W piątek 28 lutego Wojewódzki Sąd Administracyjny oddalił skargę Dolnośląskiego Związku Piłki Nożnej na decyzję prezesa UODO z 25 kwietnia 2019 roku. Wówczas była nim Edyta Bielak-Jomaa, która nałożyła 55 750,50 zł kary za naruszenie RODO (unijnego rozporządzenia o ochronie danych osobowych). Chodziło o ujawnienie w sieci danych 585 osób, którym przyznano licencje sędziowskie w 2015 roku.
Kosztowna uchwała PZPN
Interesujące, że obowiązek opublikowania nazwisk i adresów sędziów piłkarskich na stronach internetowych związku wynikał z uchwały podjętej przez Polski Związek Piłki Nożnej. Ujawnienie danych trwało dość długo od 2015 do 2018 roku. Ale jak stwierdził urząd było niezawinione.
Co więcej - związek sam zgłosił naruszenie przepisów rozporządzenia już w lipcu 2018 roku. W zgłoszeniu wysłanym do UODO związek wskazał, że usunął dane (nazwiska, PESEL i dokładny adres zamieszkania sędziów) ze swoich stron internetowych. A także - powiadomił sędziów piłkarskich o naruszeniu oraz zwrócił się do właścicieli wyszukiwarek internetowych o usunięcie archiwalnych wyników wyszukiwania.
Czytaj: WSA: Bezprawne podanie PESEL przez byłego pracodawcę to naruszenie RODO>>
Jednak wyszukiwarka Google nadal odsyłała do wykasowanych tekstów. I w styczniu 2019 r. do UODO wpłynęła kolejna skarga, w której zarzucono, że niedozwolone dane nadal są dostępne w internecie. Prezes UODO, mimo że związek podjął kolejne działania zmierzające do zminimalizowania negatywnych skutków naruszenia, zdecydował się jednak na nałożenie kary finansowej. Uzasadniono to faktem, że naruszenie miało poważny charakter, dotyczyło dużej liczby osób i naraziło sędziów piłkarskich na duże ryzyko naruszenia ich praw i wolności.
W decyzji wskazano wyraźnie, że samodzielne zgłoszenie naruszenia oraz fakt, że aktualnie związek nie przetwarza danych osobowych sędziów na stronie internetowej nie stanowi okoliczności łagodzącej, ponieważ działania takie są wymagane przepisami RODO.
Zarzuty: decyzja dowolna prezesa
Związek Piłki Nożnej odwołał się do Wojewódzkiego Sądu Administracyjnego, zarzucając decyzji prezesa UODO z 25 kwietnia 2019 r., m.in:
- przekroczenie granic swobodnej oceny dowodów
- związek nie był odpowiedzialny za błędy w wykasowywaniu treści, gdyż zlecił to wyspecjalizowanej firmie i nie miał wpływu na administratora wyszukiwarki Google
- Google odpowiada za ujawnianie danych
- błędne uzasadnienie decyzji ( art. 5 RODO błędnie zinterpretowany)
- związek skierował przeprosiny do wszystkich sędziów
- prezes urzędu nie zbadał, ile osób dotyczyło naruszenie (niektórzy od 2015 r. mogli już umrzeć)
- ujawnienie danych osobowych miało na celu realizację zadań statutowych a nie korzyść majątkową.
Adwokat Krzysztof Kwiecień i Jakub Jędras przekonywali sąd, że siła naruszenia nie była tak wielka, jak przedstawia ją urząd. Dlatego, że sędziowie wyrazili zgodę na publikację ich danych.
Oddalenie skargi Związku
Wojewódzki Sąd Administracyjny oddalił skargę Związku jako niezasadną i utrzymał w mocy nałożoną karę. WSA zaznaczył, że zgodnie z art. 5 ust.1 lit.c) RODO przetwarzanie danych osobowych musi być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”).
- Tej minimalizacji danych związek nie zachował - powiedział sędzia sprawozdawca Sławomir Antoniuk. - Realizacja uchwały PZPN nie upoważniała związku do publikowania PESEL i dokładnych adresów, bo nie określała zakresu danych osobowych - dodał.
Można było podać nazwisko, imię, miejscowość, gdzie mieszka sędzia, ale już na pewno nie PESEL i numer domu - stwierdził sąd.
Chybionym zarzutem okazał się też argument o odpowiedzialności Google za niewyeliminowanie zabronionej treści, gdyż za drugim razem w styczniu 2019 r. po naciskach ze strony urzędu - udało się zmusić tego administratora do wykasowania nazwisk.
Sąd potwierdził, że nałożona kara jest adekwatna, skuteczna i prewencyjna, czyli ma odstraszać inne firmy i organizacje przed naruszeniami.
To już kolejny wyrok dotyczący kary za naruszenie RODO
11 grudnia ubiegłego roku zapadł pierwszy nieprawomocny wyrok w sprawie pierwszej kary prezesa UODO dla spółki Bisnode za nieprzestrzeganie RODO (sygn. II SA/Wa 1030/19). Dr Edyta Bielak-Jomaa decyzją z 15 marca 2019 roku nałożyła blisko milion złotych kary za zaniedbanie obowiązku informacyjnego wobec 6 mln 490 tys. 226 osób. Spółka nie poinformowła ich o tym, że przetwarza ich dane. WSA częściowo uchylił decyzję, w tym karę w wysokości 943 tysięcy złotych dla firmy Bisnode, bo UODO nie ustalił, czy istnieje możliwość faktycznego dotarcia informacji o przetwarzaniu danych do osób fizycznych, które nie prowadzą już działalności gospodarczej. Fakt nie spełnienia wobec nich obowiązku był bowiem podstawą nałożenia kary. Sąd zaś nie miał podstaw, aby przyjąć, że nałożona kara pieniężna jest proporcjonalna do stwierdzonego naruszenia.
Nieprawomocny wyrok Wojewódzkiego Sądu Admisnistracyjnego w Warszawie z 28 lutego 2019 roku, sygn. II SA/Wa 1511/19.
