnętrznych procedurach administratora. Dane zostały przywrócone z kopii zapasowych jednak potencjalnie osoba niepowołana mogła uzyskać do nich dostęp.

Badając sprawę UODO zwrócił się do administratora z pytaniem, czy przyprowadził on analizę ryzyka uwzględniająca takie zagrożenie, jak kradzież służbowego laptopa. Odpowiedzi OHP były wymijające, jednak zawierały dokument zatytułowany jako analiza ryzyka. W pierwszej części oceniono w nim ryzyko takiego zdarzenia jako wysokie i nieakceptowalne, jednak w dalszej części dokumentu zostało ono zmienione na niskie, a co za tym idzie - akceptowalne. Administrator, mimo wielokrotnych wezwań urzędu, nie przedstawił informacji, kiedy dokonano tej analizy. Co więcej, jako rekomendację wskazywano w niej wprowadzenie narzędzia szyfrującego (BitLocker) na komputerach organizacji.

Narzędzie to zostało wdrożone jednak dopiero po incydencie. OHP nie wykazało w toku postępowania, że zastosowało się do własnych zaleceń przed wyciekiem. Prezes UODO uznał więc, że administrator nie wdrożył adekwatnych środków administracyjnych i technicznych, a także nie dokonywał ich regularnego sprawdzania czy mierzenia skuteczności. Z tego powodu nałożył na mazowieckie OHP karę w wysokości 15 tys. zł.

Administrator zaskarżył tę decyzję do WSA. Zarzucił Prezesowi UODO nieprawidłowe ustalenie stanu faktycznego i błędne uznanie, że administrator nie wdrożył adekwatnych środków zabezpieczających dane. Wskazywał, że laptop był chroniony unikalnym loginem i hasłem, a samochód posiadał autoalarm, co miało zabezpieczyć go przed kradzieżą. Kwestionował też wysokość kary, wskazując, że realnie wyciekły dane tylko dwóch osób, trzecią bowiem była żona osoby na stanowisku kierowniczym w OHP - nie łączył jej więc z administratorem stosunek służbowy. Podkreślono, że przy tak małej liczbie poszkodowanych, kara nałożona przez Prezesa UODO jest niewspółmiernie duża.

Sądy administracyjne przyznają rację Prezesowi UODO

NSA i WSA nie uwzględniły jednak tych argumentów. Naczelny Sąd Administracyjny zgodził się z oceną sądu niższej instancji, że Prezes UODO właściwie zbadał sprawę ustalił wszystkie niezbędne okoliczności, a także w pełni uargumentował swoją decyzję. WSA zwrócił uwagę, że to sam administrator zawiadamiając o incydencie wskazał, że dotyczyło to danych trzech osób. Trudno więc oczekiwać, by urząd przyjął inną ich liczbę.

Prezes UODO słusznie wskazał, że skradziony laptop nie posiadał programu szyfrującego dane, a był jedynie zabezpieczony hasłem. Zasadnie przyjął więc, że przed datą incydentu nie wdrożono adekwatnych środków organizacyjnych i technicznych, wskazanych jako zalecane w analizie ryzyka przez samego administratora. WSA w swoim postępowaniu podkreślił też, że Prezes UODO rzetelnie przeprowadził postępowanie dowodowe i ustalił rzeczywisty stan faktyczny.

W omawianej sprawie Urząd nie znalazł żadnych okoliczności łagodzących, a jedynie neutralne. Przykładowo - brak wcześniejszych naruszeń czy fakt, że powiadomiono osoby, których dane dotyczyły, jest po prostu wykonywaniem obowiązków administratora i nie może być uznane za taką okoliczność. Dlatego WSA stwierdził, że organ nadzorczy właściwie określił wysokość kary, co potwierdził następnie NSA, oddalając skargę kasacyjną administratora.