II SA/Wa 45/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk, Sędzia WSA Andrzej Góraj (spr.), Asesor WSA Arkadiusz Koziarski, , Protokolant starszy referent Edyta Brzezicka, po rozpoznaniu na rozprawie w dniu 22 maja 2025 r. sprawy ze skargi P. S.A. w restrukturyzacji z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Postępowanie w sprawie zainicjowało zawiadomienie do Prezesa Urzędu Ochrony Danych Osobowych, zwanego dalej także "Prezesem UODO" lub "organem nadzorczym", dokonane przez "P. S.A.", "Spółka" lub "Administrator", z [..] kwietnia 2020 r. dotyczące naruszenia ochrony danych osobowych, do którego doszło [...] kwietnia 2020 r. W zawiadomieniu tym spółka wyjaśniła, iż przedmiotowe naruszenie polegało na tym, że w procesie uruchamiania nowej witryny www w dniu [...].04.2020 zostały skopiowane pliki starej witryny do nowego folderu, który powinien być ukryty a został udostępniony. Zostało to zrobione przez pracownika firmy informatycznej bez wcześniejszej konsultacji i weryfikacji zawartości plików starej witryny. Pracownik firmy informatycznej popełnił błąd i nie ukrył plików a spółka P. S.A. nie miała świadomości tego działania. W zgłoszeniu uzupełniającym P. S.A. wskazał, że "(...) naruszenie polegało na możliwości uzyskania dostępu do pliku bazy danych historycznej (nie używanej) strony [...].pl. Do naruszenia doszło z powodu dopuszczenia do indeksacji plików baz danych starej strony [...].pl przez robota [...]. Możliwość indeksacji plików spowodowana była nieprawidłową konfiguracją przez firmę informatyczną sprawującą stałą opieką nad infrastrukturą IT. (...) Mniejsza niż pierwotnie była też skala naruszenia obejmującego numery PESEL osób (łącznie dotyczyło to ponad 7 000 mniejszej liczby osób niż łącznie ujętych w bazie danych. Naruszenie w części dotyczącej możliwości uzyskania dostępu do danych klientów obejmujących wyłącznie imię, nazwisko, adres email, adres zamieszkania, zaszyfrowanego hasła dostępu do panelu Klienta strony [...].pl i numer telefonu dotyczyło ponad 7 000 osób [bez numeru PESEL] (...) Ze zleconego przez spółkę P. S.A. niezależnego audytu incydentu wynika, że główną przyczyną, dla której doszło do indeksowania plików starej strony były błędy w pliku konfiguracyjnym [...]. W plikach starej strony [...].pl znajdowały się kopie zapasowe bazy danych umieszczone tam przez firmę informatyczną i nieusunięte w ramach prac serwisowych. Administrator wraz z pismem z 3 czerwca 2020 r. dostarczył organowi nadzorczemu dokument: "Raport Analiza incydentu bezpieczeństwa teleinformatycznego dla P. S.A. W raporcie wskazano zasady realizacji prac związanych z analizą incydentu, opis incydentu, opis środowiska informatycznego Administratora w odniesieniu do incydentu, opis w jaki sposób doszło do incydentu, zakres incydentu, przyczyny zaistniałego incydentu. Jako przyczyny organizacyjne incydentu wskazano w w/w raporcie m.in. na brak regularnej i rutynowej weryfikacji logów serwera [...] przez [...] oraz brak standardowych reakcji na pojawiające się próby przełamywania zabezpieczeń, (rutynowe przeglądanie logów wykryłoby próby ataków oraz niestandardową próbę indeksacji zawartości serwera przez [...] (lub intruza) już w dniu [...] kwietnia 2020 r., a odpowiedni wpis deindeksujący w [...] zapobiegłby ujawnieniu już indeksowanej zawartości). Administrator wraz z pismem z 3 czerwca 2020 r. przekazał Prezesowi UODO kopię umowy o świadczenie usług informatycznych i umowę powierzenia przetwarzania danych osobowych z [...] lipca 2019 r., która została zawarta między P. S.A. a [...]. Administrator wskazał, że w ramach regularnego testowania, mierzenia i oceniania skuteczności środków bezpieczeństwa związanych z funkcjonowaniem dotychczasowej witryny www.