NSA: Spółdzielnia mieszkaniowa odpowiada za naruszenie RODO jak przedsiębiorca

Naczelny Sąd Administracyjny podtrzymał decyzję prezesa UODO w sprawie kary pieniężnej w wysokości 52 tys. zł dla spółdzielni mieszkaniowej, która nie zgłosiła organowi nadzorczemu naruszenia ochrony danych osobowych oraz nie zawiadomiła o naruszeniu osoby, której dane dotyczą. Sąd uznał, że ujawnienie takich danych jak PESEL, imię i nazwisko oraz adres zamieszkania osoby fizycznej stanowi wysokie ryzyko naruszenia praw i wolności osoby fizycznej.

Sprawa rozpatrywana przez sądy dwóch instancji ma swój początek, kiedy spółdzielnia mieszkaniowa udostępniła osobie nieuprawnionej dane osobowe członka spółdzielni. Chodziło o imię, nazwisko, numer PESEL oraz adres zamieszkania. Dane zostały ujawnione poprzez upublicznienie zawiadomienia o podejrzeniu popełnienia przestępstwa, a sprawę tę administrator odnotował jedynie w wewnętrznym rejestrze naruszeń. Wezwana do złożenia wyjaśnień przez prezesa UODO spółdzielnia wskazała, że nie posiada informacji, czy osoba, której dane dotyczą, upubliczniła kserokopię zawiadomienia, czy taką kopię pozyskała.

Spółdzielnia jako administrator naruszyła obowiązki

Na skutek braku zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu oraz braku zawiadomienia osoby, której dotyczyło naruszenie, prezes UODO wszczął z urzędu postępowanie administracyjne, a następnie nałożył na spółdzielnię administracyjną karę pieniężną za stwierdzone naruszenie przepisów. W uzasadnieniu decyzji organ przypomniał, że w przypadku wykrycia przez administratora naruszenia ochrony danych osobowych, w pierwszej kolejności konieczne jest dokonanie analizy pod kątem wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych. Administrator zwolniony jest z obowiązku powiadamiania organu nadzorczego o naruszeniu, jeśli w wyniku przeprowadzonego badania okaże się, że istnieje co najwyżej małe prawdopodobieństwo wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych.

Organ stwierdził, że naruszenie poufności danych, jakie wystąpiło w związku z naruszeniem ochrony danych osobowych, polegającym na udostępnieniu podmiotowi nieuprawnionemu dokumentu zawierającego dane osobowe członka spółdzielni, powoduje wysokie ryzyko naruszenia praw lub wolności osoby fizycznej. W tej sytuacji nie ma podstaw do stwierdzenia, by administrator z jakichkolwiek przyczyn był zwolniony z obowiązków zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu oraz zawiadomienia o nim osoby, której dotyczą dane objęte tym naruszeniem.

Dwa różne sądy i dwa różne zdania

Wojewódzki Sąd Administracyjny w Warszawie, rozpoznający skargę spółdzielni, uchylił zaskarżoną decyzję (wyrok z 6 listopada 2023 r., sygn. akt II SA/Wa 863/23). - W ocenie sądu I instancji, organ nie wyjaśnił, dlaczego uznał skarżącą za przedsiębiorcę i w adekwatny do tego sposób obliczył wysokość kary pieniężnej. Skoro polski porządek prawny nadaje spółdzielniom mieszkaniowym szczególny i odrębny od przedsiębiorstw status prawny, brak jest podstaw do mechanicznego powoływania się przez organ na sposób obliczania kary odnoszący się do przedsiębiorstw – wyjaśnił sąd. Ponadto zwrócił uwagę, że w zaskarżonej decyzji brakuje przekonujących argumentów dotyczących ryzyka naruszenia ochrony danych osobowych oraz przyczyn uznania proporcjonalności nałożonej kary w stosunku do naruszenia ochrony danych osobowych.

Skargę kasacyjną wniósł prezes Urzędu Ochrony Danych Osobowych i tym razem sąd drugiej instancji podzielił stanowisko organu, uchylając zaskarżony wyrok. Naczelny Sąd Administracyjny nie zgodził się z tym, że prezes UODO nie przytoczył w decyzji przekonujących argumentów przemawiających za uznaniem, że naruszenie ochrony danych osobowych przez skarżącą mogło powodować wyższe niż małe ryzyko naruszenia praw lub wolności osób fizycznych. Wskazał, że w obszernej części uzasadnienia organ wykazał przyczyny, dla których uznał, że ujawnienie takich danych jak PESEL, imię i nazwisko oraz adres zamieszkania osoby fizycznej stanowiło wysokie ryzyko naruszeń.

Prezes UODO wskazał, że ujawnienie takich danych powoduje, że jawny staje się wiek i płeć osoby, której numer PESEL został ujawniony, a to z kolei wraz z ujawnieniem innych danych naraża taką osobę na możliwość posłużenia się jej danymi w celu wyłudzenia kredytu lub innych usług, co jest okolicznością powszechnie znaną chociażby z licznych doniesień prasowych opisujących tego rodzaju praktyki i trudną sytuację osób fizycznych, których dane zostały ujawnione – wyjaśnił.

Kara mogła być większa

NSA uznał ponadto, że prezes UODO wyjaśnił przyczyny uzasadniające wymierzenie kary administracyjnej w sposób proporcjonalny do naruszenia ochrony danych osobowych. W ocenie sądu, uzasadnienie zaskarżonej decyzji zawiera pełną i rozwiniętą argumentację wykazującą przesłanki naruszenia przepisów RODO oraz uzasadniające wysokość wymierzonej kary pieniężnej.

- Organ obszernie przywołał okoliczności, takie jak przychód skarżącej oraz wysokość posiadanego przez nią majątku jako elementy, które są współmierne do stopnia naruszenia przepisów RODO, ale jednocześnie nie spowodują sytuacji, w której nałożona kara wpłynie negatywnie ma sytuację ekonomiczną ukaranego. Uwzględnił zarówno okoliczności przemawiające za podwyższeniem kary, oceniając na ile wystąpiły okoliczności, które mogłyby wpłynąć na jej zmniejszenie – tłumaczył. Jednocześnie podkreślił, że kwota nałożonej kary w wysokości 51 876 zł to jedynie 0,11 proc. maksymalnej wysokości kary, którą prezes UODO mógł nałożyć na spółdzielnię za stwierdzone naruszenia.

Co najistotniejsze, NSA wskazał, że spółdzielnia mieszkaniowa jest "przedsiębiorcą", niezależnie od rodzaju działalności, jaką prowadzi. Pojęcie przedsiębiorstwa obejmuje każdy podmiot prowadzący działalność gospodarczą, niezależnie od jego statusu prawnego oraz sposobu finansowania. Sąd Najwyższy zajął stanowisko, że spółdzielnia mieszkaniowa jest korporacją, która w interesie swoich członków prowadzi wspólną działalność gospodarczą (uchwała z 9 marca 2017 r., sygn. akt III CZP 69/16).

wyrok Naczelnego Sądu Administracyjnego z 26 sierpnia 2026 r., sygn. akt III OSK 251/24