III OSK 251/24

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Przemysław Szustakiewicz (sprawozdawca) Sędziowie: sędzia NSA Zbigniew Ślusarczyk sędzia del. WSA Sławomir Pauter Protokolant: starszy asystent sędziego Joanna Ukalska po rozpoznaniu w dniu 26 sierpnia 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 6 listopada 2023 r., sygn. akt II SA/Wa 863/23 w sprawie ze skargi Spółdzielni [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 1 marca 2023 r., nr DKN.5131.49.2021.202880 w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok w całości i oddala skargę; 2. zasądza od Spółdzielni [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 6.150 (sześć tysięcy sto pięćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego. Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 6 listopada 2023 r., sygn. akt II SA/Wa 863/23, po rozpoznaniu sprawy ze skargi Spółdzielni [...]: uchylił zaskarżoną decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 1 marca 2023 r., nr DKN.5131.49.2021.202880 w przedmiocie przetwarzania danych osobowych oraz zasądził zwrot kosztów postępowania. W sprawie ustalono następujący stan faktyczny i prawny: W dniu 18 sierpnia 2021 r. do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła od osoby trzeciej informacja wskazująca na udostępnienie jej - jako osobie nieuprawnionej - zawiadomienia z dnia 17 sierpnia 2021 r. o podejrzeniu popełnienia przestępstwa, które ujawniało dane osobowe w postaci: imienia, nazwiska, numeru ewidencyjnego PESEL oraz adresu zamieszkania osoby wskazanej w tym zawiadomieniu (dalej: członkiem SM), przez Spółdzielnię [...] (dalej: Spółdzielnia). W związku z tym, Prezes UODO, pismem z 9 września 2021 r., zwrócił się do Spółdzielni o wyjaśnienia. W związku ze złożonymi wyjaśnieniami, Prezes UODO zwrócił się ponownie do Spółdzielni o przekazanie informacji, czy osoba, której dane dotyczą, upubliczniła odnoszące się do niej zawiadomienie o podejrzeniu popełnienia przestępstwa, a jeżeli tak, to w jakich okolicznościach i w jakiej części. W odpowiedzi na zapytanie Spółdzielnia wyjaśniła, że nie posiada informacji, czy osoba, której dane dotyczą, upubliczniła kserokopię zawiadomienia o podejrzeniu popełnienia przestępstwa, ani nie posiada wiedzy o tym, czy taką kopię pozyskała. Wobec braku zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu oraz braku zawiadomienia o naruszeniu ochrony danych osobowych osoby, której dotyczyło naruszenie, Prezes UODO, pismem z 5 listopada 2021 r. zawiadomił Spółdzielnię o wszczęciu z urzędu postępowania administracyjnego w tym przedmiocie naruszeń ochrony danych osobowych. Jednocześnie Spółdzielnia została wezwana do przedstawienia rejestru naruszeń oraz oceny poziomu ryzyka przeprowadzonej przez Inspektora Ochrony Danych. Następnie Prezes UODO, decyzją z dnia 1 marca 2023 r., działając na podstawie art. 7 ust. 1 oraz art. 60, art. 101 i art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) a także art. 57 ust. 1 lit. a) i h), art. 58 ust. 2 lit. e) oraz i), art. 83 ust. 1 i ust. 2, art. 83 ust. 4 lit. a) w związku z art. 33 ust. 1 oraz art. 34 ust. 1, 2 i 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; zwane dalej: RODO): w pkt 1 – nałożył na Spółdzielnię administracyjną karę pieniężną w wysokości 51.876 zł za stwierdzone naruszenie przepisów: art. 33 ust. 1 RODO, polegające na niezgłoszeniu Prezesowi UODO naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia oraz art. 34 ust. 1 RODO, polegające na niezawiadomieniu o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki osoby, której dane