[...].pl były realizowane działania, takie jak powierzenie [...]wykonywania regularnych testów bezpieczeństwa zgodnie z wykazem czynności zawartym w ofercie i w umowie powierzenia przetwarzania danych osobowych oraz przeprowadzenie analizy bezpieczeństwa. Administrator wyjaśnił także, że nie przeprowadził analizy ryzyka gdyż przeprowadzenie analizy ryzyka w imieniu Administratora było wyłącznym obowiązkiem Podmiotu przetwarzającego tj. uczestnika niniejszego postępowania. Bazując na powyższym , Prezes Urzędu Ochrony Danych Osobowych w dniu [...] listopada 2024r. wydał decyzję stwierdzając w jej pkt.1 naruszenie przez P. S.A. z siedzibą w [...] art. 24 ust. 1, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej; "rozporządzenie 2016/679", polegające na: a) niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych w systemach informatycznych oraz ochronę praw osób, których dane dotyczą, na podstawie przeprowadzonej analizy ryzyka uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst, cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych. b) niewdrożeniu odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo danych osobowych przetwarzanych w systemach informatycznych, w szczególności w zakresie podatności, błędów, aktualizacji oraz ich możliwych skutków dla tych systemów oraz podjętych działań minimalizujących ryzyko ich wystąpienia. skutkujące naruszeniem zasady poufności (art. 5 ust. 1 iit. f) rozporządzenia 2016/679) oraz zasady rozliczalności (art. 5 ust. 2 rozporządzenia 2016/679), c) braku weryfikacji podmiotu przetwarzającego, czy zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia 2016/679 i chroniło prawa osób, których dane dotyczą i nałożył na P. S.A. z siedzibą w [...] za naruszenie art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, administracyjną karę pieniężną w wysokości 1 527 855,00 zł. zaś w pkt 2 decyzji stwierdzając naruszenie przez [...] Sp. z o.o. Sp. k. z siedzibą w [...] art. 32 ust. 1 i 2 oraz art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679, polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych, w tym zapewniających ich poufność, nałożył na [...] Sp. z o.o. Sp.k. z siedzibą w [...] za naruszenie art. 32 ust. 1 i 2 oraz art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679, administracyjną karę pieniężną w wysokości 20 037,00 zł. W uzasadnieniu decyzji Prezes UODO stwierdził, że doszło do naruszenia ochrony danych osobowych, które nastąpiło na skutek uzyskania dostępu do pliku bazy danych klientów P. S.A. zawartych na stronie internetowej www.[...].pl. przez osoby nieuprawnione (fakt ten potwierdza raport z analizy incydentu bezpieczeństwa). Wskutek powyższego organ uznał, że P. S.A. naruszył zasadę poufności, o której mowa w art. 5 ust. 1 lit. f) rozporządzenia 2016/679. Do naruszenia doszło w wyniku dopuszczenia indeksacji plików baz danych przez robota [...]. Proces przeniesienia strony internetowej zawierającej bazę danych osobowych od dotychczasowego dostawy usług hostingowych do nowego środowiska został przeprowadzony na zlecenie P. S.A. przez [...]. W ocenie organu Administrator pomimo posiadanej wiedzy o tym, jak zgodnie z powszechnie stosowanymi praktykami powinno przebiegać wdrożenie zmian w systemie informatycznym, na żadnym etapie nie prowadził nadzoru nad tym, czy wdrożenie przebiega zgodnie z powszechnie obowiązującymi standardami oraz umową powierzenia przetwarzania danych osobowych. Administrator nie podjął samodzielnych działań i nie zweryfikował, czy lokalizacja, w których znajdują się kopie bazy danych, jest skonfigurowana w sposób zapewniający ich poufność. W dalszej części uzasadnienia organ wyjaśnił, jak w jego ocenie i w świetle obowiązujących przepisów prawa winna przebiegać weryfikacja przez Administratora, jakości pracy wykonywanej przez uczestnika. Niezależnie od powyższego organ uznał, że brak działań [...] polegających na odpowiedniej komunikacji z P. S.A. (np. dopytaniu, czy na przenoszonej stronie internetowej znajdują się dane osobowe) świadczy o braku należytej staranności Podmiotu przetwarzającego w zakresie realizacji działania, które powinno być wykonane w sposób bezpieczny, prawidłowy i wolny od błędów. Skutkiem omawianej nierzetelności było naruszenie przez [...] art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c) i