Wyrok WSA w Warszawie z dnia 5 października 2021 r., sygn. II SA/Wa 528/21

Sąd uchylił karę ponad miliona złotych nałożoną na firmę pożyczkową, której ktoś przejął bazę klientów. Uznał, że odpowiedzialność ponosi podmiot przetwarzający.

Gazeta Prawna nr 195/2021

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz (spr.), Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Tomasz Szmydt, Protokolant st. sekretarz sądowy Maryla Wiśniewska po rozpoznaniu na rozprawie w dniu 5 października 2021 r. sprawy ze skargi [...] Sp. z o.o. w likwidacji z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla pkt 1 zaskarżonej decyzji, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącej [...] Sp. z o.o. w likwidacji z siedzibą w [...] kwotę 21 516 zł (słownie: dwadzieścia jeden tysięcy pięćset szesnaście złotych), tytułem zwrotu kosztów postępowania.

Uzasadnienie

W dniu [...] marca 2020 r. [...] Sp. z o.o. w likwidacji z siedzibą w [...] zgłosiła Prezesowi Urzędu Ochrony Danych Osobowych naruszenie poufności danych swoich klientów. Spółka (której przedmiotem działalności jest udzielanie pożyczek finansowych z wykorzystaniem serwisu internetowego [...]) podała, że w dniu [...] marca 2020 r. miała miejsce awaria serwera i wraz z jego restartem zostały zresetowane ustawienia oprogramowania odpowiadającego za bezpieczeństwo serwera (zapory firewall), w konsekwencji czego dane osobowe 218 657 osób znajdujące się na serwerze były publicznie dostępne. Baza danych znajdująca się na tym serwerze została pobrana (skopiowana) przez nieustalony podmiot trzeci, który wystąpił do Spółki z żądaniem zapłaty wynagrodzenia w zamian za jej zwrot. Spółka wyjaśniła, że baza danych nie była główną bazą klientów (potencjalnych klientów) Spółki, obejmowała dane statystyczne, z tego powodu nie została objęta skanowaniem pod kątem zabezpieczeń po zresetowaniu serwera.

[...] Sp. z o.o. w likwidacji wyjaśniła, że restartu serwera dokonała [...] z siedzibą w [...] na [...], której na podstawie umowy z dnia [...] marca 2018 r. powierzyła przetwarzanie danych w celu realizacji usług mających charakter hostingu.