KOMPAS FORSAFE 2026/42

Podstawa prawna naruszenia

Nieprzestrzeganie nakazu decyzji administracyjnej.

Przyczyna naruszenia

Przyczyną naruszenia było niewykonanie przez administratora prawomocnego nakazu Prezesa UODO dotyczącego zaprzestania bezprawnego monitoringu oraz usunięcia danych osobowych. Administrator ignorował kierowaną do niego korespondencję i nie podjął żadnych działań naprawczych, co doprowadziło do dalszego niezgodnego z prawem przetwarzania danych. Dodatkowo naruszenie wynikało z błędnego przekonania o dopuszczalności monitorowania przestrzeni publicznej i nieruchomości osób trzecich.

Opis wydarzeń

Stan pierwotny i zakres monitoringu: Sprawa dotyczyła administratora będącego osobą fizyczną, który zainstalował system monitoringu wizyjnego na swojej nieruchomości. Monitoring ten wykraczał jednak poza granice tej nieruchomości i obejmował przestrzeń publiczną, w tym drogę publiczną oraz nieruchomości sąsiadów. W efekcie dochodziło do przetwarzania danych osobowych wielu osób fizycznych, w tym ich wizerunku i głosu, bez podstawy prawnej.
Wydanie decyzji nakazującej przez organ nadzorczy: W wyniku postępowania prowadzonego przez UODO wydana została decyzja administracyjna nakazująca zaprzestanie przetwarzania danych osobowych określonych osób oraz usunięcie ich danych z systemu monitoringu. Decyzja ta była jednoznaczna i obejmowała zarówno obowiązek zaprzestania rejestracji obrazu i dźwięku poza granicą nieruchomości, jak i obowiązek usunięcia dotychczas zgromadzonych danych.
Doręczenie decyzji i jej uprawomocnienie: Decyzja została doręczona administratorowi w trybie doręczenia zastępczego, po dwukrotnej awizacji. W konsekwencji została uznana za skutecznie doręczoną, a następnie stała się prawomocna. Administrator nie złożył skargi do sądu administracyjnego, co oznaczało, że był zobowiązany do jej wykonania.
Brak wykonania decyzji i pierwsze działania organu: Po uprawomocnieniu się decyzji UODO zwrócił się do administratora z wezwaniem do przedstawienia dowodów wykonania nakazu. Administrator nie odpowiedział na wezwanie i nie przedstawił żadnych informacji potwierdzających podjęcie działań naprawczych.
Upomnienie i dalszy brak reakcji: W związku z brakiem odpowiedzi UODO wystosował upomnienie wzywające do wykonania decyzji pod rygorem wszczęcia postępowania egzekucyjnego. Również to pismo nie zostało odebrane przez administratora i zostało uznane za doręczone w trybie przewidzianym przepisami prawa.
Wpływ skargi i dowodów od osób dotkniętych naruszeniem: Do UODO wpłynęła skarga jednej z osób monitorowanych, która wskazała, że mimo decyzji administrator nadal prowadzi monitoring obejmujący ich nieruchomości oraz przestrzeń publiczną. Do skargi dołączono dokumentację fotograficzną potwierdzającą kontynuację naruszenia.
Publiczne ujawnienie sprawy i dowody pośrednie: Dodatkowym elementem materiału dowodowego był materiał opublikowany w serwisie internetowym, w którym osoby dotknięte naruszeniem wskazywały, że administrator nadal rejestruje obraz i wykorzystuje nagrania np. do zgłoszeń do organów ścigania.
Wszczęcie postępowania sankcyjnego: Ze względu na brak wykonania decyzji UODO wszczął postępowanie w przedmiocie nałożenia administracyjnej kary pieniężnej. W jego toku ponownie wezwano administratora do przedstawienia informacji o jego sytuacji finansowej oraz ewentualnych dowodów wykonania decyzji.
Brak współpracy i brak wyjaśnień: Administrator nie odpowiedział na żadne z pism, nie przedstawił dowodów ani nie podjął działań mających na celu usunięcie naruszenia. Tym samym potwierdził brak wykonania obowiązków.
Ocena naruszenia i jego skutków: UODO uznał, że naruszenie ma charakter długotrwały i obejmuje znaczną liczbę osób. Monitorowanie powodowało istotne negatywne skutki, w tym poczucie inwigilacji, stres, ograniczenie prywatności oraz konieczność uczestniczenia w postępowaniach inicjowanych przez administratora.
Nałożenie kary administracyjnej: W związku z powyższym UODO nałożył administracyjną karę pieniężną w wysokości 26 711 zł, uznając ją za proporcjonalną, skuteczną i odstraszającą. Kara została określona m.in. w oparciu o przeciętne wynagrodzenie oraz przy założeniu przeciętnej sytuacji finansowej administratora.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