f) rozporządzenia 2016/679. Na kolejnych jedenastu strona uzasadnienia decyzji organ wyjaśnił sposób wymiaru nałożonej na Administratora kary odnosząc się do materii charakteru, wagi i czasu trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody; nieumyślnego charakteru naruszenia; wcześniejszych naruszeń ze strony administratora lub podmiotu przetwarzającego; kategorii danych osobowych, których dotyczyło naruszenie; działań podjętych w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą; stopnia odpowiedzialności administratora z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i 32; sposobu w jaki organ nadzorczy dowiedział się o naruszeniu; przestrzegania wcześniej zastosowanych w tej samej sprawie środków, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679; stosowania zatwierdzonych kodeksów postępowania na mocy art. 40 rozporządzenia 2016/679 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42 rozporządzenia 2016/679; osiągniętych bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowych lub strat; innych obciążających lub łagodzących czynników. Posługując się kryteriami zbieżnymi z w/w organ wyjaśnił też kwestię wysokości kary orzeczonej w pkt.2 decyzji. Od całego powyższego rozstrzygnięcia P. S.A. wywiodła do tut. Sądu skargę zarzucając : 1. naruszanie przepisów postępowania, tj. art. 8 § 1 k.pa. w zw. z art. 80 k.p.a. - poprzez naruszenie zasady swobodnej oceny dowodów poprzez brak ustalenia przyczyny wystąpienia incydentu z dnia [...] kwietnia 2020 r. i w konsekwencji przyjęcie, że Spółka ponosi za niego odpowiedzialność, podczas gdy z materiału dowodowego - w tym Raportu "Analiza incydentu bezpieczeństwa teleinformatycznego" z [...] maja 2020 r. ("Raport"), którego ustalenia nie zostały przez Organ zakwestionowane - wynika, że przyczyna zdarzenia związana była z błędami popełnionymi przez pracowników Uczestnika, przy czym rażące błędy popełnione w trakcie oceny materiału dowodowego stanowią podstawę do przypisania zaskarżonej Decyzji naruszenia zasady zaufania do władzy publicznej 2. naruszanie przepisów postępowania, tj. art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 84 k.p.a. - poprzez brak podjęcia przez Organ z urzędu wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy, brak zebrania materiału dowodowego poprzez brak przeprowadzenia dowodu z opinii biegłego z zakresu informatyki na okoliczność, czy Uczestnik, jako podmiot świadczący profesjonalne usługi działał prawidłowo, 3. mające wpływ na wynik sprawy naruszenie przepisu prawa materialnego, tj. art. 24 ust. 1 oraz art. 32 ust 1 i 2 RODO - poprzez ich niewłaściwe zastosowanie, tj. formułowanie ocen dotyczących odpowiedniości / nieodpowiedniości technicznych organizacyjnych środków bezpieczeństwa bez uprzedniej oceny ryzyka, w szczególności poprzez przyjęcie, że stosowane przez Skarżącą techniczne i organizacyjne środki bezpieczeństwa były nieodpowiednie, podczas gdy: (i) Organ w sposób arbitralny sformułował oceny dotyczące zadań realizowanych przez Uczestnika, (ii) w nieuzasadniony sposób przyjął, że powierzenie obsługi informatycznej - w tym w zakresie zapewnienia bezpieczeństwa danych osobowych - zewnętrznemu podmiotowi profesjonalnie świadczącemu tego typu usługi nie stanowi adekwatnego środka techniczno-organizacyjnego, (iii) w nieuzasadniony sposób przyjął, że pomimo nawiązania współpracy z profesjonalnym podmiotem zewnętrznym Skarżąca powinna posiadać wiedzę pozwalającą na merytoryczny i stały nadzór nad sposobem wykonywania obowiązków przez taki podmiot, a także poprzez przyjęcie, że powierzenie realizacji zadania administratora, jakim jest obowiązek testowania zabezpieczeń, zewnętrznej wyspecjalizowanej firmie działającej w obszarze IT, nie stanowi wystarczającego środka techniczno-organizacyjnego mającego zapewnić regularne testowanie, mierzenie i ocenianie skuteczności wdrożonych zabezpieczeń, podczas gdy z przepisów tych nie wynika, że administrator jest zobowiązany do samodzielnej realizacji tego