Ignorowanie wezwań urzędowych bywa kosztowniejsze niż samo naruszenie prawa. Przekonał się o tym przedsiębiorca, dla którego brak współpracy z organem nadzorczym okazał się podstawą do nałożenia przez Prezesa UODO kary w wysokości niemal 19 tysięcy złotych. Co istotne, sankcja nie wynikała z nieprawidłowości w przetwarzaniu danych, a z całkowitego braku reakcji na kierowaną korespondencję.
UODO wielokrotnie zwracał się o wyjaśnienia i dokumentację – bezskutecznie. Administrator nie przedstawił ani podstawy prawnej przetwarzania, ani polityk bezpieczeństwa, ani nawet krótkiej odpowiedzi na kierowaną do niego korespondencję. Taka postawa została uznana za naruszenie obowiązku współpracy z organem nadzorczym, wynikającego wprost z art. 58 RODO.
Decyzja jest istotnym sygnałem dla rynku: nie można liczyć na to, że brak odpowiedzi „przeczeka” problem. Wręcz przeciwnie – ignorowanie pytań UODO staje się odrębnym deliktem, za który grożą realne sankcje finansowe.
Milczenie wobec UODO
Postępowanie przed Prezesem UODO nie zawsze kończy się karą za naruszenie samej treści przepisów RODO. Czasami to zachowanie administratora w toku kontroli i postępowania przesądza o wymiarze sankcji. Przykład przedsiębiorcy z branży gastronomicznej pokazuje, że milczenie wobec organu nadzorczego może być równie kosztowne jak nieprawidłowe przetwarzanie danych osobowych.
Sprawa rozpoczęła się od skargi byłej pracownicy, która podniosła zarzut nieuprawnionego wykorzystywania danych biometrycznych przy obsłudze systemu rejestracji czasu pracy. UODO wszczął postępowanie i zwrócił się do pracodawcy o przedstawienie szczegółowych wyjaśnień. Chodziło m.in. o wskazanie podstawy prawnej przetwarzania, dokumentów regulujących zasady użycia biometrii, ocenę ryzyka, a także o przedstawienie dowodów na zastosowanie adekwatnych środków technicznych i organizacyjnych chroniących dane.
Administrator został kilkukrotnie wezwany do złożenia wyjaśnień. Miał na to czas, mógł przesłać odpowiedzi pisemnie, w formie dokumentacji albo choćby krótkiego oświadczenia. Zamiast tego przez cały czas milczał – nie przesłał ani jednego dokumentu, nie podjął żadnego kontaktu z organem. To właśnie ta postawa, a nie sam fakt stosowania biometrii, stała się główną podstawą nałożenia kary.
Prezes UODO podkreślił w decyzji, że administrator danych ma obowiązek współpracować z organem nadzorczym, co wynika wprost z art. 58 RODO. Brak reakcji oznaczał faktyczne uniemożliwienie przeprowadzenia postępowania, a także świadome ignorowanie prawa. W ocenie organu takie działanie godzi w fundamenty systemu ochrony danych osobowych – bez współpracy administratorów niemożliwe jest bowiem ustalenie, czy w ogóle doszło do naruszenia i czy prawa osób, których dane dotyczą, są respektowane.
Ostatecznie kara wyniosła 18 941 złotych. Na jej wysokość wpłynął zarówno status przedsiębiorcy jako mikrofirmy, jak i fakt uporczywego ignorowania wezwań. Warto zauważyć, że gdyby administrator podjął współpracę, kara mogła być niższa albo
w ogóle nie zostałaby nałożona, jeśli wyjaśnienia byłyby przekonujące. Milczenie okazało się więc najdroższym możliwym wyborem.
Skarga na wykorzystanie danych biometrycznych punktem zapalnym sprawy
Choć kara pieniężna została nałożona za brak współpracy z organem nadzorczym, warto pamiętać, że cała sprawa zaczęła się od przetwarzania danych biometrycznych pracowników. To właśnie ten element wzbudził wątpliwości i doprowadził do złożenia skargi. Była pracownica wskazała, że w miejscu pracy stosowano system rejestracji czasu pracy oparty na odciskach palców. Zgodnie z jej relacją, dane te były zbierane bez odpowiednich podstaw prawnych i bez dostarczenia pracownikom pełnych informacji o zasadach ich przetwarzania.
