Naczelny Sąd Administracyjny uwzględnił skargę kasacyjną Prezesa Urząd Ochrony Danych Osobowych i uchylił wyrok Wojewódzkiego Sądu Administracyjnego, który wcześniej unieważnił decyzję o nałożeniu kar pieniężnych na spółkę Fortum Marketing and Sales i spółkę Pika - podał we wtorek UODO.
Sprawa dotyczy odpowiedzialności administratora i podmiotu przetwarzającego za naruszenie przepisów RODO.
Sprawa sięga kwietnia 2020 r., gdy Fortum zgłosiło naruszenie ochrony danych osobowych związane ze zmianami w środowisku teleinformatycznym pełniącym funkcję cyfrowego archiwum. W trakcie modernizacji systemu spółka Pika – jako podmiot przetwarzający – utworzyła dodatkową bazę z danymi klientów administratora. Baza została jednak udostępniona w sposób nieprawidłowy, co umożliwiło osobom nieuprawnionym dostęp do danych i ich skopiowanie.
Ujawniony zakres obejmował m.in. imiona i nazwiska, adresy, numery PESEL, dane dokumentów tożsamości, dane kontaktowe oraz informacje o zawartych umowach. Naruszenie dotyczyło ponad 95 tys. osób. Administrator początkowo uznał, że nie wystąpiło wysokie ryzyko naruszenia praw lub wolności osób, których dane dotyczą, i nie poinformował ich o incydencie. Zawiadomienie nastąpiło dopiero po interwencji Prezesa UODO.
W postępowaniu administracyjnym organ nadzorczy uznał, że zarówno administrator, jak i podmiot przetwarzający nie wdrożyli odpowiednich środków technicznych i organizacyjnych wymaganych przez RODO. Wskazano m.in. brak weryfikacji gwarancji bezpieczeństwa przed zawarciem umowy powierzenia, niewykorzystanie prawa kontroli oraz brak realnego nadzoru nad zmianami w systemie po stronie Fortum. Po stronie Piki stwierdzono m.in. brak testowania zabezpieczeń, wykorzystywanie rzeczywistych danych w środowisku testowym oraz niepełną konfigurację zabezpieczeń technicznych, w tym brak firewalla.
Prezes UODO nałożył na Fortum karę w wysokości blisko 5 mln zł, a na Pikę – ponad 250 tys. zł. WSA uchylił tę decyzję, wskazując na – jego zdaniem – niewystarczające ustalenie stanu faktycznego i konieczność uzupełnienia materiału dowodowego.
NSA nie podzielił tej oceny. Uznał, że organ nadzorczy wyjaśnił wszystkie istotne okoliczności i dokonał wszechstronnej oceny dowodów, a sąd I instancji błędnie zakwestionował kompletność ustaleń. NSA wskazał również, że kwestia utraty poufności danych została jednoznacznie ustalona przez organ.
Wyrok WSA został uchylony, a sprawa przekazana do ponownego rozpoznania.(PAP)
pif/ drag/