obowiązku, zaś samo skorzystanie z usług podmiotu profesjonalnie zajmującego się obsługą IT nie stanowi takiego środka; 4. mające wpływ na wynik sprawy naruszenie przepisu prawa materialnego, tj. art. 28 ust. 1 oraz 5 ust. 2 RODO - poprzez ich błędną wykładnię i przyjęcie, że z przepisów tych wynika obowiązek weryfikacji podmiotu przetwarzającego, w rozumieniu ciągłego nadzoru administratora nad sposobem przetwarzania danych osobowych (analiza planowanych i wdrożonych środków) przez podmiot przetwarzający, podczas gdy obowiązek ten należy odnieść jedynie do badania gwarancji wdrożenia przed ten podmiot odpowiednich środków organizacyjnych, przeprowadzanego w zależności od okoliczności i charakteru przetwarzania 5. mające wpływ na wynik sprawy naruszenie przepisu prawa materialnego, tj. art. 83 ust. 1 RODO - poprzez jego błędne zastosowanie i wymierzenie kary za kilka czynów bez wskazania sposobu jej wyliczenia, podczas gdy z Wytycznych Europejskiej Rady Ochrony Danych Osobowych nr 04/2022 wynika sposób naliczania kary w przypadku zakwestionowania kilku czynów, co doprowadziło do braku możliwości oceny nałożonej kary przez pryzmat zasady proporcjonalności. W oparciu o powyższe zarzuty spółka wniosła o uchylenie skarżonego rozstrzygnięcia. W uzasadnieniu skargi rozwinięto powyższe stanowisko kładąc szczególny nacisk na fakt, że zawarcie umowy z uczestnikiem, będącym profesjonalnym uczestnikiem obrotu gospodarczego, zwolniło Administratora z odpowiedzialności za skutki działań firmy [...]. W odpowiedzi na skargę organ wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr.153, poz.1269 z późn. zm.) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów uznać należy, iż nie narusza ona prawa. Istota sprawy na etapie postępowania sądowego sprowadzała się do oceny tego, czy zawarcie przez administratora danych z uczestnikiem umowy o świadczenie usług informatycznych i powiązanej z nią umowy przetwarzania danych osobowych, zwalniała administratora z obowiązku wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych osobowych w systemach informatycznych, zapewniających regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo danych osobowych i zapewniających weryfikację podmiotu przetwarzającego pod kątem zdrożenia odpowiednich środków technicznych i organizacyjnych zgodnych z wymogami RODO. W ocenie tut. Sądu na w/postawione pytania należało udzielić negatywnej odpowiedzi. Na wstępie niniejszych rozważań zasadnym będzie przywołanie za organem tezy o charakterze ogólnym, iż Rozporządzenie 2016/679 wprowadziło podejście, w którym zarządzanie ryzykiem stanowi fundament działań związanych z ochroną danych osobowych. Zarządzanie ryzykiem ma charakter ciągłego procesu wymuszającego na administratorze danych nie tylko zapewnienie zgodności z przepisami rozporządzenia 2016/679 poprzez jednorazowe wdrożenie organizacyjnych i technicznych środków bezpieczeństwa, ale także zapewnienie ciągłości monitorowania poziomu zagrożeń oraz zapewnienie rozliczalności w zakresie poziomu oraz adekwatności wprowadzonych zabezpieczeń. Wobec powyższego koniecznością staje się możliwość udowodnienia przed organem nadzorczym, że wprowadzone rozwiązania, mające na celu zapewnienie bezpieczeństwa danych osobowych, są adekwatne do poziomu ryzyka, jak również uwzględniają charakter danej organizacji oraz wykorzystywanych mechanizmów przetwarzania danych osobowych. Administrator samodzielnie ma zatem przeprowadzić szczegółową analizę prowadzonych procesów przetwarzania danych i dokonać oceny ryzyka, a następnie zastosować takie środki i procedury, które będą adekwatne do oszacowanego ryzyka. Konsekwencją takiego podejścia jest konieczność samodzielnego doboru zabezpieczeń w oparciu o analizę zagrożeń. Podkreślić należy, że administratorom nie są wskazywane konkretne środki i procedury w zakresie bezpieczeństwa. W kontekście powyższego analiza ryzyka przeprowadzana przez administratora danych powinna zostać udokumentowana oraz uzasadniona na podstawie przede wszystkim określenia