II SA/Wa 1026/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Andrzej Góraj (spr.), Asesor WSA Mateusz Rogala, , Protokolant referent Joanna Mazur, , po rozpoznaniu na rozprawie w dniu 4 grudnia 2025 r. sprawy ze skargi I. K. prowadzącej działalność gospodarczą pod firmą Zakład Pogrzebowy [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2025 r. nr [...] w przedmiocie naruszenie przepisów o ochronie danych osobowych oddala skargę Postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych przez I. K. prowadzącą działalność gospodarczą pod firmą Zakład Pogrzebowy [...] I. K. z siedzibą w [...] (dalej jako "strona skarżąca" lub "administrator") zostało wszczęte przez Prezesa Urzędu Ochrony Danych Osobowych (dalej jako: "Prezes UODO" lub "organ") z urzędu na skutek przekazanych przez Prokuraturę Rejonową w [...] odpisów materiałów w sprawie o sygnaturze [...] przeciwko I. K. podejrzanej o to, że w dacie bliżej nieustalonej, przetwarzała dane osobowe jako właściciel Zakładu Pogrzebowego "[...]" z/s w [...], w ten sposób, że w trakcie transportu dokumentacji udostępniono dane osobowe zawarte w upoważnieniach wystawionych przez członków rodziny do odbioru ciała zmarłego przez różne zakłady pogrzebowe, co ujawniono w dniu [...] listopada 2022 r. Prezes Urzędu Ochrony Danych Osobowych działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572) w związku z art. 7 ust. 1, art. 60, art. 101 i art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej: "ustawą z dnia 10 maja 2018 r.", a także art. 57 ust. 1 lit. a) i h), art. 58 ust. 2 lit. d) oraz lit. i), art. 83 ust. 1-3, art. 83 ust. 4 lit. a) w związku z art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i 2 oraz art. 33 ust. 1, a także art. 83 ust. 5 lit. a) w związku z art. 5 ust. 1 lit. f) i art. 5 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej: "rozporządzeniem 2016/679", po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego, decyzją z dnia 1 kwietnia 2025 r. nr DKN.5131.10.2023: 1) nałożył na stronę skarżącą administracyjną karę pieniężną w kwocie 29 043 zł stwierdzając naruszenie przepisów art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, polegające na niewdrożeniu: a. odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych osobowych w dokumentach dotyczących pochówku, w tym ich ochrony przed przypadkową utratą, zniszczeniem lub uszkodzeniem oraz ujawnieniem osobom nieuprawnionym; b. odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo danych osobowych przetwarzanych w dokumentach przechowywanych w siedzibie Administratora oraz przewożonych do innych miejsc wykonywania działalności gospodarczej, co skutkowało naruszeniem zasad integralności i poufności (art. 5 ust. 1 lit. f) rozporządzenia 2016/679) oraz zasady rozliczalności (art. 5 ust. 2 rozporządzenia 2016/679); 2) nałożył na stronę skarżącą administracyjną karę pieniężną w kwocie 4 630 zł stwierdzając naruszenie art. 33 ust. 1 rozporządzenia 2016/679, polegające na niezgłoszeniu Prezesowi Urzędu Ochrony Danych Osobowych naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia 3) nakazał stronie skarżącej dostosowanie operacji przetwarzania do przepisów rozporządzenia 2016/679, poprzez wdrożenie w terminie 30 dni od dnia dręczenia decyzji odpowiednich środków technicznych i organizacyjnych w celu: a. zminimalizowania ryzyka wiążącego się z przetwarzaniem danych osobowych w dokumentach przetwarzanych w siedzibie Administratora i przewożonych do innych miejsc wykonywania działalności gospodarczej, w szczególności wynikającego z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych, po uprzednim przeprowadzeniu analizy ryzyka, uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, b. zapewnienia regularnego testowania, mierzenia i oceniania skuteczności środków mających zapewnić bezpieczeństwo przetwarzania. Prezes UODO, w wyniku przeprowadzonego postępowania wyjaśniającego oraz postępowania administracyjnego ustalił, że [...] listopada 2022 r. Policja zabezpieczyła dokumenty należące do strony skarżącej, które zostały znalezione przez przypadkową osobę na poboczu drogi w miejscowości [...] . Wśród zabezpieczonych dokumentów znajdowały się upoważnienia do odbioru zwłok wystawione przez członków rodzin osób zmarłych dla innych zakładów pogrzebowych współpracujących ze stroną skarżącą. Naruszenie ochrony danych osobowych dotyczyło danych osobowych zawartych w 82 upoważnieniach. Zakres danych osobowych znajdujących się na upoważnieniach obejmował imię i nazwisko bądź nazwisko oraz serię i numer dowodu osobistego. Pracownik strony skarżącej zatrudniony w charakterze żałobnika na polecenie Pani I. K. zabrał pudła z różnymi dokumentami dotyczącymi pochówków, w tym dokumenty zawierające dane osobowe, z niezamykanego pomieszczenia pod schodami, znajdującego się w siedzibie Administratora przy ul. [...] w [...], a następnie zostały zapakowane na tzw. pakę samochodu, przykryte plandeką i bez żadnych dodatkowych zabezpieczeń miały zostać przewiezione do Stężycy (jednego z miejsc, w którym strona skarżąca prowadzi działalność gospodarczą). Na miejscu pracownik nie zorientował się, że zgubił po drodze część dokumentów, ponieważ wcześniej nie policzył pudeł, które zapakował na pakę samochodu. Dostarczona wraz z pismem z [...] marca 2023 r. analiza ryzyka, która według oświadczenia strony skarżącej (pismo z [...] maja 2023 r.) jest jedyną wykonaną dla operacji przetwarzania danych objętych naruszeniem ochrony danych osobowych, nie zawiera opisu zagrożeń związanych z bezpieczeństwem przetwarzanych danych osobowych, oceny prawdopodobieństwa wystąpienia zdarzenia skutkującego naruszeniem ochrony danych osobowych ani też skutków wystąpienia zagrożenia dla osób fizycznych, których dane dotyczą. Zgodnie z przyjętymi u strony skarżącej zasadami, dokumentacja zawierająca dane osobowe jest przechowywana w zamykanej na klucz szafie znajdującej się w pomieszczeniu biurowym w siedzibie Przedsiębiorcy, natomiast nie została opracowana procedury transportu dokumentacji zawierającej dane osobowe. W związku z naruszeniem ochrony danych osobowych Administrator sporządził ogólny opis dotyczący okoliczności zdarzenia, lecz nie dokonał zgłoszenia organowi naruszenia ochrony danych osobowych. Prezes UODO uzasadniając zaskarżoną decyzję wskazał, że w myśl art. 5 ust. 1 lit. f) rozporządzenia 2016/679, dane osobowe muszą być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("poufność i integralność"). Stosownie zaś do art. 5 ust. 2 rozporządzenia 2016/679, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). W niniejszej sprawie strona skarżąca jako administrator danych osobowych znajdujących się na upoważnieniach do odbioru zwłok wystawionych