W roku 2022 r. do Urzędu Ochrony Danych Osobowych wpłynęło 6995 skarg, a zatem o 1323 skarg mniej niż w roku poprzednim. Jednak, jak wskazuje organ nadzorczy w swoim sprawozdaniu „duży wzrost skarg złożonych w 2021 roku, przełożył się na większą liczbę spraw prowadzonych w UODO także w analizowanym roku sprawozdawczym, które pozostawały w toku, i w których konieczne było podjęcie czynności niezbędnych do zebrania materiału dowodowego i wydania decyzji administracyjnej.”

W roku 2022 Prezes UODO wydał 2030 decyzji administracyjnych, co jest liczbą porównywalną do roku 2021, w którym wydanych zostało 2082 decyzje administracyjne i o 164 więcej w stosunku do roku 2020, w którym wydanych było 1866 decyzji. 

Prezes UODO przeprowadzał czynności kontrolne w zakresie przestrzegania przepisów dotyczących ochrony danych w 40 podmiotach, na podstawie art. 58 RODO. Kontrole były przeprowadzane zarówno w oparciu o przyjęty plan kontroli, jak i w rezultacie powzięcia przez Prezesa UODO informacji o występujących nieprawidłowościach w związku z przetwarzaniem danych osobowych, a także w wyniku zgłoszenia naruszeń ochrony danych.

Prezes UODO nałożył administracyjne kary pieniężne na 20 podmiotów, w tym:

• 3 decyzje nakładające administracyjną karę pieniężną administratorowi danych, po przeprowadzeniu postępowania kontrolnego w przedmiocie przetwarzania danych osobowych;
• 16 decyzji nakładających administracyjną karę pieniężną w związku ze stwierdzonym naruszeniem ochrony danych osobowych (16 administratorów danych oraz 1 podmiot przetwarzający). 

Łączna wysokość nałożonych kar wyniosła 7.850.861 zł tj. o ponad 5,5 mln zł więcej niż w roku 2021. Podobnie jak w roku 2021, jedna kara nałożona została na podstawie przepisów Prawa Telekomunikacyjnego, pozostałe orzeczone zostały za naruszenie przepisów RODO.

Trochę merytoryki …

Opublikowane sprawozdanie z działalności Prezesa UODO dostarcza wielu cennych informacji w zakresie stosowania przepisów prawa przez administratorów oraz poprawności procesów przetwarzania danych osobowych. Zwrócę uwagę na kilka aspektów. 

Inspektor ochrony danych

W 2022 Prezes Urzędu Ochrony Danych Osobowych podjął działania mające na celu ocenę procesu powoływania i działania inspektorów ochrony danych. W ramach tych działań przeprowadzono kontrole w 4 podmiotach, a do 24 administratorów danych, którzy powołali IOD skierowano zapytania obejmujące 27 aspektów, o których więcej można przeczytać na stronie UODO.

Jakie wnioski może wyciągnąć dla siebie administrator danych z przeprowadzonych kontroli w tym przedmiocie? 

• włączaj inspektora ochrony danych w sprawy dotyczące ochrony danych osobowych,
• podejmuj działania mające na celu zapewnienie inspektorowi ochrony danych zasobów niezbędnych do utrzymania jego wiedzy fachowej, 
• ustal procedury zapewniające niezależność inspektora ochrony danych, w szczególności dotyczące zakazu otrzymywania instrukcji, wydawania poleceń, jak również zapewnienia, że w ramach wykonywania zadań inspektora ochrony danych nie będzie on odwoływany ani karany,
• nie zlecaj inspektorowi ochrony danych wykonywania zadań, które z mocy prawa należą do wyłącznych zadań administratorów, jak np. prowadzenie rejestru czynności przetwarzania, czy rejestru naruszeń ochrony danych osobowych.

Skargi składane przez osoby, których dane są przetwarzane

Z rodzaju skarg składanych w 2022 roku przez osoby, których dane dotyczyły, administrator danych może również wyciągnąć wnioski:

• przetwarzanie danych osobowych osób fizycznych musi posiadać właściwą przesłankę legalizującą ich przetwarzanie,
• udostępnianie danych osobowych zawsze musi posiadać właściwą podstawę prawną, aby uniknąć nieuprawnionego udostępnienia danych osobowych podmiotom nieuprawnionym,
• działania marketingowe z wykorzystaniem danych osobowych muszą być prowadzone w zgodzie z prawem,
• obowiązki informacyjne wynikające z RODO muszą być spełnianie,
• prawa podmiotów danych należy realizować np. przekazanie kopii danych, zgodnie z art. 15 RODO, sprostowanie danych, usunięcie danych wynikające z art. 17 RODO czy prawo sprzeciwu, o którym mowa w art. 21 RODO,
• przestrzegaj właściwych okresów retencji danych osobowych oraz usuwaj te, których okres przechowywania upłynął (dotyczy to również publikowania danych w Biuletynie Informacji Publicznej).

