Informację o naruszeniu ochrony danych Prezes UODO otrzymał od dziennikarza, który uczestniczył w konferencji prasowej zwołanej przez spółdzielnię mieszkaniową z powodu głośnego sporu z jej członkiem. Według przedstawicieli zarządu spółdzielni człowiek ten miał prowadzić w lokalnych mediach i internecie negatywną kampanię wobec spółdzielni, ponieważ był niezadowolony z wysokości opłat za wodę, które są niezależne od spółdzielni. Podczas konferencji wiceprezes spółdzielni udostępnił dziennikarzom kserokopię zawiadomienia o podejrzeniu popełnienia przestępstwa przez owego członka wraz z jego imieniem, nazwiskiem, numerem PESEL oraz adresem zamieszkania.
W marcu 2023 r. Prezes UODO nałożył na spółdzielnię karę pieniężną w wysokości 51 876 zł za niezgłoszenie temu organowi naruszenia ochrony danych osobowych w odpowiednim terminie po jego stwierdzeniu oraz niezawiadomienie o naruszenie ochrony danych osobowych osób, których dane dotyczą. Sprawę ujawnienia danych spółdzielnia odnotowała jedynie w wewnętrznym rejestrze naruszeń.
Tymczasem każdy administrator ma obowiązek w ciągu 72 godzin od stwierdzenia ujawnienia danych zgłosić je Prezesowi UODO, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem dla praw lub wolności osób fizycznych. Administrator ocenia to prawdopodobieństwo dokonując analizy ryzyka. Powinna ona brać pod uwagę przede wszystkim zagrożenia dla podmiotu danych, a nie interesy administratora. W tej sprawie administrator tego nie zrobił, analizy nie był w stanie przedstawić. Jego twierdzenie, że ryzyko jest mało prawdopodobne, nie ma więc podstaw.
Czytaj więcej
Urząd Ochrony Danych Osobowych nałożył karę pieniężną - niemal 52 tys. złotych - na spółdzielnię mieszkaniową za to, że nie powiadomiła o naruszeni...
NSA nie zgodził się z WSA
Sprawa trafiła do NSA wskutek skargi kasacyjnej Prezesa UODO na wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie. Uchylił on decyzję nakładającą karę pieniężną na spółdzielnię. WSA uznał, że Prezes UODO w decyzji nie użył „przekonujących argumentów przemawiających za uznaniem, że naruszenie ochrony danych osobowych u administratora mogło powodować wyższe niż małe ryzyko naruszenia praw lub wolności osób fizycznych”.
26 sierpnia 2026 r. NSA uchylił wyrok WSA i oddalił skargę administratora danych (spółdzielni). Zdaniem NSA organ nadzorczy w uzasadnieniu decyzji wykazał przyczyny, dla których uznał, że ujawnienie takich danych jak PESEL, imię i nazwisko oraz adres zamieszkania osoby fizycznej stanowiło wysokie ryzyko naruszenia praw i wolności osoby fizycznej. Tym samym NSA potwierdził, że spółdzielnia powinna zgłosić Prezesowi UODO naruszenie ochrony danych, a także musi o nim powiadomić osobę, której dane dotyczą – co organ nadzorczy nakazał w swojej decyzji.
Czytaj więcej
Wojewódzki Sąd Administracyjny w Warszawie podtrzymał decyzję Prezesa UODO w sprawie kary nałożonej na przedsiębiorstwo pogrzebowe, które zgubiło w...
Spółdzielnia mieszkaniowa jest „przedsiębiorcą" w rozumieniu przepisu RODO
WSA miał też wątpliwość czy Prezes UODO słusznie uznał spółdzielnię mieszkaniową za przedsiębiorcę i tym samym prawidłowo wyliczył karę pieniężną w oparciu o art. 83 ust. 4 RODO, czyli ogólnego rozporządzenia o ochronie danych osobowych. Jednak także w tym przypadku NSA nie zgodził się z sądem niższej instancji i przyznał rację Prezesowi UODO. W uzasadnieniu wyroku wskazał, że spółdzielnia mieszkaniowa jest „przedsiębiorcą" w rozumieniu tego przepisu.
Sygn. akt III OSK 251/24
