8 godzin temu
Tak wynika z jednego z ostatnich orzeczeń Naczelnego Sądu Administracyjnego (NSA) w kolejnym sporze o RODO. Tu miał on związek z kradzieżą sprzętu komputerowego, której pokłosiem było naruszenie ochrony danych osobowych.
W lutym 2022 r. do prezesa Urzędu Ochrony Danych Osobowych (UODO) zgłosił je rzecznik finansowy. Informował, iż do naruszenia doszło na skutek kradzieży wykorzystywanego do pracy zdalnej prywatnego laptopa byłego pracownika. Wyjaśnił, iż radczyni prawna po zakończeniu zatrudnienia – bez wiedzy administratora – przechowywała na prywatnym komputerze kopie dokumentów, informacje i dane osobowe, do których miała dostęp w związku ze świadczoną pracą w okresie zatrudnienia w Biurze Rzecznika Finansowego.
Według informacji prawniczki kopie miały być usunięte ze skradzionego nośnika jeszcze w 2021 r., ale nie była pewna, czy folder kosz został opróżniony. Dlatego nie było jasne, czy dane zostały trwale usunięte z laptopa. Kradzież została zgłoszona policji.
UODO zaczął dociekać szczegółów. Okazało się, iż naruszenie ochrony danych osobowych dotyczyło ponad 1300 osób. A lista potencjalnych danych, które mogły zachować się na skradzionym sprzęcie była długa. Nie chodziło bowiem tylko o standardowe dane: jak nazwiska i imiona, imiona rodziców, daty urodzenia, PESEL itp. Na liście znalazły się też dane dotyczące m.in. zarobków, majątku, wizerunku, kredytów, a choćby informacji o prowadzonych postępowaniach.
Po bardzo szczegółowym postępowaniu prezes UODO stwierdził, iż rzecznik finansowy nie zastosował odpowiednich procedur bezpieczeństwa odpowiadających ryzyku przetwarzania danych przy wykonywaniu telepracy przez pracowników. Niemniej z uwagi na reakcję instytucji udzielił tylko upomnienia.
Rzecznik nie pogodził się jednak choćby z tak łagodną sankcją. Zaskarżył decyzję UODO. A bronił się m.in. tym, iż pracownica przez cały czas zatrudnienia była radcą prawnym, a co za tym idzie, samodzielnym administratorem danych osobowych.
To nie przekonało jednak Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie. Racji instytucji nie przyznał też NSA. Zaznaczył, iż w spornym przypadku reakcja UODO nie wynikała z faktu samej kradzieży.
Upomnienie zostało nałożone za to, iż nie zrealizowano wynikających z RODO obowiązków prawidłowej analizy ryzyka jeszcze w fazie konstruowania sposobu, trybu, zakresu przetwarzania danych osobowych oraz wprowadzenia adekwatnych środków organizacyjnych i technicznych. Kwestia utraty danych ani tego, czy rzeczywiście znajdowały się one na komputerze nie miała znaczenia w sprawie.
NSA stanowczo zaprzeczył też, iż w sprawie administratorem danych była radczyni prawna. Przypomniał, iż definicja administratora danych osobowych na gruncie przepisów RODO ma charakter funkcjonalny. W konsekwencji o tym, czy dany podmiot jest administratorem przesądzają ustalenia, kto decyduje o tym, czy dane będą przetwarzane, w jakim zakresie, sposobie i celu. I jak tłumaczył sędzia sprawozdawca Maciej Kobak, w odniesieniu do radcy prawnego, który znajduje się w stosunku zatrudnienia na podstawie umowy o pracę, będzie to pracodawca.
W świetle orzecznictwa radca prawny, który prowadzi indywidualną kancelarię, ma kontakt z klientami i prowadzi ich sprawę, to on decyduje o tych wszystkich kwestiach związanych z danymi. Natomiast o ile radca prawny pozostaje w stosunku zatrudnienia i pełni pewną funkcję pracowniczą, czyli realizuje zadania de facto pracodawcy, to ta decyzja do niego już nie należy. NSA zgodził się również, iż w spornym przypadku została przeprowadzona prawidłowa analiza ryzyka.
Wyrok jest prawomocny.
Sygnatura akt: III OSK 533/24