dotyczą; w pkt 2 – nakazał Spółdzielni zawiadomienie - w terminie 3 dni od dnia doręczenia decyzji - osoby, której dane zostały ujawnione, o naruszeniu ochrony jej danych osobowych w celu przekazania jej informacji wymaganych zgodnie z art. 34 ust. 2 RODO, tj.: a) opisu charakteru naruszenia ochrony danych osobowych; b) imienia i nazwiska oraz danych kontaktowych inspektora ochrony danych lub oznaczenia innego punktu kontaktowego, od którego można uzyskać więcej informacji; c) opisu możliwych konsekwencji naruszenia ochrony danych osobowych; d) opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu - w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków. W uzasadnieniu decyzji organ podał, że w przypadku wykrycia przez administratora naruszenia ochrony danych osobowych, w pierwszej kolejności konieczne jest dokonanie analizy pod kątem wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych. Administrator zwolniony jest z obowiązku powiadamiania organu nadzorczego o naruszeniu, jeśli w wyniku przeprowadzonego badania okaże się, że istnieje co najwyżej małe prawdopodobieństwo wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych. Jednak organ nadzorczy będzie mógł zwrócić się do administratora o uzasadnienie decyzji o niezgłaszaniu naruszenia, w związku z tym wnioski z przeprowadzonej analizy należy odnotować w wewnętrznej ewidencji naruszeń. W Wytycznych WP250 znajdują się rekomendacje Grupy Roboczej Art. 29, dotyczące wymogu zgłaszania naruszeń organowi nadzorczemu. Oceny ryzyka naruszenia praw lub wolności osoby fizycznej powinno się dokonać przez pryzmat osoby zagrożonej, a nie interesów administratora. Jest to szczególnie ważne, jako że w oparciu o zawiadomienie o naruszeniu osoba fizyczna może sama dokonać oceny, czy w jej opinii incydent bezpieczeństwa może powodować dla niej negatywne konsekwencje i podjąć odpowiednie działania zaradcze. Również w oparciu o informacje, przekazane przez administratora, dotyczące opisu charakteru naruszenia i zastosowanych lub proponowanych środkach w celu zaradzenia naruszeniu, osoba fizyczna może dokonać oceny, czy po zaistniałym naruszeniu administrator danych nadal daje rękojmię należytego przetwarzania jej danych osobowych w sposób zapewniający ich bezpieczeństwo. Brak zawiadomienia osoby fizycznej o naruszeniu, w przypadku wystąpienia wysokiego ryzyka naruszenia jej praw lub wolności, pozbawia ją nie tylko możliwości odpowiedniej reakcji na naruszenie, ale również możliwości dokonania samodzielnej oceny naruszenia, które przecież dotyczy jej danych osobowych i może powodować doniosłe konsekwencje dla niej. Natomiast brak zgłoszenia naruszenia ochrony danych osobowych pozbawia organ nadzorczy możliwości odpowiedniej reakcji na naruszenie, która przejawia się nie tylko w ocenie ryzyka naruszenia dla praw lub wolności osoby fizycznej, ale również w szczególności na weryfikacji, czy administrator zastosował właściwe środki w celu zaradzenia naruszeniu i zminimalizowania negatywnych skutków dla osób, których dane dotyczą, jak również, czy zastosował odpowiednie środki bezpieczeństwa w celu zminimalizowania ryzyka ponownego wystąpienia naruszenia. Zdaniem organu, w sprawie administrator nie wykazał, by taka ocena ryzyka w ogóle została dokonana – w reakcji na dwukrotne wezwanie do przedstawienia takiej oceny, przekazał jedynie dokument (pt. "Analiza zagrożeń i ryzyka przy przetwarzaniu danych osobowych w Spółdzielni Mieszkaniowej"), który miał charakter ogólny i nie odnosił się do konkretnego (rozpatrywanego w niniejszej decyzji) przypadku naruszenia ochrony