Wojewódzki Sąd Administracyjny w Warszawie szeroko uzasadnił poprawność działania organu nadzorczego, który nałożył na pewien podmiot 20 000 zł kary za naruszenie ochrony danych osobowych. Stan faktyczny dotyczył wydania lokalnemu dziennikarzowi kopii dokumentów zawierających szereg danych osobowych. Dziennikarz zwrócił uwagę administratorowi, iż otrzymał dane osobowe. Administrator nie zgłosił takiego naruszenia ochrony danych osobowych Prezesowi Urzędu Ochrony Danych Osobowych oraz nie podjął decyzji o zawiadomieniu osób, których dane zostały ujawnione. Takie zgłoszenie do organu nadzorczego dokonał dziennikarz. Prezes Urzędu Ochrony Danych Osobowych po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie naruszenia przepisów o ochronie danych osobowych stwierdził naruszenie: a) art. 33 ust. 1 rozporządzenia 2016/679, polegające na niezgłoszeniu Prezesowi Urzędu Ochrony Danych Osobowych naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, b) art. 34 ust. 1 rozporządzenia 2016/679, polegające na niezawiadomieniu o naruszeniu ochrony danych osobowych bez zbędnej zwłoki osób, których dane dotyczą, W związku z powyższym organ nadzorczy nałożył na administratora karę pieniężną w wysokości 20 000 zł oraz nakazał zawiadomienie osób, których dane osobowe otrzymał dziennikarz. Prezes UODO uzasadniał swoją decyzję wskazując, że: naruszenie objęło swoim zakresem dane osobowe trzech osób (w tym dziecka). Udostępnione dane obejmują w szczególności imię i nazwisko, numer PESEL, datę urodzenia oraz stopień pokrewieństwa, a w przypadku dziecka także dane podlegające szczególnej ochronie na gruncie art. 9 ust. 1 rozporządzenia 2016/679 (dane o stanie zdrowia w postaci (…) i bez wątpienia pozwalają na bardzo łatwą identyfikację tych osób; Administrator nie przeprowadził oceny ryzyka naruszenia praw lub wolności osób fizycznych w związku z zaistniałym naruszeniem ochrony danych osobowych opartej o obiektywne kryteria, a także nie wykazał zgodnie z zasadą rozliczalności, o której mowa w art. 5 ust. 2 rozporządzenia 2016/679, że jest mało prawdopodobne, by naruszenie to mogło powodować ryzyko naruszenia praw lub wolności osób fizycznych; bez znaczenia jest również fakt, […]