Komornik był inspektorem danych osobowych we własnej kancelarii - zapłaci 15,5 tys. zł kary
Komornik sądowy przez pięć lat sam w swojej kancelarii pełnił funkcję inspektora ochrony danych osobowych (IOD). Sam też poinformował prezesa UODO o incydencie. W trakcie postępowania uznano, że naruszył zasadę zapewnienia niezależności IOD. Kolejnym naruszeniem było niepoinformowanie prezesa UODO o wyznaczeniu inspektora ochrony danych. Teraz będzie musiał zapłacić administracyjną karę pieniężną w łącznej wysokości 15 500 zł.
Sprawa rozpoczęła swój bieg po przyjęciu przez prezesa UODO zgłoszenia od administratora, czyli samego… komornika. Poinformował o incydencie polegającym na wysłaniu pisma o zajęciu rachunku bankowego osobie niebędącej jego właściwym adresatem. W ramach weryfikacji formularza zgłoszeniowego okazało się, że komornik sądowy będący administratorem sam pełni również w swojej organizacji funkcję inspektora ochrony danych (IOD), przyjmując jednocześnie, że takie rozwiązanie nie spowoduje konfliktu interesów.
Co więcej, komornik w związku z wyznaczeniem siebie samego na IOD nie dokonał obowiązkowego zawiadomienia organu nadzorczego w tym zakresie – informuje UODO.
Czytaj: UODO upomina sąd w Lublinie - w sprawie analizy ryzyka>>
Po zgłoszeniu komornika postępowanie administracyjne
Jak informuje UODO, powyższe zaniechanie notyfikacyjne oraz wątpliwości dotyczące prawidłowego wyznaczenia inspektora ochrony danych stały się impulsem do wszczęcia postępowania administracyjnego przez prezesa UODO.
Jego ustalenia istotnie wykazały niezgodności z przepisami o ochronie danych osobowych. Prezes UODO wielokrotnie podkreślał doniosłość roli, jaką sprawuje inspektor ochrony danych. Jest on powołany do wspierania administratora i podmiotu przetwarzającego w zapewnieniu zgodności przetwarzania danych z przepisami obowiązującego prawa. Te same regulacje zobowiązują jednocześnie do publikacji danych kontaktowych wyznaczonego IOD oraz notyfikacji tej czynności poprzez poinformowanie Prezesa Urzędu Ochrony Danych Osobowych – wskazano.
Sam sobie sterem, okrętem, żeglarzem? Przy RODO niekoniecznie
Niezgodne z przepisami, jak wskazano, było wyznaczenie administratora do pełnienia funkcji inspektora danych osobowych. W tym wypadku chodzi o komornika sądowego pełniącego obie funkcje w swojej organizacji.
Choć inspektor ochrony danych może wykonywać inne zadania i obowiązki, to jest to możliwe jedynie w sytuacji, gdy administrator lub podmiot przetwarzający zapewnią, że takie zadania i obowiązki nie spowodują konfliktu interesów. Do zadań IOD należy m.in. informowanie administratora o jego obowiązkach i monitorowanie przestrzegania przepisów. Pełnienie obu funkcji przez jedną osobę prowadzi do tego, że inspektor ochrony danych zgłasza ewentualne uwagi administratorowi, czyli sobie samemu – wskazuje UODO.
Jak dodaje, konflikt interesów w działalności IOD może wynikać między innymi z występowania przez niego w organizacji jednocześnie w dwóch rolach lub podejmowania przez niego działań bądź decyzji, które podlegają następnie jego ocenie, zgodnie z art. 39 ust. 1 lit. b RODO.
Prezes UODO w swoich stanowiskach wielokrotnie odnosił się również do kwestii konfliktu interesów wśród osób pełniących funkcję IOD oraz dopuszczalności łączenia funkcji IOD z innymi stanowiskami. Organ nadzorczy wyraźnie zaznaczał przy tym, że: „Niedopuszczalne jest powołanie na IOD osoby będącej kierownikiem (zarządzającym) podmiotem posiadającym status administratora lub podmiotu przetwarzającego, takich jak np. członek zarządu stowarzyszenia, dyrektor szkoły, wójt czy członek zarządu spółki. Przyjęcie odmiennego stanowiska prowadziłoby do sytuacji, w których IOD, w zakresie przestrzegania przepisów o ochronie danych osobowych, oceniałby i monitorował samego siebie” – dodano.
Upomnienie niewystarczające
Jak dodano, prezes UODO nałożył administracyjną karę pieniężną w łącznej wysokości 15 500 zł. Uznał bowiem, że w tym przypadku upomnienie byłoby nieproporcjonalne do stwierdzonych naruszeń przepisów o ochronie danych osobowych.
Administrator został ukarany kwotą 3,5 tys. zł za niepoinformowanie organu nadzorczego w terminie 14 dni o dokonaniu takiej czynności. Natomiast po uwzględnieniu okoliczności łagodzących organ nadzorczy podjął decyzję również o nałożeniu kary w kwocie 12 tys. zł za niezagwarantowanie inspektorowi ochrony danych statusu zapewniającego mu niezależność w toku wykonywania jego zadań i obowiązków – wskazano.
Zaznaczono również, że komornik sądowy jako funkcjonariusz publiczny i profesjonalista podlega „ponadprzeciętnemu standardowi staranności w obszarze przepisów o ochronie danych osobowych”.
W tej sprawie administrator świadomie podjął decyzję, która nie wynikała ani z błędu, ani z niedbalstwa. Niezapewnienie niezależnego inspektora ochrony danych osobowych miało przynieść administratorowi wymierne oszczędności kosztem gwarancji ochrony danych. Orzeczona kara administracyjna, w ocenie prezesa UODO, spowoduje, że administrator dołoży wszelkich starań, by zapewnić rzeczywistą niezależność IOD, co pozwoli uniknąć ewentualnych przyszłych sankcji za naruszenie przepisów RODO – podsumowano.
