Prezes UODO: NSA kwestionuje niezależność organu

• Prezes UODO: wyrok NSA podważa kompetencje pracowników
• Naruszenie danych osobowych użytkowników
• Ochrona danych osobowych wyzwaniem?
• Co dalej?
• Historia sprawy

Prezes UODO: wyrok NSA podważa kompetencje pracowników

Zdaniem Prezesa UODO, NSA w sposób niezaprzeczalny i precedensowy kwestionuje niezależność organu nadzorczego, jak i podważa jego kompetencje oraz kwalifikacje merytoryczne zatrudnionych w nim osób, niezbędne do wykonywania zadań, do których organ ten został powołany.

Pismo to odnosi się do orzeczenia w sprawie kary nałożonej przez UODO na spółkę Morele.net. Wynika z niego, iż przyczyną uchylenia decyzji Prezesa UODO było oddalenie przez organ wniosku o przeprowadzenie dowodu z opinii biegłego w kontekście standardów technicznych i organizacyjnych stosowanych przez spółkę.

Naczelny Sąd Administracyjny podzielił przytoczone przez firmę argumenty, przemawiające za koniecznością uwzględnienia wniosku o przeprowadzenie dowodu z opinii biegłego. 

Z argumentami tymi nie zgadza się Prezes UODO. W piśmie z 29 marca 2023 r. podkreśla, iż „personel zatrudniany przez Prezesa UODO, a wcześniej przez Generalnego Inspektora Ochrony Danych Osobowych (…) ma bowiem blisko dwudziestopięcioletnie doświadczenie w kontroli i prowadzeniu postępowań wobec podmiotów przetwarzających dane osobowe w systemach informatycznych, które to doświadczenie jest systematycznie wzbogacane, w szczególności poprzez odbywanie przez pracowników specjalistycznych kursów, szkoleń, potwierdzanych stosownymi certyfikatami.”

Naruszenie danych osobowych użytkowników

Zdaniem PUODO, NSA całkowicie pominął prawa ponad 2.200.000 użytkowników, których dane osobowe zostały naruszone.

Stanowisko to przedstawił podczas piątkowej konferencji prasowej Zastępca Prezesa UODO, Jakub Groszkowski.

Przekazał on, iż Prezes UODO szanuje ten wyrok, ale jest zaniepokojony jego uzasadnieniem i kierunkiem, w jakim zmierza interpretacja NSA przepisów o RODO w zakresie pozycji UODO jako organu nadzorczego.

„Wyrok Naczelnego Sądu Administracyjnego stanowi, że za wyciek ponad dwóch milionów danych osobowych, ludzi - człowieka, obywatela, konsumenta, administrator dzisiaj pozostaje bezkarny” – podkreślał Groszkowski.

Ochrona danych osobowych wyzwaniem?

Zastępca PUODO nawiązał też do zorganizowanej przez urząd konferencji „Wyzwania dla ochrony danych osobowych w świetle orzecznictwa sądów”.

„Dzisiejsza konferencja, którą zorganizowaliśmy będzie mówić o konsekwencjach, jakie niesie za sobą wyciek danych dla konsumenta (…)  takich jak kradzież tożsamości, podszywanie się, zaciąganie zobowiązań, zakładanie kont. To są ogromne problemy dla zwykłych ludzi” – mówił Groszkowski. Jednocześnie zadeklarował, iż Urząd Ochrony Danych Osobowych nie ugnie się i zawsze będzie stał po stronie człowieka.

Co dalej?

Odpowiadając na pytania dziennikarzy, Groszkowski, poinformował, iż sprawa ponownie trafiła do Prezesa Urzędu Ochrony Danych Osobowych, który musi przeprowadzić postępowanie dowodowe i ocenić wniosek dowodowy strony, jakim jest powołanie opinii biegłego.

Historia sprawy

Przypomnijmy, iż postępowanie administracyjne w sprawie Morele.net zostało wszczęte w czerwcu 2019 r. po przeprowadzonej kontroli. Spółka wniosła wówczas o przeprowadzenie dowodu z opinii biegłego, posiadającego wiadomości specjalne z zakresu bezpieczeństwa systemów informatycznych. Prezes UODO odmówił uwzględnienia tego wniosku dowodowego. Na spółkę Morele.net nałożona została kara pieniężna w wysokości 2.830.410 zł w związku z wyciekiem danych osobowych ponad 2.200.000 użytkowników sklepów internetowych spółki. W uzasadnieniu decyzji Prezes UODO wskazał m.in. na to, że firma naruszyła zasadę poufności danych, stosując nieskuteczny środek uwierzytelniania (wyłącznie w postaci loginu i hasła). Ponadto, nie uwzględniła ryzyka związanego z uzyskaniem nieuprawnionego dostępu do panelu pracownika. 

Stanowisko organu podzielił Wojewódzki Sąd Administracyjny w Warszawie. Po wniesieniu skargi kasacyjnej przez firmę sprawą zajmował się Naczelny Sąd Administracyjny. W lutym 2023 r. zapadł wyrok, w którym NSA uchylił zaskarżoną decyzję i zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz firmy kwotę 65.075 zł tytułem zwrotu kosztów postępowania sądowego. NSA uznał, iż sankcji administracyjnej za naruszenie obowiązków wskazanych w art. 32 rozporządzenia RODO podlega nie ten, kto jako administrator albo podmiot przetwarzający dopuścił do nieuprawnionego przetwarzania danych osobowych, a tylko podmiot, który nie dochował odpowiedniego, w danych okolicznościach, standardu środków bezpieczeństwa.