Zapewnienie wykonania decyzji organu nadzorczego: Każdy administrator musi traktować decyzje organu nadzorczego jako wiążące i wymagające niezwłocznego wykonania. Ignorowanie takich decyzji prowadzi nie tylko do dalszego naruszenia przepisów, ale również do znacznie poważniejszych konsekwencji finansowych. Organizacje i osoby fizyczne powinny wdrożyć procedury reagowania na decyzje administracyjne, obejmujące analizę treści decyzji, plan działań oraz dokumentowanie kroków naprawczych.
Wdrożenie mechanizmów kontroli korespondencji urzędowej: Konieczne jest zapewnienie skutecznego systemu odbierania pism urzędowych, w tym monitorowania awizacji, wyznaczenia osób odpowiedzialnych za odbiór oraz prowadzenia rejestru korespondencji. Brak takiego systemu może skutkować uznaniem pism za doręczone i poważnymi konsekwencjami prawnymi.
Ograniczenie zakresu monitoringu do własnej nieruchomości: Monitoring prywatny nie może obejmować przestrzeni publicznej ani nieruchomości osób trzecich, chyba że istnieje wyraźna podstawa prawna do takiego działania. Kamery powinny być ustawione w sposób minimalizujący zakres przetwarzania danych i ograniczający go wyłącznie do obszaru niezbędnego do ochrony mienia.
Przeprowadzenie analizy ryzyka i zgodności: Przed wdrożeniem monitoringu należy przeprowadzić analizę ryzyka oraz ocenę zgodności z RODO. W szczególności należy ocenić, czy monitoring jest proporcjonalny, czy istnieją mniej inwazyjne środki oraz jakie mogą być skutki dla osób trzecich.
Respektowanie zasady rozliczalności: Administrator powinien być w stanie wykazać zgodność przetwarzania z przepisami. Oznacza to konieczność dokumentowania decyzji, działań oraz stosowanych środków technicznych i organizacyjnych. Brak dokumentacji jest często traktowany na równi z brakiem zgodności.
Zapewnienie współpracy z organem nadzorczym: Współpraca z organem nadzorczym ma kluczowe znaczenie dla oceny naruszenia. Brak odpowiedzi na wezwania zawsze działa na niekorzyść administratora i zwiększa ryzyko nałożenia surowszej kary.
Minimalizacja skutków naruszenia: W przypadku stwierdzenia naruszenia konieczne jest podjęcie działań ograniczających jego skutki, takich jak usunięcie danych, wyłączenie systemów czy poinformowanie osób, których dane dotyczą. Każde opóźnienie w tym zakresie zwiększa odpowiedzialność administratora.
Uwzględnienie wpływu na osoby fizyczne: Administrator powinien analizować nie tylko aspekty formalne, ale także realne skutki przetwarzania dla osób fizycznych. Monitoring ingerujący w życie prywatne może powodować poważne konsekwencje psychologiczne i społeczne.
Regularny audyt systemów monitoringu: Systemy monitoringu powinny być okresowo weryfikowane pod kątem zakresu rejestracji, sposobu przechowywania danych oraz zgodności z przepisami. Audyty pozwalają wykryć potencjalne naruszenia na wczesnym etapie.
Edukacja i świadomość prawna: Zarówno osoby fizyczne, jak i organizacje powinny posiadać podstawową wiedzę na temat zasad przetwarzania danych osobowych. Brak świadomości nie zwalnia z odpowiedzialności, a często prowadzi do poważnych naruszeń.