przez członków rodzin osób zmarłych dla innych zakładów pogrzebowych, miał obowiązek podjęcia działań zapewniających właściwy poziom ochrony danych poprzez wdrożenie odpowiednich środków technicznych oraz organizacyjnych, mających zapewnić bezpieczeństwo tych danych. Charakter i rodzaj tych działań powinien wynikać z rzetelnie przeprowadzonej analizy ryzyka, w której powinno się zidentyfikować podatności odnoszące się do wykorzystywanych zasobów oraz wynikające z nich zagrożenia, a następnie określić adekwatne środki bezpieczeństwa. Błędne oszacowanie ryzyka lub jego pominięcie uniemożliwia zastosowanie odpowiednich środków bezpieczeństwa dla danego zasobu oraz zwiększa prawdopodobieństwo jego wystąpienia. W ocenie Prezesa UODO strona skarżąca wbrew obowiązkowi, nie przewidziała ryzyka, a w konsekwencji i środków bezpieczeństwa, które powinna stosować podczas przewożenia dokumentacji papierowej zawierającej dane osobowe. Ponadto organ wyjaśnił, że z ustaleń dokonanych w niniejszym postępowaniu wynika, że środek bezpieczeństwa opisany w piśmie z [...] marca 2023 r. (przechowywanie dokumentów w zamkniętej szafie znajdującej się w zamykanym pomieszczeniu) w praktyce nie był stosowany, gdyż dokumenty zawierające dane osobowe leżały w niezamykanym pomieszczeniu pod schodami znajdującym się w siedzibie Administratora w [...], co w ostateczności poddaje w wątpliwość wdrożenia zabezpieczeń opisywanych w pismach Administratora z [...] marca 2023 r. oraz z [...] kwietnia 2023 r. Prezes UODO wskazał również, że strona skarżąca nie była w stanie wykazać, że sprawowała faktyczny nadzór nad przetwarzaniem danych osobowych w prowadzonym zakładzie pogrzebowym, stosownie do wynikającej z art. 5 ust. 2 rozporządzenia 2016/679 zasady rozliczalności. Następnie organ powołując się na art. 33 ust. 1 i 3 rozporządzenia 2016/679 wyjaśnił, że w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu właściwemu zgodnie z art. 55, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych, natomiast do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia. W niniejszej sytuacji strona skarżąca wyjaśniła, że nie stwierdziła ona naruszenia ochrony danych osobowych, ponieważ dokumenty odnalazły się w nienaruszonym stanie, a czas utraty kontroli był krótki, natomiast w odpowiedzi na wezwanie z [...] kwietnia 2023 r. strona skarżąca przyznała, że doszło do ujawnienia danych, ale w jej ocenie nie były one wystarczające do wystąpienia ryzyka ich wykorzystania, a w konsekwencji wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych. Organ rozpoznając niniejszą sprawę uznał, że w przedmiotowej sytuacji nie ma podstaw do stwierdzenia, by strona skarżąca z jakichkolwiek przyczyn zwolniona była z obowiązku zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu zgodnie z art. 33 ust. 1 rozporządzenia 2016/679, gdyż w okolicznościach badanego przypadku nie można rozsądnie twierdzić, że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności podmiotów danych. W konsekwencji Prezes UODO stwierdził, że strona skarżąca pomimo wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych, nie dokonała zgłoszenia organowi nadzorczemu naruszenia ochrony danych osobowych polegającego na naruszeniu poufności danych osobowych członków rodzin osób zmarłych znajdujących się w wystawionych przez te osoby upoważnieniach i tym samym nie wykonała obowiązku z art. 33 ust. 1 rozporządzenia 2016/679, co oznacza naruszenie tego przepisu. Pismem z dnia [...] maja 2025 r. strona skarżąca wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2025 r. Zaskarżonej decyzji zarzucono naruszenie przepisów postępowania, które mogły mieć istotny wpływ na wynik sprawy tj: 1) naruszenie art. 6 ustawy z dnia 14 czerwca 1960 roku - Kodeks postępowania administracyjnego (dalej jako "KPA") w związku z art. 7 KPA w związku z art. 7a KPA w związku z art. 7b KPA w związku z art. 8 KPA w związku z art. 77 § 1 KPA w związku z art. 80 KPA w związku z art. 107 § 3 KPA w związku z art. 74 KPA w związku z art. 7 ust. 1 Ustawy o ochronie danych osobowych w związku z art. 68 ust. 1 Ustawy o ochronie danych osobowych w związku z art. 24 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; dalej także jako "RODO") w związku z art. 25 ust. 1 RODO w związku z art. 32 ust. 1 RODO poprzez niepodjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego i do załatwienia sprawy - mając na względzie interes społeczny i słuszny interes strony skarżącej jako jednostki a także konieczność rozstrzygania wątpliwości na korzyść strony - oraz niezebranie i nierozpatrzenie w sposób wystarczający całego materiału dowodowego, jak również nieprzeprowadzenie postępowania kontrolnego w rozumieniu art. 68 ust. 1 Ustawy o ochronie danych osobowych, a w konsekwencji naruszenie zasady pogłębiania zaufania jednostek do państwa, które to naruszenie przejawiało się w: - przedwczesnym na tym etapie sprawy - a wręcz zupełnie bezpodstawnym (co potwierdza utrwalone orzecznictwo sądowe) - przyjęciu przez Organ w zaskarżonej decyzji, iż Skarżąca naruszyła przepisy art. 24 ust. i, art. 25 ust. 1, art. 32 ust. 1 oraz art. 33 ust. 1 RODO, polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych osobowych w dokumentach dotyczących pochówku, w tym ich ochrony przed przypadkową utratą, zniszczeniem lub uszkodzeniem oraz ujawnieniem osobom nieuprawnionym, niewdrożeniu odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo danych osobowych przetwarzanych dokumentach przechowywanych siedzibie Administratora oraz przewożonych do innych miejsc wykonywania działalności gospodarczej, niezgłoszeniu Prezesowi Urzędu Ochrony Danych Osobowych naruszenia ochrony danych osobowych bez zbędnej zwłoki (dalej także łącznie jako "Rzekome naruszenie"), a tym samym w istotnym naruszeniu zasady praworządności wyrażonej w przepisach art. 6 KPA i art. 7 in principio KPA oraz art. 7 Konstytucji RP; - fakcie, że zaskarżona decyzja wydana została na podstawie niewystarczającego materiału dowodowego zebranego w sprawie w sposób niepozwalający na dokładne wyjaśnienie stanu faktycznego (por. w tym zakresie m.in. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 kwietnia 2021 r., sygn. akt II SA/Wa 1874/20); - okoliczności, iż Organ nie wyjaśnił ponad wszelką wątpliwość, jakich danych osobowych i w jakiej liczbie dotyczyło rzekome naruszenie, względnie czy dane osobowe, których dotyczyło rzekome naruszenie, faktycznie były czytelne w momencie ujawnienia rzekomego naruszenia i czy mogłyby się nimi posłużyć osoby postronne; - okoliczności, iż pracownicy Organu - pomimo wydania przez Organ zaskarżonej decyzji - nigdy nie zapoznali się ani z oryginałami materiałów z akt sprawy o sygnaturze [...] prowadzonej przez Prokuraturę Rejonową w [...] , ani też z zawartością pudeł rzekomo zawierających dokumenty z danymi osobowymi, których dotyczyło rzekome naruszenie; - faktu, że Organ - wydając zaskarżoną decyzję - oparł się wyłącznie na wyjaśnieniach strony skarżącej oraz odpisach sprawy prowadzonej przez Policję i Prokuraturę oraz zignorował fakt, iż brak jest jednoznacznych dowodów na okoliczność rzekomego naruszenia; - okoliczności, iż Organ wydając zaskarżoną decyzję - nie uwzględnił faktu umorzenia sprawy prowadzonej przez Policję i Prokuraturę z uwagi na brak znamion czynu zabronionego; - okoliczności, iż Organ - wydając Zaskarżoną decyzję - nie zweryfikował ponad wszelką wątpliwość (np. poprzez przeprowadzone osobiście przez pracowników Organu oględziny oryginałów materiałów dotyczących rzekomego naruszenia lub poprzez postępowanie kontrolne w trybie art. 68 Ustawy o ochronie danych), czy w Sprawie prowadzonej przez Policję i Prokuraturę (umorzonej z uwagi na brak znamion czynu zabronionego) doszło do ujawnienia danych osobowych, ewentualnie jakiego rodzaju miałyby to być dane osobowe na poszczególnych dokumentach oraz gdzie miałyby one być umieszczone (np. czy znajdowały się one faktycznie w około dziesięciu pudłach, ewentualnie ile mogło być tych pudeł i czy te pudła były zamknięte i zabezpieczone czy też nie); - bezpodstawnym stwierdzeniu w zaskarżonej decyzji – dodatkowo potwierdzonym w komunikacie jej dotyczącym opublikowanym na stronie internetowej Organu (stojącym w sprzeczności z materiałami faktycznie przekazanymi strony skarżącej przez właściwą jednostkę Policji po umorzeniu postępowania), że w dniu [...] listopada 2022 r. na poboczu drogi krajowej nr [...] w miejscowości [...] zostało znalezionych i zabezpieczonych około 10 pudeł z różnymi dokumentami należącymi do Skarżącej, a zakres danych osobowych znajdujących się na wszystkich upoważnieniach obejmował imię i nazwisko bądź nazwisko oraz serię i numer dowodu osobistego; - fakcie, że - po umorzeniu postępowania przygotowawczego, w sprawie – strony skarżącej zostało przekazane przez właściwą jednostkę Policję wyłącznie jedno pudło zawierające dokumenty w przeważającej większości nieczytelne oraz w, wielu przypadkach niezawierające takich danych jak seria i numer dowodu osobistego; - okoliczności, że Organ przed wydaniem zaskarżonej decyzji - pomimo że w toku postępowania zaszła konieczność uzupełnienia dowodów – nie przeprowadził postępowania kontrolnego w trybie art. 68 Ustawy o ochronie danych; - faktu, że Organ - wydając zaskarżoną decyzję - przeprowadził sporne postępowanie wyjaśniające bez wykorzystania wszelkich możliwych instrumentów prawnych, jakie dawała mu Ustawa o ochronie danych osobowych; - okoliczności, że Organ nie uwzględnił całokształtu dokumentacji w zakresie ochrony danych osobowych przygotowanej uprzednio przez stronę skarżącą - zgodnej z przepisami RODO oraz mogącej dowodzić faktu wypełnienia przez stronę skarżącą obowiązków wynikających z art. 24 ust. ł, art. 25 ust 1 oraz art. 32 ust. 1 RODO, w tym m.in. sporządzonych w 2018 r. Polityki przetwarzania danych osobowych zgodnej z RODO oraz Instrukcji Zarządzania Systemem Informatycznym, upoważnień do przetwarzania danych dla pracowników strony skarżącej, oświadczeń o zachowaniu w poufności powierzonych danych dla pracowników strony skarżącej, jak też nie przeprowadził postępowania wyjaśniającego lub kontrolnego na okoliczność sporządzenia w czerwcu 2023 r. (już po korespondencji Organu z dnia [...] maja 2023 r..) analizy zagrożeń i szacowania ryzyka wraz z wnioskami działaniami naprawczymi (poświadczone za zgodność odpisy dokumentów w załączeniu); 2) naruszenie art. 6 KPA w związku z art. 7 KPA w związku z art. 7a KPA w związku z art. 7b KPA w związku z art. 8 KPA w związku z art. 77 § 1 KPA w związku z art. 80 KPA w związku z art. 107 § 3 KPA w związku z art. 74 KPA w związku z art. 58 ust. 2 lit. i) RODO w związku z art. 83 ust. 4 lit. a) i ust. 5) lit. a) RODO poprzez nieprawidłowe - naruszające przepisy RODO oraz . przepisy postępowania administracyjnego — zastosowanie administracyjnych kar pieniężnych, których mowa w pkt 1) i pkt 2) zaskarżonej decyzji, w sytuacji gdy: - z uwagi na szczególne okoliczności zaistniałej sprawy, w tym wykazane w pkt 1 powyżej (i fakt, że nie było wystarczającego materiału dowodowego zebranego w sprawie w sposób pozwalający na dokładne wyjaśnienie stanu faktycznego) Organ powinien odstąpić od zastosowania kar pieniężnych, względnie znacząco obniżyć ich wysokość lub zastosować inne środki naprawcze, - Organ nie uwzględnił przy wymierzaniu kar pieniężnych okoliczności łagodzących, w tym w szczególności istnienia w przypadku strony skarżącej kompleksowej dokumentacji, zgodnej z przepisami RODO oraz mogącej dowodzić faktu wypełnienia przez stronę skarżącą obowiązków wynikających z art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 RODO, w tym m.in. sporządzonych w 2018 r. Polityki przetwarzania danych osobowych zgodnej z RODO oraz Instrukcji Zarządzania Systemem Informatycznym, upoważnień do przetwarzania danych dla pracowników strony skarżącej, oświadczeń o zachowaniu w poufności powierzonych danych dla pracowników strony skarżącej czy sporządzonej w czerwcu 2023 r. analizy zagrożeń i szacowania ryzyka wraz z wnioskami i działaniami naprawczymi; - w odniesieniu do uzasadnienia zastosowania kar pieniężnych Organ zupełnie bezpodstawnie wskazał w zaskarżonej decyzji, że czas trwania wszystkich naruszeń jest ten sam - od 25 maja 2018 r. (od momentu rozpoczęcia stosowania przepisów RODO), pomimo że z zebranego w sprawie materiału dowodowego nie wynika w jakimkolwiek zakresie, żeby wszystkie dokumenty zawierające dane osobowe, których dotyczy naruszenie, były sporządzone już w dniu [...] maja 2018 r. lub wcześniej; - w odniesieniu do uzasadnienia zastosowania kar pieniężnych Organ zupełnie bezpodstawnie wskazał w zaskarżonej decyzji, że strona skarżąca nadal nie przeprowadziła analizy ryzyka uwzględniającej zagrożenia dla przetwarzanych przez niego danych osobowych i przerzuciła na swoich, pracowników wdrożenie środków bezpieczeństwa w postaci przechowywania dokumentów w przeznaczonym do tego celu pomieszczeniu, a sama nie podjęła w tym zakresie żadnych działań, mających na celu zastosowanie odpowiednich środków technicznych dla zapewnienia ochrony danym znajdującym się w siedzibie przedsiębiorcy; - w odniesieniu do uzasadnienia zastosowania kar pieniężnych Organ zupełnie bezpodstawnie (w świetle konsekwentnie składanych wyjaśnień na każde wezwanie Organu) wskazał w zaskarżonej decyzji, że strona skarżąca - jako administrator - nie współpracowała z Organem, w sposób zupełnie bezprawny próbując przerzucić inicjatywę w prowadzeniu postępowania wyjaśniającego na stronę skarżącą (i nie podejmując się zarazem przeprowadzenia postępowania kontrolnego w trybie art. 68 Ustawy o ochronie danych); - w odniesieniu do uzasadnienia zastosowania kar pieniężnych Organ zupełnie bezpodstawnie - a wręcz w sposób krzywdzący dla strony skarżącej i naruszający jej dobra osobiste - zasugerował w zaskarżonej decyzji, że dane- osobowe, których dotyczy rzekome naruszenie, mogły dotyczyć m.in. stanu zdrowia zmarłego lub okoliczności jego śmierci. W odpowiedzi na skargę organ wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr.153, poz.1269 z późn. zm.) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż nie narusza ona prawa. Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy organ przy jej procedowaniu, poruszał się w granicach prawa. W ocenie tut. Sądu na w/postawione pytanie należało udzielić pozytywnej odpowiedzi. Na wstępie, dla lepszego zobrazowania problematyki sprawy zasadnym będzie przywołanie kilku uwag o charakterze generalnym. Przede wszystkim należy mieć na względzie, że administrator zobowiązany jest przepisami rozporządzenia 2016/679 do stałego monitorowania przestrzegania przez osoby mu podległe procedur chroniących gromadzone przez niego dane osobowe i to właśnie na administratorze spoczywa odpowiedzialność za niedopełnienie tego obowiązku. Jak wskazał WSA w Warszawie w wyroku z 10 lutego 2021 r., sygn. II SA/Wa 2378/20, "Zasada rozliczalności bazuje więc na prawnej odpowiedzialności administratora za właściwe wypełnianie obowiązków i nakłada na niego obowiązek wykazania zarówno przed organem nadzorczym, jak i przed podmiotem danych, dowodów na przestrzeganie wszystkich zasad przetwarzania danych." Podobnie kwestię zasady rozliczalności WSA w Warszawie interpretuje w wyroku z 26 sierpnia 2020 r., sygn. akt II SA/Wa 2826/19, "Biorąc pod uwagę całość norm rozporządzenia 2016/679, podkreślić należy, że administrator ma znaczną swobodę w zakresie stosowanych zabezpieczeń, jednocześnie jednak ponosi odpowiedzialność za naruszenie przepisów o ochronie danych osobowych. Z zasady rozliczalności wprost wynika, że to administrator danych powinien wykazać, a zatem udowodnić, że przestrzega przepisów określonych w art. 5 ust. 1 rozporządzenia 2016/679". W tym miejscu należy wskazać, że przepisy rozporządzenia 2016/679 są prawem bezwzględnie obowiązującym administratorów danych, a zgodnie z art. 24 ust. 1 tegoż rozporządzenia, to właśnie administrator uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane. Zatem, stosownie do ww. przepisu rozporządzenia 2016/679, jak również do obowiązków wynikających z art. 25 ust. 1 oraz art. 32 ust. 1 i 2 tego rozporządzenia, to administrator danych, a nie pracownik, zobowiązany jest do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z wymaganiami rozporządzenia 2016/679. Jak wskazał Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 15 lutego 2022 r., sygn. akt II SA/Wa 3309/21, "Pracownik nie może bowiem zastępować administratora danych w realizacji jego zadań wynikających z tych przepisów [tj. art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 rozporządzenia 2016/679]". Z powyżej powołanego wyroku wynika, że Administrator powinien nie tylko skutecznie przekazać procedury i zasady odnoszące się do odpowiedniego zabezpieczenia przetwarzanych przez nich danych osobowych, ale również monitorować przestrzeganie tych procedur w ramach regularnego testowania wprowadzonych przez Administratora środków bezpieczeństwa, także tych o charakterze organizacyjnym. Jak wskazał Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 6 czerwca 2023 roku, sygn. akt II SA/Wa 1939/22, "(...) powinność regularnego testowania środków technicznych i organizacyjnych, zabezpieczenia przetwarzania danych osobowych, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w rozumieniu art. 32 ust. 1 zd. wstępne RODO, wynika wprost z brzmienia iit. d) wskazanego art. 32 ust. 1, zaś powinność dokumentowania czynności w danym zakresie statuuje zasada rozliczalności (art. 5 ust. 2 RODO)". Podobnie wypowiedział się Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 21 czerwca 2023 roku, sygn. akt II SA/Wa 150/23, stwierdzając, że "Podkreślenia wymaga, że regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania jest podstawowym obowiązkiem każdego administratora oraz podmiotu przetwarzającego wynikającym z art. 32 ust 1 lit. d) RODO. Administrator zobowiązany jest więc do weryfikacji zarówno doboru, jak i poziomu skuteczności stosowanych środków technicznych na każdym etapie przetwarzania. Kompleksowość tej weryfikacji powinna być oceniana przez pryzmat adekwatności do ryzyk oraz proporcjonalności w stosunku do stanu wiedzy technicznej, kosztów wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania". Działanie w tym zakresie polega przede wszystkim na ich przeglądzie pod kątem skuteczności, na co składa się nie tylko sprawdzanie, czy określona procedura jest stosowana przez pracowników, ale także na zbadaniu, czy wdrożone środki bezpieczeństwa przyczyniają się w sposób realny do obniżenia ryzyka. W świetle powyższego utartego już orzecznictwa Sądów administracyjnych jako uprawniona jawi się teza, że opisywane testowanie, mierzenie i ocenianie musi dotyczyć nie tylko wprowadzonych środków o charakterze technicznym, ale również tych o charakterze organizacyjnym, a więc m.in. procedur określających zasady przetwarzania danych osobowych. Przez pryzmat powyższego należy więc m.in. patrzeć na szczegóły niniejszej sprawy. Przechodząc zaś już do meritum rozpoznawanej skargi, motywy wyroku należało rozpocząć od najdalej idącego jej zarzutu, poddającego w wątpliwość fakt naruszenia przepisów RODO w związku z zagubieniem w miejscu publicznym (droga publiczna) dokumentacji należącej do skarżącej a zawierającej m.in. upoważnienia wystawiane przez członków rodziny zmarłych, do odbioru ciał osób zmarłych, na których to upoważnieniach wyszczególnione były dane osobowe członków rodzin w postaci imion, nazwisk oraz numerów i serii dowodów osobistych. W ocenie tut. Sądu w/przytoczony zarzut nie wytrzymuje konfrontacji z całokształtem materiału dowodowego zgromadzonego w sprawie. Ustalenia stanu faktycznego organ dokonywał w oparciu np. o odpisy dokumentów wytworzonych przez policję i prokuraturę w sprawie o sygn.. akt [...]