W toku prowadzonego postępowania dotyczącego nieprawidłowości przy przetwarzaniu danych osobowych PUODO może żądać od administratora przekazania wszelkich niezbędnych wyjaśnień i informacji, to oczywista oczywistość. Czy to oznacza, że administratorowi grozi kara za nieudzielenie wyjaśnień na żądanie PUODO? Jeśli w tzw. międzyczasie być może utracił status administratora — a dane zostały udostępnione innemu podmiotowi, i to spoza UE? (decyzja PUODO nr DKE.561.7.2026 z 1 września 2026 r.).
opis stanu faktycznego:
- sprawa zaczęła się od serii wniesionych do Prezesa Urzędu Ochrony Danych Osobowych skarg na przetwarzanie danych osobowych prawników przez trefne serwisy internetowe (w/g informacji prasowej chodzi o Lexspace.pl i Adwokatura.info, acz w tzw. międzyczasie powstały także ich klony);
- (na marginesie: jedną ze skarg złożyłem i ja — i nawet dostałem decyzję; dziwna sprawa, bo nie zgadzają się inicjały owego administratora);
- pod wpływem tych skarg PUODO wszczął postępowanie (DKN.5101.8.2025), w toku którego wezwał stronę do udzielenia wyjaśnień;
- indagowany udzielił odpowiedzi, potwierdzając, że jest administratorem przetwarzanych danych osobowych; ponieważ wyjaśnienia były niewystarczające, organ wezwał stronę do przekazania dodatkowych informacji…
- …a ponieważ i te wyjaśnienia nadal były niewystarczające, PUODO wysłał kolejny zestaw pytań:
art. 58 ust. 1 RODO
Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań:
a) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań; […]
e) uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań; […]
art. 83 ust. 5 lit. e RODO
Naruszenia przepisów dotyczących następujących kwestii podlegają […] administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa:
e) […] niezapewnienia dostępu skutkującego naruszeniem art. 58 ust. 1.
1) kto obecnie jest administratorem/kto ustala cele i sposoby przetwarzania danych osobowych serwisu?
2) w jaki sposób nastąpiło wejście przez [inny] podmiot w rolę administratora stron w domenach […]?
3) czy, a jeżeli tak na jakiej podstawie dane osobowe zawarte na stronie […] zostały wytransferowane z Polski (biorąc pod uwagę fakt, że obecnie dane te widnieją również pod adresem: […] tj. na domenie, która zarejestrowana jest w […]?
4) czy dopełniono obowiązku informacyjnego wobec [osób?], których dane przetwarzane są w portalu […], w kwestii wytransferowania tych danych poza obszar Polski i UE?
- (i to chyba tłumaczy inne inicjały, jak też fakt, że aktualnie wydawcą serwisu ma być jakaś angielska spółka);
- to pismo nie zostało odebrane, wezwanie ponowne także wróciło, po podwójnej awizacji z adnotacją „ZWROT nie podjęto w terminie” (gdzie wcześniej przedsiębiorca widział pouczenie, że nieodbieranie korespondencji urzędowej nie oznacza braku skutecznego doręczenia);
- więc w tym momencie urzędnik wysłał do strony listela (na adres podany we wcześniejszych pismach, ujawniony w CEIDG i na stronie), prosząc o kontakt z urzędem;
- więc przyszła odpowiedź, że to tylko usiłowanie phishingu, więc urzędnik wyjaśnił, że jeśli są wątpliwości, to można potwierdzić jego tożsamość;
- więc urzędnik spróbował dodzwonić się pod numer telefonu podany w CEIDG, ale abonent okazał się niedostępny…
decyzja PUODO:
- …więc PUODO — uznając, iż mogło dojść do naruszenia obowiązku dostarczenia przez administratora wszelkich niezbędnych informacji — wszczął odrębne postępowanie, wzywając przy tym stronę do przekazania danych pozwalających na obliczenie wysokości przychodu za rok 2025;
- a ponieważ (nie)zainteresowany nadal ignorował wysyłaną doń korespondencję — w wydanej decyzji organ nałożył nań administracyjną karę pieniężną w wysokości 31507 zł;
- w uzasadnieniu decyzji PUODO przypomniał, iż organ nadzorczy jest uprawniony, w ramach postępowań prowadzonych na podstawie RODO, do nakazania administratorowi i podmiotu przetwarzającemu dostarczenia wszelkich niezbędnych wyjaśnień, a także do uzyskania dostępu do danych osobowych i innych informacji, a to pod rygorem administracyjnej kary pieniężnej w wysokości do 20 mln € lub 4% całkowitego rocznego obrotu uzyskanego w roku poprzednim;
- z odrębnego (merytorycznego) postępowania wynika, że w ramach badanych serwisów internetowych mogło dojść do nieprawidłowości; administrator początkowo brał aktywny udział w sprawie, jednak w pewnym momencie przestał odpowiadać na wezwania — zignorował także dodatkowe próby kontaktu — co uzasadnia zarzut braku niezbędnej współpracy z PUODO;
Przedsiębiorca miał obiektywnie zachowaną możliwość zapoznania się z treścią pisma wystosowanego do niego przez organ nadzorczy, a okoliczność braku jego odbioru — skutkująca brakiem złożenia wyjaśnień, o które organ zwracał się do Przedsiębiorcy — obciąża wyłącznie jego samego. W ocenie Prezesa UODO, bierna postawa Przedsiębiorcy świadczy o jego lekceważącym stosunku zarówno wobec organu, jak i prowadzonego przez ten organ postępowania.
- wszakże nieudzielenie PUODO dodatkowych wyjaśnień jest przeszkodą w obiektywnym, wnikliwym i wszechstronnym rozpatrzeniu prowadzonej sprawy — jego skutkiem jest nie tylko uniemożliwienie jej rozstrzygnięcia, ale też pozbawienie osób dotkniętych nieprawidłowościami prawa do uzyskania szybkiej i skutecznej ochrony;
- …a ponieważ to nie pierwsze uchybienie administratora, wobec którego już wydawano decyzje w/s usunięcia danych osobowych i udzielono upomnienia za ich udostępnianie, PUODO zdecydował się na nałożenie kary w wysokości 7,5 tys. € — po przeliczeniu kursem z 28 stycznia 2026 r. wyszło 31507 zł.
Q.E.D.