II SA/Wa 1728/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Danuta Kania, Asesor WSA Mateusz Rogala (spr.), , Protokolant specjalista Monika Gieroń, po rozpoznaniu na rozprawie w dniu 26 maja 2025 r. sprawy ze skargi [...] Bank S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2024 r. nr [...] w przedmiocie naruszenia ochrony danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej [...] Bank S.A. z siedzibą w [...] kwotę 55 749 (słownie: pięćdziesiąt pięć tysięcy siedemset czterdzieści dziewięć) złotych tytułem zwrotu kosztów postępowania. Zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzją z dnia [...] sierpnia 2024 r. nr [...], wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572, powoływanej dalej jako k.p.a.), art. 7 ust. 1 i 2, art. 60, art. 101 i art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz art. 57 ust. 1 lit. a) i h), art. 58 ust. 2 lit. e) oraz i), art. 83 ust. 1 i ust. 2, art. 83 ust. 4 lit. a) w związku z art. 34 ust. 1, 2 i 4 rozporządzenia Parlamentu Europejskiego i Rady UE nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm., powoływanego dalej jako rozporządzenie nr 2016/679), Prezes Urzędu Ochrony Danych Osobowych, stwierdzając naruszenie przez [...] Bank S.A. z siedzibą w [...] przepisów art. 34 ust. 1 i 2 rozporządzenia nr 2016/679, polegające na niezawiadomieniu o naruszeniu ochrony danych osobowych bez zbędnej zwłoki osób, których dane dotyczą, w pkt 1 nałożył na [...] Bank S.A. administracyjną karę pieniężną w wysokości 4.053.173 zł, a w pkt 2 nakazał [...] Bank S.A. zawiadomienie - w terminie 7 dni od dnia doręczenia decyzji - osób, których dane osobowe zostały ujawnione nieuprawnionemu odbiorcy na skutek naruszenia ochrony danych osobowych, w celu przekazania im informacji wymaganych zgodnie z art. 34 ust. 2 rozporządzenia nr 2016/679, tj.: a) opisu charakteru naruszenia ochrony danych osobowych; b) imienia i nazwiska oraz danych kontaktowych inspektora ochrony danych lub oznaczenia innego punktu kontaktowego, od którego można uzyskać więcej informacji; c) opisu możliwych konsekwencji naruszenia ochrony danych osobowych; d) opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu - w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków. W uzasadnieniu swojego rozstrzygnięcia organ podał, że [...] Bank S.A. w dniu [...] lipca 2022 r. dokonał zgłoszenia organowi naruszenia ochrony danych osobowych, do którego doszło w dniu [...] czerwca 2022 r. Bank wyjaśnił, że w dniu [...] lipca 2022 r. otrzymał informację od [...] Sp. z o.o. (podmiotu przetwarzającego dane osobowe na zlecenie administratora), że pracownik podmiotu przetwarzającego błędnie przesłał dokumenty bankowe klientów [...] Banku do innego banku. Dokumenty ostatecznie zostały w komplecie zwrócone do [...] Banku. Istnieje prawdopodobieństwo, że zapoznali się z nimi pracownicy innego banku. Jednak, w ocenie zgłaszającego, ryzyko wystąpienia istotnego ryzyka naruszenia praw i wolności klientów jest zminimalizowane obowiązkiem stosowania tajemnicy bankowej wobec wszystkich informacji, z którymi zapoznają się pracownicy banku. Dlatego bank nie podjął decyzji o powiadomieniu klientów o tym zdarzeniu. Administrator wskazał, że przyczyną naruszenia było zewnętrzne niezamierzone działanie. Określił, że przybliżona liczba osób, których dotyczy naruszenie wynosi 3, a kategorie danych osobowych, które zostały naruszone, obejmują: nazwiska i imiona, imiona rodziców, datę urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, numer ewidencyjny PESEL, dane dotyczące zarobków i/lub posiadanego majątku, nazwisko rodowe matki, serię i numer dowodu osobistego, inne (informacje dotyczące kredytu i nieruchomości). W związku z powyższym organ, działając na podstawie art. 52 ust. 1 ustawy o ochronie danych osobowych oraz art. 34 ust. 4 rozporządzenia nr 2016/679, wystąpieniem z dnia [...] lipca 2022 r. zwrócił się do administratora o podjęcie działań mających na celu: 1) niezwłoczne zawiadomienie osób, których dane dotyczą, o naruszeniu ochrony ich danych osobowych, 2) przekazanie tym osobom zaleceń odnośnie do zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia, 3) wyeliminowanie podobnych nieprawidłowości w przyszłości. W treści tego wystąpienia organ zwrócił się do banku o poinformowanie organu nadzorczego w terminie 30 dni od dnia otrzymania wystąpienia o wykonaniu działań wskazanych w jego treści. Bank nie zawiadomił osób, których dane naruszono, wskazując w odpowiedzi na powyższe wezwanie w piśmie z dnia 21 lipca 2022 r., że podmiot, do którego błędnie przesłano dokumenty zawierające dane osobowe, w opinii banku jest podmiotem zaufanym. Nieuprawniony podmiot, który otrzymał dokumenty klienta, był innym bankiem, z którym [...] Bank współpracuje. W ramach podjętych działań wyjaśniających to zdarzenie, administrator otrzymał bez zbędnej zwłoki komplet błędnie przesłanej dokumentacji bankowej. Posiada również oświadczenia pracowników innego banku, że nie posiadają kopii błędnie otrzymanych dokumentów oraz nie są w stanie zidentyfikować osób, których one dotyczyły. Jednocześnie, osoby te potwierdziły, że mają świadomość konsekwencji przetwarzania danych osobowych bez podstawy prawnej. Dlatego, biorąc pod uwagę powyższe wyjaśnienia, [...] Bank zwrócił się do organu z prośbą o ponowną weryfikację zasadności powiadomienia osoby poszkodowanej o tym zdarzeniu, bowiem w ocenie banku ryzyko wystąpienia negatywnych konsekwencji naruszenia praw i wolności osób, których dane dotyczą, nie jest istotne ze względu na odbiorcę błędnie przesłanych dokumentów, jakim jest inny bank czyli podmiot zaufany. W związku z powyższym stanowiskiem administratora organ zwrócił się do niego o przedłożenie dodatkowych wyjaśnień. W odpowiedzi w piśmie z dnia 12 sierpnia 2022 r. administrator wskazał, że nie zawierał z innym bankiem - podmiotem zaufanym, którego dotyczy zgłoszenie, umowy sensu stricto w zakresie ochrony danych osobowych, ponieważ nie ma takiej potrzeby. Banki są związane umowami, które zawierają pomiędzy sobą na potrzeby funkcjonowania systemu bankowego. Banki są instytucjami zaufania i współtworzą sektor regulowany licznymi przepisami prawa. Wyjaśnił, że jego współpraca z innym bankiem przejawia się w różnych obszarach, np. współpraca w zakresie przeciwdziałania przestępczości bankowej czy cyberprzestępczości. Oba banki działają