danych osobowych członka spółdzielni. Dokonując oceny ryzyka naruszenia praw lub wolności osoby fizycznej organ stwierdził, że naruszenie poufności danych, jakie wystąpiło w związku z naruszeniem ochrony danych osobowych, polegającym na udostępnieniu podmiotowi nieuprawnionemu dokumentu, zawierającego dane osobowe członka spółdzielni w zakresie: numeru ewidencyjnego PESEL wraz z imieniem i nazwiskiem oraz adresu zamieszkania, powoduje wysokie ryzyko naruszenia praw lub wolności osoby fizycznej. Zaistniałe naruszenie dotyczyło numeru ewidencyjnego PESEL, czyli jedenastocyfrowego symbolu numerycznego, jednoznacznie identyfikującego osobę fizyczną, zawierającego m.in.: datę urodzenia oraz oznaczenie płci, a więc ściśle powiązanego ze sferą prywatną osoby fizycznej oraz podlegającego również, jako krajowy numer identyfikacyjny, wyjątkowej ochronie na gruncie art. 87 RODO - będącego daną o szczególnym charakterze i takiej szczególnej ochrony wymagającego. W wyniku zaistniałego naruszenia doszło do udostępnienia osobie nieuprawnionej tego numeru ewidencyjnego wraz z imieniem i nazwiskiem członka spółdzielni, które to zestawienie danych bywa wystarczające do "podszycia się" pod podmiot tych danych i zaciągnięcia w imieniu i na szkodę takiego podmiotu np. zobowiązań pieniężnych. Nie można również pominąć, że analizowane naruszenie obejmowało także adres zamieszkania członka spółdzielni. Nadto ujawnienie tych danych nastąpiło w szczególnym kontekście: pismo zawierające te dane stanowiło bowiem zawiadomienie o podejrzeniu popełnienia przestępstwa, czego nie można uznać za indyferentne przy dokonywaniu oceny ryzyka naruszenia praw lub wolności osoby fizycznej wiążącego się z tym ujawnieniem danych osobowych nieuprawnionemu odbiorcy. Organ wyjaśnił, że dokonując oceny pod kątem ryzyka naruszenia praw lub wolności osób fizycznych, od której uzależnione jest dokonanie zgłoszenia naruszenia ochrony danych osobowych oraz zawiadomienie o naruszeniu osoby, której dane dotyczą, należy łącznie uwzględnić czynnik prawdopodobieństwa i wagę potencjalnych negatywnych skutków. Wysoki poziom któregokolwiek z tych czynników ma wpływ na wysokość ogólnej oceny, od której uzależnione jest wypełnienie obowiązków określonych w art. 33 ust. 1 i art. 34 ust. 1 RODO. Skoro z uwagi na zakres ujawnionych danych osobowych w analizowanym przypadku wystąpiła możliwość zmaterializowania się doniosłych negatywnych konsekwencji dla osoby, której dane dotyczą, to wagę potencjalnego wpływu na prawa lub wolności osoby fizycznej należy uznać za wysoką. Jednocześnie prawdopodobieństwo wystąpienia wysokiego ryzyka w następstwie tego naruszenia nie jest małe i nie zostało wyeliminowane. Tym samym stwierdził, że w sprawie występuje wysokie ryzyko naruszenia praw lub wolności osoby objętej naruszeniem, co z kolei skutkuje powstaniem po stronie Spółdzielni obowiązku zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu, zgodnie z art. 33 ust. 1 RODO, w którym muszą się znaleźć informacje określone w art. 33 ust.3 RODO oraz zawiadomienia tej osoby o naruszeniu, zgodnie z art. 34 ust. 1 RODO, w którym muszą się znaleźć informacje określone w art. 34 ust. 2 RODO. W sprawie doszło do ujawnienia danych osobowych członka spółdzielni, a udostępnienie to nastąpiło z naruszeniem przez Spółdzielnię obowiązku ochrony tych danych. W tej sytuacji nie ma podstaw do stwierdzenia, by administrator z jakichkolwiek przyczyn był zwolniony z obowiązku zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu, zgodnie z art. 33 ust. 1 RODO oraz z obowiązku zawiadomienia o nim