Orzeczenie jednoznacznie pokazuje, że spółdzielnie mieszkaniowe nie mogą liczyć na taryfę ulgową. Przede wszystkim na to, aby w sprawach o naruszenie przepisów o ochronie danych traktowano je tak jak administrację publiczną. Prezes Urzędu Ochrony Danych Osobowych mógłby wówczas nakładać na nie kary jedynie do 100 tys. zł, bo taki jest maksymalny limit w przypadku administracji publicznej. Naczelny Sąd Administracyjny przyznał, że spółdzielnie stanowią specyficzny byt, ale nie miał wątpliwości, iż jednak prowadzą działalność gospodarczą.
Czytaj więcej
Prezes Urzędu Ochrony Danych Osobowych wydał stanowisko w sprawie systemu analogicznego do bezpłatnego, państwowego e-Dziennika, który szkoły miały...
– W prawie unijnym pojęcie przedsiębiorstwa ma charakter funkcjonalny: decydujące jest prowadzenie działalności gospodarczej, a nie forma prawna, sposób finansowania czy deklarowany brak celu zarobkowego – tłumaczy Piotr Pałka, prof. Sopockiej Akademii Nauk Stosowanych, radca prawny i wspólnik DERC PAŁKA Kancelaria Radców Prawnych.
– Spółdzielnia mieszkaniowa realizuje ustawowe cele mieszkaniowe, ale może jednocześnie prowadzić działalność obejmującą między innymi budowę, zarządzanie nieruchomościami, wynajem lub zbywanie lokali oraz inną działalność gospodarczą związaną z realizacją jej celów. Sam społeczny lub członkowski charakter organizacji nie wyłącza zatem stosowania unijnej koncepcji przedsiębiorstwa – dodaje.
Ujawnienie danych osobowych, które powoduje ryzyko naruszenia praw lub wolności
Sprawa dotyczyła jednej z olsztyńskich spółdzielni mieszkaniowych. Jej kłopoty zaczęły się w sierpniu 2021 r., gdy do prezesa UODO wpłynęła informacja wskazująca na udostępnienie osobie nieuprawnionej danych osobowych. Alarmujący o naruszeniu wskazał, że otrzymał treść zawiadomienia o podejrzeniu popełnienia przestępstwa przez członka spółdzielni mieszkaniowej. Obejmowało ono dane osobowe w postaci: imienia, nazwiska, numeru PESEL oraz adresu zamieszkania. Mężczyzna tłumaczył, że jako osoba zawodowo związana z mediami informacyjnymi stał się nieuprawnionym odbiorcą dokumentu. Prezes UODO zwrócił się do spółdzielni o wyjaśnienie, czy w związku z opisaną sytuacją dokonana została analiza zdarzenia pod kątem ryzyka naruszenia praw lub wolności osób fizycznych. Jest to bowiem niezbędne do oceny, czy konieczne jest zawiadomienie prezesa UODO, a także osób, których dane bezprawnie udostępniono.
wynosi maksymalna kara za naruszenie RODO, jaką można wymierzyć administracji publicznej
wynosi maksymalna kara za naruszenie RODO, jaką można wymierzyć przedsiębiorcy
(lub 4 proc. rocznego światowego obrotu)
Spółdzielnia odpowiedziała, że jeden z mieszkańców niezadowolony z wysokości opłat eksploatacyjnych wszczął przeciwko niej negatywną kampanię w lokalnych mediach i internecie. W ten sposób sam upublicznił więc swoje dane osobowe. Tłumaczyła dalej, że złożyła zawiadomienie o podejrzeniu popełnienia przestępstwa przez swojego mieszkańca. A potem, w celu przedstawienia opinii publicznej prawdziwego stanu faktów, zarząd zwołał konferencję prasową tylko dla dziennikarzy. Na niej przedstawił fakty i udostępnił dziennikarzom kserokopię zawiadomienia o podejrzeniu popełnienia przestępstwa. Przy czym, wierząc w rzetelność dziennikarzy i ograniczenia wynikające z prawa prasowego założył, że dane osobowe są bezpieczne.
Spółdzielnia zaznaczyła, że czynność odnotowano w rejestrze naruszeń. Inspektor ochrony danych ocenił, że ryzyko naruszenia praw i wolności osoby fizycznej, która sama upubliczniła swoje dane osobowe, jest niskie.
