Przedawnienie karalności za naruszenie RODO. Skarga kasacyjna Prezesa UODO do NSA

Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski złożył skargę kasacyjną do Naczelnego Sądu Administracyjnego. Zaskarżył wyrok WSA w Warszawie, w którym uwzględniona została skarga Santander Bank Polska SA w odniesieniu do nałożonej przez Prezesa UODO administracyjnej kary pieniężnej w wysokości 1 440 549 zł.

W sprawie tej chodzi o naruszenie przepisów RODO. Bank nie zgłosił Prezesowi UODO incydentu naruszenia ochrony danych osobowych (art. 33 ust. 1 RODO) ani nie zawiadomił o tym osób, których dane dotyczą (art. 34 ust. 1). Chodzi o zdarzenie z 2018 r. Dokumenty bankowe zawierające dane osobowe zostały skradzione, a potem porzucone na śmietniku.

W toku postępowania Prezes UODO ustalił, że bank niezasadnie odstąpił od realizacji obowiązków z art. 33 i 34 RODO i nie zrobił tego do momentu wydania decyzji przez organ nadzorczy. W tej sytuacji Prezes UODO zobowiązał bank do zawiadomienia o naruszeniu dotkniętych nim osób oraz nałożył na bank jako administratora danych karę pieniężną.

Czytaj również: Deregulacja RODO, czyli z dużej chmury mały deszcz>>

Czy do kar pieniężnych wynikających z RODO mają zastosowanie krajowe przepisy o przedawnieniu?

Bank wniósł do WSA skargę na tę decyzję. Sąd uchylił decyzję w części dotyczącej kary pieniężnej, przyjmując, że nastąpiło przedawnienie możliwości jej nałożenia.

Istota sporu i powód wniesienia przez Prezesa UODO skargi kasacyjnej dotyczy tego, czy do kar pieniężnych wynikających z RODO mogą mieć zastosowanie krajowe przepisy o przedawnieniu.

RODO nie przewiduje terminu przedawnienia karalności. Nie zawiera też upoważnienia dla państw członkowskich UE do wprowadzania takiego terminu w swoim prawie krajowym.

W przypadku zaś uznania, że do kar pieniężnych wynikających z RODO mają zastosowanie krajowe przepisy o przedawnieniu, to rozstrzygnięcia będzie wymagało również to, czy termin przedawnienia powinien być liczony od momentu upływu terminów z art. 33 ust. 1 (zgłoszenia naruszenia ochrony danych) i art. 34 ust. 1 RODO (powiadomienia osób, których dotyczy naruszenie), czy też - jak utrzymuje Prezes UODO - dopiero od chwili, gdy obowiązki te zostały finalnie zrealizowane (jakkolwiek uczyniono to z uchybieniem terminu).

Prezes UODO podkreśla w uzasadnieniu skargi kasacyjnej, że zawiadamianie o incydencie (osób, których dane dotyczą, i organu nadzorczego) to jeden z kluczowych mechanizmów ochrony danych osobowych w Unii Europejskiej. Nieprawidłowa jest więc wykładnia, według której obowiązki te tracą moc z chwilą upływu wskazanych terminów ich realizacji.

Stanowisko takie potwierdzają też wytyczne Europejskiej Rady Ochrony Danych.

Ponadto w ocenie Prezesa UODO przepis polskiego Kodeksu postępowania administracyjnego, dotyczący przedawnienia (art. 189g par. 1 k.p.a.), w ogóle nie znajduje zastosowania do administracyjnych kar pieniężnych przewidzianych w art. 83 RODO. Jego zastosowanie w tym kontekście może naruszać zasadę pierwszeństwa, skuteczności i jednolitości prawa UE. W związku z tym Prezes UODO zwrócił się do NSA o rozważenie - przed rozpoznaniem skargi kasacyjnej - wystąpienia do Trybunału Sprawiedliwości UE z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym w celu zapewnienia jednolitej wykładni prawa UE i jej relacji wobec krajowego prawa administracyjnego.

Prezes UODO jest przekonany, że sprawa ta ma charakter precedensowy, gdyż jej rozstrzygnięcie wpłynie na sposób stosowania przepisów RODO w Polsce w kwestii przedawnienia odpowiedzialności administracyjnej za naruszenie przepisów o ochronie danych osobowych w kontekście nakładania kar pieniężnych, a tym samym przesądzi o uprawnieniach organu nadzorczego oraz skuteczności systemu ochrony prawnej w tym obszarze.