osoby, której dotyczą dane objęte tym naruszeniem (zgodnie z art. 34 ust. 1 RODO). Naruszenie to dotyczyło imienia, nazwiska, numeru ewidencyjnego PESEL oraz adresu zamieszkania ww. osoby zawartych w specyficznym dokumencie, a nadto zawierające te dane zawiadomienie o podejrzeniu popełnienia przestępstwa przez członka spółdzielni zostało udostępnione więcej niż jednej osobie. W ocenie organu, nie istnieje więc uzasadnienie dla niewykonania przez Spółdzielnię obowiązków wynikających z powyższych przepisów. Ponadto Spółdzielnia jako administrator, realizując obowiązek określony w art. 34 ust. 2 RODO, powinna wskazać osobie, której dane dotyczą, najbardziej prawdopodobne, negatywne konsekwencje naruszenia jej danych osobowych. Zdaniem organu, z uwagi na naruszenie obowiązków administratora, o których mowa w art. 33 i 34 RODO, w sprawie zaistniały przesłanki uzasadniające nałożenie na Spółdzielnię administracyjnej kary pieniężnej w oparciu o art. 83 ust. 4 lit. a) RODO. Orzekając w zakresie kary pieniężnej Prezes UODO wziął pod uwagę: 1) charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody - stwierdzając naruszenie przepisu art. 33 ust. 1 i art. 34 ust. 1 RODO polegające odpowiednio na niezgłoszeniu organowi naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia oraz na niezawiadomieniu o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki osoby, której dane dotyczą. Opisane naruszenia związane są z udostępnieniem dokumentu (zawiadomienia o podejrzeniu popełnienia przestępstwa) zawierającego dane osobowe członka spółdzielni w postaci: numeru PESEL wraz z imieniem i nazwiskiem i adresem zamieszkania, co sprawia, że ma ono znaczną wagę i poważny charakter, ponieważ zdarzenie to może doprowadzić do szkód majątkowych lub niemajątkowych dla osoby, której dane zostały naruszone, a prawdopodobieństwo ich wystąpienia jest wysokie. W niniejszej sprawie naruszenie ochrony danych osobowych dotyczyło tylko jednej osoby i trwało kilkanaście miesięcy; 2) umyślny charakter naruszenia - stwierdzając, że spółdzielnia podjęła świadomą decyzję, by nie zawiadamiać o naruszeniu Prezesa UODO, jak i osoby, której dane dotyczą, pomimo faktu, że Prezes UODO w pierwszej kolejności informował spółdzielnię o obowiązkach ciążących na administratorze w związku z naruszeniem ochrony danych; 3) stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków – stwierdzając, że współpraca Spółdzielni z organem nadzoru była niezadowalająca. Ocena ta dotyczy reakcji Spółdzielni na pisma Prezesa UODO, informujące o obowiązkach ciążących na administratorze w związku z naruszeniem ochrony danych, czy wreszcie wobec wszczęcia postępowania administracyjnego w przedmiocie obowiązku zgłoszenia naruszenia ochrony danych osobowych i zawiadomienia o naruszeniu osoby, której dane dotyczą; 4) kategorie danych osobowych, których dotyczyło naruszenie – stwierdzając, że dane osobowe udostępnione osobie nieuprawnionej nie należą do szczególnych kategorii danych osobowych (o których mowa w art. 9 RODO), jednakże fakt, iż w udostępnionym dokumencie zawarto szeroki ich zakres (imię i nazwisko, adres zamieszkania, numer ewidencyjny PESEL), wiąże się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych. Prezes UODO wyjaśnił, że ustalając wysokość administracyjnej kary pieniężnej nie znalazł podstaw do uwzględnienia okoliczności łagodzących, mających wpływ na ostateczny wymiar kary. Za stwierdzone w niniejszej sprawie naruszenia, Prezes UODO nałożył na Spółdzielnię administracyjną karę pieniężną w kwocie 51.876, zł (co stanowi równowartość 11.000 euro). W ocenie