Czytaj więcej
Osoby, których dane wykradziono z MyDr mają szansę na zadośćuczynienie. Kokosów jednak nie powinny się spodziewać, a jeśli zażądają zbyt wiele, to...
Prezes UODO nie odpuszczał i dopytywał, czy osoba, której dane dotyczą, sama upubliczniła odnoszące się do niej zawiadomienie o podejrzeniu popełnienia przestępstwa, a jeżeli tak, to w jakich okolicznościach i w jakiej części. Gdy spółdzielnia wyjaśniła, że nie ma w tym zakresie wiedzy, urząd wszczął wobec niej oficjalne postępowanie. I ostatecznie nałożył na nią karę prawie 52 tys. zł za niezgłoszenie naruszenia ochrony danych osobowych i brak zawiadomienia osoby, której ono dotyczyło. Przy czym UODO nie miał cienia wątpliwości, że udostępnienie nieuprawnionemu dokumentu, zawierającego dane osobowe członka spółdzielni powoduje wysokie ryzyko naruszenia praw lub wolności osoby fizycznej.
Ukarana nie pogodziła się z takim obrotem sprawy i spór trafił na wokandę. Wojewódzki Sąd Administracyjny (WSA) w Warszawie stanął w obronie spółdzielców. Nieoczekiwanie wskazał na specyfikę polskiego ustawodawstwa, rozróżniającego pojęcie i podstawy prawne działania spółdzielni mieszkaniowych od przedsiębiorstwa. I uznał, że brak jest podstawy prawnej do mechanicznego utożsamiania spółdzielni z przedsiębiorstwem, co odzwierciedliło się następnie w sposobie wyliczenia przez organ kary pieniężnej. WSA nie wykluczył, że jakaś spółdzielnia w istocie swej będzie działała jak firma, co być może, w konkretnym przypadku, usprawiedliwiłoby przyjęcie i wyliczenie wysokości kary na podstawie art. 83 RODO w tej części odnoszącej się do przedsiębiorstwa. Niemniej zdaniem sądu w spornym przypadku nie wyjaśniono, dlaczego skarżącą uznano za przedsiębiorcę i w adekwatny do tego sposób obliczono wysokość kary pieniężnej.
Sąd zauważył, że coraz częściej trafiają do niego decyzje prezesa UODO w odniesieniu do spółdzielni mieszkaniowych. Dlatego kwestia przeanalizowania ich charakteru prawnego, dotąd zupełnie pomijana, nie może dłużej być ignorowana. Prowadzi to bowiem do nieprawidłowych i niepożądanych skutków m.in. co do sposobu obliczania wysokości kary pieniężnej, w razie stwierdzenia naruszeń RODO, dokonanych przez spółdzielnie mieszkaniowe. Tymczasem zdaniem WSA oczywiste jest, że potencjalne kary stanowią obciążenie nie tylko dla spółdzielni, ale ostatecznie dla ich mieszkańców – spółdzielców. Problem prawny może potencjalnie dotyczyć kilku milionów osób, dlatego, jak tłumaczył sąd, jest na tyle istotny, że nie mógł zostać przez niego pominięty.
Na spółdzielnię naruszającą RODO można nałożyć karę według zasad dla przedsiębiorstw
NSA nie dopatrzył się jednak żadnego powodu do ulgowego traktowania spółdzielni mieszkaniowych. Przede wszystkim, jak prezes UODO, uznał, że ujawnienie danych w sprawie powodowało wysokie ryzyko naruszenia praw lub wolności osoby fizycznej. Co więcej, NSA zwrócił uwagę na wyjątkową niefrasobliwość władz spółdzielni, która przez 50 dni upubliczniała w internecie informacje pozwalające na zapoznanie się z danymi osobowymi mieszkańca. Prezes UODO w ocenie sądu wyjaśnił też okoliczności uzasadniające wymierzenie kary. Wskazał m.in., jakie mogą być skutki ujawnienia spornych danych dla obywatela.
Czytaj więcej
Mieliśmy do czynienia z przypadkiem, gdy odpowiedzialność zgodnie z umową pozostała w całości po stronie administratorów danych, czyli małych gabin...
