WSA w Warszawie bardzo merytorycznie podszedł do zagadnienia udostępnienia danych osobowych w sytuacji, w której podmiot przetwarzający stał się ofiarą ataku cybernetycznego.  Sąd wykazał wieloma argumentami, że decyzja Prezesa UODO nie mogła ostać się w obrocie prawnym. Decyzją z października 2023 r. Prezes UODO udzielił upomnienia pewnemu Bankowi za naruszenie: art. 6 ust. 1 i art. 5 ust. 1 lit. a RODO polegające na udostępnieniu danych osobowych K. P. (dalej: “uczestnik postępowania”) w zakresie imienia, nazwiska, numeru PESEL, daty urodzenia, adresu, okresu zatrudnienia, jednostki organizacyjnej i lokalizacji osobom nieuprawnionym w związku z wystąpieniem incydentu w […] S.A. z siedzibą w W. (dalej: “[…]”, “Spółka”) świadczącej usługi outsourcingowe w zakresie kadr i płac. Prezes UODO nie badał – w tym postępowaniu administracyjnym – kwestii zgłoszonego naruszenia ochrony danych osobowych i kwestii związanych z tym incydentem, a rozpoznawał skargę jednego z pracowników Banku na przetwarzanie jego danych osobowych tj. ich udostępnienie – jak rozumiem hakerom. Bank wraz z podmiotem przetwarzającym podjeli się wielu działań zmierzających do złagodzenia następstw zaistniałego incydentu – choć jak wskazałem na początku – nie tego dotyczyło to postępowanie. Prezes UODO wskazał w decyzji, że: działając w zakresie swoich kompetencji, dokonał kontroli procesu przetwarzania danych osobowych K. P. przez administratora, w zakresie zakwestionowanym przez niego w skardze inicjującej postępowanie administracyjne przed organem. Organ ustalił, że doszło do naruszenia poufności danych osobowych uczestnika postępowania przetwarzanych przez Bank jako administratora, a powierzonych […] w celu realizacji zakresu świadczeń wynikających z postanowień umowy zawartej między tymi podmiotami, tj. administrowania wynagrodzeniami pracowników Banku oraz prowadzenia dokumentacji raportowej dotyczącej administrowania wynagrodzeniami. na Banku, jako administratorze danych osobowych uczestnika postępowania, ciąży obowiązek prawny przetwarzania danych osobowych zgodnie z obowiązującymi przepisami, a w szczególności z poszanowaniem zasad przetwarzania danych określonych w art. 5 ust. 1 RODO, a także by przetwarzanie odbywało się na podstawie jednej z enumeratywnie wymienionych przesłanek art. 6 ust. 1 RODO. W realiach niniejszej sprawy uznać należy […]