• naruszenie zasady swobodnej oceny dowodów przez brak ustalenia przyczyny incydentu z 2020 r. i przyjęcie, że to spółka Panek ponosi za niego odpowiedzialność;
  • brak podjęcia z urzędu czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy;
  • błędne zastosowanie przepisów art. 24 ust. 1 oraz art. 32 ust. 1 i 2 RODO, polegające na przyjęciu, że powierzenie zewnętrznemu podmiotowi przetwarzającemu usług zapewnienia bezpieczeństwa danych nie jest wystarczającym środkiem techniczno-organizacyjnym;
  • błędne zastosowanie przepisów  28 ust. 1 oraz art. 5 ust. 2 RODO, polegające na przyjęciu, że wynika z nich obowiązek ciągłego nadzoru administratora nad sposobem przetwarzania danych przez podmiot przetwarzający;
  • nieprawidłowy sposób wyliczenia kary pieniężnej.