stanu faktycznego, istniejącego w momencie jej przeprowadzania. Należy wziąć pod uwagę w szczególności charakterystykę zachodzących procesów, aktywa, podatności, zagrożenia oraz istniejące zabezpieczenia w ramach zachodzących procesów przetwarzania danych osobowych. Nie można również w trakcie tego procesu pominąć zakresu oraz charakteru danych osobowych przetwarzanych w toku czynności realizowanych przez administratora danych, albowiem w zależności właśnie od zakresu oraz charakteru ujawnionych danych zależeć będą potencjalne negatywne skutki dla osoby fizycznej w przypadku wystąpienia naruszenia ochrony jej danych osobowych. Określenie aktywa używane jest dla wskazania wszystkiego, co stanowi wartość dla administratora danych. Pewne aktywa stanowić będą wartość wyższą od innych, i również z tej perspektywy winny być oceniane i zabezpieczane. Bardzo istotne są również wzajemne powiązania występujących aktywów, np. poufność aktywów (danych osobowych) zależna będzie od rodzaju i sposobu przetwarzania tych danych. Ustalenie wartości aktywów jest konieczne do oszacowania skutków ewentualnego naruszenia ochrony danych osobowych. Jest oczywistym, że szeroki zakres danych osobowych lub przetwarzanie danych osobowych, o których mowa w art. 9 lub art. 10 rozporządzenia 2016/679, może spowodować (w przypadku wystąpienia naruszenia ochrony danych osobowych) daleko idące negatywne skutki dla osób, których dane dotyczą, więc winny one być oceniane jako aktywa o wysokiej wartości, a co za tym idzie stopień ich ochrony powinien być odpowiednio wysoki. Określenie istniejących lub stosowanych zabezpieczeń jest konieczne, między innymi w tym celu, aby ich nie powielać. Należy również bezwzględnie sprawdzić skuteczność funkcjonowania tych zabezpieczeń, ponieważ istnienie zabezpieczenia niesprawdzonego, po pierwsze, może wyeliminować jego wartość, po drugie zaś może dać fałszywe poczucie bezpieczeństwa oraz może skutkować pominięciem (niewykryciem) krytycznej podatności, która wykorzystana spowoduje bardzo negatywne skutki, w tym w szczególności może doprowadzić do naruszenia ochrony danych osobowych. Metodą przeprowadzenia analizy ryzyka jest np. zdefiniowanie poziomu ryzyka jako iloczynu prawdopodobieństwa i skutków wystąpienia danego incydentu. Zazwyczaj wykorzystuje się macierz ryzyka, która pozwala zobrazować poziomy ryzyka w sposób wizualny, przedstawiając poziomy ryzyka, dla których organizacja definiuje odpowiednie działania. Podkreślić należy, że zarządzanie ryzykiem (przeprowadzenie analizy ryzyka i na tej podstawie wdrożenie odpowiednich zabezpieczeń) jest jednym z podstawowych elementów systemu ochrony danych osobowych i ma charakter ciągłego procesu. Winna więc następować okresowa weryfikacja zarówno adekwatności, jak i skuteczności zastosowanych zabezpieczeń, stosownie do wymogu przewidzianego w art. 32 ust. 1 lit. d) rozporządzenia 2016/679. Administrator danych powinien zatem regularnie testować, mierzyć i oceniać skuteczność środków technicznych i organizacyjnych, mających zapewnić bezpieczeństwo przetwarzania. Nowe ryzyka lub zagrożenia mogą zmaterializować się lub zostać ujawnione również samoistnie, w sposób całkowicie niezależny od administratora i jest to fakt, który również powinien być brany pod uwagę zarówno podczas budowania systemu ochrony danych osobowych, jak i w czasie jego realizowania. To zaś z kolei definiuje konieczność prowadzenia regularnej weryfikacji całego systemu ochrony danych osobowych zarówno pod kątem adekwatności, jak i skuteczności wdrożonych rozwiązań organizacyjnych i technicznych. Podkreślić również należy, że badanie prawdopodobieństwa wystąpienia danego zdarzenia nie powinno opierać się wyłącznie na podstawie częstotliwości występowania zdarzeń w danej organizacji, albowiem fakt nie wystąpienia danego zdarzenia w przeszłości wcale nie oznacza, że nie może ono zaistnieć w przyszłości. Omawiając powyższą problematykę należy też mieć na względzie to, iż zgodnie z art. 4 pkt 7 rozporządzenia 2016/649 "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarżania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania. Z kolei art. 4 pkt 8 rozporządzenia 2016/679 stanowi, że "podmiot przetwarzający" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Wskazując na relację między administratorem a podmiotem przetwarzającym podkreślić należy, że obowiązek przeprowadzenia rzetelnej analizy ryzyka wynika także z powołanych już powyżej przepisów prawa zawartych w art. 24 i 25 rozporządzenia 2016/679 - te zaś odnoszą się tylko do administratora. Zgodnie z art. 24 ust. 1 rozporządzenia 2016/679, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane. W myśl z art. 25 ust. 1 rozporządzenia 2016/679, uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze wynikające z przetwarzania, administrator - zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania - wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi niniejszego rozporządzenia oraz chronić prawa osób, których dane dotyczą. Z treści art. 32 ust. 1 rozporządzenia 2016/679 wynika, że administrator jest zobowiązany do zastosowania środków technicznych i organizacyjnych odpowiadających ryzyku naruszenia praw i wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia. Przepis precyzuje, że decydując o środkach technicznych i organizacyjnych należy wziąć pod uwagę stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze. Z przywołanymi przepisami i tezami koresponduje również motyw 74 rozporządzenia 2016/679, który postuluje, aby nałożyć na administratora obowiązki i ustanowić odpowiedzialność prawną administratora za przetwarzanie danych osobowych przez niego samego lub w jego imieniu. W szczególności administrator powinien mieć obowiązek wdrożenia odpowiednich i skutecznych środków oraz powinien być w stanie wykazać, że czynności przetwarzania są zgodne z niniejszym rozporządzeniem oraz że są one skuteczne. Środki te powinny uwzględniać charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw i wolności osób fizycznych. W literaturze przedmiotu podnosi się, że "przepisy nakładają na administratora obowiązki w zakresie przestrzegania zasad i obarczają go odpowiedzialnością za ich naruszenie. W komentowanym rozporządzeniu można zaobserwować tendencję do zapewnienia administratorom większej swobody w zakresie stosowanych zabezpieczeń, z jednoczesnym zwiększeniem odpowiedzialności za naruszenia przepisów o ochronie danych. Administrator danych powinien przeprowadzić analizę ryzyka i ocenić, z jakimi zagrożeniami ma do czynienia, aby móc zastosować odpowiednie środki pozwalające skutecznie zabezpieczyć przetwarzane dane." P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 5. W świetle powyższego jako trafne jawią się wywody organu, iż Administrator był zobowiązany do podjęcia działań zapewniających właściwy poziom ochrony danych poprzez wdrożenie odpowiednich środków technicznych oraz organizacyjnych, a także działań zmierzających do optymalnego zabezpieczenia i konfiguracji wykorzystywanych zasobów, narzędzi i urządzeń (w tym sprzętu komputerowego) poprzez regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych w postaci testów bezpieczeństwa w zakresie infrastruktury informatycznej oraz aplikacji. Charakter i rodzaj tych działań powinien wynikać z przeprowadzonej analizy ryzyka, w której powinno się zidentyfikować podatności odnoszące się do wykorzystywanych zasobów oraz wynikające z nich zagrożenia, a następnie określić adekwatne środki bezpieczeństwa. Prowadzenie prac związanych z przenoszeniem systemu informatycznego służącego do przetwarzania danych osobowych do innej lokalizacji powinno być poprzedzone dokonaniem szczegółowych analiz pod kątem ustalenia wpływu tej czynności na bezpieczeństwo danych przetwarzanych w tym systemie. Szczególnie istotne jest zweryfikowanie, czy do wykonania tej operacji wykorzystane zostały odpowiednie środki techniczne i organizacyjne zapewniające poufność danych. Obowiązki w tym zakresie dla Administratora i Podmiotu przetwarzającego wynikają wprost