w ramach Związku Banków Polskich i na forum wypracowują wraz z innymi członkami standardy działania podmiotów sektora bankowego. W zakresie ochrony danych osobowych przedstawiciele obu banków działają w ramach dwóch Grup utworzonych w Związku Banków Polskich - RODO i inspektorów ochrony danych. Współpraca jest stała, a spotkania regularne. Dotyczą one m.in. realizacji RODO w bankach i wymianie doświadczeń. Administrator podniósł, że ocenia współpracę z drugim bankiem - podmiotem zaufanym jako wzorową. Bank ten posiada standardy i obowiązujące regulacje dotyczące ochrony danych osobowych, a informacje na ten temat są również dostępne na stronie internetowej tego banku. Administrator podniósł, że w jego ocenie skutki naruszenia nie będą poważne. Inny bank - podmiot zaufany jest częścią sektora bankowego, który jest jednym z najbardziej uregulowanych sektorów. W doktrynie i orzecznictwie banki są traktowane jako instytucje zaufania publicznego zatem jako podmioty zaufane. W bankach wdrożone są systemy zarządzania ryzykiem oraz systemy kontroli wewnętrznej. Dodatkowo na podstawie art. 104 ustawy – Prawo bankowe wszyscy pracownicy banków są zobowiązani do zachowania tajemnicy bankowej. Natomiast zgodnie z art. 171 ust. 5 ustawy – Prawo bankowe, za ujawnienie lub wykorzystanie informacji stanowiących tajemnicę bankową, niezgodnie z upoważnieniem określonym w ustawie, grozi kara grzywny do 1.000.000 zł i kara pozbawienia wolności do lat 3. Pracownicy banków są świadomi tego obowiązku i związanych z nim sankcji karnych za jego naruszenie. W dniu 14 września 2022 r. organ zwrócił się do administratora o udzielenie informacji, czy korespondencja została zwrócona do administratora w stanie nienaruszonym, czy nosiła ślady otwarcia. W odpowiedzi administrator wyjaśnił, że pracownicy innego banku, którzy błędnie otrzymali przeznaczoną dla [...] Banku przesyłkę, standardowo ją otworzyli, i dopiero po otwarciu zorientowali się, że zawartość nie jest przeznaczona dla nich czyli innego banku. Nie było innej drogi, by stwierdzić mylność prawidłowego odbiorcy tej przesyłki. Oznacza to, że pracownicy innego banku nie zapoznali się z całością tej dokumentacji. Zgodnie z informacją [...] S.A., ich przesyłki pakowane są w zwykłe białe koperty bez logo z doczepianą formatką do kogo jest przesyłka - bank, nazwisko klienta, zawartość przesyłki. Przesyłka zbiorcza wychodząca do konkretnego banku zawiera kilka kopert. Przesyłka zbiorcza jest z etykietą z informacją o rodzaju przesyłanych dokumentów i nazwiskiem klienta. Przesyłki zbiorcze pakowane są w foliopaki firmy kurierskiej z naklejoną etykietą. Niezwłocznie po stwierdzeniu, że przesyłka nie jest przeznaczona dla innego banku, ten inny bank powiadomił o tym fakcie [...], a zabezpieczoną przesyłkę przesłał do [...] Banku. Jednocześnie pracownicy, którzy mieli dostęp do przesyłki podpisali oświadczenia, że nie są w posiadaniu kopii tych dokumentów, nie mają możliwości zidentyfikowania osób, których dane znajdowały się w tych dokumentach. Oświadczyli również, że są świadomi konsekwencji przetwarzania danych osobowych bez podstawy prawnej. Następnie w dniu 9 stycznia 2024 r. organ wszczął z urzędu postępowanie administracyjne w zakresie możliwości naruszenia przez [...] Bank, jako administratora danych, obowiązków wynikających z art. 34 ust. 1 i 2 rozporządzenia nr 2016/679. W dalszej części uzasadnienia swojego rozstrzygnięcia organ podkreślił, że w sytuacji, gdy na skutek naruszenia ochrony danych osobowych występuje wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator zobowiązany jest na podstawie art. 34 ust. 1 rozporządzenia nr 2016/679 bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą, o takim naruszeniu. Administrator umożliwia w ten sposób osobom podjęcie niezbędnych działań zapobiegawczych w celu ochrony praw lub wolności przed negatywnymi skutkami naruszenia. Odnosząc się do podnoszonej przez administratora argumentacji, organ stwierdził, że brak jest podstaw do przyjęcia, iż zawsze, gdy dochodzi do omyłkowego udostępnienia danych na rzecz banku, to można przyjąć, że mamy do czynienia z podmiotem zaufanym w rozumieniu wytycznych nr 9/2022 Europejskiej Rady Ochrony Danych. W ocenie organu, deklaracje związane z dotrzymaniem tajemnicy bankowej nie zwalniają administratora z obowiązku zawiadomienia osób, których dane zostały naruszone. Tego rodzaju oświadczenia nie dają gwarancji, że - w następstwie zmiany intencji - dane nie zostały lub nie zostaną wykorzystane w przyszłości. Niedostateczność gwarancji tego rodzaju oświadczeń i zobowiązań pracowników w zakresie zapewnienia poufności danych osobowych potwierdzają liczne przypadki naruszenia obowiązków pracowniczych (i to nawet w sytuacji, gdy określone naruszenia wiążą się z odpowiedzialnością karną). Organ podkreślił, że w niniejszej sprawie dostęp do danych osobowych uzyskała osoba nieuprawniona, która nie jest związana z administratorem żadnym stosunkiem zobowiązania. Organ zauważył, że z akt sprawy nie wynika, aby administrator i podmiot trzeci posiadali zawarte porozumienia, bądź opracowane procedury na daną okoliczność, co byłoby kluczowe, aby faktycznie zminimalizować ryzyko wystąpienia konsekwencji związanych z naruszeniem ochrony danych osobowych i móc przyjąć, że nieuprawniony odbiorca jest odbiorcą zaufanym. Z Wytycznych nr 9/2022 wynika, że to nie status odbiorcy, uznawanie go za tzw. instytucję (osobę) zaufania publicznego, czy też działanie w ramach obowiązujących przepisów prawa, lecz istnienie bezpośredniej (stałej) relacji między nadawcą a odbiorcą błędnie przesłanej korespondencji przesądza o dopuszczalności uznania konkretnego podmiotu jako tzw. "odbiorcę zaufanego". Powołane wytyczne kładą nacisk na długotrwałość relacji między administratorem (nadawcą omyłkowo przesłanej korespondencji) a odbiorcą (tej korespondencji) i - wynikającą z tej długotrwałej relacji - znajomość przez administratora procedur, historii i innych istotnych szczegółów dotyczących odbiorcy, pozwalającą administratorowi racjonalnie oczekiwać, że nieuprawniony odbiorca nie będzie starał się odczytać lub uzyskać dostępu do błędnie przesłanej mu korespondencji zawierającej dane osobowe, a jeśli nawet do dostępu do błędnie przesłanych danych osobowych dojdzie, to odbiorca ten nie podejmie żadnych dalszych działań i niezwłocznie zwróci dane