organu, zastosowana kara pieniężna spełnia przesłanki, o których mowa w art. 83 ust. 1 RODO ze względu na powagę stwierdzonego naruszenia w kontekście podstawowego celu - ochrony podstawowych praw i wolności osób fizycznych, w szczególności prawa do ochrony danych osobowych. Odnosząc się do wysokości wymierzonej kary pieniężnej Prezes UODO uznał, iż jest ona proporcjonalna do sytuacji finansowej Spółdzielni i nie będzie stanowiła dla niej nadmiernego obciążenia. Skargę na powyższą decyzję złożyła Spółdzielnia. W odpowiedzi na skargę organ wniósł o jej oddalenie. Powołanym na wstępie wyrokiem, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 1634, dalej: P.p.s.a.) uznał, że skarga jest zasadna. W ocenie Sądu I instancji, ze względu na specyfikę polskiego ustawodawstwa, tj. ustawy z dnia 15 grudnia 2000 r. o spółdzielniach mieszkaniowych (Dz.U. 2023, poz.438), rozróżniającego pojęcie i podstawy prawne działania spółdzielni mieszkaniowych od pojęcia przedsiębiorstwa, brak jest podstawy prawnej do mechanicznego utożsamiania przez Prezesa UODO spółdzielni z przedsiębiorstwem, co odzwierciedliło się następnie w sposobie wyliczenia przez organ kary pieniężnej. Oczywiście, nie jest wykluczone, że jakaś spółdzielnia będzie działała jak przedsiębiorca, co być może, w konkretnym przypadku, usprawiedliwiłoby przyjęcie i wyliczenie wysokości kary na podstawie art. 83 w tej części, w której stanowi: "(...) w przypadku przedsiębiorstwa - w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa (...)". Tymczasem organ nie wyjaśnił, dlaczego w niniejszej sprawie uznał skarżącą za przedsiębiorcę i w adekwatny do tego sposób obliczył wysokość kary pieniężnej. Skoro polski porządek prawny nadaje spółdzielniom mieszkaniowym szczególny i odrębny od przedsiębiorstw status prawny, brak jest podstaw do mechanicznego powoływania się przez organ na sposób obliczania kary odnoszący się do przedsiębiorstw. W konsekwencji więc uzasadnienie decyzji nie spełnia wymogów art. 107 § 3 k.p.a. Organ bowiem nie uzasadnił, dlaczego w sprawie niniejszej uznał, że Spółdzielnia jest przedsiębiorcą (działa jak przedsiębiorca). Ponadto, organ powinien, realizując wymogi art. 107 § 3 k.p.a., przytoczyć w decyzji przekonujące argumenty, przemawiające za uznaniem, że naruszenie ochrony danych osobowych przez skarżącą mogło powodować wyższe niż małe ryzyko naruszenia praw lub wolności osób fizycznych. Nadto organ nie wyjaśnił przyczyn, dla których uznał, że nałożona na skarżącą administracyjna kara pieniężna będzie proporcjonalna do naruszenia ochrony danych osobowych przetwarzanych przez skarżącą. W dniu 15 grudnia 2023 r. skargę kasacyjną na powyższy wyrok wywiódł Prezes Urzędu Ochrony Danych Osobowych, zaskarżając go w całości i wnosząc o uchylenie zaskarżonego wyroku w całości oddalenie skargi, ewentualnie uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. Zaskarżonemu wyrokowi zarzucono naruszenie: 1. art. 83 ust. 4 lit. a) RODO, poprzez jego błędną wykładnię i przyjęcie, że "organ (...) uznał skarżącą za przedsiębiorcę i w adekwatny do tego sposób obliczył wysokość kary pieniężnej", podczas gdy w uzasadnieniu decyzji ustalenia wysokości administracyjnej kary pieniężnej dokonano zgodnie z zasadami z art. 83 ust. 4 lit. a) RODO, przy czym nie stwierdzono, że Spółdzielnia jest przedsiębiorstwem; 2. art. 145 § 1 pkt 1 lit. c) P.p.s.a. w zw. z art. 107 § 3 k.p.a. poprzez uznanie, że: a) organ nie przytoczył w decyzji przekonujących argumentów przemawiających za uznaniem, że naruszenie ochrony danych osobowych przez skarżącą mogło powodować