NSA po stronie WSA podtrzymuje uchylenie 250 000 zł kary stwierdzając, że możliwość wykrycia naruszenia danych to nie to samo co jego wykrycie
Omawiany wyrok Naczelnego Sądu Administracyjnego rozstrzyga spór o granicę między momentem, w którym dostawca usług telekomunikacyjnych “powinien był wykryć” naruszenie danych osobowych, a momentem, w którym naruszenie to faktycznie wykrył. Różnica — pozornie subtelna — ma kluczowe znaczenie praktyczne: to od niej zależy, czy 24-godzinny termin na zgłoszenie naruszenia organowi nadzorczemu w ogóle zaczął biec. NSA oddalił skargę kasacyjną Prezesa UODO i utrzymał w mocy wyrok WSA w Warszawie, który uchylił decyzję nakładającą na operatora telekomunikacyjnego karę pieniężną w wysokości 250 000 zł. Najważniejsze tezy wyroku Po pierwsze: obowiązek informacyjny administratora danych (zarówno wobec organu nadzorczego, jak i wobec abonenta) aktualizuje się dopiero w momencie wykrycia naruszenia danych osobowych, nie zaś w chwili, gdy administrator uzyskał informacje, które powinny były doprowadzić go do wykrycia naruszenia. Po drugie: wykrycie naruszenia następuje, gdy dostawca uzyskał wystarczającą wiedzę o zaistnieniu zdarzenia naruszającego ochronę — ani samo podejrzenie naruszenia, ani samo stwierdzenie zdarzenia bez wystarczających dostępnych informacji nie wypełniają tej przesłanki, nawet jeśli dostawca działał starannie. Po trzecie: organ nakładający karę za naruszenie obowiązku informacyjnego jest zobowiązany do ustalenia i wykazania w materiale dowodowym, kiedy faktycznie doszło do wykrycia naruszenia — samo stwierdzenie, że okoliczności sprawy umożliwiały wykrycie naruszenia, nie jest wystarczające. Po czwarte: zarzut naruszenia prawa materialnego w skardze kasacyjnej nie może służyć kwestionowaniu ustaleń faktycznych sądu pierwszej instancji — do tego służy zarzut naruszenia przepisów postępowania. Czego dotyczyła sprawa? W lutym 2022 r. spółka świadcząca usługi telekomunikacyjne pod marką Y przesłała klientowi, który zawarł umowę w punkcie obsługi sprzedaży, kopię umowy wraz z załącznikami na adres e-mail wskazany przez klienta podczas podpisywania dokumentów. Adres okazał się błędny — wiadomość trafiła do osoby o tym samym nazwisku. Ta osoba poinformowała Prezesa UODO, że otrzymała wiadomość zawierającą dane innej osoby, w tym numer PESEL i numer dowodu osobistego. Organ wszczął postępowanie i ustalił dwa momenty, w których — jego zdaniem — spółka uzyskała informacje pozwalające na wykrycie naruszenia: 19 lutego 2022 r., gdy klient wrócił do punktu sprzedaży i poinformował, […]
- Zapoznaj się z argumentacją Urzędu, Sądu czy Trybunału
- Fachowe i czytelne podsumowanie omawianego orzeczenia
- Dostęp do wszystkich aktualności na stronie
- Jako pierwszy masz dostęp do ważnych argumentów
Ponad 2000 orzeczeń o Ochronie Danych Osobowych (RODO). Codzienna aktualizacja bazy orzeczeń.
Teraz zamawiasz Szkolenie RODO - Inspektor Ochrony Danych. Nie musisz podawać karty płatniczej. Wystarczy, że wypełnisz formularz a na podany adres e-mail otrzymasz fakturę VAT do opłacenia. Ważne: Dopiero po zaksięgowaniu płatności – system utworzy konto użytkownika oraz uruchomi subskrypcję. Dopiero od tego momentu rozpoczyna się okres Subskrypcji.Reszta obszernych argumentów oraz treść omawianego orzeczenia dostępna jest po dołączeniu do AKTUALNOŚCI PLUS. Dzięki tej subskrypcji dowiesz się jak organy nadzorcze w UE, sądy administracyjne czy powszechne, Trybunał Sprawiedliwości i inne podmioty argumentują swoje stanowiska. Umożliwi Ci to utrzymanie zgodności Twojej organizacji z przepisami o ochronie danych osobowych.
W jednym miejscu zapoznasz się z najważniejszymi argumentami oraz tezami orzeczenia oraz z jego treścią niezależnie od tego, z jakiego źródła ono pochodzi, a w dużej części jest ono opublikowane wyłącznie w serwisie Judykatura.pl.