„Wyjątek dziennikarski” zwalnia wydawców prasowych spod obowiązku stosowania się do szeregu przepisów rozporządzenia, w tym do zasady minimalizacji danych. Czy to oznacza, że dziennikarze mogą pisać co chcą, o kimkolwiek chcą? Czy rozgłośnia radiowa — Polskie Radio Szczecin — może ponosić odpowiedzialność za naruszenie przez redaktora naczelnego procedur określających przetwarzanie danych osobowych w publikowanych materiałach? I wreszcie: czy wysokość kary za naruszenie RODO powinna uwzględniać okoliczność, że spółka będąca administratorem znajduje się w likwidacji?
nieprawomocny wyrok WSA w Warszawie z 18 marca 2026 r. (II SA/Wa 807/25)
Celem procedur obowiązujących u każdego administratora nie powinno być jedynie „formalne”, a tym samym blankietowe spełnienie wymogów nałożonych przepisami rozporządzenia 2016/679, a wprowadzenie realnych, skonkretyzowanych rozwiązań, które zapewnią rzeczywisty poziom zabezpieczenia przetwarzania danych.
opis stanu faktycznego:
- sprawa zaczęła się od opublikowanego w portalu internetowym prowadzonym przez spółkę Polskie Radio Szczecin S.A. w likwidacji materiału poświęconego skazaniu sprawcy przestępstwa pedofilii;
- dość rzec, że autor materiału — Tomasz Duklanowski — opisał zdarzenia na tyle szczegółowo, że pośrednio ujawnił tożsamość ofiary (był to syn lokalnej posłanki) — chłopak popełnił samobójstwo…
- przeprowadzona w spółce wykazała szereg uchybień, m.in. brak wdrożenia odpowiednich środków służących ochronie danych osobowych, nieprzeprowadzenie, wbrew przyjętej polityce bezpieczeństwa, analizy ryzyka dla operacji przetwarzania danych osobowych przy redagowaniu i publikacji materiałów prasowych, czyli brak analizy zagrożeń…
- …jak też brak jasnych procedur przy pracy dziennikarskiej z danymi osobowymi — czyli brak weryfikacji przeznaczonych do rozpowszechnienia materiałów prasowych zawierających dane osobowe;
art. 24 ust. 1 RODO
Uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane.
art. 32 ust. 1 RODO
Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi w stosownym przypadku:
a) pseudonimizację i szyfrowanie danych osobowych;
b) zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
c) zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
d) regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.
- zatem w wydanej decyzji organ nakazał rozgłośni dostosowanie prowadzonych operacji przetwarzania danych osobowych do przepisów RODO, jak też nałożył karę w wysokości 56,8 tys. zł (decyzja PUODO nr DKN.5112.10.2024);
skarga:
- w skardze do WSA nadawca zwrócił uwagę, że wysokość kary nie uwzględnia sytuacji finansowej spółki, która nie tylko jest w likwidacji, ale też w kolejnym roku poniosła straty;
- co więcej brak formalnej dokumentacji analizy ryzyka nie oznacza, iż rozgłośnia radiowa nie określiła dokumentacji opisującej przetwarzanie danych osobowych i nie wdrożyła odpowiednich środków, zatem zarzut naruszenia bezpieczeństwa danych jest nieprawidłowy;
- zwłaszcza, że nikt na naruszenie się nie poskarżył — no i przecież „nie wystąpiły szkody po stronie osób, których dane dotyczą” (sic!), toteż sankcja jest nieadekwatna do przewinień;
- zaś tak czy inaczej reperkusje mają charakter działania politycznego, a przecież Tomasz Duklanowski — jako ówczesny redaktor naczelny rozgłośni — sam decydował o publikacji swego materiału, bez wiedzy i zgody nadawcy;
wyrok WSA:
- generalną zasadą RODO jest zarządzanie ryzykiem: prawo nie wyznacza ram przetwarzania danych osobowych i sposobów ich zabezpieczenia, lecz nakazuje przedsięwzięcie środków adekwatnych do potrzeb i zagrożeń;
- stąd też nie wystarczy jednorazowe „wdrożenie RODO”, tj. opracowanie dokumentacji i wprowadzenie określonych zabezpieczeń: administrator ma obowiązek też ich stałej analizy i aktualizacji, a także dokumentowania tych czynności;
- mało tego: celem RODO nie jest li tylko poprzestanie na wyprodukowaniu przez administratora dokumentacji opisującej przetwarzanie danych osobowych — opisane środki bezpieczeństwa powinny zostać prawidłowo wdrożone, czyli realnie stosowane;
- tymczasem w sprawie nie ma wątpliwości, że Polskie Radio Szczecin S.A. takie regulaminy utworzyła, a mimo to opublikowany materiał zawierał informacje pozwalające ustalić tożsamość ofiary pedofila — co oznacza, że procedury nie zadziałały, czyli administrator źle oszacował ryzyko;
- i nie ma przy tym znaczenia, że „wyjątek dziennikarski” wyklucza konieczność stosowania się przez media do zasady minimalizacji danych: raz, że ten przepis nie został przez PUODO w decyzji powołany, a dwa, że przepisy o wdrożeniu odpowiednich środków zabezpieczenia danych dotyczą wszystkich administratorów, także wydawców medialnych;
- wcale nie na marginesie WSA podkreślił, iż stan likwidacji spółki nie ma wpływu na odpowiedzialność za naruszenie przepisów regulujących przetwarzanie danych osobowych i nie może być traktowana jako okoliczność łagodząca: wszakże rozgłośnia radiowa nadal prowadzi działalność, przesłanką likwidacji nie była upadłość spółki…
- …bo przecież w 2023 r. nadawca osiągnął zysk netto w wysokości 2,342 mln zł, zaś nawet gdyby odnosić wysokość sankcji do roku kolejnego, to spółka wciąż posiadała 3,474 mln zł w kasie i na rachunkach, czyli o 400 tys. zł więcej, niż kwota zobowiązań i rezerw na zobowiązania — ergo wysokość kary to zaledwie 12,41% środków, które pozostaną w spółce po spłacie wszystkich zobowiązań.
Biorąc pod uwagę taką wykładnię WSA oddalił skargę kasacyjną nadawcy jako całkowicie nieuzasadnioną.