z art. 32 ust. 1 i 2 rozporządzenia 2016/679. Bez wpływu na w/w obowiązki administratora pozostawała umowa zawarta z uczestnikiem. Jedynym jej skutkiem, w zakresie odpowiedzialności za wykonanie obowiązków skonkretyzowanych w pkt.1 decyzji było rozszerzenie odpowiedzialności w tym zakresie z administratora na uczestnika, który to wniosek pozostaje w zgodzie z wytycznymi [...] - "Przechodząc do konkretnych obowiązków, podmiot przetwarzający ma obowiązek, po pierwsze, pomagać administratorowi w wywiązywaniu się z obowiązku przyjęcia odpowiednich środków technicznych i organizacyjnych w cetu zapewnienia bezpieczeństwa przetwarzania. Chociaż może to w pewnym stopniu pokrywać się z wymogiem, zgodnie z którym podmiot przetwarzający sam przyjmuje odpowiednie środki bezpieczeństwa, w przypadku gdy operacje przetwarzania prowadzone przez podmiot przetwarzający wchodzą w zakres RODO, pozostają one dwoma odrębnymi obowiązkami, ponieważ jeden odnosi się do własnych środków podmiotu przetwarzającego, a drugi odnosi się do administratora danych. 138: Obowiązek pomocy nie polega na przeniesieniu odpowiedzialności, ponieważ obowiązki te są nakładane na administratora danych. Na przykład, chociaż ocena skutków dla ochrony danych może być w praktyce przeprowadzana przez podmiot przetwarzający, administrator pozostaje odpowiedzialny za obowiązek przeprowadzenia oceny, a podmiot przetwarzający jest zobowiązany do udzielenia pomocy administratorowi "w razie potrzeby i na żądanie". W związku z tym to administrator musi podjąć inicjatywę w celu przeprowadzenia oceny skutków dla ochrony danych, a nie podmiot przetwarzający". Stąd w omawianym przypadku należy podkreślić, że analiza ryzyka oraz zarządzanie ryzykiem są procesami wymagającymi współpracy wszystkich zainteresowanych stron (czyli zarówno skarżącego jak i uczestnika) i jako takie wymagają przede wszystkim zaplanowania, zorganizowania, kierowania oraz kontrolowania zasobów wykorzystywanych do przetwarzania, realizacji samych czynności przetwarzania oraz badania i wykrywania ewentualnych podatności oraz luk. W szczególności konieczne jest analizowanie wpływu każdej zmiany na poziom bezpieczeństwa przetwarzanych danych. Co za tym idzie, przed wykonaniem jakichkolwiek działań, zwłaszcza polegających np. na przenoszeniu zasobu obejmującego dane osobowe z jednej lokalizacji do innej lokalizacji. Administrator i Podmiot przetwarzający winni zachować jak najdalej posuniętą ostrożność, zaś przed wdrożeniem samej zmiany winni określić zasady jej wprowadzenia, zwłaszcza w kontekście zapewnienia odpowiedniego poziomu bezpieczeństwa przetwarzanych danych, oraz sprawdzić, czy operacja została zakończona całkowitym sukcesem nie tylko pod kątem sprawności działania aplikacji lub systemu, ale również pod kątem zrealizowania wymagań przepisów prawa, w tym przepisów rozporządzenia 2016/679 nakładających obowiązki w zakresie zapewnienia odpowiedniego poziomu bezpieczeństwa danych. Biorąc powyższe pod uwagę wskazać należy, że Administrator zobowiązany był do dokonania weryfikacji, czy dane osobowe są odpowiednio zabezpieczone przed dostępem do nich osób nieuprawnionych. To właśnie fakt, że rzeczona strona internetowa zawierała bazę danych osobowych jest kluczowy z punktu widzenia ochrony danych osobowych, bowiem fakt ten determinuje konieczność wdrożenia określonych (adekwatnych) środków technicznych mających na celu zapewnienie bezpieczeństwa przetwarzania danych osobowych. Na marginesie dodać należało, iż treść umowy zawartej [...] lipca 2019r. dotyczącej powierzenia przetwarzania danych osobowych przez uczestnika, zawierała unormowania dopuszczające przeprowadzanie przez administratora kontroli poprawności wywiązywania się przez uczestnika z obowiązku podejmowania działań zgodnych z RODO. Wbrew więc twierdzeniom skarżącego, miał on świadomość tego, że omawiana umowa nie ekskulpuje go od odpowiedzialności za ewentualne zaniechania w podjęciu działań opisanych w pkt.1 decyzji. Mimo tego administrator nie udowodnił, by działania takowe kiedykolwiek podjął. Reasumując, jako uprawnione jawiły się wnioski organu, że Administrator na żadnym etapie prac prowadzonych na systemach informatycznych nie prowadził nadzoru nad tym, czy wdrożenie faktycznie przebiega zgodnie z powszechnie obowiązującymi standardami i umową powierzenia przetwarzania danych osobowych. W toku prowadzonego postępowania Administrator nie wykazał, że zlecając Podmiotowi przetwarzającemu przeniesienie historycznej witryny internetowej www.