Milczenie nie jest obroną, lecz obciążeniem: prawie 20 000 kary dla pracodawcy za brak odpowiedzi do UODO

• Przełomowa decyzja Prezesa UODO (DKE.561.1.2025 z 23 czerwca 2025 r.)
• Okoliczności faktyczne: skarga, dane biometryczne i uporczywy brak odpowiedzi
• Definicja i Charakter Danych Biometrycznych (art. 4 i Art. 9 RODO)
• Administracyjna kara pieniężna została ustalona na poziomie 18 941 zł
• Uprawnienia UODO w świetle Art. 58 ust. 1 lit. a) i e) RODO
• Praktyczne wskazówki dotyczące komunikacji z UODO

Ogólne Rozporządzenie o Ochronie Danych (RODO) zrewolucjonizowało ramy prawne ochrony danych osobowych w Unii Europejskiej, wprowadzając rygorystyczne obowiązki dla administratorów danych i nadając organom nadzorczym, takim jak polski Urząd Ochrony Danych Osobowych (UODO). Uprawnienia te są kluczowe dla zapewnienia zgodności z przepisami oraz dla ochrony praw osób, których dane dotyczą. Skuteczność całego systemu RODO zależy nie tylko od merytorycznej zgodności działań administratorów danych, ale także od ich aktywnej współpracy z organami nadzorczymi w trakcie prowadzonych postępowań. Ta współpraca stanowi fundament dla efektywnego rozpatrywania skarg i właściwego egzekwowania zasad ochrony danych. Brak współpracy i bierność, może skończyć się kara finansową - jak w niniejszej sprawie.

Przełomowa decyzja Prezesa UODO (DKE.561.1.2025 z 23 czerwca 2025 r.)

Niniejszy artykuł analizuje niedawną, przełomową decyzję Prezesa UODO (DKE.561.1.2025 z 23 czerwca 2025 r.), który nałożył administracyjną karę pieniężną w wysokości 18 941 zł na mikroprzedsiębiorstwo z branży gastronomicznej. Kara ta została wymierzona nie za domniemane niezgodne z prawem przetwarzanie danych biometrycznych, lecz za uporczywe ignorowanie przez administratora wezwań organu nadzorczego i brak współpracy.

Okoliczności faktyczne: skarga, dane biometryczne i uporczywy brak odpowiedzi

Postępowanie przed Prezesem UODO zostało wszczęte w wyniku skargi złożonej przez byłą pracownicę przedsiębiorstwa gastronomicznego. Skarżąca zarzuciła administratorowi przetwarzanie jej danych biometrycznych, w szczególności odcisków palców (choć ten fakt nie został ostatecznie potwierdzony), bez odpowiedniej podstawy prawnej oraz bez spełnienia obowiązku informacyjnego.

W toku wstępnej analizy skargi, UODO kilkukrotnie zwracał się do administratora z żądaniami przedstawienia informacji dotyczących celów, zakresu i podstawy prawnej przetwarzania danych biometrycznych. Wezwania te obejmowały również prośby o kopie dokumentacji wewnętrznej, w tym klauzul informacyjnych oraz opisów zabezpieczeń technicznych i organizacyjnych. Pomimo ponawianych prób kontaktu, przedsiębiorca nie udzielił żadnej odpowiedzi na wezwania organu nadzorczego. Ten uporczywy brak komunikacji okazał się czynnikiem decydującym. Należy podkreślić, że fakt, iż zarzut dotyczący przetwarzania danych biometrycznych nie został potwierdzony (ponieważ administrator nie dostarczył informacji), zmusił UODO do nałożenia kary. Jeśli organ nie może udowodnić naruszenia merytorycznego z powodu braku odpowiedzi, może zawsze ścigać naruszenie proceduralne.

Uporczywy i całkowity brak odpowiedzi, jak podkreślono w decyzji, nie był jednorazowym przeoczeniem, lecz świadomym działaniem. Taka postawa jest postrzegana jako poważniejsze naruszenie niż przypadkowe niedopatrzenie i może znacząco wpłynąć na surowość kary, zgodnie z art. 83 ust. 2 lit. b) RODO, który uwzględnia umyślny lub nieumyślny charakter naruszenia.

