Podstawa prawna naruszenia

Art. 58 ust. 1 lit. a) i lit. e) RODO.

Niewystarczająca współpraca z organem nadzorczym.

Przyczyna naruszenia

Naruszenie wynikało z całkowitego braku reakcji administratora na dwukrotne wezwania Prezesa UODO skierowane w toku odrębnego postępowania wyjaśniającego, dotyczącego wykorzystania niezautoryzowanej aplikacji mobilnej do weryfikacji uprawnień wyborczych podczas wyborów prezydenckich w 2025 r. Administrator, mimo skutecznego doręczenia wezwań oraz późniejszego poinformowania o wszczęciu postępowania penalizacyjnego, nie udzielił żadnej odpowiedzi co do kategorii przetwarzanych danych, sposobu ich zabezpieczenia, retencji ani podstaw prawnych przetwarzania. Bierność ta utrzymywała się nieprzerwanie przez ponad 10 miesięcy.

Opis wydarzeń

1. Podejrzenie nieprawidłowego wykorzystania aplikacji wyborczej: Do Prezesa UODO trafiła informacja, że pewna organizacja stworzyła aplikację mobilną, za pomocą której podczas wyborów prezydenckich w 2025 r. sprawdzano uprawnienia osób chcących zagłosować poza miejscem zamieszkania. Problem w tym, że aplikacja nie miała zgody Krajowego Biura Wyborczego na taką funkcję, co budziło wątpliwości, czy dane osobowe wyborców były tam przetwarzane w sposób zgodny z prawem.
2. Prośby o wyjaśnienia bez odpowiedzi: Aby to zweryfikować, UODO dwukrotnie wysłało do organizacji pisma z pytaniami: jakie dane były zbierane, gdzie są przechowywane, czy są szyfrowane, jak długo są przetrzymywane i na jakiej podstawie prawnej. Organizacja nie odpowiedziała na żadne z tych pism.
3. Skuteczne doręczenie mimo nieodebrania przesyłek: Listy wysłano na adres widniejący w rejestrze sądowym. Mimo że przesyłki wróciły jako nieodebrane, prawo traktuje je jako doręczone po dwóch próbach awizowania, więc organizacja formalnie została poinformowana, nawet jeśli fizycznie nie odebrała korespondencji.
4. Telefoniczne wyjaśnienia i kolejna szansa na odpowiedź: Jesienią 2025 r. pracownik urzędu zadzwonił do prezesa organizacji, który stwierdził, że nie widział żadnych pism, i podał inny adres do kontaktu. UODO wysłało korespondencję ponownie i tym razem jedno z pism zostało odebrane. Mimo to nadal nie pojawiła się żadna odpowiedź merytoryczna.
5. Wszczęcie sprawy o karę finansową: Wobec uporczywego milczenia UODO rozpoczęło odrębne postępowanie. Tym razem nie o samą aplikację, lecz o to, że organizacja utrudnia mu wykonywanie jego obowiązków kontrolnych. Poinformowano ją o tym oficjalnie, a jedno z pism odebrał osobiście prezes organizacji.
6. Utrzymująca się bierność mimo ostrzeżeń: Nawet po jasnym komunikacie, że brak odpowiedzi może skończyć się karą pieniężną, organizacja nadal nie podjęła żadnego dialogu z UODO. Taka postawa trwająca ponad 10 miesięcy została odczytana jako świadome i celowe unikanie współpracy, a nie przypadkowe niedopatrzenie.
7. Ustalenie wysokości kary mimo braku danych finansowych: Ponieważ organizacja nie jest firmą nastawioną na zysk i nie publikuje sprawozdań finansowych, UODO nie mógł oprzeć kary na wysokości jej obrotów. Zamiast tego oszacował karę na podstawie ogólnej skali działalności organizacji ustalając ją na poziomie znacznie niższym niż maksymalny możliwy wymiar. W rezultacie organizacja otrzymała karę administracyjną w wysokości 10 082 zł.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

1. Traktowanie żądań organu nadzorczego priorytetowo: Każde wezwanie Prezesa UODO w toku postępowania wyjaśniającego lub kontrolnego powinno być rozpatrywane jako obowiązek procesowy o wysokim priorytecie, niezależnie od oceny zasadności samego postępowania. Brak odpowiedzi stanowi samodzielną podstawę odpowiedzialności, nawet jeśli sprawa główna pozostaje nierozstrzygnięta.
2. Aktualizacja adresu w KRS jako element zarządzania ryzykiem prawnym: Podmioty wpisane do KRS ponoszą pełne ryzyko doręczenia zastępczego na adres ujawniony w rejestrze, niezależnie od faktycznego funkcjonowania pod tym adresem. Należy wdrożyć procedurę regularnej weryfikacji i niezwłocznej aktualizacji danych rejestrowych.
3. Wyznaczenie osoby odpowiedzialnej za korespondencję z organami nadzorczymi: Warto ustanowić jednoznaczny punkt kontaktowy oraz procedurę wewnętrznej eskalacji korespondencji urzędowej, aby uniknąć sytuacji, w której pisma pozostają nieodebrane lub nierozpatrzone z przyczyn organizacyjnych.
4. Dokumentowanie i archiwizowanie informacji o przetwarzaniu danych: Administratorzy powinni być w stałej gotowości do przedstawienia organowi nadzorczemu informacji o kategoriach danych, celach i podstawach przetwarzania, sposobie zabezpieczenia oraz okresie retencji – najlepiej w formie aktualnego rejestru czynności przetwarzania.
5. Świadomość konsekwencji biernej postawy wobec kontroli: Ignorowanie korespondencji urzędowej może zostać ocenione jako działanie umyślne, co istotnie zwiększa surowość sankcji. Nawet przy niskiej kwotowo karze, ustalenie umyślności ma znaczenie dla oceny ewentualnych przyszłych naruszeń.
6. Weryfikacja narzędzi IT wykorzystywanych w procesach wrażliwych społecznie: Wdrażanie aplikacji do zadań o charakterze publicznym lub wyborczym wymaga uprzedniej weryfikacji zgodności z wymogami RODO oraz, tam gdzie to wymagane, uzyskania stosownych autoryzacji instytucjonalnych.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu