II SA/Wa 2056/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej, Sędzia WSA Joanna Kube (spr.), Asesor WSA Anna Pośpiech-Kłak, , Protokolant specjalista Marcin Kwiatkowski, , po rozpoznaniu na rozprawie w dniu 26 czerwca 2025 r. sprawy ze skargi [...] spółka z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2024 r. nr [...] oraz ze skargi J. M. i K. S. wspólników spółki cywilnej działających pod firmą [...] s.c. w [...] na część II decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2024 r. nr [...] w przedmiocie nałożenia administracyjnej kary pieniężnej za naruszenie przepisów dotyczących przetwarzania danych osobowych oddala skargi W zgłoszeniu naruszenia ochrony danych osobowych Administrator podał, że w jego ocenie przyczyną był najprawdopodobniej błąd człowieka - pracownika, jednocześnie modus operandi sprawców pozwalał Administratorowi na przyjęcie założenia, zgodnie z którym celem zaszyfrowania danych nie była ich kradzież, a jedynie uzyskanie korzyści materialnej. Administrator wskazał również, że z uwagi na krótkotrwałość przedmiotowego incydentu oraz wobec faktu, iż uzyskano dostęp do zaszyfrowanych danych nie stwierdził on wysokiego ryzyka naruszenia praw lub wolności osób fizycznych, a wdrożone przed wystąpieniem przedmiotowego naruszenia ochrony danych osobowych techniczne i organizacyjne środki bezpieczeństwa uzasadniały w opinii Administratora brak konieczności dokonania zawiadomienia osób, których dane dotyczą, o fakcie naruszenia ochrony ich danych osobowych. W zgłoszeniu uzupełniającym, dokonanym Prezesowi UODO w dniu [...] stycznia 2020 r., Administrator podtrzymał dotychczasową argumentację, informując przy tym o dokonaniu zawiadomienia podmiotów danych o fakcie wystąpienia przedmiotowego naruszenia ochrony danych osobowych w formie publicznego komunikatu dostępnego w siedzibie firmy Administratora, przedstawiając jednocześnie zanonimizowaną treść zawiadomienia skierowanego do osób, których dane dotyczą, w związku z tym naruszeniem. Zgłoszenia te stały się dla Prezesa UODO podstawą do dokonania oceny realizacji przez Administratora spoczywających na nim obowiązków wynikających z przepisów RODO dotyczących właściwego zabezpieczenia danych oraz organizacji systemu ochrony danych osobowych. Prezes UODO decyzją z dnia [...] maja 2024 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz.U. z 2024 r., poz. 572), dalej: k.p.a.", art. 7 ust. 1 i 2, art. 60, art. 101 i art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781) oraz art. 57 ust. 1 lit. a) i h), art. 58 ust. 2 lit. d) oraz i), art. 83 ust. 1, 2 i 3, art. 83 ust. 4 lit. a) w związku z art. 24 ust. 1, art. 25 ust. 1, art. 28 ust. 1 i 3, art. 32 ust. 1 i 2 oraz art. 34 ust. 2 w zw. z art. 33 ust. 3 lit. c i d oraz art. 83 ust. 5 lit. a) w zw. z art. 5 ust. 1 lit. f) oraz art. 5 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm., powoływanego, dalej jako rozporządzenie nr 2016/679, RODO), po przeprowadzeniu wszczętego z urzędu postępowania w sprawie naruszenia przepisów o ochronie danych osobowych przez Z. R. prowadzącego działalność gospodarczą pod firmą [...] - obecnie [...] spółka z o.o., z siedzibą w [...] decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2024 r. nr [...] oraz M.C., J. M. i K. S. wspólników spółki cywilnej [...] mającej siedzibę w [...] (dalej także: "Podmiot przetwarzający"), I. stwierdzając naruszenie przez Z. R. przepisów: a) art. 24 ust. 1, art. 25 ust. 1 i art. 32 ust. 1 i 2 RODO, polegające na: - niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych osobowych w systemach informatycznych oraz ochronę praw osób, których dane dotyczą, na podstawie przeprowadzonej analizy ryzyka uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, - niewdrożeniu odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych osobowych w systemach informatycznych, w szczególności w zakresie podatności, błędów oraz ich możliwych skutków dla tych systemów oraz podjętych działań minimalizujących ryzyko ich wystąpienia, - niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających zdolność do szybkiego przywrócenia dostępności danych osobowych przetwarzanych w systemach informatycznych i dostępu do nich w razie incydentu fizycznego lub technicznego, skutkujące naruszeniem zasady poufności (art. 5 ust. 1 lit. f) RODO) oraz zasady rozliczalności (art. 5 ust. 2 RODO), b) art. 28 ust. 1 RODO, polegające na braku weryfikacji podmiotu przetwarzającego, czy zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą, c) art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c) i d) RODO, polegające na nieprzekazaniu osobom, których dane dotyczą, opisu możliwych konsekwencji naruszenia ochrony danych osobowych oraz opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, 1. nałożył na Z. R., prowadzącego działalność gospodarczą pod firmą [...] (obecnie [...] Spółka z o.o. z siedzibą w [...]), za naruszenie art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1, art. 28 ust. 1, art. 32 ust. 1 i 2 oraz art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c) i d) RODO, administracyjną karę pieniężną w kwocie 353 589 zł; 2. nakazał Z. R., prowadzącemu działalność gospodarczą pod firmą [...] (obecnie [...] Spółka z o.o. z siedzibą w [...]), dostosowanie operacji przetwarzania do przepisów RODO, poprzez przeprowadzenie analizy ryzyka przetwarzania danych osobowych, uwzględniającej stan wiedzy technicznej, koszt wdrożenia, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, i na jej podstawie: a) wdrożenie odpowiednich środków technicznych i organizacyjnych w celu zminimalizowania ryzyka wiążącego się z przetwarzaniem danych osobowych w systemach informatycznych, w szczególności wynikającego z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych, b) wdrożenie odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności środków mających zapewnić bezpieczeństwo przetwarzania danych osobowych w systemach informatycznych, c) wdrożenie odpowiednich środków technicznych i organizacyjnych w celu zapewnienia zdolności do szybkiego przywrócenia dostępności danych osobowych przetwarzanych w systemach informatycznych i dostępu do nich w razie incydentu fizycznego lub technicznego, w terminie 60 dni od dnia doręczenia decyzji. Jednocześnie, Prezes UODO, stwierdzając naruszenie przez M. C., J. M. oraz K. S., wspólników [...] z siedzibą w [...] art. 28 ust. 3 lit. f) w związku z art. 32 ust. 1 i 2 RODO, polegające na nieudzieleniu pomocy Administratorowi w wywiązywaniu się przez niego z obowiązku wdrożenia adekwatnych środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych osobowych, nałożył na J. M. i K. S., wspólników [...] z siedzibą w [...], oraz na M. C., byłego wspólnika [...] z siedzibą w [...], wszystkich odpowiadających solidarnie, administracyjną karę pieniężną w kwocie 9 822 zł. Uzasadniając rozstrzygnięcie, Prezes UODO wskazał, że wedle unormowanego w przepisach RODO podejścia do ryzyka (risk based approach), to na administratorze spoczywa ciężar podjęcia procesów identyfikacji oraz oceny czynników ryzyka i na tym fundamencie sformułowania własnej strategii jego ograniczania. Błędne zaś oszacowanie poziomu ryzyka lub co gorsza jego brak uniemożliwia zastosowanie odpowiednich środków bezpieczeństwa dla danego zasobu, co immanentnie przyczynia się do zwiększenia prawdopodobieństwa materializacji negatywnych skutków dla osób, których dane podlegają przetwarzaniu w ramach określonego procesu. RODO wprowadziło podejście, w którym zarządzanie ryzykiem jest fundamentem działań związanych z ochroną danych osobowych i ma charakter nieprzerwanego procesu. Warunkiem zaś kluczowym dla wykazania spełnienia stawianych przed administratorami wymogów, zgodnie z zasadą rozliczalności, o której mowa w art. 5 ust. 2 RODO, pozostaje nie tylko jednorazowe wdrożenie przez nich technicznych i organizacyjnych środków w celu zagwarantowania procesom przetwarzania danych osobowych odpowiedniego poziomu ochrony, ale również - w ramach dynamicznego podejścia – zapewnienie ciągłości monitorowania poziomu zagrożeń w relacji do adekwatności wprowadzonych zabezpieczeń. Administrator obowiązany jest zatem samodzielnie dokonać szczegółowej analizy realizowanych procesów przetwarzania danych osobowych i w sposób wyczerpujący ocenić potencjalne zagrożenia dla prywatności osób, których te dane dotyczą, a następnie zastosować środki, które będą adekwatne do oszacowanego ryzyka. W konsekwencji prowadzi to do stwierdzenia, że analiza ryzyka formuje grunt do odpowiedniego zarządzania możliwymi podatnościami, rozumianymi jako słabość bądź luka w zabezpieczeniach, która wykorzystana przez dane zagrożenie może zakłócać funkcjonowanie danej organizacji, a nawet prowadzić do incydentów bezpieczeństwa bądź naruszeń ochrony danych osobowych. W przedmiotowej sprawie główne ryzyko związane z realizowanymi przez Administratora procesami przetwarzania danych osobowych należało identyfikować z zagrożeniem płynącym z możliwości skompromitowania, z wykorzystaniem złośliwego oprogramowania, jego infrastruktury informatycznej, uruchomieniem w niej obcych procesów oraz rozpoczęciem procesu szyfrowania w celu uzyskania korzyści finansowej w zamian za późniejszą dekryptację danych, tj. ransomware. Kluczową metodę prewencji przed tego typu atakiem stanowi natomiast używanie aktualnego oprogramowania dla wszystkich elementów infrastruktury informatycznej. Odnosząc powyższą konstatację do okoliczności przedmiotowej sprawy, organ przyjął, że przedstawiony stan faktyczny stanowi czytelną egzemplifikację stanu przeciwnego do postulowanego przepisami RODO. Administrator w niezwykle szerokim przedziale czasowym, bo co najmniej od daty rozpoczęcia stosowania przepisów RODO, tj. od 25 maja 2018 r. (przyjęcie tej perspektywy wydaje się być najbardziej względne dla oceny Administratora w zakresie spełnienia przez niego zasady rozliczalności), wykorzystywał do realizacji procesów przetwarzania danych osobowych nieaktualne wersje serwera Windows 2008 SBS i to pomimo faktu, iż - jak sam zauważył w piśmie datowanym na [...] lutego 2021 r. - program ten korzystał ze wsparcia Microsoft aż do 14 stycznia 2020 r." Przeciwnie: zgromadzony w niniejszej sprawie materiał dowodowy nie wykazuje, aby Administrator korzystał w okresie oferowanego przez producenta oprogramowania wsparcia technicznego z możliwości przeprowadzania bieżących aktualizacji oprogramowania serwera Windows 2008 SBS. W tym świetle, sekwencja wydarzeń, jaka miała miejsce [...] listopada 2019 r., w postaci "(...) zainfekowania sprzętu oprogramowaniem przechwytującym hasła (keylogger) (...)", uzyskania na tej podstawie "(...) poświadczeń użytkownika, co pozwoliło na zdalne zalogowanie się do niego i rozpoczęcie procesu szyfrowania", nie powinna budzić wątpliwości, albowiem stanowiła ona materializację utrzymującego się od dłuższego czasu stanu wysokiego ryzyka wystąpienia naruszenia ochrony danych, wywołanego faktem oparcia przez Administratora procesów przetwarzania danych osobowych na architekturze informatycznej posiadającej, wobec zaniechania należytej staranności przy dokonywaniu cyklicznych aktualizacji, szereg powszechnie znanych błędów bezpieczeństwa. Co istotne, w pismach odpowiednio z dnia [...] kwietnia 2020 r. oraz [...] lutego 2021 r. Administrator przyznał, że na podstawie przeprowadzonego postępowania zmierzającego do ustalenia przyczyn wystąpienia przedmiotowego naruszenia ochrony danych osobowych "(...) zakłada, że została wykorzystana podatność serwera Windows 2008 SBS, który od dłuższego czasu był nie aktualizowany", pomimo faktu, iż "(...) program ten korzystał ze wsparcia Microsoft aż do 14 stycznia 2020 roku." Z powyższego stwierdzenia wynika zatem, że zdarzenie z [...] listopada 2019 r. było logiczną konsekwencją leżących po stronie Administratora i świadczących o jego rażącym niedbalstwie zaniechań, przejawiających się zarówno przystąpieniem przez niego do operacji przetwarzania danych osobowych z pominięciem dokonania identyfikacji ryzyk związanych z zachodzącymi w jego organizacji procesami przetwarzania danych osobowych, jak i brakiem regularnego testowania, mierzenia i oceniania wdrożonych dla tych procesów technicznych i organizacyjnych środków bezpieczeństwa (a których to wymogów Administrator zobowiązany był przestrzegać co najmniej od dnia rozpoczęcia stosowania RODO i to pomimo posiadania wiedzy na temat oferowanych przez producenta oprogramowania aktualizacji). W konsekwencji, Prezes UODO uznał, że Administrator, wdrażając techniczne i organizacyjne środki w celu zapewnienia bezpieczeństwa procesom przetwarzania danych osobowych w swojej organizacji, a priori pozbawiony był skutecznego narzędzia oceny, czy są one wystarczające, a brak dokonywania okresowych sprawdzeń zaimplementowanych narzędzi i ich oceny pod kątem ryzyka jedynie ten stan niewiedzy potęgował. Organ zwrócił uwagę, że jednym z kluczowych elementów analizy ryzyka, obok ustalenia zasobów, które mają być w obszarze przetwarzania chronione, jest m.in. identyfikacja związanych z ww. obszarami przetwarzania możliwych rodzajów zagrożeń oraz przypisanie im odpowiednich poziomów. Tymczasem, w zgromadzonym w toku postępowania materiale dowodowym na próżno doszukiwać się można jakiejkolwiek wzmianki o przedsiębranych przez Administratora działaniach zmierzających do przeprowadzenia stosownej ewaluacji ryzyka, immanentnie związanego z realizowanymi w jego organizacji operacjami przetwarzania danych osobowych, nie wspominając o wzięciu przez niego pod uwagę prawdopodobieństwa zaktualizowania się zagrożenia związanego z atakiem cyberprzestępców na infrastrukturę informatyczną w celu zaszyfrowania przetwarzanych w niej danych osobowych i uzyskania na tej podstawie korzyści materialnych za ich późniejszą dekryptację. Niewątpliwie obowiązek zapewnienia bezpieczeństwa przetwarzanych danych, wynikający m.in. z art. 32 ust. 1 RODO, stanowi fundament skutecznego systemu ochrony danych osobowych. RODO, wprowadzając podejście oparte na ryzyku, wskazuje jednocześnie w art. 32 ust. 1 kryteria, w oparciu o które administrator powinien dokonać wyboru odpowiednich środków technicznych i organizacyjnych, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku. I tak, obok identyfikacji ryzyka naruszenia praw lub wolności osób fizycznych, należy jeszcze uwzględnić stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania. W konsekwencji, dobór środków bezpieczeństwa powinien być warunkowany przez okoliczności i warunki przetwarzania danych oraz prawdopodobieństwo i powagę zdarzeń, które mogą doprowadzić do naruszenia praw lub wolności osób, których dane są przetwarzane. Przy czym środki bezpieczeństwa, dobrane z uwzględnieniem kryteriów wynikających z art. 32 ust. 1 RODO, dla swojej skuteczności, rozumianej jako właściwa ochrona procesów przetwarzanych danych osobowych, oparte być muszą na wszechstronnie przeprowadzonej, tj. z uwzględnieniem wszystkich realnie