. Jak zaś wynika z w/w dokumentów niniejsza sprawa dotyczyła właśnie postępowania prowadzonego przez Prokuraturę Rejonową w [...] przeciwko I. K. podejrzanej o to, że w dacie bliżej nieustalonej, przetwarzała dane osobowe jako właściciel Zakładu Pogrzebowego "[...]" z/s w [...], w ten sposób, że w trakcie transportu dokumentacji udostępniono dane osobowe zawarte w upoważnieniach wystawionych przez członków rodziny do odbioru ciała zmarłego przez różne zakłady pogrzebowe, co ujawniono w dniu 12 listopada 2022 r, tj. o czyn z art. 107 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019, poz. 1781 tj.). Z akt sprawy karnej wynikało, że około 10 pudeł z różnymi dokumentami należącymi do Przedsiębiorcy zostało znalezionych i zabezpieczonych [...] listopada 2022 r. na poboczu drogi krajowej nr [...] w miejscowości [...] . Wśród różnego rodzaju dokumentów dotyczących pochówku były 82 upoważnienia zawierające dane osobowe członków rodzin osób zmarłych przetwarzane przez Administratora. Z dokumentów sprawy wynikało, że osoba zatrudniona przez Przedsiębiorcę w charakterze żałobnika, na jego polecenie, przewoziła wspomnianą wyżej trasą pudła z dokumentami na tzw. odkrytej pace samochodu. Co istotne dla rozpoznawanej przez tut. Sąd sprawy, strona nigdy nie kwestionowała treści powyższych dokumentów wytworzonych w trakcie śledztwa prowadzonego przez organy ścigania. Nie podnosiła też, by np. zaskarżyła postanowienie o umorzeniu postępowania karnego kwestionując opis zarzucanego jej czynu. Niezależnie od powyższego, nie należy tracić z pola widzenia tego, że sama skarżąca przyznała zaistnienie przedmiotowego zdarzenia przeprowadzając "analizę" owego incydentu naruszenia ochrony danych osobowych. Dodatkowo, w trakcie trwania postępowania administracyjnego skarżąca najpierw w piśmie z [...] marca 2023 r. poinformowała, że w zagubionych teczkach znajdowały m.in. pełnomocnictwa/upoważnienia, które w swojej treści zawierały dane osobowe w postaci imienia i nazwiska oraz serii i numeru dowodu osobistego osób wystawiających upoważnienie. W kolejnych wyjaśnieniach z [...] kwietnia 2023 r. przyznała, że w owych dokumentach znajdowały się 82 upoważnienia do odbioru zwłok wystawione przez rodziny osób zmarłych dla innych zakładów pogrzebowych. Powyższe w ocenie tut. Sądu świadczy niezbicie o tym, że miało miejsce zdarzenie zagubienia w publicznym miejscu przez pracownika skarżącej dokumentacji zawierającej dane osobowe rodzin zmarłych w postaci imion, nazwisk oraz numerów i serii dowodów osobistych. Stąd określanie w skardze owego naruszenia mianem "rzekomego", pozostaje w oderwaniu od ustalonych i przyznanych przez samą skarżącą faktów. Odnosząc się dalej do przedmiotu ujętego w pkt.1 skarżonej decyzji wyjaśnienia wymagała okoliczność, że clou problemu stwierdzonego w niej naruszenia przepisów RODO, wiązało się już z samą możliwością dostępu do danych osobowych przez osoby nieuprawnione. Możliwość ta przekładała się zaś wprost na istnienie ryzyka dla praw i wolności osób, których dane zostały zagubione w publicznym miejscu. Istnienia takiej możliwości nie sposób racjonalnie wykluczyć skoro dokumenty owe znalazły się w miejscu ogólnie dostępnym, uczęszczanym przez inne osoby i nie były w żaden sposób chronione. Zgodnie natomiast z ugruntowaną linią orzeczniczą Wojewódzkiego Sądu Administracyjnego w Warszawie, ryzyko do którego nawiązują przepisy RODO, nie musi się zmaterializować, aby można było stwierdzić jego istnienie a w konsekwencji aby zaistniał po stronie administratora obowiązek zgłoszenia określony w art. 33 ust. 1 rozporządzenia 2016/679 (por. wyroki WSA w Warszawie z: 22 września 2021 r., sygn. akt II SA/Wa 791/21; 1 lipca 2022 r., sygn. akt II SA/Wa 4143/21; 31 sierpnia 2022 r., sygn. akt II SA/Wa 2993/21; 15 listopada 2022 r., sygn. akt II SAM/a 546/22; 26 kwietnia 2023 r., sygn. akt II SAM/a 1272/22). Wbrew wywodom skargi nie sposób też przyjąć, by zagubione dokumenty były nieczytelne. Strona skarżąca na żadnym etapie postępowania karnego, administracyjnego czy sądowego nie podnosiła twierdzenia o ich nieczytelności. W sposób dorozumiany przyznała więc, że były one czytelne. Jedyną logiczną konsekwencją powyższego jest stwierdzenie, że także w momencie zagubienia, dokumenty owe były czytelne. W tym momencie istniało więc potencjalne ryzyko ujawnienia danych osobowych zawartych w tych dokumentach. Niezależnie od powyższego, i wpływu warunków atmosferycznych na stan dokumentów, okoliczności sprawy potwierdzają wnioski organu, że dokumenty były czytelne. Jak słusznie wywodzi organ skoro funkcjonariusze policji wezwani do znalezionych przy drodze dokumentów, nie mieli żadnych trudności by na ich podstawie zidentyfikować skarżącą jako ich właścicielkę, to świadczy to wprost o tym, że charakteryzowały się one cechą czytelności. Z danymi ujętymi w dokumentach mogli więc zapoznać się zarówno interweniujący policjanci, znalazca dokumentów jak i każda osoba poruszająca się w tym miejscu po drodze publicznej czy jej poboczu. W tym miejscu wartym zauważenia jest okoliczność, że nawet skarżąca nie kwestionuje czytelności wszystkich dokumentów podnosząc na stronie 5 skargi twierdzenie nieczytelności ale tylko "w przeważającej części". Dodatkowo zauważenia wymagała okoliczność, że na obecnym etapie postępowania bez wpływu na jego wynik pozostaje to, ile pudełek z dokumentami policja zwróciła skarżącej po umorzeniu postępowania karnego. Skoro sama skarżąca przyznała, ze zagubione dokumenty obejmowały 82 upoważnienia do odbioru zwłok wystawione przez rodziny zmarłych a zawierające imiona, nazwiska oraz numery i serie dowodów osobistych, to powyższe okoliczności należało potraktować jako niesporne. Celem niniejszego postępowania administracyjnego i sądowego nie jest zaś badanie poprawności działania organów ścigania, w zakresie zwracania stronom dowodów zebranych w toku postępowania karnego. Przechodząc do problematyki braków stwierdzonych w pkt.1 a i b decyzji to nie sposób skutecznie zarzucić organowi, by nie wykazał ich istnienia. Z zebranego materiału dowodowego wynika, że transport dokumentów Przedsiębiorcy, podczas którego doszło do zagubienia teczki z dokumentami zawierającymi dane osobowe, nie był realizowany osobiście przez Panią I. K. W piśmie z [...] kwietnia 2023 r. Administrator wskazał, że "(...) teczki pakowane są do pudełek, a po ich oklejeniu, osobiście przewożę dokumentację do filii (...). Przewóz dokumentacji zawierającej dane osobowe nie jest zlecany osobom trzecim". Słusznie zauważył organ, że tak określona procedura nie tylko nie obejmuje wszystkich kwestii związanych z zabezpieczeniem danych osobowych podczas ich transportu, ale - jak wynika z dokonanych ustaleń - nie była również przestrzegana, skoro dokumenty zawierające dane osobowe, które zostały zagubione podczas transportu, były przewożone przez inną osobę niż Przedsiębiorca. Ponadto, wbrew oświadczeniu Administratora, że dokumenty z danymi, które mają być transportowane, są zapakowane do oklejonych pudełek przechowywanych w zamkniętym pomieszczeniu w siedzibie Przedsiębiorcy, ustalono, że w rzeczywistości znajdowały się one w otwartymi pomieszczeniu pod schodami, skąd zostały zabrane przez pracownika i wrzucone na pakę ciężarowego samochodu w celu przewiezienia ich do innego miejsca działalności Administratora. Organ logicznie też wywiódł, że pracownik przewożący dokumenty na polecenie Właścicielki zakładu dopuścił możliwość utraty części dokumentów, ponieważ przykrył wprawdzie pudła i inne zapakowane rzeczy plandeką, ale nie zabezpieczył ich dodatkowo w żaden sposób. Ponadto pudła zawierające dokumenty nie zostały przed transportem policzone, dlatego też pracownik po rozpakowaniu paki samochodu w swoim miejscu zamieszkania nie zorientował się, że utracił część dokumentów. Z ustaleń dokonanych w niniejszej sprawie organ poprawnie wywiódł też, że Administrator, wbrew ciążącemu na nim obowiązkowi, nie przewidział ryzyk, a w konsekwencji i środków bezpieczeństwa, które powinien stosować podczas przewożenia dokumentacji papierowej zawierającej dane osobowe. Ponadto środek bezpieczeństwa opisany w piśmie z [...] marca 2023 r. (przechowywanie dokumentów w zamkniętej szafie znajdującej się w zamykanym pomieszczeniu) w praktyce nie był stosowany. Dokumenty zawierające dane osobowe leżały w niezamykanym pomieszczeniu pod schodami znajdującym się w siedzibie Administratora w [...]. Trafnie skonkludował organ powyższe, że poddaje to w wątpliwość praktyczne wdrożenie zabezpieczeń opisywanych w pismach Administratora z [...] marca 2023 r. oraz z [...] kwietnia 2023 r. Nadto z pisma strony z [...] marca 2023 r. wynika, że jedyną osobą posiadającą zgodę Administratora na dostęp do danych osobowych był pracownik biurowy, tymczasem transport dokumentów został zlecony innemu pracownikowi zatrudnionemu w charakterze żałobnika. Organ miał też uzasadnione podstawy ku temu, by odmówić wiarygodności wyjaśnieniom Przedsiębiorcy, który twierdzi, że upoważnienia zawierające dane osobowe członków rodzin osób zmarłych zostały wydane do transportu przez pomyłkę, skoro Administrator sam przyznał, że nie posiadał sformalizowanych procedur związanych z przewozem dokumentów. W kontekście powyższego nie sposób pominąć tego, że w piśmie z [...] kwietnia 2023 r. Pani I. K. wyjaśniła, że "Wskazuję, iż przyjmuję przypadkowe wydanie skoroszytów przy przekazywaniu innych rzeczy do przewiezienia, bowiem pudełka zawierające materiały do utylizacji były zamknięte i oklejone taśmami". Podkreślić należy też, że przeprowadzenie analizy ryzyka uwzględniającej zagrożenia związane z transportem dokumentów zawierających dane osobowe, czy to wykonywanego osobiście przez Właścicielkę zakładu czy przez jej pracowników, a następnie monitorowanie przyjętej procedury bezpieczeństwa mogłoby zminimalizować w sposób istotny ryzyko wystąpienia przedmiotowego naruszenia ochrony danych osobowych i czyniłoby zadość obowiązkowi rozliczalności, który został nałożony na Administratora w art. 5 ust. 2 rozporządzenia 2016/679. Odnosząc się do punktu 2 skarżonej decyzji przywołać należało art. 33 ust. 1 i 3 rozporządzenia 2016/679 który stanowi, że w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu właściwemu zgodnie z art. 55, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia. Zgłoszenie, o którym mowa w ust. 1 musi, co najmniej: a) opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie; b) zawierać imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji; c) opisywać możliwe konsekwencje naruszenia ochrony danych osobowych; d) opisywać środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków. Z analizy ww. przepisów wynika, że w zależności od tego, z jakim poziomem ryzyka naruszenia praw lub wolności osób fizycznych administrator ma do czynienia, inaczej kształtują się jego obowiązki w stosunku do organu nadzorczego, a także osób, których dane dotyczą. Jeżeli wystąpienie ryzyka naruszenia praw lub wolności osób fizycznych nie jest prawdopodobne, administrator nie jest zobligowany do zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych. Wskazane naruszenie musi jedynie wpisać do wewnętrznej ewidencji naruszeń. W przypadku stwierdzenia ryzyka naruszenia praw lub wolności osób fizycznych, obowiązkiem administratora jest zgłoszenie naruszenia ochrony danych Prezesowi UODO, jak również umieszczenie wpisu w wewnętrznej ewidencji naruszeń. Jak wynika z powyższego, w przypadku wykrycia przez administratora naruszenia ochrony danych osobowych, w pierwszej kolejności konieczne jest dokonanie analizy pod kątem wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych. Administrator zwolniony jest z obowiązku powiadamiania organu nadzorczego o naruszeniu, jeśli przeprowadzone badanie wykaże, że prawdopodobieństwo wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych jest małe. Należy jednak mieć na względzie fakt, iż organ nadzorczy będzie mógł zwrócić się do administratora o uzasadnienie decyzji o niezgłaszaniu naruszenia, w związku z tym wnioski z przeprowadzonej analizy należy odnotować w wewnętrznej ewidencji naruszeń. Warto przy tym przypomnieć, że w Wytycznych Europejskiej Rady Ochrony Danych (EROD) nr 9/2022 przyjętych 28 marca 2023 r., zwanych dalej Wytycznymi 9/2022, znajdują się rekomendacje dotyczące zgłaszania naruszeń ochrony danych osobowych organowi nadzorczemu. Wynika z nich, że "zgłoszenie naruszenia właściwemu organowi jest obowiązkowe, chyba że dane naruszenie najprawdopodobniej nie będzie wiązało się z ryzykiem naruszenia praw lub wolności osób fizycznych". Oznacza to, że występująca w polskiej wersji rozporządzenia 2016/679 przesłanka "małego prawdopodobieństwa" powinna być utożsamiana z brakiem realnych szans na materializację potencjalnych skutków dla osób, których dane dotyczą. Zgłaszanie naruszeń ochrony danych osobowych przez administratorów stanowi skuteczne narzędzie przyczyniające się do realnej poprawy bezpieczeństwa przetwarzania danych osobowych. Brak zgłoszenia naruszenia pozbawia organ nadzorczy możliwości odpowiedniej reakcji na naruszenie ochrony danych osobowych, która przejawia się nie tylko w ocenie ryzyka naruszenia dla praw lub wolności osoby fizycznej, ale również w weryfikacji, czy administrator zastosował właściwe środki w celu zaradzenia naruszeniu i zminimalizowania negatywnych skutków dla osób, których dane dotyczą, jak również, czy zastosował odpowiednie środki bezpieczeństwa w celu wyeliminowania ryzyka ponownego wystąpienia naruszenia. Przenosząc powyższe na realia faktyczne sprawy jako uprawnione jawią się wnioski organu, że nie ma podstaw do stwierdzenia, by Administrator z jakichkolwiek przyczyn zwolniony był z obowiązku zgłoszenia omawianego naruszenia ochrony danych osobowych organowi nadzorczemu zgodnie z art. 33 