osobowe administratorowi. Uznanie określonego podmiotu za "odbiorcę zaufanego" w rozumieniu Wytycznych 9/2022 jest zatem uwarunkowane wiedzą administratora co do istnienia rzeczywistych procedur ochrony danych osobowych przewidujących - przykładowo - sposób postępowania w takich przypadkach, w tym zasady zabezpieczenia błędnie otrzymanych dokumentów zawierających dane osobowe do czasu ich zwrócenia do nadawcy. W ocenie organu, samo wskazanie, że nieuprawniony odbiorca posiada licencję na prowadzenie działalności bankowej od Komisji Nadzoru Finansowego oraz że obydwa banki działają w ramach Związku Banków Polskich jest niewystarczające, bowiem administrator w dalszym ciągu nie wykazał składowych analizy, w której uwzględniłby kwestię odbiorcy zaufanego w ocenie ryzyka przeprowadzanej w następstwie naruszenia ochrony danych osobowych, jak również nie wykazał okoliczności pozwalających na uznanie innego banku za odbiorcę zaufanego, stosownie do Wytycznych nr 9/2022. Organ stwierdził, że w niniejszej sprawie została uwidoczniona postawa administratora względem osób, których dane przetwarza. Brak oczekiwanej reakcji banku na kolejne pisma organu nadzorczego, w tym niezastosowanie się do wystąpienia Prezesa UODO z dnia [...] lipca 2022 r., każe zakładać, że przyjęta praktyka nieinformowania osób, których dane zostały naruszone - uzasadniona w taki sposób jak w przypadku omawianego naruszenia ochrony danych osobowych - jest przejawem systemowej postawy (polityki) banku. Tymczasem zawiadomienie osób, których dane zostały naruszone, nie powinno stanowić dla tego rodzaju instytucji jak bank nadmiernego wysiłku, a byłoby skutecznym narzędziem, które pozwalałoby zminimalizować ryzyko wystąpienia negatywnych skutków naruszenia dla osób fizycznych. Zdaniem organu, w niniejszej sprawie nie ulega wątpliwości, że z naruszeniem ochrony danych osobowych wiąże się wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Nie ulega również wątpliwości, że zakres danych osobowych, który został objęty naruszeniem ochrony danych osobowych, pozwala na jednoznaczną identyfikację osób, których te dane dotyczą. Prezes UODO podkreślił, że zaistniałe naruszenie dotyczyło numeru ewidencyjnego PESEL, czyli jedenastocyfrowego symbolu numerycznego, który jednoznacznie identyfikuje osobę fizyczną, zawierającego m.in.: datę urodzenia oraz oznaczenie płci, a więc ściśle powiązanego ze sferą prywatną osoby fizycznej oraz podlegającego również, jako krajowy numer identyfikacyjny, wyjątkowej ochronie na gruncie art. 87 rozporządzenia nr 2016/679 - będącego daną o szczególnym charakterze i takiej szczególnej ochrony wymagającą. Numer PESEL służy jako dana identyfikująca każdą osobę i jest powszechnie używany w kontaktach z różnymi instytucjami oraz w obiegu prawnym. Wraz z imieniem i nazwiskiem w sposób jednoznaczny identyfikuje on osobę fizyczną, w sposób pozwalający przypisać negatywne skutki naruszenia (np. kradzież tożsamości, wyłudzenie pożyczki) tej konkretnej osobie. Ponadto należy wziąć pod uwagę, że w wyniku naruszenia doszło do udostępnienia osobie nieuprawnionej tego numeru ewidencyjnego wraz z imieniem i nazwiskiem klientki spółki, które to zestawienie danych bywa wystarczające do "podszycia się" pod podmiot tych danych i zaciągnięcia w imieniu i na szkodę takiego podmiotu np. zobowiązań pieniężnych. Organ w tym zakresie powołał się na poradnik przygotowany przez Biuro Informacji Kredytowej. Ponadto, powołując się na Wytyczne nr 9/2022, organ stwierdził, że zbiór różnych danych osobowych ma zazwyczaj bardziej wrażliwy charakter niż pojedyncze dane. Na poparcie stanowiska, że w sprawie wystąpiło wysokie ryzyko naruszenia praw lub wolności osób fizycznych organ powołał Wytyczne Europejskiej Rady Ochrony Danych nr 01/2021, a także orzecznictwo sądów administracyjnych. Organ zauważył, że z ostatniego raportu infoDOK (który przygotowywany jest w ramach prowadzenia społecznej Kampanii Informacyjnej Systemu DOKUMENTY ZASTRZEŻONE, organizowanej przez Związek Banków Polskich i niektóre banki, pod patronatem Ministerstwa Spraw Wewnętrznych i Administracji i we współpracy m.in. z Policją oraz Federacją Konsumentów), wynika, że w IV kwartale 2023 r. odnotowano 2739 prób wyłudzeń kredytów i pożyczek. W ciągu ostatnich dwunastu miesięcy natomiast łączna kwota udaremnionych prób wyłudzeń kredytów wynosi 296,1 mln zł. Ponadto w IV kwartale 2022 r. odnotowano 2269 prób wyłudzeń kredytów i pożyczek, na kwotę 40,2 mln zł. Organ przywołał m.in. wyrok Sądu Rejonowego w [...] z dnia [...] lipca 2016 r. sygn. akt [...], w którym oszuści biorący pożyczkę na cudze dane posłużyli się nr PESEL, zmyślonym adresem oraz niewłaściwym numerem dowodu (nieważnym). W konsekwencji organ uznał, że ze względu na zakres ujawnionych danych osobowych w analizowanym przypadku wystąpiła możliwość zmaterializowania się poważnych negatywnych konsekwencji dla osób, których dane dotyczą, a więc wagę potencjalnego wpływu na prawa lub wolności osób fizycznych należy uznać za wysoką. Tym samym organ stwierdził, że w związku z przedmiotowym naruszeniem wystąpiło wysokie ryzyko naruszenia praw lub wolności osoby, której dane dotyczą, co w konsekwencji determinuje obowiązek zawiadomienia o naruszeniu podmiotu danych, zgodnie z art. 34 ust. 1 rozporządzenia nr 2016/679. Z tych powodów organ uznał, że w rozpatrywanej sprawie zaistniały przesłanki uzasadniające nałożenie na spółkę administracyjnej kary pieniężnej na podstawie art. 83 ust. 4 lit. a) rozporządzenia nr 2016/679, który stanowi m.in., że naruszenie obowiązków administratora, o których mowa w art. 34 rozporządzenia nr 2016/679, podlega administracyjnej karze pieniężnej w wysokości do 10.000.000 EURO, a w przypadku przedsiębiorstwa - w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Organ następnie przeanalizował szczegółowo przesłanki mające wpływ na wysokość nałożonej kary pieniężnej, tj. charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody; umyślny charakter naruszenia; wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego; stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków; kategorie danych osobowych, których dotyczyło naruszenie; działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą; stopień odpowiedzialności administratora z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i 32; sposób w jaki organ nadzorczy dowiedział się o naruszeniu; przestrzeganie wcześniej zastosowanych w tej samej sprawie środków, o których mowa w art. 58 ust. 2 rozporządzenia nr 2016/679; stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 rozporządzenia nr 2016/679 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42 rozporządzenia nr 2016/679; osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty. W ocenie organu, zastosowana administracyjna kara pieniężna spełnia w ustalonych okolicznościach niniejszej sprawy funkcje, o których mowa w art. 83 ust. 1 rozporządzenia nr 2016/679, tzn. jest w tym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. [...] Bank S.A. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję, zaskarżając ją w całości i wnosząc o jej uchylenie w całości oraz o zasądzenie kosztów postępowania. Spółka zarzuciła zaskarżonej decyzji naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.: a) art. 34 ust. 1 i 2 rozporządzenia nr 2016/679 polegające na ich niewłaściwym zastosowaniu i przyjęciu, że w świetle wymogów nałożonych na administratorów danych w zakresie powiadamiania osób, których dane dotyczą, o naruszeniach ochrony danych konieczne było zawiadomienie trzech osób, których dane zostały potencjalnie dotknięte na skutek incydentu, podczas gdy ze względu na brak wysokiego ryzyka naruszenia praw lub wolności osób fizycznych administrator nie miał obowiązku dokonania takiego zawiadomienia; b) art. 34 ust. 1 w zw. z art. 5 ust. 2 rozporządzenia nr 2016/679 polegające na ich niewłaściwym zastosowaniu i przyjęciu, że w świetle wymogów nałożonych na administratorów danych w zakresie prawidłowej analizy ryzyka dla podmiotów danych i możliwości jej wykazania, analizy ryzyka przeprowadzone przez skarżącą zostały dokonane nieprawidłowo i nieadekwatnie do przesłanek faktycznych występujących w sprawie, które powinny zostać uwzględnione przez skarżącą, podczas gdy analizy ryzyka przeprowadzone po incydencie zostały przeprowadzone zgodnie z przyjętą przez skarżącą metodologią, w jakim odnosi się do oceny prawdopodobieństwa ryzyka naruszenia praw i wolności osób fizycznych, w zgodzie z Wytycznymi EROD nr 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych osobowych oraz własnymi wytycznymi organu w zakresie zasad zgłaszania naruszeń ochrony danych, co powinno być wiadome organowi ze względu na informacje udzielone przez skarżącą, przez co nie doszło do naruszenia wymogów określonych w art. 34 ust. 1 rozporządzenia nr 2016/679 i skarżąca była w stanie to wykazać zgodnie z zasadą rozliczalności określoną w art. 5 ust. 2 rozporządzenia nr 2016/679; c) art. 33 ust. 1 rozporządzenia nr 2016/679 polegające na jego niewłaściwym zastosowaniu i przyjęciu przy ocenie prawdopodobieństwa naruszenia praw lub wolności osób fizycznych, że skarżąca miała obowiązek dokonać zgłoszenia naruszenia ochrony danych osobowych w terminie 72 godzin po jego stwierdzeniu do organu nadzorczego ze względu na poziom ryzyka dla podmiotów danych, podczas gdy ze względu na okoliczności sprawy uzasadniające przyjęcie małego prawdopodobieństwa wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych, skarżąca nie była zobowiązana do dokonania zgłoszenia, a dokonała go w ramach proaktywnej współpracy z organem; d) art. 83 ust. 2 lit. a) rozporządzenia nr 2016/679 polegające na jego niewłaściwym zastosowaniu i przyjęciu, że w ocenie charakteru i czasu naruszenia należy założyć, że naruszenie trwa nadal (od dwóch lat) na dzień wydania decyzji ze względu na brak zawiadomienia przez skarżącą trzech osób dotkniętym naruszeniem, podczas gdy nie wykazano, że istnieje ryzyko naruszenia praw i wolności osób fizycznych, przez co wskazana w ww. przepisie przesłanka została błędnie uznana za obciążającą dla skarżącej w zakresie wymiaru kary, a także polegające na jego niewłaściwym zastosowaniu i przyjęciu, że choć incydent dotyczy niewielkiej grupy trzech osób (mimo przetwarzania przez skarżącą danych ogromnej liczby osób), to nie jest to okoliczność mająca wpływ na wymiar nakładanej kary; e) art. 83 ust. 2 lit. b) rozporządzenia nr 2016/679 polegające na jego niewłaściwym zastosowaniu i przyjęciu, że brak zawiadomienia o naruszeniu osób, których dane dotyczą, powinien wpływać obciążająco na wymiar kary, podczas gdy zasadne było uznanie wyżej wymienionej przesłanki jako łagodzącej lub co najmniej neutralnej na etapie ustalania wymiaru administracyjnej kary pieniężnej, ze względu na brak wysokiego ryzyka wystąpienia dodatkowych konsekwencji incydentu dla osób, których dane dotyczą, oraz oczywistą nieumyślność skarżącej w kontekście zaistnienia incydentu; f) art. 83 ust. 2 lit. c) rozporządzenia nr 2016/679 polegające na jego niewłaściwym zastosowaniu i przyjęciu, że na podstawie zgromadzonego w sprawie materiału dowodowego nie stwierdzono podjęcia przez skarżącą działań mających na celu zminimalizowanie szkody poniesionej przez osoby, których dane dotyczą, podczas gdy incydent nie wiązał się ze szkodą dla tych osób, a skarżąca podjęła adekwatne działania w celu oceny możliwej szkody poprzez przeprowadzenie analizy ryzyka związanego ze zdarzeniem i ustalenie, że podmiot, do którego trafiła omyłkowo zaadresowana przesyłka, jest podmiotem zaufanym, a jego pracownicy nie zapoznali się z treścią przesyłki, jak również poprzez dokonanie zgłoszenia incydentu do PUODO; g) art. 83 ust. 2 lit. e) rozporządzenia nr 2016/679 polegające na jego niewłaściwym zastosowaniu i przyjęciu, że wcześniejsze decyzje organu wydane w stosunku do skarżącej mają charakter obciążający w zakresie wymiaru kary w przedmiotowej sprawie i świadczyły o lekceważącym podejściu skarżącej do ochrony danych oraz wcześniejszych naruszeniach właściwych przepisów, podczas gdy decyzje te dotyczyły całkowicie innych stanów faktycznych, ponadto w ich przypadku skarżąca realizowała polecenia i nakazy organu należycie i bez zwłoki, a ponadto na skarżącą nigdy nie została nałożona administracyjna kara pieniężna za naruszenie rozporządzenia nr 2016/679; h) art. 83 ust. 2 lit. f) rozporządzenia nr 2016/679 polegające na jego niewłaściwym zastosowaniu i przyjęciu, że skarżąca nie współpracowała z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych skutków w sposób należyty, poprzez "brak oczekiwanej reakcji na wystąpienie Prezesa UODO z 12 lipca 2022 r.", podczas gdy skarżąca przeprowadziła analizę ryzyka w następstwie incydentu