Kara dla komornika. Przez pięć lat kontrolował sam siebie

Stan faktyczny

Postępowanie nie zostało zainicjowane bezpośrednio z powodu sposobu zorganizowania funkcji IOD. Punktem wyjścia było zgłoszenie przez administratora naruszenia ochrony danych osobowych. Incydent polegał na przesłaniu pisma dotyczącego zajęcia rachunku bankowego osobie niebędącej jego adekwatnym adresatem.

Podczas analizy formularza zgłoszenia organ ustalił, iż komornik sądowy, występujący jako administrator danych w swojej kancelarii, jednocześnie sam pełni funkcję inspektora ochrony danych. Z informacji opublikowanych przez UODO wynika, iż taki model funkcjonował przez pięć lat. Administrator uważał przy tym, iż jednoczesne wykonywanie obu ról nie powoduje konfliktu interesów.

W toku weryfikacji ujawniono również, iż komornik nie zawiadomił Prezesa UODO o wyznaczeniu siebie na IOD. To właśnie sposób obsadzenia funkcji inspektora oraz brak wymaganego zawiadomienia stały się przedmiotem dalszego postępowania administracyjnego. Sam incydent związany z wysłaniem pisma niewłaściwej osobie był więc okolicznością, przy której organ stwierdził odrębne nieprawidłowości dotyczące organizacji funkcji IOD.

Z komunikatu UODO wynika ponadto, iż organ potraktował przyjęte rozwiązanie jako świadomy wybór administratora, a nie skutek omyłki lub niedbalstwa. Prezes UODO wskazał również na motyw ekonomiczny: samodzielne wykonywanie funkcji IOD miało przynieść administratorowi oszczędności kosztem gwarancji związanych z prawidłowym wykonywaniem tej funkcji. Przy ocenie naruszenia uwzględniono także zawodowy status komornika. Organ wskazał, iż jako funkcjonariusz publiczny i profesjonalista powinien on dochowywać podwyższonego standardu staranności w zakresie ochrony danych osobowych.

Stan prawny

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO) nie wyklucza powierzania inspektorowi ochrony danych innych zadań. Zgodnie z art. 38 ust. 6 RODO administrator lub podmiot przetwarzający musi jednak zapewnić, aby dodatkowe obowiązki IOD nie prowadziły do konfliktu interesów. Oznacza to konieczność takiego ukształtowania funkcji inspektora, aby mógł on wykonywać swoje zadania wobec administratora bez konieczności oceniania własnych decyzji podejmowanych w innej roli.

Ma to bezpośredni związek z zadaniami przypisanymi inspektorowi. Na podstawie art. 39 ust. 1 RODO IOD m.in. informuje administratora o obowiązkach wynikających z przepisów oraz monitoruje przestrzeganie RODO i innych regulacji dotyczących ochrony danych. o ile osoba podejmująca decyzje jako administrator następnie ma jako IOD kontrolować zgodność tych samych działań, powstaje zasadniczy problem z rozdzieleniem funkcji decyzyjnej i kontrolnej.

Odrębny obowiązek dotyczy poinformowania organu nadzorczego o wyznaczeniu IOD. Art. 37 ust. 7 RODO przewiduje publikację danych kontaktowych inspektora oraz zawiadomienie o nich organu nadzorczego. Na gruncie prawa krajowego art. 10 ust. 1 ustawy z 10.5.2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r. poz. 1781) stanowi, iż podmiot, który wyznaczył IOD, zawiadamia Prezesa UODO o jego wyznaczeniu w terminie 14 dni. Przepis określa również dane, które powinny znaleźć się w takim zawiadomieniu.

W analizowanej sprawie oba zagadnienia miały odrębne znaczenie. Z jednej strony organ oceniał materialne warunki wykonywania funkcji IOD, w szczególności konflikt wynikający z połączenia jej z rolą administratora. Z drugiej strony przedmiotem oceny było niewykonanie obowiązku formalnego polegającego na zawiadomieniu Prezesa UODO o wyznaczeniu inspektora.

Argumentacja organu

Z opublikowanego przez UODO opisu sprawy wynika, iż podstawowy problem polegał na takim połączeniu ról, w którym ta sama osoba występowała zarówno jako podmiot podejmujący decyzje w charakterze administratora, jak i jako IOD mający monitorować przestrzeganie przepisów przez tego administratora.

Prezes UODO podkreślił kontrolną i doradczą funkcję inspektora. IOD ma wspierać administratora w zapewnianiu zgodności przetwarzania danych z prawem, informować go o obowiązkach oraz monitorować sposób ich wykonywania. W sytuacji przyjętej przez komornika uwagi formułowane przez IOD byłyby w istocie kierowane do tej samej osoby, która jako administrator odpowiadała za działania podlegające ocenie. Według organu taki układ nie zapewniał niezależności wymaganej przy wykonywaniu zadań inspektora.

Konflikt interesów jest związany nie tylko z formalną nazwą zajmowanego stanowiska. Znaczenie może mieć również jednoczesne występowanie w dwóch rolach oraz wykonywanie przez IOD czynności lub podejmowanie decyzji, które następnie miałyby podlegać jego własnej ocenie. W odniesieniu do stanowisk zarządczych organ wcześniej wskazywał, iż problem powstaje w szczególności wtedy, gdy osoba kierująca podmiotem będącym administratorem miałaby równocześnie kontrolować, jako IOD, zgodność własnych działań z przepisami.

W sprawie komornika konflikt miał charakter bezpośredni: administrator nie powierzył funkcji IOD innej osobie, ale wyznaczył do jej wykonywania samego siebie. Z komunikatu UODO nie wynika przy tym, aby organ zakwestionował możliwość wykonywania przez IOD jakichkolwiek dodatkowych obowiązków. Istotą zarzutu było natomiast takie połączenie funkcji, które prowadziło do kontroli przez inspektora własnych działań wykonywanych w roli administratora.

Drugie stwierdzone naruszenie miało inny charakter. Wyznaczenie IOD rodziło obowiązek zawiadomienia Prezesa UODO, a administrator nie wykonał go w ustawowym terminie. Organ potraktował niewykonanie tej formalności jako samodzielne naruszenie, niezależne od nieprawidłowości dotyczącej statusu i niezależności inspektora.

Rozstrzygnięcie

Prezes UODO nałożył na komornika administracyjne kary pieniężne w łącznej wysokości 15 500 zł. Kwota 3 500 zł dotyczyła niepoinformowania organu nadzorczego o wyznaczeniu IOD w terminie 14 dni. Kara w wysokości 12 000 zł została natomiast nałożona w związku z niezapewnieniem inspektorowi statusu gwarantującego niezależność podczas wykonywania jego zadań i obowiązków. UODO podał, iż przy ustalaniu tej części sankcji uwzględniono okoliczności łagodzące.

Organ uznał, iż poprzestanie na upomnieniu nie byłoby proporcjonalną reakcją na stwierdzone naruszenia. Według komunikatu celem sankcji jest również doprowadzenie do takiej organizacji funkcji IOD, która będzie zapewniała jej rzeczywistą niezależność. Decyzja została oznaczona sygnaturą DKN.5131.24.2025.

Komentarz