wyższe niż małe ryzyko naruszenia praw lub wolności osób fizycznych, b) organ nie wyjaśnił w uzasadnieniu decyzji przyczyn, dla których uznał, że nałożona na skarżącą administracyjna kara pieniężna będzie proporcjonalna do naruszenia ochrony danych osobowych przetwarzanych przez skarżącą, co nie odpowiada wymaganiom art. 107 § 3 k.p.a., podczas gdy Prezes UODO szczegółowo, jasno i zrozumiale wyjaśnił w uzasadnieniu decyzji poddane przez Sąd I instancji w wątpliwość okoliczności, przy czym wyjaśnienia Prezesa UODO zawarte w uzasadnieniu decyzji - korespondujące z okolicznościami, które w ocenie Sądu I instancji nie zostały dostatecznie wyjaśnione - zostały przez Sąd I instancji pominięte. W odpowiedzi na skargę kasacyjną Spółdzielnia wniosła o oddalenie skargi kasacyjnej w całości, jako niezasadnej oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z art. 183 § 1 P.p.s.a Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania, której przesłanki określone w § 2 art. 183 P.p.s.a. w rozpoznawanej sprawie nie występują. Związanie Naczelnego Sądu Administracyjnego podstawami skargi kasacyjnej wymaga prawidłowego ich określenia w samej skardze. Należy zatem wskazać konkretne przepisy prawa, którym - zdaniem skarżącego - uchybił sąd i zamieścić uzasadnienie podstawy kasacyjnej, czyli uzasadnić uchybienia zarzucane sądowi. Uzasadnienie podstaw kasacyjnych polega na wykazaniu przez autora skargi kasacyjnej, że stawiane przez niego zarzuty mają usprawiedliwioną podstawę i zasługują na uwzględnienie. Uzasadniając zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, iż sąd stosując przepis popełnił błąd w subsumcji czyli, że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi ponadto w uzasadnieniu, jak, w jego ocenie, powinien być rozumiany stosowany przepis prawa, czyli jaka powinna być jego prawidłowa wykładnia bądź, jak powinien być stosowany konkretny przepis prawa ze względu na stan faktyczny sprawy, a w przypadku zarzutu niezastosowania przepisu - dlaczego powinien być zastosowany. Uzasadniając zaś naruszenie przepisów postępowania wykazać należy, że uchybienie im mogło mieć istotny wpływ na wynik sprawy. Skarga kasacyjna nieodpowiadająca powyższym wymaganiom uniemożliwia sądowi ocenę jej zasadności. W rozpoznawanej sprawie zarzuty skargi kasacyjnej obejmują zarówno naruszenie przepisów postępowania, jak i przepisów prawa materialnego, aczkolwiek nie określają formy naruszeń. W pierwszej kolejności rozpoznaniu podlegały zarzuty naruszenia przepisów postępowania, ponieważ dopiero po przesądzeniu, że postępowanie przed WSA w Warszawie zostało przeprowadzone w sposób prawidłowy, możliwe jest badanie zasadności zarzutów naruszenia prawa materialnego. Zarzut naruszenia art. 145 § 1 pkt 1 lit. c) P.p.s.a. w zw. z art. 107 § 3 k.p.a. jest uzasadniony. Po pierwsze, Sąd I instancji błędnie uznał, że Prezes UODO nie przytoczył w decyzji przekonujących argumentów przemawiających za uznaniem, że naruszenie ochrony danych osobowych przez skarżącą mogło powodować wyższe niż małe ryzyko naruszenia praw lub wolności osób fizycznych. Wskazać należy, że w obszernej części uzasadnienia zaskarżonej decyzji organ wykazał przyczyny, dla których uznał, że ujawnienie takich danych jak PESEL, imię i nazwisko oraz adres zamieszkania osoby fizycznej stanowiło wysokie ryzyko naruszenia praw i wolności osoby fizycznej. Prezes UODO bowiem z powołaniem na orzecznictwo sądów administracyjnych wskazał, że ujawnienie takich danych powoduje, że jawny staje się wiek i płeć osoby, której numer PESEL został ujawniony, a to z kolei wraz z ujawnieniem