oraz w sposób jasny odniosła się do stanowiska organu wraz ze wskazaniem uzasadnienia stanowiska skarżącej, przez co stosowna przesłanka została niezasadnie uznana za obciążającą dla skarżącej, co stanowi naruszenie ww. przepisu; i) art. 83 ust. 2 lit. g) rozporządzenia nr 2016/679 polegające na jego niewłaściwym zastosowaniu i przyjęciu, że kategorie danych osobowych, których dotyczyło naruszenie, w tym w szczególności nr PESEL, stanowią przesłankę obciążającą w ramach ustalania wymiaru kary dla skarżącej, podczas gdy kategoria ta nie mieści się w katalogu określonym w art. 9 rozporządzenia nr 2016/679 i w sprawie nie wykazano materialnego ryzyka kradzieży tożsamości dla podmiotów danych, przez co stosowna przesłanka została niezasadnie uznana za obciążającą dla skarżącej, co stanowi naruszenie ww. przepisu; j) art. 83 ust. 2 lit. h) rozporządzenia nr 2016/679 polegające na jego niewłaściwym zastosowaniu i przyjęciu, że fakt, iż organ nadzorczy dowiedział się o naruszeniu w wyniku zgłoszenia naruszenia ochrony danych osobowych dokonanego przez skarżącą, był wynikiem realizacji prawnego obowiązku skarżącej, podczas gdy ze względu na małe prawdopodobieństwo, by naruszenie skutkowało ryzykiem naruszenia praw i wolności osób, których dane dotyczą, skarżąca nie miała takiego obowiązku, przez co stosowna przesłanka została niezasadnie uznana za neutralną dla skarżącej w kontekście wymierzanej kary, a powinna zostać uznana za okoliczność łagodzącą, co stanowi naruszenie ww. przepisu; k) art. 83 ust. 3 oraz ust. 5 lit. a) rozporządzenia nr 2016/679 w zw. z art. 103 ustawy o ochronie danych osobowych w zakresie błędnego zastosowania dyrektyw miarkowania administracyjnych kar pieniężnych, ze względu na przyjęcie wartości pieniężnych rażąco nieproporcjonalnych do potencjalnego stopnia naruszenia oraz dotychczasowej praktyki organu, podczas gdy w przedmiotowej sprawie istniały przesłanki do złagodzenia lub nawet odstąpienia od nałożenia kary pieniężnej na skarżącą, w tym małe ryzyko naruszenia praw i wolności osób fizycznych, co nie zostało uwzględnione przez organ, przez co doszło do naruszenia wskazanych w ww. przepisach dyrektyw wymiaru administracyjnej kary pieniężnej. Skarżąca postawiła także zarzuty naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: a) art. 7, art. 77 § 1, art. 80 w zw. z art. 8 § 1 oraz art. 81a § 1 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych, przez niepodjęcie wystarczających czynności w celu dokładnego wyjaśnienia stanu faktycznego sprawy i prowadzenie postępowania wbrew regułom nakazującym wyczerpujące zebranie i rozpatrzenie materiału dowodowego oraz ocenę jego całokształtu, jak również wbrew zasadzie prowadzenia postępowania w sposób budzący zaufanie strony do organów władzy publicznej, co przejawiało się w szczególności w bezpodstawnym ustaleniu przez organ, że: 1) w wyniku incydentu doszło do ujawnienia następujących danych osobowych klientów skarżącej: imiona rodziców, data urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, numer ewidencyjny PESEL, dane dotyczące zarobków lub posiadanego majątku, nazwisko rodowe matki, seria i numer dowodu osobistego, i informacje dotyczące kredytu i nieruchomości, jak i że 2) liczba osób, które mogłyby zapoznać się z tymi danymi w wyniku incydentu jest nieustalona, podczas gdy ww. ustalenia faktyczne nie znajdują dostatecznego potwierdzenia w materiale dowodowym, zwłaszcza w sytuacji, gdy: - w korespondencji mailowej z dnia 16 września 2022 r. skarżąca opisała organowi jak wyglądał sposób zapakowania przesyłki wysyłanej przez [...] Sp. z o.o. błędnie do innego banku (tj. że dokumentacja dotycząca klientów opakowana była w kilka warstw opakowań zawierających osobne etykiety, przy czym zewnętrzna koperta oznaczona była nazwą banku i opisem zawartości, czyli bankowym numerem wniosku, ale nie były na niej wskazane dane osobowe klientów objęte incydentem, a także skarżąca wskazała, że pracownicy banku-odbiorcy, którzy mieli dostęp do błędnie doręczonej przesyłki, oświadczyli pisemnie, iż nie mają możliwości zidentyfikowania osób, których dane znajdowały się w dokumentacji, co powinno doprowadzić organ do wniosku, że istnieje duże prawdopodobieństwo, że pracownicy banku-odbiorcy nie otworzyli w pełni przesyłki (i nie uzyskali dostępu do treści ww. dokumentacji), gdyż już na podstawie danych z zewnętrznej koperty mogli stwierdzić, że przesyłka została błędnie doręczona i należy przekazać ją właściwemu odbiorcy, w związku z czym organ powinien przeprowadzić dalsze czynności wyjaśniające, aby wykluczyć tę wersję wydarzeń przed zastosowaniem sankcji, a także - skarżąca wskazała organowi, że wszyscy pracownicy banku-odbiorcy, którzy mieli dostęp do błędnie adresowanej przesyłki złożyli odpowiednie pisemne oświadczenia i skarżąca jest w ich posiadaniu, co powinno doprowadzić organ do wniosku, że ich liczba została wyczerpująco ustalona, co skutkowało błędnym ustaleniem stanu faktycznego i w konsekwencji błędnym uznaniem przez organ, że skarżąca była zobowiązana poinformować klientów skarżącej o naruszeniu ochrony danych osobowych ze względu na wysokie ryzyko naruszenia ich praw lub wolności, a także nałożeniem na skarżącą niewspółmiernie wysokiej kary pieniężnej; b) art. 7, art. 77 § 1, art. 80 w zw. z art. 8 § 1 oraz art. 81a § 1 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych, poprzez niedokonanie wyczerpującego rozpatrzenia materiału dowodowego oraz oceny jego całokształtu, wbrew zasadzie bezstronności i prowadzenia postępowania w sposób budzący zaufanie strony do organów władzy publicznej, co przejawiało się w szczególności w bezpodstawnym i dowolnym (niepopartym materiałem dowodowym) przyjęciu przez organ, że: - skarżąca nie współpracowała z organem w ramach postępowania administracyjnego, podczas gdy skarżąca w zgłoszeniu jednorazowym do organu przekazała wszystkie posiadane przez siebie na temat incydentu szczegóły, mimo że nie ciążył na niej taki obowiązek z racji na znikome prawdopodobieństwo wystąpienia ryzyka naruszenia praw i wolności podmiotów danych; a także lojalnie współpracowała z organem na każdym etapie postępowania, udzielając m.in. odpowiedzi na pisma organu, o czym świadczy rozbudowana i wyczerpująca po stronie skarżącej korespondencja z organem; - przejawem lekceważenia praw osób, których dane dotyczą oraz systemowej