występujących w danym kontekście przetwarzania danych osobowych zagrożeń, analizie ryzyka, której w niniejszej sprawie wyraźnie zabrakło. Administrator nie dostarczył bowiem żadnych dowodów, które uprawdopodabniałyby fakt dokonania przez niego tak przed, jak i po rozpoczęciu procesów przetwarzania danych osobowych, w sposób kompleksowy, a więc uwzględniający również prawdopodobieństwo wystąpienia ataku oprogramowaniem ransomware, analizy ryzyka, do czego był, stosownie do zasady rozliczalności wynikającej z art. 5 ust. 2 RODO, zobligowany. Prezes UODO zaznaczył, że nie można rozpatrywać w ujęciu holistycznym analizy ryzyka zaprojektowanego przez Administratora systemu, która "(...) opierała się na bieżącym doradztwie informatycznym świadczonym przez firmę [...]". Administrator nie zidentyfikował zagrożenia związanego z możliwością przełamania zabezpieczeń systemu informatycznego wykorzystywanego w procesach przetwarzania danych osobowych zarówno jego byłych, jak i obecnych pracowników oraz kontrahentów, a następnie ich zaszyfrowania. Administrator nie dostarczył jakichkolwiek dowodów dokumentujących powzięte przez niego czynności, stosownie do zasady rozliczalności wynikającej z art. 5 ust. 2 RODO. Na podstawie zebranego w toku postępowania materiału dowodowego, nie sposób w sposób jednoznaczny stwierdzić, czy wdrożone przez Administratora po wystąpieniu przedmiotowego naruszenia ochrony danych osobowych środki zaradcze zasadzały się na przeprowadzeniu jakichkolwiek testów bezpieczeństwa posiadanych przez niego zasobów. O ich przeprowadzeniu nie może świadczyć jedynie pojawiająca się w wyjaśnieniach Administratora z dnia [...] sierpnia 2021 r. wzmianka o przeprowadzonym przez [...] Sp. z o.o. z siedzibą w [...] audycie bezpieczeństwa środowiska informatycznego Administratora, który zaowocował powstaniem "Raportu na temat stanu środowiska informatycznego w firmie [...]", mającym w zamyśle Administratora stanowić dopiero pewien punkt odniesienia dla wyznaczania kolejnych celów w zakresie bezpieczeństwa informatycznego firmy, tym bardziej, że Administrator nie ujawnił treści ww. dokumentu, pomimo skierowanego do niego w tej sprawie w dniu [...] lipca 2021 r. wezwania. Zdaniem organu nadzorczego, kompleksowa identyfikacja potencjalnych zagrożeń dla procesów przetwarzania danych osobowych i ich odpowiednia klasyfikacja, a następnie wdrożenie na tej podstawie odpowiednich środków technicznych i organizacyjnych w celu zagwarantowania procesom przetwarzania danych osobowych należytego poziomu ochrony stanowi obok ich właściwej weryfikacji, zarówno przed, jak i po uruchomieniu rzeczonych procesów, fundament, na którym opierać się powinien system ochrony danych osobowych w każdej organizacji. W tym kontekście Administrator nie przedstawił żadnych środków dowodowych jednoznacznie uprawdopodabniających fakt wdrożenia przez niego po wystąpieniu przedmiotowego naruszenia ochrony danych osobowych technicznych i organizacyjnych środków bezpieczeństwa z uwzględnieniem ryzyka związanego z możliwością przełamania zabezpieczeń systemu informatycznego wykorzystywanego przez Administratora w procesach przetwarzania danych osobowych, a następnie ich zaszyfrowania. Powyższe stanowi zatem okoliczność, w której nie jest on w stanie w sposób nie budzący wątpliwości wykazać, stosownie do zasady rozliczalności, o której mowa w art. 5 ust. 2 RODO, że dobór tych środków nie nastąpił niejako w sposób dowolny, tj. bez należytego uwzględnienia ryzyka wynikającego z kontekstu realizowanych procesów przetwarzania. Co za tym idzie, tak wdrożone środki mitygujące prawdopodobieństwo wystąpienia naruszenia ochrony danych osobowych, narażają Administratora na realne niebezpieczeństwo, iż przewidziane przez niego działania stanowić będą w rezultacie nieadekwatną próbę reakcji na inherentne ryzyko dla procesów przetwarzania danych osobowych. Z kolei dalsze powstrzymywanie się przez niego od dokonywania ich regularnej ewaluacji (brak jest bowiem jakichkolwiek dowodów na to, że tego typu czynności były w ogóle przez Administratora podejmowane) i wymaganych okolicznościami aktualizacji, stwarza realne zagrożenie wystąpienia naruszenia ochrony danych osobowych w przyszłości. W ocenie Prezesa UODO, niemożność wykazania się przez Administratora dokumentacją odnoszącą się do przeprowadzonych przez niego analiz nie daje podstawy do uznania, że miarkowanie ryzyka dokonane zarówno przed, jak i po wystąpieniu przedmiotowego naruszenia ochrony danych osobowych, w ogóle miało miejsce. Z analizy materiału dowodowego zgromadzonego w toku niniejszego postępowania jasno wynika, że Administrator dokonał oceny stanu bezpieczeństwa systemów informatycznych wykorzystywanych do przetwarzania danych osobowych (vide: "Raport na temat stanu środowiska informatycznego w firmie [...]"), niemniej jednak nie ujawnił on ani treści wzmiankowanego dokumentu, ani daty jego sporządzenia. Jedynie z daty pisma, w którym zawarta została deklaracja o jego powstaniu, tj. [...] sierpnia 2021 r., domniemywać można, że dotyczy on stanu infrastruktury informatycznej funkcjonującej w organizacji Administratora na długo po tym, gdy doszło do przedmiotowego ataku z wykorzystaniem złośliwego oprogramowania [...]. Tym samym, wobec braku przedstawienia przez Administratora wyników poczynionych analiz, nie sposób oceniać ich kompletności. Przyczynkiem zaś do dokonania odpowiednich kwalifikacji w tym zakresie byłby rzetelny opis wszystkich podatności oraz odporności na próby przełamania zabezpieczeń na skutek nieuprawnionego działania osoby trzeciej oraz złośliwego oprogramowania. Z tego powodu sama wzmianka o przeprowadzeniu ewaluacji stanu środowiska informatycznego w firmie [...] przez [...] Sp. z o.o. z siedzibą w [...] na zlecenie Administratora nie posiada żadnej mocy dowodowej i na pewno nie może stanowić o dokonaniu przez niego analizy ryzyka, tym bardziej, że sam Administrator postrzega ww. dokument jako swoisty punkt odniesienia, w oparciu o który "(...) zostały wyznaczone cele do realizacji w najbliższych latach", a zatem - czysto hipotetycznie - traktować go można li tylko jako element przyszłej analizy ryzyka. Według Prezesa UODO, analiza przedstawionego stanu faktycznego jednoznacznie wyklucza należyte spełnienie przez Administratora zasady rozliczalności (art. 5 ust. 2 RODO) tak przed, jak i po zaistnieniu przedmiotowego naruszenia ochrony danych osobowych. Na żadnym bowiem etapie realizowanych przez siebie procesów przetwarzania danych osobowych nie określił on precyzyjnie wszystkich możliwych do zidentyfikowania podatności, przez co wdrożone przez niego przed wystąpieniem przedmiotowego naruszenia ochrony danych osobowych środki bezpieczeństwa okazały się nieskuteczne, doprowadzając do kompromitacji jego infrastruktury informatycznej [...] listopada 2019 r. Z kolei techniczne i organizacyjne środki mitygujące ryzyko ponownego wystąpienia naruszenia ochrony danych osobowych zaimplementowane po tej dacie, również pozbawione są przymiotu adekwatności, albowiem Administrator nie jest w stanie obiektywnie wykazać, że stanowią one właściwą w stosunku do istniejącego ryzyka odpowiedź. Administrator zarówno przed datą [...] listopada 2019 r., jak i później, zaniechał przeprowadzenia analizy ryzyka, uwzględniającej oszacowanie wszystkich zagrożeń związanych z przetwarzaniem przez niego danych osobowych, czego wymaga od niego wprost art. 32 ust. 2 RODO, przesądza o naruszeniu przez niego tego przepisu. Natomiast wdrożenie przez niego środków technicznych i organizacyjnych w celu zapewnienia bezpieczeństwa procesom przetwarzania danych osobowych zachodzących w jego strukturze, w kształcie przedstawionym pismami z dnia [...] kwietnia 2020 r. oraz [...] sierpnia 2021 r., w oderwaniu od tej analizy stawia pod znakiem zapytania zdolność Administratora do wykazania ciągłego zapewniania poufności, integralności, dostępności i odporności systemów i usług przetwarzania (por. wyroki WSA w Warszawie z 26 sierpnia 2020 r. sygn. akt II SA/Wa 2826/19 i 5 października 2023 r. sygn. akt II SA/Wa 502/23). Prezes UODO podniósł, że zapewnienie przez administratora nadzoru i monitorowania systemów informatycznych, nad którymi sprawowanie pieczy zlecone zostało podmiotom zewnętrznym, to jeden z podstawowych środków organizacyjnych, jaki powinien administrator skutecznie wdrożyć w celu zapewnienia bezpieczeństwa danych osobowych zgodnie z wymogami wynikającymi z rozporządzenia 2016/679 (por. wyrok WSA w Warszawie z 6 czerwca 2023 r., sygn. akt II SA/Wa 1939/22, wyrok WSA w Warszawie z 21 czerwca 2023 r. sygn. akt II SA/Wa 150/23). W następstwie niestosowania się przez Administratora do powyższych zasad, nie może on skutecznie wykazywać, że ryzyka immanentnie związane z realizowanymi w jego imieniu i na jego rzecz procesami przetwarzania danych osobowych, były przez niego w sposób ciągły minimalizowane. Niewdrożenie przez Administratora procedur dokonywania zmian w systemach informatycznych wykorzystywanych do przetwarzania danych osobowych pozbawiło go narzędzi skutecznej weryfikacji środków i sposobów realizacji przez Podmiot przetwarzający obowiązków "(...) w zakresie prowadzenia, eksploatacji i konserwacji systemu [...] w przedsiębiorstwie Administratora (...)". Administrator bowiem na żadnym etapie wprowadzanych zmian, zarówno przed jak i po dacie [...] listopada 2019 r., nie prowadził nadzoru nad tym, czy zmiany te faktycznie przebiegają prawidłowo i czy przetwarzane dane osobowe są zabezpieczone przed dostępem osób nieuprawnionych, a przecież taki nadzór stanowi o wdrożeniu środka organizacyjnego w celu zapewnienia bezpieczeństwa procesom przetwarzania danych osobowych. Powyższe zaniechania ze strony Administratora wpłynęły zatem niekorzystnie na jego zdolność do minimalizowania obiektywnego ryzyka uzyskania dostępu przez osoby nieuprawnione do danych przetwarzanych w tym systemie. W konsekwencji wykazane zaniedbania, stanowiące przykład niewywiązywania się przez Administratora z adresowanych wyłącznie do niego obowiązków określonych w art. 24 oraz art. 25 RODO, musi spotkać się z proporcjonalną reakcją ze strony organu nadzorczego niezależnie od faktu, iż nie stanowiły one bezpośredniej przyczyny wystąpienia przedmiotowego naruszenia ochrony danych osobowych, którą było zainfekowanie jednego z komputerów pracowniczych "(...) oprogramowaniem przechwytującym hasła (keylogger) "(...) z powodu (prawdopodobnie przypadkowego) wyłączenia licencjonowanego programu antywirusowego [...] przez któregoś z pracowników Administratora." Zebrany w sprawie materiał dowodowy nie wykazuje również, aby Administrator przeprowadzał w podmiocie przetwarzającym audyty, w tym inspekcje, w celu sprawdzenia, czy wspólnicy [...] s.c. w sposób prawidłowy realizują swoje obowiązki wynikające z RODO, w tym czy zapewniają stosowanie środków wymaganych na mocy art. 32 RODO. Możliwość przeprowadzenia takich audytów, w tym inspekcji, wynika z art. 28 ust. 3 lit. h) RODO, stosownie do którego, umowa powierzenia przetwarzania danych osobowych ma stanowić, że podmiot przetwarzający udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich. Przepis ten wyposaża zatem administratorów w instrumentarium, które pozwala im wykazać, że proces przetwarzania danych podlegających powierzeniu będzie zgodny z przepisami RODO, a oni unikną odpowiedzialności za ich naruszenie. Przeprowadzanie przez administratora w podmiocie przetwarzającym audytów, w tym inspekcji, należy traktować jako jeden z istotniejszych środków bezpieczeństwa, jakie powinien zastosować administrator w celu prawidłowego wywiązania się ze swoich obowiązków wynikających z art. 32 ust. 1 RODO, którego w omawianym przypadku zabrakło. Administrator powinien był w czasie korzystania przez niego z usług podmiotu przetwarzającego dysponować wiedzą, czy i w jaki sposób podmiot, któremu powierzył przetwarzanie danych osobowych, spełnia wymogi określone w RODO. Najskuteczniejszym sposobem jej przyswojenia byłoby skorzystanie przez Administratora z oferowanej w § 4, łączącej go z podmiotem przetwarzającym "Umowy powierzenia przetwarzania danych osobowych", możliwości dokonywania w organizacji procesora stosownych audytów, w tym inspekcji. Takich środków bezpieczeństwa Administrator jednak nie zastosował, co w konsekwencji także stanowi o naruszeniu przez niego art. 32 ust. 1 lit. d) RODO. Co więcej, stosowanie ww. środków jest powiązane z obowiązkiem administratora danych wynikającym z art. 28 ust. 1 RODO, co z kolei oznacza, że jego wykonanie ma także potwierdzić, czy podmiot przetwarzający w dalszym ciągu daje gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Brak realizacji audytów, w tym inspekcji, w podmiocie przetwarzającym oznacza w konsekwencji naruszenie przez Administratora nie tylko przepisu art. 28 ust. 1 RODO, lecz także przepisu art. 25 ust. 1 RODO, który obliguje go do wdrażania odpowiednich środków technicznych i organizacyjnych, zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania, pomimo że - jak wynika z utrwalonego materiału dowodowego - stosunek powierzenia przetwarzania danych osobowych pomiędzy Administratorem a wspólnikami [...] s.c. nie został do dzisiaj w sposób formalny zakończony. Administrator nie przedstawił żadnych dowodów uprawdopodobniających przeprowadzanie w podmiocie przetwarzającym audytów, w tym inspekcji. Prezes UODO, mając na względzie powyższą argumentację, uznał, że niewdrożenie przez Administratora stosownych procedur zapewniających bezpieczeństwo przetwarzanych w systemie informatycznym [...] danych osobowych oraz brak nadzoru nad podmiotem przetwarzającym "(...) w zakresie prowadzenia, eksploatacji i konserwacji systemu [...] w przedsiębiorstwie Administratora (...)" przesądza o naruszeniu wymogów stawianych w art. 32 RODO. Zdaniem organu, przeprowadzenie przez Administratora przed wystąpieniem przedmiotowego naruszenia ochrony danych osobowych zaledwie jednego szkolenia dla zatrudnionych w jego organizacji osób nie może być uznane za wdrożenie środka skutecznie ograniczającego ryzyko ataku o charakterze ransomware. Szkolenie to miało miejsce [...] czerwca 2018 r., a więc odbyło się na 17 miesięcy przed wystąpieniem w dacie [...] listopada 2019 r. ataku z użyciem złośliwego oprogramowania "[...]". Nie można więc przyjąć, że zastosowany przez Administratora środek organizacyjny w sposób wystarczający kształtował świadomość osób zobowiązanych do ochrony danych osobowych i stosowania procedur określających środki bezpieczeństwa tych danych. Przeprowadzanie przed wystąpieniem przedmiotowego naruszenia ochrony danych osobowych tylko jednego szkolenia, w dodatku w sposób opisany powyżej, sprawiło, że zastosowany przez Administratora organizacyjny środek bezpieczeństwa nie przyczynił się do obniżenia ryzyka wystąpienia przedmiotowego naruszenia ochrony danych osobowych, co przesądza o niemożności wykazania przez niego spełnienia określonych na gruncie RODO wymogów w zakresie zapewnienia procesom przetwarzania danych osobowych adekwatnego do ryzyka poziomu ochrony i w konsekwencji naruszeniu zasady rozliczalności (art. 5 ust. 2 RODO). Prezes UODO stwierdził, że ze zgromadzonego w niniejszej sprawie materiału dowodowego wynika, iż nie były podejmowane działania mające na celu zapewnienie najbardziej aktualnych wersji użytkowanego oprogramowania. W ocenie organu, Administrator mógł uniknąć zdarzenia z dnia [...] listopada 2019 r., gdyby nie tylko odpowiednio wcześniej zadbał o aktualizację używanych przez siebie systemów operacyjnych do najnowszych dostępnych i stabilnych wersji, ale też w porę odebrał użytkownikom stacji roboczych uprawnienia umożliwiające ingerencję w pracę systemu [...], łączącego - w zależności od zastosowanej wersji - funkcje firewall i programu antywirusowego, a więc oprogramowania kluczowego z punktu widzenia ochrony systemów wykorzystywanych w procesach przetwarzania danych osobowych, a nade wszystko sprawował regularny nadzór nad sposobami wykorzystywania służbowych zasobów. Zdaniem organu, dokonane ustalenia nie dają podstawy do stwierdzenia, że stosowane przez Administratora środki techniczne i organizacyjne w celu zapewnienia bezpieczeństwa procesom przetwarzania danych osobowych były adekwatne do stanu wiedzy technicznej, kosztów wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania. Ponadto, środki te - w ocenie Prezesa UODO - nie były w odpowiedni sposób poddawane przeglądom i uaktualniane, co w konsekwencji nie zapewniało skutecznej realizacji zasad ochrony danych. Prezes UODO zwrócił też uwagę na opieszałość Administratora w dążeniach do realizacji obowiązków określonych w art. 32 ust. 1 lit. c) i d) RODO, a związanych ze zdolnością do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego oraz regularnym testowaniem tworzonych kopii bezpieczeństwa. Zauważył bowiem, że odzyskanie przez Administratora dostępu do danych nastąpiło po upływie aż 4 dni od ich zaszyfrowania. Okoliczność ta daje asumpt do postawienia tezy, zgodnie z którą - wobec niewdrożenia przez Administratora odpowiednich procedur dotyczących odzyskiwania danych z kopii zapasowych w razie wystąpienia naruszenia ochrony danych osobowych - był on pozbawiony realnej zdolności do szybkiego odtworzenia czasowo utraconych danych. Niespełnienie przez Administratora wymogu posiadania zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego wpisuje się w szerszy kontekst niewłaściwej realizacji przez Administratora przewidzianego w art. 32 ust. 1 lit. d) RODO obowiązku. Powstrzymując się bowiem od dokonywania regularnego testowania, mierzenia i oceniania skuteczności zastosowanych środków technicznych i organizacyjnych, mających zapewnić bezpieczeństwo zachodzącym w jego strukturze procesom przetwarzania danych osobowych, Administrator nie mógł przed datą wystąpienia przedmiotowego naruszenia ochrony danych osobowych wykazywać się wiedzą w zakresie rozwiązań dotyczących segmentacji sieci. Tymczasem, wdrożenie ich w kształcie przytoczonym przez Administratora w piśmie z dnia [...] kwietnia 2020 r., tj. "(...) wprowadzenie segmentów sieci, i oddzielenie ich od siebie poprzez reguły zapory sieciowej, wydzielenie sieci dla gości (...)", a więc dopiero po wystąpieniu przedmiotowego ataku ransomware, mogło - jeżeli nie zapobiec - to przynajmniej istotnie ograniczyć rozmiar negatywnych skutków dla osób fizycznych w związku z 4-dniowym brakiem dostępności ich danych osobowych. W tym kontekście zasadne pozostaje również postawienie Administratorowi zarzutu niezdolności do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania (art. 32 ust. 1 lit. b) RODO). Prezes UODO podniósł, że Administrator nie przedstawił żadnych środków dowodowych jednoznacznie uprawdopodabniających fakt wdrożenia wyżej opisanych technicznych środków bezpieczeństwa, z uwzględnieniem ryzyka związanego z możliwością przełamania zabezpieczeń systemu informatycznego wykorzystywanego przez Administratora w procesach przetwarzania danych osobowych, a następnie ich zaszyfrowania. Tym samym, nie jest on w stanie w sposób nie budzący wątpliwości wykazać, że środki te stanowią nie dowolną, lecz rzeczywiście adekwatną reakcję na istniejące ryzyko związane z możliwością ponownej utraty dostępności przetwarzanych przez niego danych osobowych. Co więcej, oderwanie wdrożonych środków technicznych w opisanym wyżej kształcie od analizy ryzyka, przy jednoczesnym braku dowodów na poddawanie ich przez Administratora okresowym ewaluacjom, ponownie stawia pod znakiem zapytania jego zdolność do wykazania ciągłego zapewniania poufności, integralności, dostępności i odporności systemów i usług przetwarzania. W konsekwencji, aktualność swoją zachowuje nakreślona wyżej argumentacja i związany z nią zarzut niedochowania przez Administratora zasady rozliczalności określonej w art. 5 ust. 2 RODO. Mając powyższe na uwadze, Prezes UODO wystosował względem Administratora - stosownie do treści art. 58 ust. 2 lit. d) RODO - nakaz dostosowania operacji przetwarzania do przepisów RODO, poprzez wykonanie analizy ryzyka uwzględniającej zagrożenia związane z zainstalowaniem złośliwego oprogramowania ingerującego w dostępność danych osobowych, następnie wdrożenie na podstawie przeprowadzonej analizy ryzyka adekwatnych rozwiązań w celu pełnego zabezpieczenia serwerów wykorzystywanych przez Administratora w procesach przetwarzania danych osobowych oraz wdrożenie odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego. Prezes UODO, oceniając współodpowiedzialność podmiotu przetwarzającego (wspólników [...] s.c., tj. M. C., J. M. oraz K. S.) za zaistnienie przedmiotowego naruszenia ochrony danych osobowych, brał pod uwagę brak spisanej umowy o świadczenie usług, które wykonywane miały być przez wspólników [...] na rzecz Administratora co najmniej od 2010 roku (...)" - w odniesieniu do ujawnionej treści zawartej [...] maja 2018 r. "Umowy powierzenia przetwarzania danych osobowych". Organ w związku z tym wskazał, iż z § 2 pkt 2 ww. dokumentu wynika, że powierzenie przez Administratora przetwarzania danych osobowych w jego imieniu i na jego rzecz wspólnikom [...] s.c. miało miejsce w celu realizacji umowy w zakresie prowadzenia, eksploatacji i konserwacji systemu [...] w przedsiębiorstwie Administratora oraz należytego wypełnienia obowiązku wobec ustawowo umocowanych organów państwowych, co nie jest równoznaczne ze sprawowaniem pieczy nad całą infrastrukturą informatyczną w strukturze Administratora, w której niejako obok głównego stosunku powierzenia przetwarzania danych osobowych, dochodziłoby do świadczenia przez [...] s.c. usług z dziedziny IT na zlecenie Administratora. Hipoteza ta nie znajduje jednak potwierdzenia w zgromadzonym materiale dowodowym, w którym nie został utrwalony jakikolwiek ślad istnienia nieformalnych nawet inicjatyw ze strony Administratora, mających na celu uzyskanie od podmiotu przetwarzającego pomocy w wywiązywaniu się przez Administratora z obowiązków określonych w art. 32-36 RODO. Trudno też racjonalnie zakładać, że podmiot przetwarzający działałby poza mandatem określonym art. 28 ust. 3 lit. a) RODO, wynikającym wyłącznie z udokumentowanego polecenia Administratora. Z tych względów nie sposób też uznać prawdziwości oświadczenia Administratora, odnoszącego się do istnienia zobowiązania Podmiotu przetwarzającego do dokonania audytu bezpieczeństwa oraz sporządzenia w tym zakresie raportu, skoro ww. "Umowa powierzenia przetwarzania danych osobowych" w żaden sposób tego od niego nie wymagała. Nie sposób także nie zauważyć, iż bezpośrednią przyczyną incydentu bezpieczeństwa w dniu [...] listopada 2019 r., który doprowadził do naruszenia ochrony danych osobowych przetwarzanych w systemach informatycznych Administratora, było zainfekowanie jednego z komputerów pracowniczych "(...) oprogramowaniem przechwytującym hasła (keylogger) (...) z powodu (prawdopodobnie przypadkowego) wyłączenia licencjonowanego programu antywirusowego [...] przez któregoś z pracowników Administratora", za co odpowiedzialność ponosi Administrator. Dopuścił on bowiem do sytuacji, w której nadanie użytkownikom końcowym uprawnień niezgodnych z ich służbowym zaszeregowaniem, umożliwiło im ingerencję w pracę oprogramowania antywirusowego, czego Administrator nie mógł być świadom, albowiem w momencie wystąpienia przedmiotowego naruszenia ochrony danych osobowych, nie wykazywał się jeszcze technicznym instrumentarium, pozwalającym na sprawowanie skutecznego nadzoru nad sposobami wykorzystywania służbowych zasobów przez swoich pracowników. Nie bez znaczenia pozostaje też kwestia braku szkoleń z zakresu cyber security awarness dla zatrudnionych w organizacji Administratora osób, które gdyby były przez niego prowadzone, stanowiłyby o wdrożeniu adekwatnych do ryzyka związanego z procesami przetwarzania danych osobowych, organizacyjnych środków bezpieczeństwa, za co również wyłączną odpowiedzialność ponosi Administrator. Wykorzystanie z kolei przez sprawców podatności "(...) serwera Windows 2008 SBS, który od dłuższego czasu był nie aktualizowany stanowi zaś kolejny przejaw, leżących po stronie Administratora zaniedbań, który jako gospodarz procesów przetwarzania danych osobowych, nie zadbał odpowiednio o bieżącą aktualizację oprogramowania, za implementację której nie ponoszą odpowiedzialności wspólnicy [...] s.c., gdyż w świetle zapisów łączącej ich z Administratorem "Umowy powierzenia przetwarzania danych osobowych" z dnia [...] maja 2018 r., potwierdzonych treścią ich zgodnych oświadczeń datowanych na [...] lipca 2022 r., byli oni odpowiedzialni nie za obsługę i konserwację - pozostającego w strukturze własnej Administratora - serwera Windows 2008 SBS, a za działania "(...) w zakresie prowadzenia, eksploatacji i konserwacji systemu [...] w przedsiębiorstwie Administratora", które - co istotne - nie obejmowały uprawnienia do ingerencji we wdrożone przez Administratora techniczne środki bezpieczeństwa. W ocenie organu nadzorczego, okoliczności faktyczne sprawy nie dają podstaw do uznania, że utrzymanie i zabezpieczenie infrastruktury informatycznej serwera [...], na którym doszło do wystąpienia przedmiotowego naruszenia ochrony danych osobowych i na którym posadowiony był system [...], nie należało do Administratora. Potwierdza to domyślnie fakt, że to Administrator we własnym zakresie podjął po [...] listopada 2019 r. - w zakresie zabezpieczeń technicznych - szereg działań mających na celu usunięcie skutków przedmiotowego naruszenia ochrony danych osobowych i zapobieżenia zaistnienia podobnych w przyszłości (w szczególności zmienił nieaktualny system Windows 2008 SBS na Windows 2019). Fakt, iż Podmiotowi przetwarzającemu powierzono dane osobowe do przetwarzania w systemie [...], w zakresie pracy którego nie stwierdzono (w przeciwieństwie do pracy oprogramowania serwera, na którym program [...] był zainstalowany) braku adekwatnych środków minimalizujących ryzyko wystąpienia naruszenia ochrony danych osobowych, wyłącza - w ocenie Prezesa UODO - możliwość przypisania Podmiotowi przetwarzającemu odpowiedzialności za niewdrożenie organizacyjnych i technicznych środków bezpieczeństwa w ramach powierzonego mu procesu przetwarzania. Z powyższych względów nie sposób też podejmować próby kształtowania solidarnej odpowiedzialności Podmiotu przetwarzającego za wykazane Administratorowi zaniedbania w zakresie wdrożonych przez niego organizacyjnych i technicznych środków bezpieczeństwa. Brak podstaw dla przyjęcia solidarnej odpowiedzialności M.C., J. M. oraz K. S. za wykazane Administratorowi zaniedbania w zakresie doboru nieskutecznych zabezpieczeń systemu informatycznego wykorzystywanego do przetwarzania danych osobowych oraz braku odpowiedniego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzanych danych osobowych w systemach informatycznych objętych naruszeniem, w szczególności w zakresie podatności, błędów oraz ich możliwych skutków dla tych systemów oraz podjętych działań minimalizujących ryzyko ich wystąpienia, nie jest równoznaczne brakiem odpowiedzialności wspólników [...] za nieudzielanie pomocy Administratorowi w wywiązywaniu się przez niego z obowiązku wdrożenia adekwatnych środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych osobowych, tj. za naruszenie art. 28 ust. 3 lit. f) w związku z art. 32 ust. 1 i 2 RODO. Z materiału dowodowego w sposób jednoznaczny wynika, iż system [...] posadowiony był na serwerze [...], na którym doszło do wystąpienia przedmiotowego naruszenia ochrony danych osobowych, korzystającym z oprogramowania Microsoft Windows 2008 SBS, a więc architektury informatycznej posiadającej szereg powszechnie znanych błędów bezpieczeństwa. Wspólnicy [...], mając świadomość tego faktu, instalując aplikację kliencką [...] na komputerach użytkowników, powstrzymywali się od przekazywania Administratorowi informacji o występujących w oprogramowaniu Microsoft Windows 2008 SBS podatnościach. Tak więc, do wystąpienia przedmiotowego naruszenia ochrony danych osobowych przyczyniło się w sposób istotny, nacechowane rażącym wręcz niedbalstwem, działanie ze strony wspólników [...], którzy – jak ustalono - świadczyli na rzecz Administratora usługi wsparcia informatycznego w odniesieniu do systemu [...]. W normalnym toku czynności i zgodnie z podejściem opartym na ryzyku, winni oni byli bowiem, szczególnie jako profesjonaliści z dziedziny IT, przewidywać na podstawie przeprowadzonej analizy ryzyka skutki, jakie może nieść dla bezpieczeństwa powierzonych im danych osobowych, oparcie procesów ich przetwarzania na rozwiązaniach nie dających wystarczającej rękojmi bezpieczeństwa. Wspólnicy [...] nie mogli we własnym zakresie i w ramach świadczonych Administratorowi usług informatycznych, usunąć podatności oprogramowania serwera, na którym zainstalowany został system [...]. Mając jednak świadomość ich występowania, nie powiadomili oni o tym fakcie Administratora, co wyklucza możliwość przyjęcia, że Podmiot przetwarzający wywiązał się z obowiązku udzielania Administratorowi "pomocy" uwzględniającej "dostępne mu informacje", co stanowi o naruszeniu przez wspólników [...] adresowanych wyłącznie do podmiotu przetwarzającego obowiązków określonych w art. 28 ust. 3 lit. f) RODO. Niedochowanie zaś przez Podmiot przetwarzający ciążącym na nim powinnościom w powyższym zakresie, statuuje na gruncie wskazanego przepisu RODO jego odrębną odpowiedzialność o charakterze publicznoprawnym, a więc pozostającą w oderwaniu od jego obowiązków obligacyjnych i stanowiącą samoistną podstawę do zastosowania przez organ nadzorczy sankcji, stosownie do art. 83 ust. 4 lit. a) RODO. Organ stwierdził, że w ustalonych warunkach faktycznych o środkach i sposobach wdrażanych rozwiązań w zakresie prowadzenia, eksploatacji i konserwacji systemu [...] w przedsiębiorstwie Administratora decydowali w istocie wspólnicy [...]. Dowolność wyboru stosowanych rozwiązań przez Podmiot przetwarzający nie powinna jednak dziwić, skoro Administrator, który powinien był pozycjonować się w roli gospodarza realizowanych w jego imieniu i na jego rzecz procesów przetwarzania danych osobowych, nie nakreślił precyzyjnych ram kooperacji z Podmiotem przetwarzającym, zaś brak wdrożonych procedur dotyczących kontroli prawidłowości podejmowanych przez Podmiot przetwarzający czynności, pogłębiał tylko ten stan, nacechowany brakiem odpowiedniego rozeznania w działaniach ww. podmiotu ze strony Administratora. Jak wynika z ustaleń w sprawie, współpraca Administratora z Podmiotem przetwarzającym rozpoczęła się na długo przed wejściem w życie przepisów RODO, tj. trwała od co najmniej 2010 r. Z wyjaśnień Administratora wynika, że zawarcie umowy z tym podmiotem zostało poprzedzone analizą jego doświadczenia zawodowego w obszarze dostarczania rozwiązań informatycznych. Organ zwrócił uwagę, że w poprzednim stanie prawnym zdefiniowane były inne wymagania względem podmiotu przetwarzającego, inne zaś obowiązują od [...] maja 2018 r., tj. od momentu rozpoczęcia stosowania RODO. Zatem dotychczasowa, pozytywnie oceniana współpraca, stanowić może jedynie punkt wyjścia przy dokonywaniu weryfikacji, czy podmiot przetwarzający zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i przede wszystkim chroniło prawa osób, których dane dotyczą. Określony w art. 28 ust. 1 RODO wymóg bezwzględnie obowiązuje bowiem każdego administratora danych, który w ramach prowadzonej działalności korzysta z zasobów lub usług podmiotu przetwarzającego podczas przetwarzania danych osobowych. Z obowiązku przeprowadzenia takiej oceny nie zwalnia fakt wieloletniej współpracy i korzystania z usług danego podmiotu przetwarzającego przed dniem [...] maja 2018 r., tj. przed rozpoczęciem stosowania przepisów RODO. Administrator takiej weryfikacji nie przeprowadził, poprzestając na pozytywnej ocenie Podmiotu przetwarzającego, będącej efektem dotychczasowej współpracy nawiązanej na długo przed rozpoczęciem stosowania przepisów RODO. Brak dokonania tej oceny przez Administratora równoznaczny jest naruszeniu przez niego obowiązku określonego w art. 28 ust. 1 RODO. Samo podpisanie umowy powierzenia przetwarzania danych osobowych bez dokonania odpowiedniej oceny podmiotu przetwarzającego nie może być postrzegane przez pryzmat należytej realizacji przez Administratora obowiązku przeprowadzenia postępowania weryfikującego Podmiot przetwarzający pod kątem spełnienia przez niego wymogów RODO. Długotrwała współpraca stron, niepoparta okresowym, systematycznym przeprowadzaniem audytów bądź inspekcji, nie gwarantuje, że podmiot przetwarzający zrealizuje w sposób prawidłowy zadania wymagane przepisami prawa oraz wynikające z zawartej umowy powierzenia. Tak jak w przedmiotowej sprawie, gdzie zarzut wysuwany przez Administratora względem wspólników [...], dotyczący niewykonania bądź niewłaściwego wykonania przez ten podmiot ciążących na nim obowiązków, pojawił się dopiero w piśmie z dnia [...] kwietnia 2020 r., stawiając pod znakiem zapytania kwestię wcześniejszego dokonywania przez niego kontroli zgodności realizowanych w jego imieniu i na jego rzecz procesów przetwarzania danych osobowych. Zdaniem organu, odpowiedzialność za zastosowanie odpowiednich, czyli adekwatnych do istniejącego ryzyka, środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzanych danych osobowych rozciąga się na wszystkie podmioty uczestniczące w procesach przetwarzania danych osobowych, a więc w tej konkretnej sprawie na Administratora oraz osoby będące w dacie [...] listopada 2019 r. wspólnikami [...]. W konsekwencji tego założenia, organ stwierdził, że zarówno Administrator, jak i Podmiot przetwarzający, powinni byli zweryfikować, czy dane osobowe zostały odpowiednio zabezpieczone przed możliwym atakiem o charakterze ransomware. Brak takiej weryfikacji oraz niewdrożenie na jej kanwie środków technicznych i organizacyjnych, mających na celu skuteczne zabezpieczenie danych osobowych przetwarzanych w systemie [...], a za takie nie może być wszak uznane wykorzystywanie w procesach stronie Administratora, jak i Podmiotu przetwarzającego zaniechania dotyczące przeprowadzenia analizy ryzyka na potrzeby prowadzenia, eksploatacji i konserwacji systemu [...], określenia i zastosowania adekwatnych środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo procesom przetwarzania realizowanym z wykorzystaniem tego oprogramowania oraz weryfikacji skuteczności posiadanych zabezpieczeń infrastruktury informatycznej Administratora, skutkowały naruszeniem przez ww. podmioty art. 32 ust. 1 i 2 RODO. Według Prezesa UODO, poczynione w niniejszej sprawie ustalenia nie dają podstawy do stwierdzenia, że stosowane przez Administratora środki organizacyjne w celu zapewnienia bezpieczeństwa danych osobowych były adekwatne do stanu wiedzy technicznej, kosztów wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania, co w konsekwencji nie zapewniało skutecznej realizacji zasad ochrony danych osobowych. W konsekwencji, Administrator nie wdrożył odpowiednich środków organizacyjnych mających w sposób nieprzerwany zapewnić bezpieczeństwo przetwarzania danych osobowych znajdujących się w systemie informatycznym [...], co z kolei stanowi naruszenie art. 32 ust. 1 i 2 RODO. Za wdrożenie takiego środka nie można przy tym uznać poprzestanie przez Administratora na zawarciu z Podmiotem przetwarzającym w dniu [...] maja 2018 r. Umowy powierzenia przetwarzania danych osobowych, albowiem w Wytycznych 07/2020 EROD wyraźnie wskazała, że: "Chociaż elementy określone w art. 28 rozporządzenia stanowią jego podstawową treść, umowa powinna być dla administratora i podmiotu przetwarzającego sposobem na dalsze wyjaśnienie sposobu wdrożenia tych zasadniczych elementów za pomocą szczegółowych instrukcji". Formułowanie tych szczegółowych instrukcji przypisywać należy administratorom, ustalającym na gruncie art. 4 pkt 7 RODO cele i sposoby przetwarzania danych osobowych, również w odniesieniu do procesów dokonywanych w ich imieniu i na ich rzecz przez podmioty zewnętrzne. W przedmiotowej sprawie Administrator, wobec braku stosowania procedur zapewniających bezpieczeństwo przetwarzanych danych w procesie zmian dokonywanych w systemie informatycznym [...], w którym te dane są przetwarzane oraz brak nadzoru nad Podmiotem przetwarzającym w zakresie prowadzenia, eksploatacji i konserwacji systemu [...] w przedsiębiorstwie Administratora, niewłaściwie wywiązał się ze swej roli w zakresie wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z RODO oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak aby spełniać wymogi tego aktu, czym uchybił obowiązkom przewidzianym przepisami art. 24 ust. 1 i art. 25 ust. 1 RODO. W konsekwencji powyższych zaniechań naruszona została przez Administratora, wyrażona w art. 5 ust. 1 lit. f) RODO, zasada integralności i poufności. Nie mogąc z kolei wykazać, że zachodzącym w jego organizacji procesom przetwarzania danych osobowych odpowiada adekwatny poziom bezpieczeństwa, Administrator naruszył zasadę rozliczalności, o której mowa w art. 5 ust. 2 RODO. Prezes UODO stwierdził, że przyczyn wystąpienia przedmiotowego naruszenia ochrony danych osobowych poszukiwać należy również w procesach związanych bezpośrednio z niewłaściwym wypełnianiem przez wspólników [...] zobowiązań umownych w zakresie prowadzenia, eksploatacji i konserwacji systemu [...] w przedsiębiorstwie Administratora. W tym kontekście, o przypisaniu ww. osobom współodpowiedzialności za materializację w dniu [...] listopada 2019 r. ryzyka związanego z atakiem ransomware na infrastrukturę informatyczną Administratora decyduje okoliczność, w której na podstawie zawartej w dniu [...] maja 2018 r. Umowy powierzenia przetwarzania danych osobowych, spółka [...] była odpowiedzialna za dostarczenie serwera bazy danych, licencji, wdrożenie i prace serwisowe związane z systemem [...]. Tymczasem, zarówno Administrator, jak i działający w jego imieniu i na jego rzecz wspólnicy [...], powinni byli wykazywać się wdrożeniem środków technicznych zapewniających bezpieczeństwo przetwarzanych w systemie [...] danych osobowych, co nie miało miejsca. Dokonane w toku postępowania ustalenia dały organowi asumpt do stwierdzenia, iż powstrzymując się od wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z RODO oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, Administrator nie mitygował należycie inherentnego ryzyka związanego z procesami przetwarzania danych osobowych. Wspólnicy [...] natomiast, mimo posiadanej przez siebie wiedzy odnośnie do wykorzystywanego w procesach przetwarzania danych nieaktualizowanego i stąd podatnego na zagrożenia (które ostatecznie się zmaterializowały) oprogramowania serwera, nie zrobili nic, aby temu przeciwdziałać. Stanowi to o uchybieniu przez nich wymogom stawianym na gruncie art. 28 ust. 3 lit. f) w związku z art. 32 ust. 1 i 2 RODO, rozumianym jako obowiązek wspierania administratora w jego poczynaniach mających na celu wdrożenie adekwatnych do istniejącego ryzyka technicznych i organizacyjnych środków bezpieczeństwa dla procesów przetwarzania danych osobowych. Powyższe nie umniejsza jednocześnie, wobec udowodnionych zaniechań ze strony Podmiotu przetwarzającego, konieczności przypisania Administratorowi naruszenia przepisu art. 28 ust. 1 RODO, albowiem nie monitorował on wspólników [...], pod kątem tego, czy zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Prezes UODO w toku postępowania administracyjnego dopatrzył się również uchybień ze strony Administratora w zakresie zawiadomienia swoich byłych, jak i obecnych pracowników o fakcie naruszenia ochrony ich danych osobowych. Administrator, przekazując [...] marca 2020 r. byłym i obecnym pracownikom (tj. łącznie ok. 200 osobom) "Informację o naruszeniu danych osobowych", nie zrobił tego z uwzględnieniem wszystkich wymogów z art. 34 ust. 2 RODO. Administrator bowiem powinien był, przyjmując perspektywę ochrony interesów podmiotów danych oraz wykazując się daleko idącą ostrożnością, przekazać im całość wymaganych prawem informacji. Tymczasem, analiza treści zawiadomienia, skierowanego w dniu [...] marca 2020 r., do osób, których dane dotyczą, wykazuje, że Administrator wskazał co prawda byłym, jak i obecnym pracownikom pewne możliwe konsekwencje naruszenia oraz środki zaradcze, jakie mogą oni podjąć w celu zminimalizowania negatywnych konsekwencji przedmiotowego naruszenia ochrony danych, jednakże - w ocenie organu nadzorczego - środki te pozostają nieadekwatne w stosunku do zaistniałego w związku z przedmiotowym naruszeniem ryzyka. Nie odnosząc się bowiem do wszystkich ujawnionych kategorii danych, w szczególności tych, których nieuprawnione wyjawienie wiąże się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych, tj. zestawu danych w zakresie nr PESEL, imienia i nazwiska, nie minimalizują dostatecznie jego negatywnych skutków. W wyniku przedmiotowego naruszenia ochrony danych osobowych mogło dojść do naruszenia poufności numeru PESEL, czyli jedenastocyfrowego symbolu numerycznego, pozwalającego nie tylko na jednoznaczną identyfikację osób fizycznych, ale zawierającego też datę urodzenia oraz oznaczenie płci tych osób, a więc informacje ściśle powiązane ze sferą ich prywatności. Ponadto w wyniku zaistniałego naruszenia ochrony danych osobowych - z dużą dozą prawdopodobieństwa - utracona mogła zostać poufność tego numeru ewidencyjnego wraz z imionami i nazwiskami byłych oraz obecnych pracowników Administratora na rzecz nieustalonych sprawców ataku na jego infrastrukturę informatyczną, a przecież już samo to zestawienie danych osobowych bywa wystarczające do "podszycia się" pod osobę, której dane dotyczą i zaciągnięcia w jej imieniu i na jej szkodę, np. zobowiązań pieniężnych Nie można przy tym pominąć faktu, że przedmiotowe naruszenie ochrony danych dotyczyło jeszcze szerszego katalogu danych osobowych byłych i obecnych pracowników Administratora, obejmując - zgodnie z jego deklaracją - również takie ich kategorie jak: imiona rodziców, data urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, email, seria i numer dowodu osobistego, numer telefonu, co w połączeniu z przestępnym działaniem osób, które potencjalnie weszły w posiadanie ww. informacji dotyczących członków personelu Administratora, podnosi tylko potencjalną powagę ryzyka naruszenia praw lub wolności osób, których dane dotyczą. W przypadku jakichkolwiek wątpliwości, co do wykonania obowiązków przez administratorów - w tym również w sytuacji, gdy doszło do naruszenia ochrony danych osobowych - należy w pierwszej kolejności, odwołując się do wykładni celowościowej RODO, brać pod uwagę wyrażoną w art. 1 ust. 2 tego aktu prawnego regułę, zgodnie z którą podstawowym celem unormowań w nim zawartych pozostaje zawsze ochrona podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do ochrony danych osobowych. Jako egzemplifikację stanu przeciwnego do postulowanego przez unijnego prawodawcę należy więc wskazać przekazaną przez Administratora w dniu [...] marca 2020 r. osobom, których dane dotyczą, treść zawiadomienia o naruszeniu ochrony ich danych osobowych, w której Administrator nie wymienił wszystkich możliwych do przewidzenia konsekwencji zaistniałego naruszenia ochrony danych osobowych oraz nie sformułował na ich podstawie odpowiadających im zaleceń odnośnie do działań, jakie osoby, których dane dotyczą, mogą podjąć w celu pełnego zabezpieczenia swojej sfery prywatności, pozbawiając je tym samym możliwości skutecznego przeciwdziałania potencjalnym szkodom. Powyższe stanowi naruszenie przez Administratora przepisu art. 34 ust. 2 RODO, który ma na celu nie tylko zapewnienie możliwie najskuteczniejszej ochrony podstawowych praw lub wolności podmiotów danych, ale także realizację zasady przejrzystości, która wynika z art. 5 ust. 1 lit. a) RODO (por. Chomiczewski Witold (w:) RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak - Jomaa, D. Lubasz, Warszawa 2018). Właściwe wywiązanie się z obowiązku określonego w art. 34 RODO ma zapewnić osobom, których dane dotyczą, szybką i przejrzystą informację o naruszeniu ochrony ich danych osobowych wraz z opisem możliwych konsekwencji naruszenia ochrony danych osobowych oraz środków, jakie mogą one podjąć w celu zminimalizowania jego ewentualnych negatywnych skutków, które - biorąc pod uwagę zarówno zakres kategorii danych osobowych objętych przedmiotowym naruszeniem ochrony danych osobowych, jak i kontekst przetwarzania, w ramach którego doszło do jego wystąpienia - okazać się mogą brzemienne w skutkach, np. poprzez zaciągnięcie zobowiązań finansowych na szkodę byłych i obecnych pracowników Administratora. Należy zatem podkreślić, że postępując zgodnie z prawem i wykazując dbałość o interesy osób, których dane dotyczą, Administrator powinien był zatem bez dalszej zwłoki zapewnić osobom, których dane dotyczą, możliwość jak najlepszej ochrony danych osobowych. Dla osiągnięcia tego celu konieczne zaś było przynajmniej wskazanie wymienionych w art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c) i d) RODO informacji, z którego to obowiązku Administrator się nie wywiązał i to pomimo skierowanego do niego w tej sprawie w dniu [...] marca 2020 r. przez Prezesa UODO wystąpienia. Analiza przedstawionego stanu faktycznego ujawniła również, że Administrator do chwili obecnej nie podejmował już żadnych dalszych prób, zmierzających do przekazania swoim byłym, jak i obecnym pracownikom pełnowartościowego, tj. z uwzględnieniem wszystkich wymienionych na gruncie art. 34 ust. 2 RODO w związku z art. 33 ust. 3 lit. c) i d) RODO elementów, komunikatu, pomimo, iż po lekturze wystąpienia skierowanego do niego [...] marca 2020 r. przez Prezesa UODO, powinien wykazywać się już wiedzą odnośnie do prawideł zawiadamiania osób, których dane dotyczą, o naruszeniu ochrony ich danych osobowych. Administracyjna kara pieniężna wobec Z. R., prowadzącego działalność gospodarczą pod firmą [...] z siedzibą w [...], nałożona została za naruszenie art. 25 ust. 1, art. 28 ust. 1, art. 32 ust. 1 i 2 oraz art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c) i d) RODO, na podstawie przytoczonego wyżej art. 83 ust. 4 lit. a) RODO, natomiast za naruszenie art. 5 ust. 1 lit. f) i art. 5 ust. 2 RODO - na podstawie art. 83 ust. 5 lit. a) tego rozporządzenia. Natomiast administracyjna kara pieniężna nałożona na J. M. i K. S., wspólników [...] z siedzibą w [...], oraz na M. C., byłego wspólnika [...]s.c., wszystkich odpowiadających solidarnie, za naruszenie art. 28 ust. 3 lit. f) w związku z art. 32 ust. 1 i 2 RODO, znajduje podstawę w art. 83 ust. 4 lit. a) tego rozporządzenia. Organ wskazał, że przy wymierzaniu administracyjnej kary pieniężnej istotne znaczenie miała okoliczność, że naruszenie przepisów RODO, nakładających na Administratora obowiązki w zakresie zastosowania odpowiednich środków technicznych i organizacyjnych w celu zapewnienia bezpieczeństwa danym osobowym, przetwarzanym w związku z prowadzoną przez niego działalnością gospodarczą o zasięgu ogólnopolskim, miało wpływ co najmniej na naruszenie dostępności bazy danych klientów, którzy chociaż jednokrotnie dokonali zakupu, a także danych dotyczących zarówno byłych, jak i obecnych pracowników Administratora w liczbie ok. 200 osób. Następstwem stwierdzonych w toku niniejszego postępowania wyjaśniającego uchybień Administratora w aspekcie stosowania się przez niego do przepisów art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i art. 32 ust. 2 RODO, było powstałe w dniu [...] listopada 2019 r. naruszenie ochrony danych osobowych, polegające na nieuprawnionym dostępie przez nieustalonych sprawców do infrastruktury informatycznej Administratora i zaszyfrowaniu następujących kategorii danych osobowych jego byłych, jak i obecnych pracowników: imię (imiona), nazwisko, imiona rodziców, data urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, numeru PESEL, e-mail, seria i numer dowodu osobistego, numer telefonu. Tym samym, wykazanym Administratorowi naruszeniom ww. przepisów RODO przypisać należy znaczną wagę i poważny charakter, ponieważ zaistniałe w ich wyniku zdarzenie doprowadzić może do szkód majątkowych lub niemajątkowych dla kategorii osób, których dane zostały naruszone w powyższym zakresie, a prawdopodobieństwo ich wystąpienia wciąż pozostaje wysokie. Zgromadzony materiał dowodowy nie wykazuje przesłanek uprawdopodabniających dokonanie przez Administratora stosownych ustaleń w celu rzeczywistej identyfikacji sposobu działania złośliwego oprogramowania. W konsekwencji, wobec niepodania przez Administratora szczegółów dotyczących przeprowadzonego postępowania wyjaśniającego oraz jego wyników, w tym w szczególności braku wystarczających dowodów na przedsięwzięcie przez niego działań w celu rzeczywistego ustalenia sposobu działania złośliwego oprogramowania, nie sposób jednoznacznie uznać prawdziwości przyjętego przez niego założenia, zgodnie z którym celem zaszyfrowania danych nie była ich kradzież. Przeciwnie: w świetle przytoczonych faktów, nie można odrzucić scenariusza, w którym w przedmiotowej sprawie mogło jednak dojść do naruszenia poufności ww. kategorii danych osobowych, stwarzającego wysokie ryzyko materializacji negatywnych konsekwencji dla praw lub wolności byłych, jak i obecnych pracowników [...], z siedzibą w [...], które to ryzyko - co istotne - identyfikował sam Administrator. Organ zwrócił uwagę na fakt długiego czasu trwania naruszenia przepisów będących przedmiotem zainteresowania Prezesa UODO w ramach prowadzonego przez organ postępowania. Stan naruszenia przepisów art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1, art. 32 ust. 1 i 2 RODO, przejawiający się: brakiem doboru skutecznych środków technicznych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych osobowych, w szczególności poprzez stosowanie nieaktualizowanego serwera z oprogramowaniem Windows 2008; brakiem regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych, mających na celu zapewnienie bezpieczeństwa danych osobowych przetwarzanych w systemie informatycznym administratora, a tym samym niewłaściwym uwzględnieniem ryzyka związanego z przetwarzaniem danych osobowych w tym systemie; niewłaściwym doborem oraz brakiem monitorowania środków organizacyjnych, przewidujących możliwość modyfikacji przez pracowników pracy oprogramowania antywirusowego [...], czy wreszcie niewdrożeniem odpowiednich środków organizacyjnych w postaci zapewnienia wystarczającej rozliczalności w zakresie przeprowadzanych dla pracowników szkoleń, stanowiących łącznie podstawową przesłankę zaistnienia przedmiotowego naruszenia ochrony danych osobowych, rozpoczął się [...] maja 2018 r., tj. w dniu rozpoczęcia stosowania przepisów RODO i jest - wobec braku dowodów na przeprowadzenie przez Administratora analizy ryzyka w celu identyfikacji oraz oszacowania właściwego poziomu ryzyka wiążącego się z przetwarzaniem danych osobowych - do dnia dzisiejszego kontynuowany. Podobną optykę organ przyjął względem utrzymującego się od [...] maja 2018 r., tj. od chwili podpisania przez Administratora umowy powierzenia przetwarzania danych osobowych z Podmiotem przetwarzającym, do chwili obecnej naruszenia art. 28 ust. 1 tego rozporządzenia, gdyż jak przyznał Administrator w piśmie datowanym na [...] lipca 2023 r., nie rozwiązał umowy z [...], albowiem w pewnym zakresie nadal współpracuje z tym podmiotem. Organ nadzoru działaniom Administratora przypisał rażące niedbalstwo, rozumiane jako niedochowanie w określonym stanie faktycznym chociażby elementarnych zasad zachowania się w danej sytuacji, innymi słowy działania bądź zaniechania w sposób nie spełniający podstawowych standardów wyrażonej w art. 5 ust. 1 lit. f) RODO zasadzie integralności i poufności, co w konsekwencji przemawia - zdaniem organu - za umyślnym charakterem naruszenia przepisów art. 25 ust. 1, art. 28 ust. 1, art. 32 ust. 1 i 2, który to stan naruszenia prawa nie został przez Administratora do dnia dzisiejszego usunięty. W ocenie organu, w przedmiotowej sprawie, nie można uznać działania Administratora polegającego na odzyskaniu po upływie 4 dni dostępności zaszyfrowanych danych za takie, które faktycznie sprzyjałoby minimalizacji szkód o charakterze majątkowym lub niemajątkowym w dobrach osób, których dane dotyczą. Wskazał bowiem, że celem zasadniczym tego działania było przywrócenie możliwości funkcjonowania przedsiębiorstwa Administratora, a nie wzgląd na prawa lub interesy osób dotkniętych przedmiotowym naruszeniem. Taka ocena organu wynika zresztą z przyjętego przez Administratora, lecz niemającego żadnego umocowania w faktach, założenia, zgodnie z którym celem zaszyfrowania danych nie była ich kradzież. Tymczasem nieznany pozostaje rzeczywisty cel działania sprawców. Zaprezentowany przez nich modus operandi pozwala na postawienie wniosku sprzecznego z rozumowaniem Administratora, który umniejszał złą wolę jako motyw działania przestępnego. W konsekwencji, podjęte przez Administratora działania w żadnym stopniu nie spełniają postulatu minimalizacji szkód o charakterze materialnym i niematerialnym w dobrach osób, których dane dotyczą. Organ wskazał na brak współpracy z organem nadzorczym, skutkujący nieusunięciem do chwili obecnej stanu naruszenia przepisów art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i 2 oraz art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c) i d) RODO, pomimo formalnego wszczęcia przez Prezesa UODO postępowania administracyjnego w sprawie. Nieuprawnione ujawnienie danych o szczególnym charakterze, jak nr PESEL, czyli jedenastocyfrowy symbol numeryczny, jednoznacznie identyfikujący osobę fizyczną, zawierający datę urodzenia, numer porządkowy, oznaczenie płci oraz liczbę kontrolną, pozostający ściśle powiązany ze sferą prywatności osoby fizycznej oraz podlegający również, jako krajowy numer identyfikacyjny, wyjątkowej ochronie na gruncie art. 87 RODO, w szczególności w połączeniu - tak jak miało to miejsce w przedmiotowej sprawie - z szerszym zestawem danych osobowych, może realnie i negatywnie wpływać na ochronę praw lub wolności osób fizycznych. Ustalając wysokość administracyjnej kary pieniężnej dla Administratora, Prezes UODO nie znalazł podstaw do uwzględnienia okoliczności łagodzących, mających wpływ na ostateczny wymiar kary. Wszystkie przesłanki wymienione w art. 83 ust. 2 lit. a) - j) RODO w ocenie organu nadzorczego stanowią albo przesłanki obciążające albo jedynie neutralne. Również stosując przesłankę wymienioną w art. 83 ust. 2 lit. k) RODO (nakazującą wzięcie pod uwagę wszelkich innych obciążających lub łagodzących czynników mających zastosowanie do okoliczności sprawy) nie znaleziono żadnych okoliczności łagodzących, a jedynie neutralne. Inne, niżej wskazane okoliczności, o których mowa w art. 83 ust. 2 RODO, po dokonaniu oceny ich wpływu na stwierdzone w niniejszej sprawie naruszenie, zostały przez Prezesa UODO uznane za neutralne, to znaczy nie mające ani obciążającego ani łagodzącego wpływu na wymiar orzeczonej administracyjnej kary pieniężnej. Organ nadzorczy stwierdził naruszenie przez Administratora przepisów art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO. W ocenie Prezesa UODO, ciąży na nim wysoki stopień odpowiedzialności za niewdrożenie odpowiednich środków technicznych i organizacyjnych, które mogłyby zapobiec naruszeniu ochrony danych osobowych. Administrator nie zrobił wszystkiego, czego można by było oczekiwać, nie wywiązując się tym samym z obowiązków nałożonych na niego na mocy art. 25 i 32 RODO. W tej sprawie okoliczność ta stanowi jednak o istocie samego naruszenia i nie jest jedynie czynnikiem wpływającym - obciążające lub łagodząco - na jego ocenę. Z tego też powodu brak odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 25 i 32 RODO, nie może zostać uznany w niniejszej sprawie za okoliczność mogącą dodatkowo wpłynąć na ocenę naruszenia i wymiar nałożonej na Administratora administracyjnej kary pieniężnej. Prezes UODO nie stwierdził leżących po stronie Administratora jakichkolwiek wcześniejszych naruszeń przepisów o ochronie danych osobowych, w związku z czym brak jest podstaw do traktowania tej okoliczności jako obciążającej. Obowiązkiem każdego administratora jest przestrzeganie przepisów prawa, a zatem brak wcześniejszych naruszeń nie może być również okolicznością łagodzącą przy wymierzaniu sankcji. Prezes UODO stwierdził naruszenie przez Administratora przepisów o ochronie danych osobowych w wyniku dokonanego przez niego zgłoszenia naruszenia ochrony danych osobowych. Administrator, dokonując zgłoszenia, realizował ciążący na nim obowiązek prawny, brak jest zatem podstaw do uznania, że fakt ten stanowi okoliczność łagodzącą (okoliczność neutralną). Przed wydaniem niniejszej decyzji Prezes UODO nie stosował wobec Administratora w rozpatrywanej sprawie żadnych środków wymienionych w art. 58 ust. 2 RODO, w związku z czym nie miał on obowiązku podejmowania żadnych działań związanych z ich stosowaniem, a które to działania, poddane ocenie organu nadzorczego, mogłyby mieć obciążający lub łagodzący wpływ na ocenę stwierdzonego naruszenia. Prezes UODO nie stwierdził, aby w związku z naruszeniem Administrator odniósł jakiekolwiek korzyści finansowe lub uniknął tego rodzaju strat. Brak jest więc podstaw do traktowania tej okoliczności jako obciążającej Administratora. Nieosiągnięcie zaś przez Administratora takich korzyści, jako stan naturalny, niezależny od naruszenia i jego skutków, jest okolicznością, która z istoty rzeczy nie może być dla Administratora łagodząca. Prezes UODO uznał, że nałożenie administracyjnej kary pieniężnej na Administratora jest konieczne i uzasadnione wagą oraz charakterem i zakresem zarzucanych tym podmiotom naruszeń przepisów RODO. Zastosowanie wobec tych podmiotów jakiegokolwiek innego środka naprawczego przewidzianego w art. 58 ust. 2 RODO, w szczególności zaś poprzestanie na upomnieniu (art. 58 ust. 2 lit. b) RODO), nie byłoby proporcjonalne do stwierdzonych nieprawidłowości w procesie przetwarzania danych osobowych oraz nie gwarantowałoby tego, że ww. podmioty w przyszłości nie dopuszczą się podobnych, co w sprawie niniejszej zaniedbań. Prezes UODO ocenił stwierdzone w niniejszej sprawie naruszenia jako naruszenia o średnim poziomie powagi (vide Rozdział 4.2 Wytycznych 04/2022). Prezes UODO przyjął, jako adekwatną i uzasadnioną okolicznościami sprawy, kwotę wyjściową do obliczenia wysokości kary wynoszącą 3 000 000 EUR (stanowiącą 15% statycznej maksymalnej wysokości kary). Przy czym Prezes UODO uznał, że zastosowanie w niniejszej sprawie ma tzw. statyczna maksymalna kwota kary, tj. 20 000 000 EUR. Prezes UODO skorzystał z możliwości obniżenia przyjętej w oparciu o ocenę powagi naruszenia kwoty wyjściowej, którą to możliwość wytyczne te (w Rozdziale 4.3) przewidują dla przedsiębiorstw o mniejszej wielkości i sile gospodarczej. Prezes UODO, uwzględniając wielkość organizacji Administratora mierzonej jego obrotem, zważył, ż uzasadnione jest dokonanie dostosowania do 2,5% kwoty wyjściowej administracyjnej kary pieniężnej, tj. do wysokości 75 000 EUR (co stanowi równowartość 327 397 zł). Prezes UODO uznał, że okolicznościami obciążającymi w niniejszej sprawie, i w związku z tym dodatkowo zwiększającymi wymiar orzeczonej niniejszą decyzją kary, są działania podjęte przez Administratora w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą (art. 83 ust. 2 lit. c) RODO), a także stopień współpracy Administratora z Prezesem UODO w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) RODO). Pozostałe przesłanki (z art. 83 ust. 2 lit. d), e), h), i), j), k) RODO) nie miały wpływu ani łagodzącego, ani obciążającego, na ocenę naruszenia i w konsekwencji na wymiar kary. Ze względu na zaistnienie więc w sprawie dodatkowych okoliczności obciążających, związanych ze stroną podmiotową naruszeń (oceną postępowania Administratora przed i po naruszeniach), za zasadne Prezes UODO uznał zwiększenie kwoty kary ustalonej na podstawie oceny powagi naruszeń (pkt 2 powyżej) oraz wielkości i siły gospodarczej Administratora (pkt 3 powyżej). Adekwatnym do wpływu tych przesłanek na ocenę naruszeń jest - zdaniem Prezesa UODO - jej podwyższenie do kwoty 392 877 zł, stanowiącej równowartość 90 000 EUR. Prezes UODO uznał następnie, że kwota ta wymaga dodatkowej korekty ze względu na zasadę proporcjonalności wymienioną w art. 83 ust. 1 RODO. Mając więc na uwadze wzgląd na proporcjonalność kary, Prezes UODO dokonał dalszego obniżenia wysokości kary - do kwoty 81 000 EUR (równowartość 353 589 zł). W ocenie Prezesa UODO, zastosowana względem Z. R., prowadzącego działalność gospodarczą pod firmą [...] z siedzibą w [...], administracyjna kara pieniężna spełnia w ustalonych okolicznościach niniejszej sprawy funkcje, o których mowa w art. 83 ust. 1 RODO, tzn. jest w tym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. Okolicznością przesądzającą o wymierzeniu administracyjnej kary pieniężnej w stosunku do osób będących wspólnikami [...] w czasie trwania stwierdzonych w sprawie naruszeń stanowiło uchybienie przez M. C., J. M. i K.S. przepisów RODO nakładających na podmiot przetwarzający obowiązki w zakresie pomocy Administratorowi w utrzymaniu adekwatnych środków zabezpieczających przetwarzanie danych osobowych, tj. 28 ust. 3 lit. f w związku z art. 32 ust. 1 i 2 tego rozporządzenia. Pomoc ta powinna polegać na poinformowaniu go o braku właściwych zabezpieczeń serwera wykorzystywanego przez niego w procesach przetwarzania danych osobowych. Jak stanowi art. 28 ust. 3 lit. f) RODO pomoc ta powinna być udzielona administratorowi w oparciu o dostępne mu informacje (posiadane w tej sprawie przez Podmiot przetwarzający w związku ze świadczonymi Administratorowi usługami) oraz ze względu na charakter przetwarzania (chodzi o te same dane osobowe - przetwarzane w systemie [...], przechowywane na serwerze Administratora oraz wykorzystywane przez niego w prowadzonej działalności gospodarczej. Wbrew literalnemu brzmieniu przepisu art. 28 ust. 3 lit. f) RODO pomoc, o której w nim mowa, wykracza poza stosunki obligacyjne, wynikające z zawartej w dniu [...] maja 2018 r. między Administratorem a Podmiotem przetwarzającym Umowy powierzenia przetwarzania danych osobowych, statuującej odpowiedzialność procesora za działania w zakresie prowadzenia, eksploatacji i konserwacji systemu [...] w przedsiębiorstwie Administratora. Zastosowanie znajduje tutaj szersze rozumienie pojęcia "pomocy", a więc (za Słownikiem Języka Polskiego PWN): "działania podjętego dla dobra innej osoby". Z kolei "pomaganie" to (za Słownikiem Języka Polskiego PWN) "dokonywanie jakiegoś wysiłku dla dobra jakiejś osoby, aby jej coś ułatwić lub poratować ją w trudnej sytuacji; też; dawanie komuś coś. Tymczasem przejawiana przez podmiot przetwarzający we współpracy z Administratorem indolencja, nie tylko nie ułatwiała mu rozeznania (którego jako podmiot nieprofesjonalny posiadać nie musiał) w zakresie utrzymywanych przez mego technicznych i organizacyjnych środków bezpieczeństwa dla zachodzących w jego strukturze procesów przetwarzania danych osobowych, ale przyczyniła się bezpośrednio do wystąpienia zdarzenia z dnia [...] listopada 2019 r. Stwierdzona w niniejszej sprawie bierność ze strony Podmiotu przetwarzającego, przejawiająca się zaniechaniem na przestrzeni lat informowania Administratora o występujących w oprogramowaniu serwera podatnościach (podczas gdy jedna z nich została z powodzeniem wykorzystana przez sprawców przestępnego działania) oraz o konieczności przeprowadzenia aktualizacji systemu operacyjnego do możliwie najnowszej wersji, bądź zastosowania innych, nowszych rozwiązań logicznych, pozostaje w bezpośrednim związku ze zmaterializowaniem się ryzyka w postaci nieuprawnionego dostępu przez nieustalonych sprawców do infrastruktury informatycznej Administratora. Konsekwencją zaś wystąpienia przedmiotowego naruszenia ochrony danych osobowych przetwarzanych na serwerach Administratora było - co najmniej - zaszyfrowanie bazy danych klientów, którzy chociaż jednokrotnie dokonali zakupu, a także danych dotyczących zarówno byłych, jak i obecnych pracowników Administratora w liczbie ok. 200 osób. Wykazanemu Podmiotowi przetwarzającemu naruszeniu ww. przepisów RODO przypisać należy jednocześnie - z uwagi na objęte nim kategorie danych byłych i obecnych pracowników Administratora, tj. imię (imiona), nazwisko, imiona rodziców, data urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, nr PESEL, e-mail, seria i numer dowodu osobistego, numer telefonu - znaczną wagę i poważny charakter. Zaistniałe bowiem w dniu [...] listopada 2019 r. naruszenie ochrony danych osobowych, do powstania którego przyczyniły się swoją - wykluczającą możliwość sprawowania względem Administratora realnego wsparcia - postawą, osoby, będące wspólnikami [...] w momencie jego wystąpienia, doprowadzić może do szkód majątkowych lub niemajątkowych dla podmiotów danych, a prawdopodobieństwo ich wystąpienia wciąż pozostaje wysokie stanowić szkodę niemajątkową w rozumieniu tego przepisu. Niezależnie od powyższego, organ podkreślił również fakt długiego okresu utrzymywania się stanu naruszenia przez Podmiot przetwarzający przepisów art. 28 ust. 3 lit. f) w związku z art. 32 ust. 1 i 2 RODO. Na podstawie dokonanych w toku postępowania ustaleń, scharakteryzowany powyżej stan naruszenia prawa istniał co najmniej od dnia [...] maja 2018 r., tj. od chwili podpisania przez Administratora umowy powierzenia przetwarzania danych osobowych z Podmiotem przetwarzającym, najpóźniej do dnia [...] kwietnia 2020 r., kiedy to Administrator poinformował organ o wykonaniu czynności zmierzających do wzmocnienia bezpieczeństwa przetwarzanych danych osobowych wśród których należy wymienić, m. in.: zupełne wycofanie z użytku systemu, na którym doszło do infekcji; aktualizację systemów operacyjnych do najnowszych dostępnych wersji, w tym zmianę systemu operacyjnego Windows 2008 SBS na system Windows 2019. Organ podkreślił jednocześnie, iż uaktualnienia się ryzyka w postaci uruchomienia na serwerze Administratora obcych procesów można było uniknąć, gdyby Podmiot przetwarzający, stosownie do art. 28 ust. 3 lit. f) RODO, należycie wywiązywał się z adresowanego wyłącznie do niego obowiązku udzielania Administratorowi "pomocy" uwzględniającej faktycznie "dostępne mu informacje". Podmiot przetwarzający, świadcząc profesjonalne usługi, m.in. w zakresie obsługi systemów informatycznych oraz posiadając odpowiednią wiedzę w tym zakresie, nie zastosował się do jednego ze swoich podstawowych, wymaganych od niego na gruncie art. 28 ust. 3 lit. f) RODO, obowiązku udzielania Administratorowi "pomocy" uwzględniającej "dostępne mu informacje". Mimo posiadanej przez siebie wiedzy odnośnie wykorzystywanego przez Administratora w procesach przetwarzania danych osobowych nieaktualnego (i stąd podatnego na zagrożenia, które ostatecznie się zmaterializowały) oprogramowania serwera, wspólnicy [...] nie zrobili nic, w dodatku w długim okresie czasu, aby wspomnianemu stanowi rzeczy przeciwdziałać. Postawy wspólników [...] nie można opisywać w kategoriach innych niż te, które odnoszą się do rażącego niedbalstwa, co biorąc pod uwagę profesjonalny charakter świadczonych przez ten podmiot usług, musi stanowić okoliczność obciążającą. Prezes UODO, ustalając karę administracyjną, nie znalazł podstaw do uwzględnienia okoliczności łagodzących, mających wpływ na ostateczny wymiar orzeczonej kary. Zdaniem organu, nie można uznać, przytoczonej w piśmie z dnia [...] lipca 2022 r. przez byłych i obecnych wspólników [...], charakterystyki przedsiębranych przez nich po wystąpieniu przedmiotowego naruszenia ochrony danych osobowych czynności za taką, która faktycznie sprzyjałyby minimalizacji szkód o charakterze majątkowym lub niemajątkowym w dobrach osób, których dane dotyczą. Działanie polegające na odłączeniu serwera od sieci nie mogło wszak w żadnym stopniu przyczynić się do minimalizacji tych szkód, albowiem nieuprawniony dostęp do infrastruktury informatycznej Administratora, w wyniku którego utracona została dostępność oraz - nie można wykluczyć - poufność przetwarzanych z jej wykorzystaniem danych osobowych, miał miejsce wcześniej niż podjęte przez Podmiot przetwarzający działanie. W konsekwencji zastosowany przez procesora środek techniczny, w żadnym stopniu nie przyczyniając się do dekryptacji danych osobowych, a tym bardziej nie mogąc stanowić o przywróceniu atrybutu ich poufności, nie może być w ustalonych okolicznościach niniejszej sprawy postrzegany w kategoriach środka, który by eliminował prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osób fizycznych. Podobnie organ potraktował przekazaną przez Podmiot przetwarzający informację o odszyfrowaniu bazy zawierającej dane osobowej. Wskazując na rodzaj użytego przez sprawców złośliwego oprogramowania, jak i mając na uwadze fakt, iż przed dniem [...] listopada 2019 r. infrastruktura informatyczna Administratora nie korzystała z rozwiązań opierających się na segmentacji sieci, organ stwierdził, że w konsekwencji przedmiotowego ataku ransomware musiało dojść do objęcia jego skutkami całej struktury, wraz z kopiami zapasowymi, czyniąc niemożliwym odtworzenie przetwarzanych danych osobowych inaczej niż z wykorzystaniem kodów dekryptacyjnych. Inne zaś podnoszone przez Podmiot przetwarzający działania naprawcze - Prezes UODO – zaliczył do technicznych i organizacyjnych środków mitygujących ryzyko ponownego wystąpienia naruszenia ochrony danych osobowych, nie zaś tych podejmowanych w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą, w kontekście tego konkretnego naruszenia. Organ nadzorczy stwierdził w niniejszej sprawie naruszenie przez Podmiot przetwarzający przepisów art. 32 ust. 1 i 2 RODO. W ocenie Prezesa UODO, ciąży na nim wysoki stopień odpowiedzialności za niewdrożenie odpowiednich środków technicznych i organizacyjnych, które mogłyby zapobiec naruszeniu ochrony danych osobowych. Podmiot przetwarzający nie zrobił wszystkiego, czego można by było oczekiwać, nie wywiązując się tym samym z obowiązków nałożonych na niego mocą art. 32 RODO. W niniejszej sprawie okoliczność ta stanowi jednak o istocie samego naruszenia - nie jest zaś jedynie czynnikiem wpływającym - obciążająo lub łagodząco - na jego ocenę. Z tego też powodu brak odpowiednich środków technicznych i organizacyjnych, o których mowa w art. 32 RODO, nie może zostać uznany w niniejszej sprawie za okoliczność mogącą dodatkowo wpłynąć na ocenę naruszenia i wymiar nałożonej na Podmiot przetwarzający administracyjnej kary pieniężnej. Prezes UODO uznał, iż nałożenie administracyjnej kary pieniężnej na Podmiot przetwarzający jest konieczne i uzasadnione wagą oraz charakterem i zakresem zarzucanych tym podmiotom naruszeń przepisów RODO. Zastosowanie wobec tych podmiotów jakiegokolwiek innego środka naprawczego przewidzianego w art. 58 ust. 2 RODO, w szczególności zaś poprzestanie na upomnieniu (art. 58 ust. 2 lit. b RODO), nie byłoby proporcjonalne do stwierdzonych nieprawidłowości w procesie przetwarzania danych osobowych oraz nie gwarantowałoby tego, że ww. podmioty w przyszłości nie dopuszczą się podobnych, co w sprawie niniejszej zaniedbań. Prezes UODO ocenił stwierdzone w niniejszej sprawie naruszenie jako naruszenie o niskim poziomie powagi (vide: Rozdział 4.2 Wytycznych 04/2022). Konsekwencją tego jest zaś przyjęcie - jako kwoty wyjściowej do obliczenia kary - wartości mieszczącej się w przedziale od 0 do 10% maksymalnej wysokości kary możliwej do orzeczenia wobec Podmiotu przetwarzającego. Prezes UODO uznał, że zastosowanie w niniejszej sprawie ma tzw. statyczna maksymalna kwota kary, tj. 10 000 000 EUR, będąca kwotą wyższą niż kwota wynikająca z zastosowania 2-procentowego wskaźnika przyłożonego do obrotu Podmiotu przetwarzającego za 2023 r. która wyniosła 10 849,03 EUR. Mając do dyspozycji przedział od 1 000 000 EUR do 2 000 000 EUR, Prezes UODO przyjął, jako adekwatną i uzasadnioną okolicznościami sprawy, kwotę wyjściową do obliczenia wysokości kary wynoszącą 900 000 EUR (stanowiącą 9% statycznej maksymalnej wysokości kary). Prezes UODO dostosował kwotę wyjściową odpowiadającą niskiej powadze stwierdzonego naruszenia do obrotu Podmiotu przetwarzającego jako miernika jego wielkości i siły gospodarczej (vide: Rozdział 4.3 Wytycznych 04/2022). Organ za stosowne uznał skorygowanie podlegającej obliczeniom kwoty kary do wartości odpowiadającej 0,25% kwoty wyjściowej, to jest do kwoty 2 250 EUR (równowartość 9 822 zł). Prezes UODO uznał, że wysokość ww. kary nie wymaga dodatkowej korekty ze względu na zasadę proporcjonalności wymienioną w art. 83 ust. 1 RODO będącą jedną z trzech dyrektyw wymiaru kary (vide: Rozdział 7 Wytycznych 04/2022). Kara pieniężna w wysokości stanowiącej równowartość 2.250 EUR będzie karą skuteczną (przez swoją dolegliwość pozwoli osiągnąć swój cel represyjny, którym jest ukaranie za bezprawne zachowanie) i odstraszającą (pozwalającą skutecznie zniechęcić zarówno Podmiot przetwarzający, jak i innych procesorów do popełniania w przyszłości naruszeń przepisów RODO). W ocenie organu, zastosowana względem J. M. i K. S., [...] z siedzibą w [...], oraz M. C., byłego wspólnika [...], wszystkich odpowiadających solidarnie, administracyjna kara pieniężna spełnia w ustalonych okolicznościach niniejszej sprawy funkcje, o których mowa w art. 83 ust. 1 RODO, tzn. jest w tym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. Zdaniem Prezesa UODO, zastosowana kara pieniężna w wysokości 9 822 zł spełnia w ustalonych okolicznościach niniejszej sprawy przesłanki, o których mowa w art. 83 ust. 1 RODO ze względu na powagę stwierdzonego naruszenia w kontekście podstawowego celu RODO - ochrony podstawowych praw i wolności osób fizycznych, w szczególności prawa do ochrony danych osobowych. Prezes UODO uznał, że wysokość kary jest proporcjonalna do sytuacji finansowej Podmiotu przetwarzającego i nie będzie stanowiła dla niego nadmiernego obciążenia. Pismem z dnia [...] listopada 2025 r. [...] spółka z o.o. z siedzibą w [...]skierowała do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z dnia [...] października 2024 r. nr [...] zarzucając: 1. naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.: - art. 7, art. 77 § 1 oraz art. 80 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, poprzez niedokładne wyjaśnienie stanu faktycznego sprawy oraz niewyjaśnienie wszystkich istotnych okoliczności sprawy, nieprawidłowe przeprowadzenie postępowania dowodowego, niezebranie w sposób wyczerpujący i nierozpatrzenie całego materiału dowodowego w sprawie, nienależytą ocenę dowodów bez uwzględnienia wszystkich okoliczności sprawy, w szczególności poprzez: a) błędne przyjęcie przez Prezesa UODO, że występuje "niemożność wykazania się przez Administratora dokumentacją odnoszącą się do przeprowadzonych przez niego analiz nie daje podstawy do