Definicja i Charakter Danych Biometrycznych (art. 4 i Art. 9 RODO)

Dane biometryczne są zdefiniowane w art. 4 ust. 14 RODO jako "dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takie jak wizerunek twarzy lub dane daktyloskopijne". Obejmuje to odciski palców, skany twarzy i wzory tęczówki oka. Zgodnie z art. 9 ust. 1 RODO, dane biometryczne należą do "szczególnych kategorii danych osobowych" ze względu na ich wysoce wrażliwy charakter. Przetwarzanie takich danych jest co do zasady zabronione, co odzwierciedla wysokie ryzyko dla podstawowych praw i wolności, jakie się z tym wiąże.

Administracyjna kara pieniężna została ustalona na poziomie 18 941 zł

Administracyjna kara pieniężna została ustalona na poziomie 18 941 zł. Przy określaniu wysokości kary, Prezes UODO wziął pod uwagę m.in. skalę działalności przedsiębiorcy (mikroprzedsiębiorstwo z branży gastronomicznej) oraz charakter naruszenia, które uniemożliwiło ocenę legalności przetwarzania danych szczególnych kategorii, takich jak dane biometryczne.

Organ nadzorczy podkreślił prewencyjny charakter sankcji, wskazując, że nieudzielenie odpowiedzi było całkowite i uporczywe – administrator miał realną możliwość ustosunkowania się do żądań organu, lecz tego nie uczynił. Kara mieści się w granicach określonych w art. 83 ust. 5 lit. e) RODO, który przewiduje maksymalny wymiar sankcji za naruszenie obowiązku współpracy z organem nadzorczym. Fakt, że skarga dotyczyła danych biometrycznych, które są danymi szczególnie wrażliwymi, podnosił oczekiwania UODO co do współpracy.

Uprawnienia UODO w świetle Art. 58 ust. 1 lit. a) i e) RODO

Artykuł 58 ust. 1 RODO przyznaje organom nadzorczym szerokie uprawnienia śledcze. W szczególności, art. 58 ust. 1 lit. a) uprawnia organ nadzorczy do "nakazania administratorowi lub podmiotowi przetwarzającemu (...) dostarczenia wszelkich informacji, których potrzebuje do realizacji swoich zadań". Jest to fundamentalne uprawnienie umożliwiające UODO gromadzenie niezbędnych informacji.

Dodatkowo, art. 58 ust. 1 lit. e) przyznaje organowi prawo do "uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do celów kontroli". Zapewnia to UODO możliwość dostępu do rzeczywistych danych i związanej z nimi dokumentacji w celu weryfikacji zgodności. Decyzja UODO w sprawie DKE.561.1.2025 wyraźnie wskazała, że ignorowanie tych żądań stanowiło bezpośrednie naruszenie tych przepisów, uniemożliwiając skuteczne przeprowadzenie postępowania.

Praktyczne wskazówki dotyczące komunikacji z UODO

Aby zminimalizować ryzyko sankcji, administratorzy powinni stosować się do takich zasad:

• Terminowa reakcja: Reagować bezzwłocznie i w określonych terminach na każde wezwanie lub żądanie UODO. Opóźnienia, chyba że są wyjątkowo uzasadnione, są niedopuszczalne.
• Kompleksowe i rzetelne informacje: Dostarczać pełne, dokładne i wyczerpujące wyjaśnienia oraz wszystkie żądane dokumenty. Częściowe lub wymijające odpowiedzi mogą być uznane za brak współpracy.
• Dokumentacja: Prowadzić szczegółową dokumentację całej korespondencji i działań podjętych w odpowiedzi na zapytania UODO. Obejmuje to zapewnienie ciągłego odbioru oficjalnej korespondencji pod zarejestrowanym adresem firmy.
• Uwierzytelniona reprezentacja: Upewnić się, że każda osoba komunikująca się z UODO w imieniu administratora jest należycie upoważniona i że w razie potrzeby dostarczone zostaną odpowiednie dokumenty pełnomocnictwa.