postawy skarżącej mającej rzekomo systematycznie naruszać zasady ochrony danych osobowych było uznanie przez skarżącą, że bank-odbiorca, któremu błędnie doręczono przesyłkę zawierającą dane klientów jest podmiotem zaufanym, w związku z czym skarżąca nie była zobowiązana powiadomić klientów o powyższej sytuacji, podczas gdy ze względu na małe prawdopodobieństwo ryzyka naruszenia praw i wolności osób fizycznych skarżąca nie miała obowiązku powiadamiania klientów o incydencie, - prowadzone przez organ i przywołane w decyzji postępowania z udziałem skarżącej stanowią o modus operandi skarżącej polegającym na celowym niedostarczeniu podmiotom do tego uprawnionym określonych danych osobowych i informacji, podczas gdy sprawy te znacząco różniły się od niniejszej sprawy, a skarżąca niezwłocznie stosowała się w większości tych przypadków do upomnień i nakazów wydanych przez organ w tych sprawach, co skutkowało błędnym ustaleniem stanu faktycznego i w konsekwencji nałożeniem na skarżącą niewspółmiernie wysokiej kary pieniężnej; c) art. 7, art. 77 § 1, art. 75 § 1, art. 80 w zw. z art. 8 § 1 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych przez niepodjęcie wystarczających czynności w celu dokładnego wyjaśnienia stanu faktycznego sprawy i prowadzenie postępowania wbrew regułom nakazującym wyczerpujące zebranie i rozpatrzenie materiału dowodowego oraz ocenę jego całokształtu, w tym wbrew zasadzie prawdy obiektywnej i aktywności dowodowej organów administracji, jak również wbrew zasadzie prowadzenia postępowania w sposób budzący zaufanie strony do organu, co przejawiało się w szczególności: - w nieprzeprowadzeniu dowodów z zeznań świadków, tj. pracowników banku-odbiorcy, który był niewłaściwym odbiorcą przesyłki zawierającej dane osobowe klientów skarżącej, pracowników firmy kurierskiej, która doręczyła przesyłkę do banku-odbiorcy, czy też pracowników firmy [...] Sp. z o.o., którzy nadali tę przesyłkę, na okoliczność tego jak wyglądała ww. przesyłka (jak była zapakowana), w jakim zakresie przesyłka została otwarta przez pracowników ww. niewłaściwego odbiorcy i w jakim stanie została zwrócona do skarżącej w celu ustalenia, w jakim faktycznie zakresie pracownicy ww. niewłaściwego odbiorcy zapoznali się z danymi osobowymi klientów skarżącej; - w nieprzeprowadzeniu dowodu z pisemnych oświadczeń pracowników banku-odbiorcy, którzy mieli dostęp do błędnie dostarczonej przesyłki, co pozwoliłoby poczynić organowi ustalenia, czy pracownicy ci faktycznie zapoznali się z zawartością przesyłki oraz jaki charakter miały te oświadczenia; - a także niepodjęciu dalszych niezbędnych czynności wyjaśniających, czy bank-odbiorca, któremu błędnie doręczono przesyłkę, może być traktowany jako zaufany odbiorca na potrzeby interpretacji art. 34 ust. 1 rozporządzenia nr 2016/679, a także, czy w ogóle doszło do naruszenia ochrony danych osobowych w rozumieniu art. 33 ust. 1 rozporządzenia nr 2016/679, w tym nieustaleniu danych banku-odbiorcy, który był niewłaściwym odbiorcą przesyłki, niezbadaniu w sposób kompleksowy okoliczności incydentu, a także nieprzeanalizowaniu żadnych dokumentów w zakresie procedur ochrony danych osobowych obowiązujących w banku-odbiorcy, w tym zawartych na jego stronie internetowej, kodeksów branżowych, które ten bank-odbiorca stosuje (na co wskazywała skarżąca w postępowaniu przed organem), niezwróceniu się do skarżącej i banku-odbiorcy o dostarczenie dokumentów w zakresie procedur ochrony danych osobowych obowiązujących w tym podmiocie lub nieprzesłuchaniu świadków na okoliczność tych procedur lub przebiegu współpracy pomiędzy bankami przy usuwaniu skutków incydentu, nieustalenia we własnym zakresie czy wobec tego podmiotu prowadzone były postępowania przez organ, czego dotyczyły i jaką ten podmiot przejawiał postawę w ramach tych postępowań, co dopiero dawałoby organowi możliwość zweryfikowania twierdzeń skarżącej, czy ten podmiot słusznie mógł być uznany za podmiot zaufany, co doprowadziło organ do błędnego ustalenia poziomu ryzyka naruszenia praw i wolności osób fizycznych w następstwie incydentu oraz błędnej oceny postępowania skarżącej, a w konsekwencji błędnego uznania, że skarżąca była zobowiązana poinformować swoich klientów o naruszeniu ochrony danych osobowych ze względu na wysokie ryzyko naruszenia ich praw lub wolności, a także nałożenia na skarżącą niewspółmiernie wysokiej kary pieniężnej; d) art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych przez niedostateczne i niepełne uzasadnienie decyzji w zakresie przesłanek nałożenia kary pieniężnej polegające na tym, że organ dowolnie ustalił, że skarżąca nie współpracowała z organem w niniejszej sprawie, podczas gdy organ nie wskazał żadnych relewantnych okoliczności faktycznych świadczących o braku takiej współpracy (tj. braku współdziałania w wyjaśnieniu sprawy) oraz nie odniósł się do okoliczności i dowodów przeczących ww. ustaleniom o braku współpracy ze strony skarżącej, takich jak: - fakt dokonania zgłoszenia naruszenia do organu przez skarżącą, mimo że ze względu na brak ryzyka naruszenia praw i wolności osób fizycznych na skarżącej nie ciążył taki obowiązek; - terminowe udzielanie wyczerpujących odpowiedzi na pisma organu kierowane w tej sprawie do skarżącej w celu wyjaśnienia sprawy; - lojalna współpraca z organem w toku innych, prowadzonych wcześniej postępowań, w tym tych przywołanych przez organ w uzasadnieniu decyzji, szczególnie zważywszy na fakt, że skarżąca na 15 decyzji organu wskazanych w uzasadnieniu decyzji 14 razy wykonała nakaz organu (wyjątek stanowi 1 decyzja skutecznie zaskarżona do WSA); - lojalna, bieżąca współpraca z organem w ramach dbałości o kulturę ochrony danych osobowych u skarżącej polegająca na utrzymywaniu stałego kontaktu mailowego i telefonicznego w sprawach, w których nie toczyło się postępowanie; co prawdopodobnie wpłynęło na ocenę współpracy z organem przez skarżącą i nałożenie na skarżącą niewspółmiernie wysokiej kary i co skutkuje brakiem możliwości kontroli instancyjnej i rzetelnego sformułowania zarzutów wobec decyzji w zakresie nałożenia kary pieniężnej; e) art. 8 k.p.a. przez odejście od zasady bezstronności i proporcjonalności w zakresie wymiaru nałożonej na skarżącą w punkcie 1 decyzji kary oraz odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym w zakresie wysokości nakładanych przez organ kar, co w konsekwencji