Sąsiedzki monitoring wizyjny

Skarżący wnosili, że sąsiedzi przetwarzają ich dane osobowe przy wykorzystaniu monitoringu wizyjnego bez podstawy prawnej. W odpowiedzi osoby skarżone wyjaśniły, że stosują monitoring w ramach czynności o charakterze czysto osobistym lub domowym, ponieważ zainstalowane kamery obejmują swoim zasięgiem wyłącznie obszar ich posesji, a do miejsc objętych monitoringiem wykraczających poza teren ich nieruchomości została zastosowana tzw. maska prywatności. Prezes UODO w swoim rozstrzygnięciu uwzględnił istotę wyroku TSUE w sprawie C-212/13. Zgodnie z tym wyrokiem, jeżeli system monitoringu wizyjnego, o ile obejmuje on ciągłe nagrywanie i przechowywanie danych osobowych i rozciąga się – „choćby częściowo na przestrzeń publiczną i tym samym jest skierowany poza sferę prywatną osoby dokonującej w ten sposób przetwarzania danych, o tyle nie powinien on być rozumiany jako czynność o czysto „osobistym lub domowym charakterze”. Ponadto organ nadzorczy uznał, że „maska prywatności”, czyli maskowanie obszaru na obrazie, który ma być wyłączony z nadzoru, jest procesem, który można odwrócić i użytkownik systemu monitoringu może go w dowolnym momencie zmienić. Dlatego nie można go uznać za skuteczne narzędzie, które trwale zapewni wyłączenie danego obszaru z monitoringu.

W związku z powyższym Prezes UODO nakazał zaprzestanie przetwarzania danych osobowych skarżących oraz ich usunięcie z dotychczas zebranych nagrań pochodzących z monitoringu wizyjnego obejmującego swoim zasięgiem drogę publiczną. W odniesieniu do kwestii realizacji obowiązku informacyjnego Prezes UODO stwierdził, że skarżeni nie spełnili obowiązku informacyjnego (na bramie garażu był tylko umieszczony znak informacyjny „obiekt monitorowany”). Prezes UODO udzielił skarżonym upomnienia we wskazanym zakresie.

Przetwarzanie przez pracodawcę danych osobowych pracownika w zakresie prywatnego numeru telefonu dla celów służbowych 

Pracownik administratora nie wyraził zgody na przetwarzanie jego danych osobowych w zakresie prywatnego numeru telefonu dla celów służbowych, polegających na zapewnieniu bezpieczeństwa mienia administratora w ramach procesu aktywacji lub dezaktywacji systemu zabezpieczeń. Prezes UODO, po przeprowadzeniu postępowania administracyjnego wydał decyzję, mocą której m.in. udzielił administratorowi upomnienia za naruszenie artykułu 5 ust. 2 RODO oraz artykułu 6 ust. 1 RODO, poprzez przetwarzanie danych osobowych w zakresie numeru telefonu komórkowego bez podstawy prawnej.

Pracownik ponadto zwrócił się do Prezesa UODO z żądaniem nakazania administratorowi usunięcia danych osobowych skarżącego w zakresie jego numeru telefonu komórkowego. Prezes UODO uznał stanowisko skarżącego jako zasługujące na uwzględnienie.

Praktyczna rada od CompNet:

Często pracodawca uznaje po prostu za zasadne i normalne przetwarzanie danych pracownika w postaci jego prywatnego numeru telefonu. Jak jednak pokazuje ta sytuacja, pracodawca ma obowiązek przetwarzania danych osobowych zgodnie z prawem, z zachowaniem przesłanek, określonych w art. 6 RODO. W przypadku prywatnego numeru telefonu najczęściej stosowaną przesłanką jest zgoda pracownika na przetwarzanie jego danych (numeru telefonu) dla celów służbowych. Ponadto pracodawca powinien dysponować dowodem, że uzyskał zgodę pracownika w tym celu. Jak to może w praktyce wyglądać? Poniżej udostępniamy wzór zgody: