Wojewódzki Sąd Administracyjny w Warszawie podtrzymał decyzję prezesa Urzędu Ochrony Danych Osobowych w sprawie przedsiębiorstwa pogrzebowego z Puław. Firma zagubiła w trakcie transportu dokumenty z danymi klienta. Została ukarana za to, że nie przewidziała ryzyka i w konsekwencji nie wdrożyła odpowiednich środków bezpieczeństwa, które pozwoliłyby uniknąć incydentu.
Sprawa zaczęła się w 2022 r., gdy policja znalazła na poboczu drogi dokumenty należące do przedsiębiorstwa pogrzebowego. Były to m.in. 82 upoważnienia zawierające dane osobowe członków rodzin osób zmarłych. Prokuratura ustaliła, że pracownik firmy przewoził pudła z dokumentami na odkrytej tzw. pace samochodu. Dziesięć pudeł wypadło w trakcie transportu. Nawet po rozładunku kierowca nie zorientował się, że je stracił, ponieważ wcześniej ich nie policzył.
Czytaj także: Zalando i Temu ukarane za nieprawidłowe informowanie o promocjach
Okazało się, że zakład pogrzebowy nienależycie wypełniał swoje obowiązki administratora danych. Przeprowadzona przez niego ocena ryzyka w ogóle nie obejmowała zagrożeń związanych z transportem dokumentów. Przed załadunkiem pudła z dokumentami były zaś przechowywane w niezamykanym pomieszczeniu pod schodami lokalu, niezgodnie z ustalonymi wewnętrznymi procedurami.
Jak podaje UODO, przeprowadzenie poprawnej analizy ryzyka uwzględniającej zagrożenia związane z transportem dokumentacji mogłoby zapobiec incydentowi. Mirosław Wróblewski, prezes urzędu, nałożył na przedsiębiorcę łącznie 33 tys. zł kary za nieprzestrzeganie przepisów RODO:
Stanowisko organu potwierdził WSA w Warszawie (wyrok z 4 grudnia 2026 r., sygn. akt II SA/Wa 1026/25). Uzasadnienie nie zostało jeszcze opublikowane. Z komunikatu UODO wynika, że sąd zgodził się, iż administrator, wbrew ciążącemu na nim obowiązkowi, nie przewidział ryzyka i w konsekwencji nie wdrożył odpowiednich środków bezpieczeństwa, które powinien zastosować podczas przewożenia dokumentacji papierowej zawierającej dane osobowe.
WSA zwrócił też uwagę, że inny środek bezpieczeństwa, na który powoływał się sam przedsiębiorca — tj. przechowywanie dokumentów w zamkniętej szafie, w zamykanym pomieszczeniu — w praktyce nie był stosowany. Ponadto jedyną osobą posiadającą zgodę administratora na dostęp do danych osobowych był pracownik biurowy, tymczasem transport dokumentów został zlecony innemu pracownikowi zatrudnionemu w charakterze żałobnika.
Sąd orzekł ponadto, że prezes UODO zastosował poprawną metodologię ustalenia wymiaru kar oraz rzetelnie uzasadnił swoje stanowisko.
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