uznania, że miarkowanie ryzyka dokonane zarówno przed jak i po wystąpieniu przedmiotowego naruszenia w ogóle miało miejsce", podczas gdy Prezes UODO ustalił stan faktyczny sprawy w tym zakresie wyłącznie według stanu na dzień [...] listopada 2021 r. i nie prowadził po tej dacie postępowania wyjaśniającego, natomiast pomiędzy tą datą, a dniem wydania decyzji (tj. przez prawie trzy lata) skarżący przeprowadził liczne działania zmierzające do zapewnienia najwyższego poziomu bezpieczeństwa ochrony danych w swoim przedsiębiorstwie; b) błędne przyjęcie przez Prezesa UODO, że skarżący nie jest w stanie obiektywnie wykazać, że "środki mitygujące ryzyko ponownego wystąpienia naruszenia ochrony danych osobowych zaimplementowanej po tej dacie również pozbawione są przymiotu adekwatności, albowiem Administrator nie jest w stanie obiektywnie wykazać, że stanowią one właściwą w stosunku do istniejącego ryzyka odpowiedź", podczas gdy Prezes UODO oparł się na ustaleniach poczynionych do dnia [...] listopada 2021 r., natomiast nie ustalił żadnych okoliczności faktycznych mających miejsce po tej dacie; c) poczynienie nieprawidłowych ustaleń odnoszących się do rzeczywistego zakresu czynności z zakresu administrowania infrastrukturą informatyczną skarżącego powierzonego wspólnikom [...] (podmiot przetwarzający) i realnych ram odpowiedzialności tego podmiotu i pochopne przyjęcie, że ten podmiot odpowiadał wyłącznie za prowadzenie, eksploatację i konserwację systemu [...], podczas gdy prawidłowo ustalony stan faktyczny sprawy powinien prowadzić do wniosku, że podmiot ten administrował infrastrukturą informatyczną i systemową przedsiębiorstwa, odpowiadał za zarządzanie zasobami IT, w tym infrastrukturą serwerową oraz licencjonowaniem oprogramowania, czyli odpowiadał kompleksowo za bezpieczeństwo IT skarżącego; d) błędne przyjęcie przez Prezesa UODO, że skarżący zaniechał edukowania swoich pracowników i nie prowadził działań szkoleniowych po wystąpieniu naruszenia, podczas gdy Prezes UODO dokonał niepełnych ustaleń faktycznych poczynionych według stanu na dzień [...] listopada 2021 r. i nie zbadał działalności przedsiębiorstwa skarżącego w zakresie ochrony danych podjętych po tej dacie; e) błędne przyjęcie przez Prezesa UODO, że u skarżącego nie funkcjonowały zasady tworzenia, przechowywania i testowania kopii zapasowych, co spowodowało 4-dniową przerwę w zapewnieniu dostępności do zaszyfrowanych danych osobowych, podczas gdy był to zakres zadań powierzonych wspólnikom [...]; f) błędne przyjęcie przez Prezesa UODO, że nieznany jest cel, dla którego osoby nieuprawnione podjęły działania skutkujące wystąpieniem naruszenia ochrony danych osobowych z dnia [...] listopada 2019 r., podczas gdy schemat działania sprawcy naruszenia, konieczność uiszczenia okupu w zamian za [pic]umożliwienie odszyfrowania danych oraz upływ pięciu lat od naruszenia bez dalszych skutków naruszenia powinien prowadzić do niebudzącego wątpliwości wniosku, że jedynym celem sprawcy naruszenia było zaszyfrowanie danych i uzyskanie gratyfikacji pieniężnej w zamian za umożliwienie ich odszyfrowania; g) błędne przyjęcie, że "Administrator nie przedstawił żadnych środków dowodowych jednoznacznie uprawdopodabniających fakt wdrożenia wyżej opisanych technicznych środków bezpieczeństwa, z uwzględnieniem ryzyka związanego z możliwością przełamania zabezpieczeń systemu informatycznego wykorzystywanego przez Administratora w procesach przetwarzania danych osobowych, a następnie ich zaszyfrowania", podczas gdy Prezes UODO nie kwestionował zakresu wyjaśnień przekazanych Prezesowi UODO do dnia [...] listopada 2021 r. i po tej dacie zaprzestał ustalania jakichkolwiek okoliczności faktycznych dotyczących stosowanych w przedsiębiorstwie skarżącego zasad ochrony danych osobowych i bezpieczeństwa informatycznego; h) błędne przyjęcie, że Administrator nie powiadomił w sposób prawidłowy osób, których dane dotyczą, o naruszeniu, podczas gdy z własnej inicjatywy powiadomił te osoby niezwłocznie, a po przekazaniu przez Prezesa UODO w dniu [...] marca 2020 r. dalszych wytycznych, zostało skierowane powiadomienie ponowne, do którego Prezes UODO nie zgłaszał zastrzeżeń aż do dnia wydania decyzji w dniu [...] października 2024 r.; i) błędne przyjęcie, że Administrator nie współpracował w toku prowadzonego postępowania z Prezesem UODO, podczas gdy z własnej inicjatywy zgłosił on naruszenie Prezesowi UODO, aktywnie zareagował na sugestie Prezesa UODO w zakresie przekazania danych o złośliwym oprogramowaniu [...] do NASK, ponownego przekazania osobom, których dane dotyczyły ponownego powiadomienia, a także przekazywał Prezesowi UODO wszelkie żądane przez organ wyjaśnienia; j) błędne przyjęcie, że Administrator nie przeprowadził należytej weryfikacji podmiotu przetwarzającego, podczas gdy Administratora i wspólników [...] łączyła wieloletnia bezproblemowa współpraca, a podmiot ten (jako podmiot przetwarzający) posiada renomę i ugruntowaną pozycję na rynku i odpowiadał za procedurę wprowadzenia zmian w systemie informatycznym przedsiębiorstwa Administratora; k) błędne przyjęcie, że nieprzeprowadzenie przez Administratora audytów, przeglądów lub inspekcji (co także wnoszący skargę kwestionuje) przyczyniło się do wystąpienia naruszenia ochrony danych osobowych, podczas gdy do naruszenia doszło poprzez błąd należycie wykwalifikowanego pracownika Administratora lub błąd osób działających z ramienia podmiotu przetwarzającego, czyli błąd jednostkowy, który nastąpiłby niezależnie od przeprowadzania audytów, ocen ryzyka czy inspekcji; - art. 6, art. 8 § 1 i 2 oraz art. 107 § 3 w zw. z art. 11 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz poprzez brak należytego uzasadnienia faktycznego i prawnego decyzji, a także poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w zbliżonym stanie faktycznym i tożsamym stanie prawnym oraz poprzez orzeczenie nieproporcjonalnie wysokiej i dotkliwej kary pieniężnej. 2. naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. - art. 5 ust. 1 lit. f) RODO oraz art. 24 ust. 1 RODO, art. 25 ust. 1 RODO oraz art. 32 ust. 1 i 2 RODO - w zw. z art. 5 ust. 1 lit. f) RODO, poprzez ich błędne zastosowanie polegające na uznaniu, że skarżący do dnia wydania decyzji nie zapewnił integralności i poufności przetwarzanych danych, nie wdrożył odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z prawem i przy uwzględnieniu poziomu bezpieczeństwa odpowiadającemu określonemu ryzyku, podczas gdy po naruszeniu z dnia [...] listopada 2019 r. skarżący w przeciągu 4-dni przywrócił integralność systemu, a następnie podjął szereg szeroko zakrojonych działań w celu zapewnienia najwyższego poziomu bezpieczeństwa danych po dniu naruszenia, natomiast do dnia naruszenia za rozwiązania organizacyjne i techniczne w zakresie bezpieczeństwa danych w obszarze IT odpowiadał podmiot przetwarzający, a w przypadku powierzenia przetwarzania danych osobowych, obowiązki wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zapewnienia ochrony i bezpieczeństwa danych, odpowiadających ryzyku naruszenia praw lub wolności osób fizycznych, spoczywają na podmiocie przetwarzającym, zawodowo zajmującym się świadczeniem usług tego rodzaju; - art. 28 ust. 1 RODO w zw. z art. 5 ust. 1 lit. f) RODO, poprzez błędną wykładnię wymogów co do sposobu realizacji obowiązku korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą, skutkującą nieuzasadnionym przyjęciem, że jedynym właściwym sposobem realizacji tych wymogów jest przeprowadzenie w podmiocie przetwarzającym audytów i inspekcji, podczas gdy z przepisów RODO nie wynika konieczność przeprowadzenia zorganizowanego postępowania weryfikacyjnego podmiotu przetwarzającego, a wystarczające gwarancje, o których mowa w art. 28 ust. 1 RODO mogą wynikać, m.in. z wieloletniej harmonijnej współpracy, która nie była naznaczona jakimikolwiek incydentami bezpieczeństwa; natomiast Prezes UODO w uzasadnieniu zaskarżonej decyzji powołuje się na naruszenie przez Administratora zasad dotyczących wyboru podmiotu zawartych w opublikowanych w 2021 r. w "Wytycznych 07/2020", podczas gdy naruszenie i wybór podmiotu przetwarzającego miał miejsce przed naruszeniem z dnia [...] listopada 2019 r. i przed datą opublikowania "Wytycznych 07/2020"; - art. 28 ust. 3 lit. c i f) RODO, poprzez ich niezastosowanie, skutkujące nieuwzględnieniem, że obowiązek ustanowienia odpowiednich zabezpieczeń danych osobowych jest samodzielnym obowiązkiem podmiotu przetwarzającego, a także, że podmiot przetwarzający - uwzględniając charakter przetwarzania oraz dostępne mu informacje, powinien był pomagać administratorowi wywiązać się z obowiązków określonych w art. 32-36 RODO, czego podmiot przetwarzający na gruncie niniejszej sprawy nie uczynił; - art. 83 ust. 1 RODO, poprzez błędną wykładnię pojęcia "proporcjonalności kary", skutkującą przyjęciem, że kara skuteczna i odstraszająca jest jednocześnie proporcjonalna, podczas gdy nałożona kara - przez to, że nie jest karą niezbędną, odpowiednią, współmierną, a także przekracza próg dolegliwości - nie może być uznana za karę proporcjonalną; - art. 83 ust. 2 lit. a), d), e), g) RODO, poprzez ich niezastosowanie i brak wzięcia pod uwagę okoliczności łagodzących wymienionych w zaskarżonej decyzji, bez rzeczywistej oceny ich wpływu na wysokość kary nałożonej; - art. 83 ust. 4 lit. a) i art. 83 ust. 5 lit. a) RODO oraz art. 83 ust. 8 RODO, poprzez ich niewłaściwe zastosowanie, skutkujące ustaleniem wysokości administracyjnej kary pieniężnej w sposób całkowicie arbitralny i niemożliwy do weryfikacji w postępowaniu sądowoadministracyjnym, a tym samym pozbawienie Administratora skutecznego sądowego środka ochrony prawnej i rzetelnego procesu w rozumieniu art. 83 ust. 8 RODO; - art. 83 ust. 3 RODO w zw. z art. 83 ust. 1 i 2 oraz art. 83 ust. 4 lit. a) i art. 83 ust. 5 lit. a) RODO, poprzez ich błędną wykładnię i niewłaściwe zastosowanie, a to ustalenie "najpoważniejszego naruszenia" w rozumieniu art. 83 ust. 3 RODO wyłącznie w oparciu o porównanie określonych w przepisach prawa maksymalnych poziomów administracyjnych kar pieniężnych za dane naruszenie (art. 83 ust. 4 lit. a) i art. 84 ust. 5 lit. a) RODO), bez uwzględnienia okoliczności "każdego indywidualnego przypadku" w rozumieniu art. 83 ust. 1 i ust. 2 RODO, a także ustalenie całkowitej wysokości administracyjnej kary pieniężnej w odniesieniu do Administratora bez ustalenia wysokości kar pieniężnych za każde stwierdzone w zaskarżonej decyzji naruszenie. Przedstawiając powyższe zarzuty, [...] spółka z o.o. z siedzibą w [...] wniosła o: 1. rozpoznanie wniesionej skargi na rozprawie, 2. uchylenie zaskarżonej decyzji z dnia [...] października 2024 r. w całości oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych, 3. dopuszczenie i przeprowadzenie dowodów z: a. "raportu prac zrealizowanych w środowisku [...]" w okresie grudzień 2019-październik 2024 przez [...] wraz zaplanowanym na rok 2025 planem wdrożenia systemu [...] - na okoliczność zakresu i poziomu wdrożonych środków technicznych i organizacyjnych służących zapewnieniu najwyższej jakości ochrony administrowanych danych osobowych; b. "rocznego przeglądu środowiska IT" stanowiącego katalog okresowo dokonywanych analiz dotyczących bezpieczeństwa administrowanych danych osobowych na okoliczność dokonywania okresowo przeglądu skuteczności wdrożonych rozwiązań w zakresie bezpieczeństwa IT w przedsiębiorstwie, stałego podnoszenia jakości i poziomu bezpieczeństwa stosowanych rozwiązań w zakresie bezpieczeństwa informatycznego; c. faktur VAT (25) wymienionych enumeratywnie w załącznikach do skargi wystawionych przez wspólników [...] na okoliczność zakresu sprawowanego przez podmiot przetwarzający zarządu nad infrastrukturą techniczną i informatyczną przedsiębiorstwa Administratora, braku dokonania przez Prezesa UODO realnych ustaleń co do katalogu czynności, za które odpowiedzialny był podmiot przetwarzający; d. wydruku korespondencji e-mail wymienionej w dniu [...] września 2019 r. pomiędzy R.C. a wspólnikami [...] za pośrednictwem Z. R. wraz załącznikami w postaci załączonych do korespondencji plików pn.: , [...]"; "[...]"; "[...]" - na okoliczność przekazania wspólnikom [...] w dniu [...] września 2019 r. pełnej dokumentacji z architekturą IT przedsiębiorstwa prowadzonego przez skarżącemu wraz ze wszystkimi kodami dostępu do systemów informatycznych i pełnienia przez ten podmiot pełnego wsparcia informatycznego i odpowiedzialności za poziom wdrożonych środków organizacyjnych i technicznych w celu zapewnienia ochrony danych osobowych; e. "planu szkoleń z zakresu bezpieczeństwa IT w firmie [...] w roku 2025" na okoliczność prowadzonej przez skarżącego działalności w zakresie podnoszenia świadomości pracowników o zasadach ochrony danych osobowych, zakresu przeprowadzonych przez skarżącego szkoleń; f. zeznań świadka - R. C. - na okoliczność czynności podejmowanych przez wspólników [...] w zakresie zapewnienia bezpieczeństwa danych, ustalenia podmiotu odpowiedzialnego za bezpieczeństwo danych osobowych; M. W. – na okoliczność wdrożenia przez Administratora najwyższego standardu ochrony danych osobowych, dokonywanych okresowych ocen i raportów dotyczących podatności infrastruktury informatycznej na niebezpieczeństwo utraty danych osobowych, stanu infrastruktury informatycznej zastanej w przedsiębiorstwie w grudniu 2019 r.; [pic] g. dowodu z opinii biegłego z zakresu cyberbezpieczeństwa - na okoliczność wdrożenia przez Administratora najwyższego standardu ochrony danych osobowych, dokonywanych okresowych ocen i raportów dotyczących podatności infrastruktury informatycznej na niebezpieczeństwo utraty danych osobowych; W uzasadnieniu [...] spółka z o.o. z siedzibą w [...] (jako następca prawny Z. R. prowadzącego działalność gospodarczą pod firmą [...]) szczegółowo wyjaśniła podniesione wyżej zarzuty. Decyzja Prezesa UODO z dnia [...] października 2024 r. [...] została zaskarżona również przez J. M. i K. S.o, w części stwierdzającej naruszenie przez M. C., J. M. oraz K. S., prowadzących działalność gospodarczą w formie spółki cywilnej działającej pod firmą [...] z siedzibą w [...], przepisów art. 28 ust. 3 lit. f) w związku z art. 32 ust. 1 i 2 RODO oraz nakładającą na ww. osoby administracyjną karę pieniężną w wysokości 9 822 zł. W skardze z dnia [...] listopada 2024 r. zarzucili oni naruszenie: 1. art. 28 ust. 1 RODO w związku z art. 32 ust. 1 RODO, poprzez jego nieprawidłową wykładnię polegającą na przyjęciu, że jako podmiot przetwarzający odpowiedzialni są za wdrożenie przez Administratora w jego przedsiębiorstwie odpowiednich środków technicznych i organizacyjnych przy przetwarzaniu danych osobowych, gdy prawidłowa wykładnia ww. przepisu winna prowadzić do wniosku, że zobowiązania administratora i podmiotu przetwarzającego do zapewnienia bezpieczeństwa przetwarzania są niezależne w sensie normatywnym, a każdy z podmiotów odpowiada za zapewnienie odpowiednich środków technicznych i organizacyjnych w własnym przedsiębiorstwie; 2. art. 28 ust. 3 pkt f) w związku z art. 32 ust. 1 RODO, poprzez jego nieprawidłową wykładnię polegającą na przyjęciu, że jako podmiot przetwarzający, zobowiązani byli do przeciwdziałania wykorzystywania przez Administratora w procesach przetwarzania danych nieaktualizowanego i stąd podatnego na zagrożenia oprogramowania serwera [...], podczas gdy podmiot przetwarzający nie ma możliwości wpływu na decyzje Administratora o stosowanych przez niego środkach technicznych i organizacyjnych przy przetwarzaniu danych osobowych. 