[...].pl do nowego środowiska poinformował Podmiot przetwarzający, że dane osobowe jego klientów są przetwarzane w środowisku witryny. Co się tyczy materii nałożonej kary administracyjnej to na podstawie art. 58 ust. 2 lit.i rozporządzenia 2016/679, każdemu organowi nadzorczemu przysługuje uprawnienie do zastosowania, oprócz lub zamiast innych środków naprawczych przewidzianych w art. 58 ust. 2 lit. a) - h) oraz lit. j) tego rozporządzenia, administracyjnej kary pieniężnej na mocy art. 83 rozporządzenia 2016/679, zależnie od okoliczności konkretnej sprawy. Zgodnie z art. 83 ust. 4 lit. a) rozporządzenia 2016/679, naruszenia przepisów dotyczących obowiązków Administratora i podmiotu przetwarzającego, o których mowa w art. 8, 11, 25 -39 oraz 42 i 43 podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Zgodnie z art. 83 ust. 5 lit. a) rozporządzenia 2016/679, naruszenia przepisów dotyczących podstawowych zasad przetwarzania, w tym warunków zgody, o których to zasadach i warunkach mowa w art. 5, 6, 7 oraz 9, podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Art. 83 ust. 3 rozporządzenia 2016/679 natomiast stanowi, że jeżeli Administrator lub Podmiot Przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów niniejszego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie. Zestawiając przywołane regulacje z treścią skarżonej decyzji uznać należało, iż organ nakładając karę nie przekroczył maksymalnych wysokości przewidzianych prawem. Uzasadniając wymiar kary odniósł się też szczegółowo do problematyki materii charakteru, wagi i czasu trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody; nieumyślnego charakteru naruszenia; wcześniejszych naruszeń ze strony administratora lub podmiotu przetwarzającego; kategorii danych osobowych, których dotyczyło naruszenie; działań podjętych w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą; stopnia odpowiedzialności administratora z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez niego na mocy art. 25 i 32; sposobu w jaki organ nadzorczy dowiedział się o naruszeniu; przestrzegania wcześniej zastosowanych w tej samej sprawie środków, o których mowa w art. 58 ust. 2 rozporządzenia 2016/679; stosowania zatwierdzonych kodeksów postępowania na mocy art. 40 rozporządzenia 2016/679 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42 rozporządzenia 2016/679; osiągniętych bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowych lub strat; innych obciążających lub łagodzących czynników. W sposób wyczerpujący wyjaśnił też to, które elementy metodyki przyjętej przez Europejską Radę Ochrony Danych w Wytycznych 04/2022 zastosował przy ustalaniu wysokości wymierzanej kary. To zaś w ocenie tut. Sądu świadczy niezbicie o tym, że wymierzona kara nie ma charakteru arbitralnego i dowolnego. Co zaś się tyczy materii niezasadności skargi w zakresie dotyczącym punktu 2 decyzji, to zwrócić należało uwagę na fakt, iż rozstrzygnięcie w tym zakresie dotyczyło podmiotu innego niż skarżący. Stąd strona skarżąca nie legitymowała się interesem prawnym w jej wywiedzeniu. Sąd administracyjny nie znalazł zaś żadnego przepisu prawa z którego mógłby wynikać taki interes, jak również w treści skargi próżno szukać takiej normy. W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa oraz stwierdzając brak po stronie Administratora danych interesu prawnego w skarżeniu rozstrzygnięcia zawartego w pkt.2 decyzji, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art.151 ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz.935).