ust. 1 rozporządzenia 2016/679. W okolicznościach badanego przypadku nie można rozsądnie twierdzić, że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności podmiotów danych. Naruszenie to dotyczyło przecież imion, nazwisk oraz numerów dowodu osobistego zawartych w dokumentach wystawionych w specyficznej sytuacji związanej z pochówkiem bliskiej osoby, a ponadto nie można jednoznacznie stwierdzić czy z danymi osobowymi nie zapoznało się więcej przypadkowych osób. W ocenie organu nadzorczego nie istnieje więc uzasadnienie dla niewykonania przez Administratora obowiązku wynikającego z powyższego przepisu rozporządzenia 2016/679. Podkreślić w tym miejscu należy, że "małe prawdopodobieństwo" zaistnienia skutku w postaci naruszenia praw lub wolności osoby, której dane dotyczą, powinno być utożsamiane z sytuacją, w której oceniający posiada przesłanki pozwalające na stwierdzenie, że skutek ten nie urzeczywistni się w ogóle - a zatem wtedy, gdy mówimy o "braku ryzyka". W polskiej wersji rozporządzenia 2016/679 użyto sformułowania "mało prawdopodobne", zaś w angielskiej - terminu "unlikely". Wyraz ten ma silniejsze znaczenie niż nasz rodzimy odpowiednik i służy do określenia czegoś, co jest raczej nieprawdopodobne, wątpliwie lub niemal niemożliwe. Warto również odwołać się w tym miejscu do Wytycznych 9/2022, zwłaszcza do działu II tych wytycznych dotyczącego art. 33 rozporządzenia 2016/679 oraz wynikającego z niego obowiązku powiadomienia organu nadzorczego. W rozdziale D tego działu EROD omówiła warunki, w których powiadomienie takie nie jest wymagane. Wnikliwe przeanalizowanie treści tego rozdziału pozwala stwierdzić, że EROD stoi na stanowisku, że wyjątek z art. 33 ust. 1 rozporządzenia 2016/679 (tj. przypadek, gdy nie powstaje obowiązek zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu ze względu na małe prawdopodobieństwo wystąpienia naruszenia praw lub wolności osób fizycznych) należy rozumieć wąsko. Inaczej mówiąc: jako wyjątek, który znajdzie zastosowanie w sytuacjach, gdy to prawdopodobieństwo jest w sposób oczywisty małe. Analizując omawianą problematykę nie sposób nie uwzględnić też faktu, że trudno uznać czas utraty kontroli nad danymi osobowymi za krótkotrwały, zwłaszcza, że sam Administrator nie potrafił go jednoznacznie określić. W piśmie z [...] marca 2023 r. Pani I. K. stwierdziła, że było to kilka godzin, podczas, gdy z dokumentów przekazanych przez prokuraturę rejonową wynika, że mogło to być nawet kilka dni. W wyjaśnieniach Administratora pojawiają się również rozbieżności co do ilości upoważnień, które zagubiono podczas transportu. W ww. piśmie Przedsiębiorca wspomniał o 20 upoważnieniach, podczas gdy w wyjaśnieniach z [...] kwietnia 2023 r. stwierdził, że było ich 82. Niewątpliwie w wyniku zagubienia powyższych dokumentów miało miejsce naruszenie poufności danych osobowych, ponieważ osoba nieuprawniona, np. ta, która odnalazła dokumenty na poboczu drogi, z łatwością mogła się z nimi zapoznać, co już samo w sobie związane jest z ryzykiem naruszenia praw lub wolności osób, których dane znajdowały się w zagubionych upoważnieniach. Poza tym, nie można wykluczyć, że z danymi osobowymi zawartymi w dokumentach porozrzucanych przy drodze nie zapoznały się inne przypadkowe osoby. Nie ma też pewności, że wszystkie dokumenty zawierające dane osobowe zostały odnalezione, skoro pracownik, który je przewoził, nie wiedział, ile pudeł zapakował do samochodu. W konsekwencji należy stwierdzić, że Administrator, pomimo wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych, nie dokonał zgłoszenia organowi nadzorczemu naruszenia ochrony danych osobowych polegającego na naruszeniu poufności danych osobowych członków rodzin osób zmarłych znajdujących się w wystawionych przez te osoby upoważnieniach i tym samym nie wykonał obowiązku z art. 33 ust. 1 rozporządzenia 2016/679, co oznacza naruszenie przez Przedsiębiorcę tego przepisu. Co się tyczy nałożonych w decyzji administracyjnych kar pieniężnych to tut. Sąd nie znalazł podstaw do zakwestionowania poprawności tego rozstrzygnięcia. Postępowanie administracyjne prowadzone przez Prezesa DODO służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej w celu zastosowania uprawnień naprawczych określonych w art. 58 ust. 2 rozporządzenia 2016/679. Zgodnie z art. 83 ust. 4 lit. a) rozporządzenia 2016/679, naruszenia przepisów dotyczących obowiązków administratora i podmiotu przetwarzającego, o których mowa w art. 8, 11,25-39 oraz 42 i 43, podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Zgodnie z art. 83 ust. 5 lit. a) rozporządzenia 2016/679, naruszenia przepisów dotyczących podstawowych zasad przetwarzania, w tym warunków zgody, o których to zasadach i warunkach mowa w art. 5, 6, 7 oraz 9, podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Art. 83 ust. 3 rozporządzenia 2016/679 natomiast stanowi, że jeżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów niniejszego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie. Dodatkowo jak słusznie zauważył organ, do materii okoliczności omawianych kar nawiązano w wytycznych EROD 04/2022 w których pierwszym krokiem przyjętej tam metodyki obliczania administracyjnych kar pieniężnych jest "określenie operacji przetwarzania w danej sprawie i ocena zastosowania art. 83 ust. 3 RODO" (zob. ust. 17 Wytycznych 04/2022). Rozwijając tę wskazówkę w ust. 24 swoich wytycznych EROD zaleca w pierwszej kolejności ustalić to, czy okoliczności wskazują na jedno zachowanie czy też na wiele zachowań podlegających karze a w przypadku jednego zachowania, czy zachowanie to stanowi jedno naruszenie czy większą liczbę naruszeń, ewentualnie w przypadku jednego zachowania, które stanowi wiele naruszeń, czy przypisanie jednego naruszenia wyklucza przypisanie innego naruszenia, czy też należy je przypisać równolegle. Wykładnię pojęcia "jedno zachowanie" zawiera natomiast - w nawiązaniu do art. 83. ust. 3 rozporządzenia 2016/679, w którym mowa jest o "tych samych lub powiązanych operacjach przetwarzania" - ust. 28 Wytycznych 04/2022. Zgodnie z nim "termin «powiązane» odnosi się do zasady, zgodnie z którą jedno zachowanie może składać się z kilku części, które są realizowane na skutek jednego aktu woli i są kontekstowo (w szczególności jeśli chodzi o tożsamość osoby, której dane dotyczą, cel i charakter przetwarzania), przestrzennie i czasowo tak blisko powiązane, że z obiektywnego punktu widzenia można uznać je za jedno spójne zachowanie". Zestawiając przywołane regulacje ze stanem faktycznym sprawy jako uprawnione jawiły się wnioski organu, iż karę pieniężną należało nałożyć na stronę za zaniechania Przedsiębiorcy polegające na niezapewnieniu właściwego poziomu ochrony danych osobowych