W omawianym przypadku organ nadzorczy chciał ustalić, czy przedsiębiorca spełniał te wymogi. W tym celu wielokrotnie wzywał go do przedstawienia dokumentacji, polityk bezpieczeństwa, ocen ryzyka czy choćby klauzul informacyjnych wręczanych pracownikom. Niestety, brak odpowiedzi uniemożliwił przeprowadzenie rzetelnej analizy. Z perspektywy UODO to szczególnie niepokojące, ponieważ w grę wchodziły dane wyjątkowo wrażliwe, których niewłaściwe wykorzystanie mogłoby prowadzić do poważnych naruszeń praw i wolności pracowników.
Skarga na dane biometryczne była więc punktem zapalnym, który uruchomił całą procedurę. Gdyby nie zarzut związany z odciskami palców, organ prawdopodobnie nie zainteresowałby się działalnością tej konkretnej firmy. Sprawa pokazuje, jak duże ryzyko wiąże się z pochopnym wprowadzaniem systemów biometrycznych w miejscu pracy. Wystarczy jeden niezadowolony pracownik, by uruchomić kontrolę, która w razie braku przygotowania może zakończyć się sankcjami finansowymi – nawet jeśli ostatecznie kara dotyczy innego aspektu, jak w tym przypadku braku współpracy.
Brak współpracy z organem nadzorczym jako samodzielne naruszenie RODO
W omawianej sprawie kluczową rolę w nałożeniu kary odegrała nie sama treść przetwarzania danych, lecz zachowanie administratora w toku postępowania. Prezes UODO podkreślił, że zgodnie z art. 58 RODO każdy administrator danych ma obowiązek współpracować z organem nadzorczym. Obowiązek ten obejmuje nie tylko umożliwienie kontroli, ale także udzielanie wyczerpujących informacji, przedstawienie dokumentacji i reagowanie na wezwania organu w rozsądnym terminie.
Przedsiębiorca z branży gastronomicznej ignorował wszystkie wezwania. Organ wielokrotnie prosił o przedstawienie podstaw prawnych przetwarzania danych biometrycznych, dokumentacji dotyczącej procedur bezpieczeństwa oraz o wgląd w polityki i regulaminy związane z ochroną danych osobowych. Brak odpowiedzi był interpretowany jako świadome unikanie współpracy i uniemożliwienie rzetelnej oceny sytuacji. W efekcie UODO uznał milczenie za samodzielne naruszenie RODO, niezależnie od meritum pierwotnej skargi dotyczącej danych biometrycznych.
Decyzja w tej sprawie pokazuje również, że współpraca z organem nadzorczym powinna być postrzegana jako proces aktywny i transparentny. Nawet częściowe lub wstępne wyjaśnienia, przesłanie fragmentów dokumentacji czy umówienie spotkania mogą istotnie zmniejszyć ryzyko sankcji. Milczenie, z kolei, traktowane jest jako brak poszanowania przepisów i celowe utrudnianie pracy organu, co samo w sobie jest naruszeniem prawa.
W praktyce oznacza to, że przedsiębiorcy powinni traktować wszelkie wezwania z UODO poważnie i reagować jak najszybciej. Sprawa pokazuje, że nawet
w sytuacjach, gdy meritum zarzutu wydaje się sporne lub mało istotne, brak reakcji może prowadzić do dotkliwych konsekwencji finansowych, których można było łatwo uniknąć dzięki współpracy z organem.
Lekcja dla przedsiębiorców
Sprawa przedsiębiorcy z branży gastronomicznej pokazuje, że w relacjach z organem nadzorczym milczenie może być droższe niż samo naruszenie przepisów RODO. Nawet jeśli działania firmy są zgodne z prawem, brak reakcji na wezwania UODO skutkuje realnym ryzykiem kary.
Sprawa podkreśla także, że skala firmy nie chroni przed odpowiedzialnością proceduralną. Mikroprzedsiębiorca ma taki sam obowiązek współpracy z organem jak duża firma. Dlatego warto traktować wezwania UODO jako integralną część zarządzania ochroną danych i mieć w firmie procedury reagowania na skargi i kontrole. Podsumowując, skuteczna ochrona przed sankcjami RODO to nie tylko prawidłowe przetwarzanie danych, ale przede wszystkim aktywna współpraca z organem nadzorczym.
Podstawy prawne
Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. UE.L.2016.119.1).
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U z 2019 r. poz. 1781).
Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2025 r. poz. 277).
Materiał opracowany przez zespół „Tak Prawnik”.
Właścicielem marki „Tak Prawnik” jest BZ Group Sp. z o.o.