innych danych naraża taką osobę na możliwość posłużenia się jej danymi w celu wyłudzenia kredytu lub innych usług, co jest okolicznością powszechnie znaną chociażby z licznych doniesień prasowych opisujących tego rodzaju praktyki i trudną sytuację osób fizycznych, których dane zostały ujawnione. Nadto organ wykazał wyjątkową niefrasobliwość władz Spółdzielni, które podczas długiej (50 minut) i dostępnej w Internecie konferencji prasowej przedstawiły materiał w zakresie zawiadomienia o przestępstwie, w którym znajdowały się ww. dane osoby fizycznej, także przy pomocy prostych i łatwo dostępnych narzędzi informatycznych, każda osoba bez fizycznego dostępu do przedstawianego dokumentu - mogła odczytać znajdujące się na nim dane osobowe. Po drugie, nie jest prawdziwa teza przestawiona w zaskarżonym orzeczeniu, że Prezes UODO nie wyjaśnił w uzasadnieniu swojej decyzji przyczyn uzasadniających wymierzenie kary administracyjnej w sposób proporcjonalny do naruszenia ochrony danych osobowych. Przypomnieć należy, że zgodnie z motywem 148 RODO wymierzona przez narodowy organ ochrony danych osobowych kara pieniężna powinna uwzględniać charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące. Jak wynika z treści uzasadnienia zaskarżonej decyzji organ te wszystkie elementy uwzględnił. Uwzględnił zarówno okoliczności przemawiające za podwyższeniem kary (s. 14-16 zaskarżonej decyzji) jak i oceniając na ile wystąpiły okoliczności, które mogłyby wpłynąć na jej zmniejszenie (s. 16-17 zaskarżonej decyzji). Nadto Prezes UODO podniósł na s. 18 -19 zaskarżonej decyzji, że "Odnosząc się do wysokości wymierzonej Spółdzielni administracyjnej kary pieniężnej, Prezes UODO uznał, iż jest ona proporcjonalna do sytuacji finansowej Administratora i nie będzie stanowiła dla niego nadmiernego obciążenia. Z przedstawionego przez Spółdzielnię sprawozdania finansowego wynika, że przychody netto ze sprzedaży i zrównane z nimi w 2021 r. wyniosły 90.642.373,92 zł, w związku z czym kwota nałożonej w niniejszej sprawie administracyjnej kary pieniężnej stanowi ok. 0,057 % ww. kwoty przychodów z poprzedniego roku obrotowego. Jednocześnie warto podkreślić, że kwota nałożonej kary 51.876,- PLN to jedynie 0,11 % maksymalnej wysokości kary, którą Prezes UODO mógł - stosując zgodnie z art. 83 ust. 4 rozporządzenia 2016/679 statyczne maksimum kary (tj. 10.000.000,- euro) - nałożyć na Spółdzielnię za stwierdzone w niniejszej sprawie naruszenia. Oceniając wysokość wymierzonej w niniejszej sprawie kary należy również wziąć pod uwagę wielkość ukaranego podmiotu, o czym świadczyć może również to, że (zgodnie z danymi podanymi na stronie internetowej Spółdzielni pod adresem: https://smjaroty.pl/zasoby/) powierzchnia użytkowa zasobów Spółdzielni na koniec 2021 r. wynosiła ogółem 723.038.40 m2 (przy czym w mieszkaniach zameldowanych było 23.319 osób), a według stanu na ten sam dzień Spółdzielnia posiadała 81,2823 ha gruntów. Wysokość kary została bowiem określona na takim poziomie, aby z jednej strony stanowiła adekwatną reakcję organu nadzorczego na stopień naruszenia obowiązków administratora, z drugiej jednak strony nie powodowała sytuacji, w której konieczność uiszczenia kary finansowej pociągnie za sobą negatywne następstwa, w postaci znaczącej redukcji zatrudnienia bądź istotnego spadku obrotów Spółdzielni. Zdaniem Prezesa UODO, Spółdzielnia powinna i jest w stanie ponieść konsekwencje swoich zaniedbań w sferze ochrony danych, o czym świadczy chociażby sprawozdanie finansowe Spółdzielni, przesłane do Prezesa UODO w dniu 16 listopada 2022 r.". Organ zatem obszernie przywołał okoliczności takie jak przechód skarżącej oraz wysokość posiadanego przez nią majątku jako elementy, które są współmierne do stopnia naruszenia przepisów RODO, ale jednocześnie nie spowodują sytuacji, w której nałożona kara wpłynie negatywnie ma sytuację ekonomiczną ukaranego. Nie można zatem zarzuć w tym zakresie Prezesowi UODO, że jego argumentacja jest szczątkowa i nie odpowiada warunkom uzasadnienia statuowanym w art. 107 § 3 k.p.a. Wprost przeciwnie, uzasadnienie zaskarżonej decyzji zawiera pełną i rozwiniętą argumentację wykazującą przesłanki naruszania przepisów RODO oraz uzasadniające wysokość wymierzonej kary pieniężnej. Usprawiedliwiony jest również zarzut naruszenia przepisów prawa materialnego, tj. art. 83 ust. 4 lit. a) RODO. Wbrew stanowisku Sądu I instancji, Spółdzielnia mieszkaniowa jest "przedsiębiorcą" w rozumieniu tego przepisu niezleżenie od rodzaju działalności jaką prowadzi. Przypomnieć bowiem należy, że zgodnie z motywem 150 RODO "Jeżeli administracyjna kara pieniężna jest nakładana na przedsiębiorstwo, to "przedsiębiorstwo" należy do tych celów rozumieć zgodnie z art. 101 i 102 TFUE.". Pojęcie przedsiębiorcy wedle art. 101 i 102 TFUE zostało zdefiniowane przez Trybunał Sprawiedliwości w orzeczeniach C-401/90, Klaus Höfner i Fritz Elser/Macrotron GmbH, pkt 21, wyrok w sprawach połączonych C-159 i 160/91, Poucet i Pistre/Assurances Générales de France, pkt 17; wyrok w sprawie C-364/92, SAT Fluggesellschaft mbH/Eurocontrol, pkt 18; wyrok w sprawach połączonych C-180 do 184/98, Pavlov i in., pkt 74; oraz wyrok w sprawie C-138/11, Compass-Datenbank GmbH/Republika Austrii, pkt 35; wyrok w sprawie C-516/15 P, Akzo Nobel i in./Komisja, pkt 48. Wynika z nich, że jak wskazano w orzeczeniu o sygn. C-401/90, "w kontekście prawa konkurencji należy zauważyć, że pojęcie przedsiębiorstwa obejmuje każdy podmiot prowadzący działalność gospodarczą, niezależnie od jego statusu prawnego oraz sposobu finansowania, a po drugie, że pośrednictwo w zatrudnieniu stanowi działalność gospodarczą (C-401/90, Klaus Höfner i Fritz Elser/Macrotron GmbH, pkt 21, zamieszczony na https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A61990CJ0041&qid=1784709404108). Tak więc w rozumieniu RODO przedsiębiorcą jest każdy podmiot prowadzący działalność zarobkową. Nadto w podjętej na tle stosowania art. 118 K.c. uchwale Sądu Najwyższego z dnia 9 marca 2017 r., sygn. akt III CZP 69/16, (OSNC 2017, nr 11, poz. 121) SN zajął stanowisko, że spółdzielnia mieszkaniowa jest korporacją, która w interesie swoich członków prowadzi wspólną działalność gospodarczą (art. 1 § 1 pr. spółdz. w zw. z art. 1 ust. 7 u.s.m.). Okoliczność, że szczególną cechą spółdzielni mieszkaniowej jest ex definitione prowadzenie działalności gospodarczej polegającej na zaspokojeniu potrzeb mieszkaniowych członków, wynika z art. 1 ust. 1 i 2 pkt 1–4 u.s.m.". Sąd Najwyższy uznał zatem, że spółdzielnia mieszkaniowa jest podmiotem prowadzącym, tak jak każdy inny przedsiębiorca, działalność gospodarczą. Brak jest zatem podstaw, aby kwestionować na tle stosowania art. 83 ust. 4 lit. a RODO statusu spółdzielni mieszkaniowej jako przedsiębiorcy. Skoro zarzuty skargi kasacyjnej okazały się usprawiedliwione, a istota sprawy została dostatecznie wyjaśniona, Naczelny Sąd Administracyjny na podstawie art. 188 w związku z art. 151 i art. 193 P.p.s.a. uchylił zaskarżony wyrok Sądu I instancji w całości i oddalił skargę. O koszach postępowania Naczelny Sąd Administracyjny, orzekł na podstawie art. 209 i art. 203 pkt 2 w zw. z art. 205 § 2 P.p.s.a.