3. art. 7 k.p.a. w związku z art. 77 § 1 k.p.a. oraz art 80 k.p.a. poprzez zaniechanie w sposób wyczerpujący zebrania i rozpatrzenia całości materiału dowodowego i na podstawie całokształtu materiału dowodowego ustalenia podmiotu odpowiedzialnego za bezpieczeństwo IT w przedsiębiorstwie Administratora, 4. art. 80 k.p.a. polegające na braku wszechstronnego rozważenia zgromadzonego materiału dowodowego i pominięciu przy dokonywaniu ustaleń stanu faktycznego sprawy: a. złożonych przez Administratora wyjaśnień w zakresie posiadania przez niego wiedzy o konieczności wymiany serwera i zmiany systemu Windows 2008 SBS; b. wdrożenia systemu [...] w przedsiębiorstwie Administratora przez podmiot przetwarzający w 2010 r. kiedy serwer Administratora był sprawny, a system Windows 2008 aktualizowany; 5. art. 84 k.p.a. poprzez nieprzeprowadzenie dowodu z opinii biegłego, w sytuacji kiedy ustalenie wpływu braku zakupu nowego serwera i zmiany systemu Windows 2008 SBS na incydent zaszyfrowania danych osobowych wymagało pozyskania wiadomości specjalnych z pomocą dowodu z opinii biegłego. Przedstawiając powyższe zarzuty, wnoszący skargę wnieśli o uchylenie zaskarżonej decyzji w części dotyczącej J. M. oraz K. S. i przekazanie sprawy organowi nadzorczemu do ponownego rozpatrzenia, zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego wedle norm przepisanych. Ponadto wnioskowali o przeprowadzenie dowodów z oferty z dnia [...] czerwca 2011 r., celem wykazania posiadania przez Administratora wiedzy o konieczności nabycia nowego serwera wraz z aktualnym systemem Windows oraz przedłożenia Administratorowi ofert na zakup nowego serwera. Wskazali jednocześnie, że przeprowadzenie dowodu z powyższej dokumentacji nie spowoduje przedłużenia postępowania w sprawie. W uzasadnieniu skarżący szczegółowo wyjaśnili podniesione wyżej zarzuty. W odpowiedzi na skargę Prezes UODO podtrzymał dotychczasową argumentację, przedstawioną w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi, Dz. U. z 2024 r., poz. 935 z póź. zm., zwanej dalej p.p.s.a.). Skargi Administratora i Podmiotu przetwarzającego, oceniane w świetle powyższych kryteriów, nie podlegały uwzględnieniu. W ocenie Sądu, zaskarżona decyzja Prezesa UODO z dnia [...] października 2024 r. w całości, a zatem zarówno w części dotyczącej rozstrzygnięcia zawartego w punkcie 1, jak i 2, nie narusza prawa. Organ podjął w tej sprawie decyzję po dokonaniu pełnych ustaleń stanu faktycznego niezbędnych do jej rozstrzygnięcia. Sprawa niniejsza została prawidłowo rozpatrzona i rozstrzygnięta na podstawie RODO. Wszystkie zarzuty naruszenia prawa procesowego i materialnego Sąd uznał za nieuzasadnione. Organ podjął w tej sprawie decyzję po dokonaniu pełnych ustaleń stanu faktycznego niezbędnych do jej rozstrzygnięcia. Organ nie naruszył art. 7, art. 77 § 1, art. 80, czy art. 107 § 3 k.p.a. Ustalenia faktyczne poczynione przez organ w zaskarżonej decyzji są prawidłowe i opierają się na wyjaśnieniach Administratora i Podmiotu przetwarzającego, udzielonych w tej sprawie organowi. Uzasadnienie decyzji przedstawia ustalenia faktyczne w sposób wystarczająco wyczerpujący, odnoszący się do istoty sprawy. Ustalenia organu znajdują odzwierciedlenie w aktach postępowania administracyjnego. Uzasadnienie zaskarżonej decyzji zawiera wszystkie wymagane przepisem art. 107 § 3 k.p.a. elementy i pozwala na dokonanie kontroli zaskarżonej decyzji. Prezes UUDO, w świetle przeprowadzonego postępowania administracyjnego, miał podstawy przyjąć, że Administrator, wobec udowodnionych zaniechań nie wdrożył odpowiednich środków technicznych i organizacyjnych w celu zapewnienia bezpieczeństwa przetwarzanych danych osobowych, co przesądziło o naruszeniu spoczywających na nim obowiązków na gruncie art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO, co w konsekwencji stanowiło uchybienie wyrażonej w art. 5 ust. 1 lit. f) RODO zasadzie poufności. W efekcie zaś niesprostania wymogom zasady poufności, Administrator dopuścił się naruszenia zasady rozliczalności przewidzianej w art. 5 ust. 2 RODO. Przeprowadzona bowiem przez Administratora, po wystąpieniu przedmiotowego naruszenia ochrony danych osobowych, implementacja środków bezpieczeństwa nie została poprzedzona dokonaniem przez niego analizy ryzyka. Powyższe stanowi o naruszeniu wymogu zapewnienia procesom przetwarzania danych osobowych adekwatnego do ryzyka poziomu ochrony, czyli uchybieniu zasadzie rozliczalności. Administrator, nie przeprowadzając analizy ryzyka w zakresie zapewnienia procesom przetwarzania danych osobowych adekwatnego do ryzyka poziomu ochrony, nie był w stanie wykazać, że środki bezpieczeństwa wdrożone przez niego po dacie [...] listopada 2019 r. stanowią adekwatną reakcję na istniejące ryzyko związane z możliwością ponownej utraty dostępności przetwarzanych przez niego danych osobowych, czym uchybił zasadzie rozliczalności. Organ nadzoru prawidłowo przyjął, że Administrator nie zareagował w sposób prawidłowy na wystąpienie Prezesa UODO z dnia [...] marca 2020 r., co do zawiadomienia w sposób opisany w art. 34 ust. 2 RODO osób dotkniętych naruszeniem ochrony danych osobowych, tj. nie przekazał osobom, których dane dotyczą, opisu możliwych konsekwencji naruszenia ochrony danych osobowych oraz opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszenia ochrony danych osobowych. Administratorowi nie udało się także wykazać, że wdrożenie środków zaradczych po wystąpieniu przedmiotowego naruszenia ochrony danych osobowych zasadzało się na testowaniu bezpieczeństwa przetwarzania danych osobowych w systemach informatycznych. Nie dokonując regularnego testowania, mierzenia i oceniania skuteczności zastosowanych środków technicznych i organizacyjnych, mających zapewnić bezpieczeństwo zachodzącym w jego strukturze procesom przetwarzania danych osobowych, Administrator nie spełnił wymogu posiadania zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego, co skutkowało niewłaściwą realizacją obowiązku Administratora przewidzianego w art. 32 ust. 1 lit. d) RODO. Zasadne jest też w konsekwencji postawienie Administratorowi zarzutu niezdolności do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania (art. 32 ust. 1 lit. b RODO). Każdego administratora obowiązuje przewidziany w art. 28 ust. 1 RODO wymóg korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Z obowiązku przeprowadzenia takiej oceny nie zwalnia fakt wieloletniej współpracy i korzystania z usług danego podmiotu przetwarzającego przed dniem [...] maja 2018 r., tj. przed rozpoczęciem stosowania przepisów RODO. Administrator takiej weryfikacji nie przeprowadził, poprzestając na pozytywnej ocenie podmiotu przetwarzającego, będącej efektem dotychczasowej współpracy nawiązanej na długo przed rozpoczęciem stosowania przepisów RODO. Brak dokonania tej oceny przez Administratora równoznaczny jest z naruszeniem przez niego obowiązku określonego w art. 28 ust. 1 RODO. Przy czym samo podpisanie umowy powierzenia przetwarzania danych osobowych bez dokonania odpowiedniej oceny podmiotu przetwarzającego nie może być postrzegane przez pryzmat należytej realizacji przez Administratora obowiązku przeprowadzenia postępowania weryfikującego podmiot przetwarzający pod kątem spełnienia przez niego wymogów RODO. Długotrwała współpraca stron, niepoparta okresowym, systematycznym przeprowadzaniem audytów bądź inspekcji, nie gwarantuje, że podmiot przetwarzający zrealizuje w sposób prawidłowy zadania wymagane przepisami prawa oraz wynikające z zawartej umowy powierzenia. W ocenie Sądu, Prezes UODO w konsekwencji prawidłowo wystosował względem Administratora - stosownie do treści art. 58 ust. 2 lit. d) RODO - nakaz dostosowania operacji przetwarzania do przepisów RODO, poprzez wykonanie analizy ryzyka uwzględniającej zagrożenia związane z zainstalowaniem złośliwego oprogramowania ingerującego w dostępność danych osobowych, następnie wdrożenie na podstawie przeprowadzonej analizy ryzyka adekwatnych rozwiązań w celu pełnego zabezpieczenia serwerów wykorzystywanych przez Administratora w procesach przetwarzania danych osobowych oraz wdrożenie odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego. Organ w sposób wyczerpujący wyważył przewidziane w art. 83 ust. 1 RODO dyrektywy zasadności nałożenia oraz wysokości administracyjnych kary pieniężnej w wysokości 353 589 zł, w analizowanym przypadku uwzględniając powagę stwierdzonego naruszenia w kontekście podstawowego celu RODO - ochrony podstawowych praw i wolności osób fizycznych, w szczególności prawa do ochrony danych. Statystyczna maksymalna wysokość kary w przedmiotowej sprawie to: 20 000 000 Euro, za kwotę wyjściową organ przyjął 3 000 000 Euro. Organ podał, że skorzystał z możliwości obniżenia tej kwoty w oparciu o powagę naruszenia kwoty wyjściowej i w konsekwencji przyjął kwotę kary do wysokości 75 000 Euro – równowartość kwoty 327 397 zł. Ze względu na zaistnienie dodatkowych okoliczności obciążających podwyższył tę kwotę do wysokości 90 000 Euro (równowartość 392 877 zł. Mając jednak wzgląd na zasadę proporcjonalności dokonał dalszego obniżenia wysokości kary do kwoty 81 000 Euro, czyli 353 589 zł. W świetle ustalonych w sprawie okoliczności, nie ma podstaw do uznania, że kara jest rażąco wygórowana i nieadekwatna do stopnia przewinienia. Organ miał podstawy przypisać stwierdzonym przez Administratora naruszeniom RODO znaczną wagę i poważny charakter, ponieważ zaistniałe w ich wyniku zdarzenie doprowadzić może do szkód majątkowych lub niemajątkowych dla osób, których dane zostały naruszone. Zgodzić się zatem należy z organem, że nałożona na Administratora kara jest skuteczna, proporcjonalna i odstraszająca. Zarówno Podmiot przetwarzający, jak i Administrator potwierdzili, że system [...] posadowiony był na serwerze Administratora, na którym doszło do wystąpienia przedmiotowego naruszenia ochrony danych osobowych, korzystającym z oprogramowania Microsoft Windows 2008 SBS, a więc - architektury informatycznej posiadającej błędy bezpieczeństwa. Niewątpliwie wspólnicy [...] musieli być tego świadomi, posiadając wieloletnie doświadczenie we wdrożeniach systemów opartych o platformę technologiczną Microsoft i dostosowaniu ich do indywidualnych potrzeb klienta. Pomimo posiadanych przez ww. osoby kompetencji oraz wiedzy o tym, że na serwerze korzystającym z oprogramowania Microsoft Windows 2008 SBS był zainstalowany serwer [...] z bazą danych, z której korzystał system [...], to jednak wspólnicy nie przekazali Administratorowi informacji o występujących w oprogramowaniu Microsoft Windows 2008 SBS podatnościach, choćby o konieczności przeprowadzenia aktualizacji systemu operacyjnego do możliwie najnowszej wersji bądź wręcz wdrożenia nowszych, bardziej adekwatnych rozwiązań, co ostatecznie nastąpiło w strukturze Administratora dopiero po wystąpieniu naruszenia ochrony danych osobowych, które miało miejsce w dniu [...] listopada 2019 r. Do wystąpienia przedmiotowego naruszenia ochrony danych osobowych przyczyniło się zatem w sposób istotny, nacechowane rażącym wręcz niedbalstwem, działanie ze strony wspólników [...], którzy – jak ustalono - świadczyli na rzecz Administratora usługi wsparcia informatycznego w odniesieniu do systemu [...]. W normalnym toku czynności i zgodnie z podejściem opartym na ryzyku, winni oni byli bowiem, szczególnie jako profesjonaliści z dziedziny IT, przewidywać na podstawie przeprowadzonej analizy ryzyka skutki, jakie może nieść dla bezpieczeństwa powierzonych im danych osobowych, oparcie procesów ich przetwarzania na rozwiązaniach nie dających wystarczającej rękojmi bezpieczeństwa. Wspólnicy [...], choć nie mogli we własnym zakresie i w ramach świadczonych Administratorowi usług informatycznych usunąć podatności oprogramowania serwera, na którym zainstalowany został system [...], to mając jednak świadomość ich występowania, nie powiadomili o tym fakcie Administratora, co wyklucza możliwość przyjęcia, że podmiot przetwarzający wywiązał się z obowiązku udzielania Administratorowi pomocy uwzględniającej dostępne mu informacje. Stanowi to o naruszeniu przez wspólników [...] adresowanych wyłącznie do podmiotu przetwarzającego obowiązków określonych w art. 28 ust. 3 lit. f) RODO. Niedokowanie zaś przez Podmiot przetwarzający ciążących na nim powinności w powyższym zakresie, statuuje na gruncie wskazanego przepisu RODO jego odrębną odpowiedzialność o charakterze publicznoprawnym, a więc pozostającą w oderwaniu od jego obowiązków obligacyjnych i stanowiącą samoistną podstawę do zastosowania przez organ nadzorczy sankcji, stosownie do art. 83 ust. 4 lit. a) tego rozporządzenia. W ocenie Sądu, zastosowana przez Prezesa UODO kara pieniężna w wysokości 9 822 zł spełnia w okolicznościach niniejszej sprawy przesłanki, o których mowa w art. 83 ust. 1 RODO. Statystyczna maksymalna wysokość kary w przedmiotowej sprawie to: 10 000 000 EUR. Organ podał, że przyjął kwotę wyjściową do obliczania wysokości kary do wysokości 900 000 EUR. Skorygował tę kwotę ze względu na obrót podmiotu przetwarzającego do kwoty 2250 EUR - równowartość 9 822 zł. Zdaniem Sądu, również nałożona na Podmiot przetwarzający kara jest skuteczna, proporcjonalna i odstraszająca. Konkludując stwierdzić należy, że skargi nie są zasadne, gdyż zaskarżona decyzja nie narusza norm prawa materialnego czy procesowego. Organ prawidło ustalił stan faktyczny sprawy, w wyczerpujący sposób zebrał i ocenił materiał dowodowy, a następnie w przekonywujący sposób uzasadnił swoje rozstrzygnięcie. Jak wyżej stwierdzono, uzasadnienie zaskarżonej decyzji spełnia wymogi przewidziane w art. 107 § 3 k.p.a., gdyż w jej treści organ wyraźnie wskazał, z jakich względów uznał za zasadne wydane w sprawie rozstrzygnięcie. Postępowanie administracyjne zostało przeprowadzone zgodnie z zasadami ogólnymi k.p.a., a w szczególności art. 7, art. 8, art. 11 k.p.a., a także innymi normami, zwłaszcza art. 77 i art. 80 k.p.a., a zaskarżone rozstrzygnięcie zostało oparte na prawidłowej interpretacji norm prawa materialnego. Wyjaśnić też należy, że Sąd nie uwzględnił zawartych w skargach wniosków dowodowych. Zgodnie z art. 106 § 3 p.p.s.a., sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. W sprawie nie było istotnych wątpliwości, które miałyby być wyjaśnione przy pomocy dowodu z tych dokumentów. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a, orzekł o oddaleniu skarg. [pic]