doprowadziło organ do orzeczenia kary znacząco wygórowanej, biorąc pod uwagę okoliczności przedmiotowej sprawy, które powinny wpłynąć na odpowiednie ukształtowanie wymiaru kary, tj. nałożenie jej w niższym wymiarze, a także w stosunku do kar nakładanych przez organ w podobnych pod względem faktycznym i prawnym postępowaniach; f) art. 8 § 1 k.p.a. przez prowadzenie przez organ postępowania w sposób naruszający zasadę zaufania stron do władzy publicznej polegający na prowadzeniu postępowania w sposób przewlekły i nietransparentny dla skarżącej, w szczególności po otrzymaniu ostatnich wyjaśnień od skarżącej przez okres około 15 miesięcy organ nie podejmował żadnych działań w sprawie; dopiero w styczniu 2024 r. organ bez zwrócenia się do skarżącej o dodatkowe dowody i wyjaśnienia wszczął postępowanie administracyjne, a następnie wydał decyzję o nałożeniu na skarżącą kary pieniężnej nieproporcjonalnie wysokiej w stosunku do charakteru rzekomego naruszenia ochrony danych, co w konsekwencji doprowadziło organ do błędnego uznania, że skarżąca była zobowiązana poinformować swoich klientów o naruszeniu ochrony danych osobowych ze względu na wysokie ryzyko naruszenia ich praw lub wolności, a także nałożenia na skarżącą niewspółmiernie wysokiej kary pieniężnej. W obszernym uzasadnieniu skargi skarżąca przedstawiła szczegółową argumentację na poparcie postawionych zarzutów. W odpowiedzi na skargę organ wniósł o jej oddalenie. W piśmie procesowym z dnia 24 lutego 2025 r. skarżąca podtrzymała zarzuty argumenty i wnioski skargi. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga zasługuje na uwzględnienie. Przedmiotem kontroli Sądu w rozpoznawanej sprawie jest decyzja Prezesa Urzędu Ochrony Danych Osobowych nakładająca na [...] Bank S.A. karę pieniężną w wysokości 4.053.173 zł w związku ze stwierdzonymi naruszeniami obowiązków wynikających z art. 34 ust. 1 rozporządzenia nr 2016/679 oraz nakazująca tej spółce wykonanie obowiązku określonego w art. 34 ust. 1 tego rozporządzenia. Podstawę materialnoprawną zaskarżonej decyzji stanowił przede wszystkim art. 84 ust. 4 lit. a) rozporządzenia nr 2016/679. Zgodnie z tym przepisem, naruszenia przepisów dotyczących kwestii obowiązków administratora i podmiotu przetwarzającego, o których mowa w art. 8, 11, 25-39 oraz 42 i 43 podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 10.000.000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Dla wymierzenia kary pieniężnej na podstawie tego przepisu w rozpoznawanej sprawie konieczne było zatem niebudzące wątpliwości ustalenie przez organ, że administrator nie wykonał obowiązków określonych w art. 34 ust. 1 ww. rozporządzenia. Jak stanowi ten przepis, jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu. Jak wynika z powyższego, prawodawca europejski uzależnia uaktualnienie się obowiązku podjęcia przez administratora działań określonych w przywołanym przepisie od stopnia ryzyka naruszenia praw lub wolności osób fizycznych. Jeżeli po dokonaniu przez administratora oceny stopnia tego ryzyka dojdzie on do uzasadnionego przekonania, że zaistniałe ryzyko jest wysokie, będzie zobowiązany zawiadomić o naruszeniu osobę, której dane dotyczą. Jak wynika z przepisów art. 33 ust. 1 i art. 34 ust. 1 rozporządzenia nr 2016/679, prawodawca europejski czyni dystynkcję pomiędzy trzema różnymi poziomami ryzyka dla praw i wolności osób, których dane dotyczą. Przy czym poziom wysoki, który skutkuje koniecznością wykonania obowiązków określonych w art. 34 ust. 1 jest poziomem najwyższym, co oznacza, że dotyczy sytuacji o największym poziomie ryzyka, który nie może zostać określony jako poziom "standardowy". W następstwie powyższego organ, uzasadniając decyzję nakładającą karę pieniężną za naruszenia wspomnianego obowiązku, musi w sposób przekonujący wykazać, że z tego rodzaju wysokim poziomem ryzyka mamy do czynienia w danej sprawie. Zdaniem Sądu, organ nie zebrał dostatecznego materiału dowodowego do dokonania tego rodzaju ustaleń i nie wykazał przekonująco, że w rozpoznawanej sprawie występuje wysokie ryzyko naruszenia praw i wolności osób, których dane zostały ujawnione. Po pierwsze, Sąd uznał, że organ niedostatecznie ustalił stan faktyczny sprawy w zakresie katalogu danych osobowych klientów banku, które zostały w istocie ujawnione. Ta okoliczność ma z kolei kluczowe znaczenie z punktu widzenia ustalenia poziomu ryzyka naruszenia praw lub wolności osób fizycznych. W zgłoszeniu z dnia 8 lipca 2022 r. bank wskazał jedynie, że w związku z omyłkowym przesłaniem dokumentów bankowych dotyczących klientów banku do innego banku "istnieje prawdopodobieństwo", że z dokumentami zapoznali się pracownicy innego banku. Organ, wyjaśniając tę kwestię, oparł się na wyjaśnieniach skarżącej z dnia 16 września 2022 r., uznając je za wiarygodne i wystarczające do wydania decyzji w sprawie. Przyjął zatem, że doszło do otwarcia przesyłki przez pracowników innego banku, bowiem tylko w ten sposób mogli oni powziąć wiedzę, że przesyłka została niewłaściwie skierowana. Należy jednak zwrócić uwagę, że w tymże piśmie bank wyjaśnił jednocześnie, a organ tego nie zakwestionował w uzasadnieniu zaskarżonej decyzji, że przesyłki wysyłane przez spółkę [...] mają formę przesyłki zbiorczej, w której znajduje się kilka kopert. Na przesyłce zbiorczej znajduje się tylko informacja o rodzaju przesyłanych dokumentów oraz nazwisku klienta. Jak wyjaśniła skarżąca, oznacza to, że pracownicy innego banku nie zapoznali się z całością omyłkowo przesłanej dokumentacji. Rodzi to wątpliwości co do rzeczywistego zakresu danych osobowych, które zostały ujawnione. Organ tych okoliczności nie wyjaśnił w sposób wystarczający. W istocie organ nie ustalił nawet, jakiego innego banku dotyczyło zgłoszenie, a tym bardziej nie ustalił personaliów pracowników, którzy mogli zapoznać się z dokumentami. Nie uzyskał w konsekwencji w toku postępowania jakichkolwiek wyjaśnień podmiotu, który mógł zapoznać się z omyłkowo przesłanymi danymi osobowymi, w tym w szczególności co do zakresu ujawnienia tych danych. Po drugie, Sąd uznał, za niewystarczającą i nieprzekonującą zawartą w uzasadnieniu zaskarżonej argumentację mającą przemawiać za tym, że w sprawie wystąpiło wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Jak podkreśla się bowiem w orzecznictwie sądów administracyjnych (por. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 kwietnia 2022 r. sygn. akt II SA/Wa 3024/21, dostępny w internetowej bazie orzeczeń sądów administracyjnych), ocena prawdopodobieństwa powstania ryzyka naruszenia praw lub wolności osób fizycznych wskutek naruszenia ochrony danych osobowych oraz ocena stopnia tego ryzyka wymaga odniesienia się do charakteru, zakresu, kontekstu i celów przetwarzania danych (pkt 76 Preambuły Rozporządzenia). Ryzyko to istnieje w przypadku, gdy naruszenie może prowadzić do uszczerbku fizycznego lub szkód majątkowych lub niemajątkowych dla osób, których dane zostały naruszone. Przykłady takich szkód obejmują; dyskryminację, kradzież lub sfałszowanie tożsamości, straty finansowe i naruszenie dobrego imienia (pkt 75 Preambuły Rozporządzenia). Według organu, ujawnienie danych osobowych, w szczególności takich jak numer ewidencyjny PESEL wraz z imieniem i nazwiskiem może zostać wykorzystane lub powodować takie negatywne konsekwencje jak kradzież tożsamości czy wyłudzenie pożyczki. W ocenie Sądu, argumentacja organu jest w tym zakresie nieprzekonująca. Organ ograniczył się do uwag natury ogólnej, które niejednokrotnie były już przywoływane przez organ w innych sprawach dotyczących administracyjnych kar pieniężnych będących przedmiotem kontroli tutejszego Sądu. Organ szeroko argumentował, że nieprawidłowe jest stanowisko skarżącej, iż podmiot, który uzyskał dane osobowe jako bank winien być traktowany jako podmiot zaufany. Nie wyjaśnił jednak, na jakiej podstawie uznał, że brak jest jakiejkolwiek dystynkcji pomiędzy zdarzeniem, w którym z danymi osobowymi zapoznaje się szerokie grono osób trzecich lub osoby prywatne niezobowiązane do zachowania tajemnicy, a sytuacją, w której dane osobowe zostają ujawnione pracownikom instytucji bankowej zobowiązanym do zachowania tajemnicy bankowej przez przepisy powszechnie obowiązującego prawa. Organ w szczególności nie wyjaśnił, dlaczego uznał, że pracownicy banku, którzy zapoznali się z danymi osobowymi w ramach wykonywania czynności zawodowych i którzy są zobowiązani do zachowania wszelkich informacji stanowiących tajemnicę bankową w poufności, wykorzystają uzyskane dane w sposób stanowiący zagrożenia dla praw i wolności osób, których dane dotyczą. W ocenie Sądu, o ile nie można całkowicie wykluczyć takiej ewentualności, to trudno uznać, by prawdopodobieństwo tego rodzaju zdarzenia było na tyle duże, by można było przekonująco stwierdzić wystąpienie wysokiego ryzyka naruszenia praw lub wolności osób fizycznych w rozumieniu art. 34 ust. 1 rozporządzenia nr 2016/679. Jak wskazuje się w wytycznych Europejskiej Rady Ochrony Danych, z wysokim ryzykiem naruszenia praw i wolności osoby fizycznej możemy mieć do czynienia, gdy np. ujawnione zostaną informacje dotyczące stanu zdrowia danej osoby lub jej sytuacji rodzinnej (por. Wytyczne nr 9/2022 pkt 106 i 107). Ocena ryzyka musi zatem uwzględniać stopień wrażliwości danych i możliwość ich użycia w sposób wyrządzający znaczną szkodę majątkową lub niemajątkową. Zdaniem Sądu, w uzasadnieniu zaskarżonej decyzji organ nie wykazał, by tego rodzaju naruszenie ochrony danych wystąpiło w rozpoznawanej sprawie, tym bardziej biorąc pod uwagę, że - jak wskazano wyżej - nie ustalił w sposób precyzyjny, jakie konkretnie dane zostały faktycznie ujawnione. Uzasadnienie rozstrzygnięcia mającego charakter decyzji administracyjnej stanowi istotną gwarancję realizacji podstawowych zasad postępowania administracyjnego: zasady zaufania (art. 8 § 1 i 2 k.p.a.) i zasady przekonywania (art. 11 k.p.a.) oraz konstytucyjnej zasady prawa do sądu (art. 45 ust. 1 i art. 78 Konstytucji RP). Obowiązek sporządzenia uzasadnienia decyzji odpowiadającego wymogom określonym w art. 107 § 3 k.p.a. stanowi realizację tych zasad. Prawidłowo sporządzone uzasadnienie daje również możliwość pełnej i merytorycznej weryfikacji decyzji w postępowaniu sądowym, w toku którego nie jest możliwe uzupełnienie przeprowadzonego postępowania administracyjnego o stosowną argumentację prawną i wyręczanie w ten sposób organów administracji w dokonaniu oceny w kwestii spełnienia przesłanek ustawowych, uzasadniających wydanie konkretnej decyzji. Zdaniem Sądu, z przedstawionych wyżej powodów organ przeprowadził postępowanie dowodowe w tej sprawie w sposób niepełny i niewyjaśniający istotnych z punktu widzenia rozstrzygnięcia sprawy okoliczności, czym naruszył art. 7, art. 8, art. 77 § 1 i art. 80 k.p.a., zaś uzasadnienie zaskarżonej decyzji nie odpowiada wymaganiom określonym w art. 107 § 3 p.p.s.a., a naruszenie przez organ wyżej wskazanych przepisów mogło mieć istotny wpływ na wynik sprawy. Konkludując, Sąd uznał, że organ nie wyjaśnił dostatecznie w uzasadnieniu decyzji dlaczego przyjął, że w sprawie wystąpiło wysokie ryzyko naruszenia praw i wolności osoby fizycznej, a zatem że w konsekwencji spółka naruszyła art. 34 ust. 1 rozporządzenia nr 2016/679. Sąd uchylił również pkt 2 zaskarżonej decyzji, bowiem dotyczył on realizacji obowiązku określonego w art. 34 ust. 1 rozporządzenia nr 2026/679, a aktualizacji tego obowiązku wobec skarżącej organ – jak już wyjaśniono – nie wykazał w sposób przekonujący. Sąd nie odnosił się do zarzutów skargi dotyczących ustalenia przez organ wysokości kary pieniężnej z uwzględnieniem kryteriów określonych w art. 83 ust. 2 rozporządzenia nr 2016/679, bowiem na obecnym etapie postępowania zarzuty te są przedwczesne. Rozpatrując sprawę ponownie, organ będzie bowiem zobowiązany do uwzględnienia wyżej poczynionych rozważań Sądu w zakresie wykazania wystąpienia w tej sprawie wysokiego ryzyka naruszenia praw i wolności osoby fizycznej, a w konsekwencji do ustalenia na nowo wysokości ewentualnej kary, biorąc pod uwagę jedynie prawidłowo stwierdzone i uzasadnione wystąpienie naruszeń przepisów rozporządzenia nr 2016/679. Biorąc wszystkie powyższe okoliczności pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c) p.p.s.a., orzekł jak w pkt 1 sentencji. O kosztach postępowania sądowego w pkt 2 sentencji Sąd orzekł na podstawie art. 200 i art. 205 § 2 p.p.s.a. w zw. z § 14 ust. 1 pkt 1 lit. a) w zw. z § 2 pkt 7 rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. z 2023 r., poz. 1935). Do kosztów tych Sąd zaliczył uiszczony przez skarżącą wpis od skargi w wysokości 40.732 zł, wynagrodzenie radcy prawnego reprezentującego skarżącą (15000 zł) oraz opłatę skarbową od pełnomocnictwa (17 zł).