Zasady nakładania kar za naruszenie przepisów o ochronie danych osobowych

Upomnienia, ostrzeżenia czy wezwania do przywrócenia stanu, w którym przetwarzanie danych odbywa się zgodnie z prawem, to niektóre z instrumentów, jakie ma do dyspozycji Prezes UODO. Nie zawsze takie środki są wystarczające i adekwatne do zaistniałem sytuacji. Dlatego zgodnie z RODO, czyli rozporządzeniem ogólnym o ochronie danych osobowych, organ nadzoru ma również możliwość nałożyć administracyjną karę pieniężną, której górna granica może wynieść nawet do 20 milionów euro lub do 4 proc. całkowitego rocznego światowego obrotu.

Z samego założenia kary te mają być dotkliwe i odstraszające. Przy ich wymierzaniu decydować jednak musi indywidualna ocena każdego z naruszeń. I zanim dojdzie do jej nałożenia, Prezes UODO bierze pod uwagę 11 czynników, których wymaga RODO.

Ocenia się więc charakter, wagę i czas trwania naruszenia. Znaczenie ma więc liczba poszkodowanych osób czy rozmiar poniesionej przez nie szkody, ale i to, jaki był cel i zakres przetwarzania danych, których dotyczyło naruszenie

Konieczne jest zbadanie, czy miało ono charakter umyślny, czy też nie.

Istotne dla ustaleń jest również przeanalizowanie działań, jakie w związku z naruszeniem podjął administrator bądź podmiot przetwarzający. Prezes UODO bierze więc pod uwagę, czy np. podmiot po swojej stronie podjął działania zmierzające do naprawy stwierdzonych nieprawidłowości, czy powiadomił osoby, których dane przetwarza np. o wycieku informacji z bazy dennych.

Ustalany jest też stopień odpowiedzialności administratora lub podmiotu przetwarzania. Dlatego Prezes UODO zwraca przy tym uwagę na to, jak np. dane były chronione zarówno od strony technicznej, jak i proceduralnej. Znaczenie ma tu również podejście do przewidzianych w RODO zasad privacy by default oraz privacy by design. A więc znaczenie ma, czy ochrona danych osobowych była brana pod uwagę już na etapie projektowania produktu czy usługi.

Jednym z czynników, który ma wpływ na podjęcie decyzji o nałożeniu kary, jak i na jej wysokość jest również to, jak wcześniej administrator podchodził do ochrony danych. Brane są więc pod uwagę wszystkie wcześniejsze naruszenia danego podmiotu.

Duże znaczenie ma również stopień współpracy administratora z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków. Inna więc może być sytuacja podmiotu, który na etapie postepowania podejmuje działa zmierzające np. do zaprzestania naruszenia, niż tego, który z tym zwleka albo w ogóle nie zamierza nic robić.

Ważnym czynnikiem, jaki ma znaczenie dla nałożenia kary jest również kategoria danych osobowych, których dotyczy niewłaściwa praktyka administratora. Mogą być to tzw. dane zwykłe, jak imię, nazwisko czy adres. Naruszenie może jednak dotyczyć również danych o naszym zdrowiu, w których to często są informacje bardzo intymne.

Pod uwagę bierze się również to w jaki sposób organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie.

Istotne jest również to, czy w tej samej sprawie organ nadzoru zastosował wcześniej inne środki np. upomnienie czy wezwanie w związku z jego nieprawidłową praktyką.

RODO przewiduje również, że przy podejmowaniu decyzji o nałożeniu kary, jak i jej wysokości, należy wziąć pod uwagę stosowanie przez administratora zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji. Znaczenia mają także wszelkie inne okoliczności ważne sprawy dla sprawy. Mogą one mieć wpływ na załagodzenia, jak i zaostrzenie podejścia w danym przypadku. Prezes UODO w prowadzonym postępowaniu bada więc choćby to, czy administrator w związku z naruszeniem ochrony danych odniósł korzyści finansowe lub uniknął strat.