NSA odniósł się również do istoty sprawy, czyli tego, czy spółdzielnia mieszkaniowa jest przedsiębiorcą w rozumieniu RODO. Nie miał wątpliwości, że tak. Wskazał, że przesądza o tym art. 101 i 102 Traktatu o funkcjonowaniu UE, które odnoszą się do przedsiębiorcy nie w sensie formalnym, ale funkcjonalnym. Ponadto w orzecznictwie unijnym wielokrotnie wskazywano, że przedsiębiorstwo obejmuje każdy podmiot prowadzący działalność gospodarczą, niezależnie od statusu i sposobu finansowania.
Sąd nie kwestionował, że spółdzielnia mieszkaniowa stanowi w polskim prawie pewien odrębny byt. Niemniej spełnia warunki uznania jej za przedsiębiorcę w rozumieniu RODO, bo choć specyficzną, to prowadzi jednak działalność gospodarczą. W konsekwencji w opinii sądu dopuszczalne jest nałożenie kary na spółdzielnię mieszkaniową, a szerzej, co do zasady, także każdy inny jej typ prowadzący działalność gospodarczą. – Za niefrasobliwość w ochronie danych osobowych, szczególnie w warunkach wojny hybrydowej, a także wykorzystywania ich przez licznych oszustów, trzeba płacić również kary administracyjne nakładane przez UODO – konkludował sędzia NSA Przemysław Szustakiewicz (sygn. akt: III OSK 251/24).
Obowiązki spółdzielni mieszkaniowych jako administratorów danych
W opinii prof. Grzegorza Sibigi, adwokata i partnera w kancelarii Traple, Konarski, Podrecki i Wspólnicy, uznanie, że spółdzielnie mieszkaniowe są przedsiębiorcami ma istotne znaczenie w ich sytuacji jako administratorów odpowiedzialnych za ochronę danych osobowych.
– W prawie ochrony danych osobowych prowadzenie przedsiębiorstwa znacząco wpływa bowiem na wysokość administracyjnej kary pieniężnej i sposób jej nakładania – podkreśla ekspert.
Jak tłumaczy prof. Grzegorz Sibiga, kary nakładane przez prezesa UODO mają być z jednej strony skuteczne i odstraszające, ale z drugiej strony powinny uwzględniać specyfikę prowadzonej przez przedsiębiorcę działalności i wielkość karanego podmiotu. Dodatkowo prezes może na wniosek odraczać termin uiszczenia kary lub rozkładać ją na raty.
– Wszystkie te elementy powinny być brane pod uwagę w postępowaniach administracyjnych w sprawie nakładania kar. Jednak skupiłbym uwagę spółdzielni przede wszystkim na skutecznym wykonywaniu obowiązków ochrony danych i prawidłowym reagowaniu na uchybienia, bo to ma kluczowe znaczenie w unikaniu sankcji lub też obniżaniu ich wysokości – rekomenduje prof. Grzegorz Sibiga.
Na podobny aspekt zwraca uwagę dr Piotr Pałka.
– Spółdzielnie mieszkaniowe działają w obszarze, w którym prawo członków do informacji, jawność określonych dokumentów i potrzeba komunikowania się z mieszkańcami stale stykają się z prawem do prywatności. Obowiązek transparentności nie znosi jednak zasady minimalizacji ani nie usprawiedliwia ujawniania danych, które nie są konieczne do osiągnięcia danego celu – podkreśla.
– Najważniejszą praktyczną konsekwencją orzeczenia powinien być przegląd wewnętrznych procedur, formularzy analizy ryzyka, zasad udostępniania dokumentów, kontaktów z mediami i umów z wykonawcami. Nie chodzi o mechaniczne zgłaszanie każdego incydentu. Chodzi o to, aby każdy incydent został szybko rozpoznany, indywidualnie oceniony, ograniczony i rzetelnie udokumentowany, a decyzja administratora mogła zostać obroniona na podstawie faktów istniejących w chwili jej podjęcia. W praktyce właśnie brak takiego udokumentowanego procesu – bardziej niż sama pomyłka pracownika – może prowadzić do najpoważniejszych konsekwencji regulacyjnych, finansowych i reputacyjnych – dodaje Piotr Pałka.
Wyrok jest prawomocny.
Współpraca: Jolanta Szymczyk-Przewoźna
