SANKCJE ZA NARUSZENIE PRZEPISÓW ROZPORZĄDZENIA RODO
25 maja 2018 r. weszło w życie Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, potocznie zwane Rozporządzeniem RODO. Nie ulega wątpliwości, że w sposób istotny zmienia ono wiele kwestii dotyczących ochrony danych osobowych w Polsce (i w całej Unii Europejskiej). Jednak wokół Rozporządzenie RODO narosło też wiele mitów, wynikających przede wszystkim z nieznajomości lub nierozumienia jego przepisów.
Na podstawie rozmów z klientami doszedłem do wniosku, że największe obawy wśród przedsiębiorców budzą kary finansowe, jakie zgodnie z Rozporządzeniem RODO mogą być nakładane na podmioty, które naruszyły wynikające z niego obowiązki. Czy słusznie?
Faktem jest, że górna granica kar finansowych, jakie może nałożyć organ nadzorczy (w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych), robi duże wrażenie. W zależności od rodzaju naruszenia jej wysokość może sięgnąć do 10 mln EUR (a w przypadku przedsiębiorstw do 2% ich całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego) lub do 20 mln EUR (a w przypadku przedsiębiorstwa do 4% ich całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego).
Po pierwsze jednak wysokość ewentualnej kary pieniężnej w każdym wypadku dostosowywana będzie do rodzaju i charakteru naruszenia oraz do towarzyszących naruszeniu okoliczności. Organ nadzorczy będzie brał pod uwagę szereg różnorodnych czynników, takich jak m.in.: charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody; umyślny lub nieumyślny charakter naruszenia; działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą; wszelkie wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego; stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków; sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie. W praktyce wysokość nakładanych kar pieniężnych będzie więc zapewne w większości wypadków znacznie niższa od ich górnej granicy.
Jednocześnie ustanowienie górnej granicy kar pieniężnych na tak wysokim poziomie ma dwojakie uzasadnienie. Po pierwsze pozwoli ono na dotkliwe ukaranie nawet największych światowych firm, takich jak Facebook, Google, czy Microsoft, które na co dzień przetwarzają setki tysięcy naszych danych osobowych, nie zawsze przy tym chroniąc je w odpowiedni sposób, o czym mieliśmy okazję przekonać się przy okazji „Afery Cambridge Analytics”, o której głośno było jakiś czas temu. Z drugiej strony możliwość nałożenia tak wysokich kar pieniężnych działa równie dobrze, a być może nawet lepiej, na wyobraźnię pozostałych uczestników rynku, nawet jeśli w praktyce przeciętna wysokość nakładanych kar jest znacznie niższa.
Po wtóre nie każdy przypadek naruszenia przepisów Rozporządzenia RODO będzie skutkował nałożeniem kar pieniężnych. Organowi nadzorczemu przysługuje bowiem cały wachlarz innych środków, za pomocą których może on dyscyplinować nadzorowane podmioty. Może on np. wydawać ostrzeżenia, udzielać upomnień, nakazywać spełnienie żądań osoby, której dane dotyczą, czy też wprowadzać czasowe lub całkowite ograniczenie przetwarzania oraz zakaz przetwarzania danych osobowych.
Z informacji zawartych w sprawozdaniu z działalności Prezes Urzędu Ochrony Danych Osobowych za 2019 r. (dostępne pod adresem: https://uodo.gov.pl/pl/437) wynika, że w okresie tym (tj. od 1 stycznia do 31 grudnia 2019 r.) nałożył on kary administracyjne na 8 podmiotów (przy blisko 100 przeprowadzonych kontrolach), przy czym ich wysokość wahała się od 2.000 zł (w przypadku wspólnoty mieszkaniowej) do 2.830.410 zł (w przypadku Morele.Net sp. z o.o. w Krakowie). Łączna wysokość kar administracyjnych nałożonych w Polsce za naruszenie przepisów RODO od maja 2018 r. wynosi 1.705.683 EUR, co plasuje nas na 9 miejscu w UE (informacja za: https://www.prawo.pl/biznes/naruszenia-rodo-ile-zgloszen-jakie-kary-raport-dla-piper-2021,505883.html).
Podsumowując, bliższa analiza przepisów Rozporządzenia RODO prowadzi do wniosku, że w zakresie sankcji za ich naruszenie cechują się one dużą elastycznością. Elastyczność ta wykorzystywana jest przez Prezesa Urzędu Ochrony Danych Osobowych, który w zależności od towarzyszących sprawie okoliczności miarkuje nie tylko rodzaj ale i wysokość nakładanych kar.
Autor: radca prawny Mateusz Rojek