rodzin osób zmarłych przetwarzanych przez Przedsiębiorcę w zasobach papierowych podczas projektowania prywatności (naruszenie art. 25 ust. 1 rozporządzenia 2016/679), w szczególności że Przedsiębiorca nie przeprowadził właściwej oceny ryzyka dla ochrony wyżej wskazanych danych w związku z transportem dokumentacji, dzięki której mógłby określić i wdrożyć adekwatne środki bezpieczeństwa dla tego procesu przetwarzania danych (naruszenie art. 32 ust. 1 i 2 rozporządzenia 2016/679) które to okoliczności w pełni udowadnia omawiane zdarzenie zagubienia dokumentacji. Opisane wyżej zaniechania stanowią "jedno spójne zachowanie" w rozumieniu przedstawionym przez EROD. Organ miał więc podstawy ku temu, aby a najpoważniejsze naruszenie uznać naruszenie art. 5 ust. 1 lit. f) oraz art. 5 ust. 2 rozporządzenia 2016/679. Za taką oceną przemawia fakt, że powyższe przepisy rozporządzenia 2016/679 regulują zasady (zasadę integralności i poufności oraz zasadę rozliczalności) stanowiące swoiste normy, które mają charakter nadrzędny nad pozostałymi normami określonymi w przepisach rozporządzenia 2016/679. Nadrzędność ta przejawia się m.in. koniecznością odczytywania norm zawartych w przepisach o ochronie danych w sposób zgodny z tymi zasadami (zob. P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 5). Stąd naruszenie zasad można uznać za konsekwencję naruszenia przepisów szczegółowych określonych w art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679. Ponadto naruszenia przepisów właściwych dla art. 83 ust. 5 rozporządzenia 2016/679 zostały in abstracto (w oderwaniu od indywidualnych okoliczności konkretnej sprawy) uznane przez prawodawcę unijnego za bardziej poważne niż naruszenia wskazane w art. 83 ust. 4 rozporządzenia 2016/679. Uzasadniając wysokość kar organ poprawnie odniósł się do materii nieumyślnego charakter naruszenia (art. 83 ust. 2 lit. b rozporządzenia 2016/679), stopnia współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) rozporządzenia 2016/679), sposobu, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator zgłosił naruszenie (art. 83 ust. 2 lit. h) rozporządzenia 2016/679), działań podjętych w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą (art. 83 ust 2 lit. c) rozporządzenia 2016/679), stopnia odpowiedzialności administratora z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i 32 (art. 83 ust. 2 lit d) rozporządzenia 2016/679), wszelkich wcześniejszych naruszeń ze strony administratora (art. 83 ust. 2 lit. e) rozporządzenia 2016/679), kategorii danych osobowych, których dotyczyło naruszenie (art. 83 ust. 2 lit. g) rozporządzenia 2016/679), przestrzegania tych środków (art. 83 ust. 2 lit. i) rozporządzenia 2016/679) jeżeli wobec administratora, którego sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 , stosowania zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na moc art. 42 (art. 83 ust. 2 lit. j) rozporządzenia 2016/679), wszelkich innych obciążających lub łagodzących czynników mających zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięcie straty (art. 83 ust. 2 lit. k) rozporządzenia 2016/679). Powyższą problematykę organ w sposób niezwykle wyczerpujący wyjaśnił na kartach 26 – 30 uzasadnienia skarżonej decyzji, a ponieważ wywody te tut. Sąd w pełni akceptuje, to nie zachodziła konieczność ponownego przywoływania tych argumentów. Poprawnie też Prezes UODO dostosował kwotę wyjściową odpowiadającą średniej powadze stwierdzonego naruszenia do obrotu osiągniętego przez Przedsiębiorcę, jako miernika jego wielkości i siły gospodarczej (vide Rozdział 4.3 Wytycznych 04/2022). Zgodnie z Wytycznymi 04/2022, w przypadku przedsiębiorstw, których roczny obrót wynosi do 2 min EUR, organ nadzorczy może rozważyć dokonanie dalszych obliczeń wysokości kary na podstawie wartości mieszczącej się w przedziale od 0,2 % do 0,4 % kwoty wyjściowej. Zważywszy, że przychód Administratora w roku 2023 wyniósł 2 013 602,53 PLN, to jest ok. 478 381,29 EUR (wg średniego kursu EUR z dnia 28 stycznia 2025 r., 1 EUR = 4,2092 PLN), Prezes UODO prawidłowo uznał za stosowne skorygowanie podlegającej obliczeniom kwoty kary do wartości odpowiadającej 0,2 % kwoty wyjściowej, to jest do kwoty 6 000 EUR (równowartość 25 255,20 PLN). 89. Prezes UODO dokonał również poprawnej oceny wpływu na stwierdzone naruszenie pozostałych (poza tymi uwzględnionymi wyżej w ocenie powagi naruszenia) okoliczności wskazanych w art. 83 ust. 2 rozporządzenia 2016/679 (vide Rozdział 5 Wytycznych 04/2022). Okoliczności te, mogące mieć obciążający lub łagodzący wpływ na ocenę naruszenia, odnoszą się - jak zakładają Wytyczne 04/2022 - do strony podmiotowej naruszenia, to jest do samego podmiotu będącego sprawcą naruszenia oraz do jego zachowania przed naruszeniem, w jego trakcie, i po jego zaistnieniu. Powyższą metodologię organ trafnie zastosował również w odniesieniu do ustalenia wysokości kary nałożonej za naruszenie art.33 ust.1 RODO. W sposób wielce rzetelny uzasadnił też swoje rozstrzygnięcie w tym zakresie (patrz pkt.V uzasadnienia decyzji), które to motywy tut. Sąd w pełni podziela. Dodatkowego podkreślenia wymaga okoliczność, że w sytuacji stwierdzonych w pkt.1 decyzji zaniechań, koniecznym a wręcz niezbędnym jawił się nakaz nałożony w pkt.3 decyzji. Jak to już wyjaśniono we wcześniejszej części uzasadnienia wyroku rolą organu nadzoru jest czuwanie nad zgodnością przetwarzania danych osobowych (w tym nad ich zabezpieczeniem) z przepisami RODO. Do zapewnienia poprawności mogą prowadzić zarówno upomnienia i kary pieniężne nakładane na administratora za nieprzestrzeganie przepisów RODO, jak i właśnie konkretne zalecenia mające w efekcie doprowadzić do tego, że dane osobowe znajdujące się w zbiorze danego administratora będą bezpieczne. Odnosząc się do zarzutu oznaczonego ostatnim tiret skargi wyjaśnić należało, że przywołany w nim przez skarżącą passus ze strony 25 uzasadnienia skarżonej decyzji zawierał wyłącznie generalne uwagi na temat danych, które mogą znajdować się w dokumentacji przetwarzanej przez zakłady pogrzebowe, a nie danych zagubionych przez skarżącą. Stąd zarzut ten jawił się jako pozostający w oderwaniu od stanu faktycznego przyjętego przez organ za podstawę rozstrzygnięcia. W ocenie Sądu administracyjnego organ miał też wszelkie podstawy ku temu, aby dzień wejścia w życie przepisów RODO przyjąć za początkową datę naruszeń przepisów tego aktu prawnego. Skarżąca nie udowodniła przecież tego, aby od początku obowiązywania w/w regulacji przestrzegała nakazów wynikających z przepisów RODO wyszczególnionych w sentencji skarżonej decyzji. W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art.151 ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz.935),