Wyrok WSA w Warszawie z dnia 26 stycznia 2022 r., sygn. II SA/Wa 1384/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz, Sędzia WSA Tomasz Szmydt (spr.), Sędzia WSA Danuta Kania, Protokolant sekretarz sądowy Marcin Rusinowicz-Borkowski po rozpoznaniu na rozprawie w dniu 14 stycznia 2022 r. sprawy ze skargi Krajowej Szkoły [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2021 r. nr [...] w przedmiocie nałożenia kary pieniężnej za naruszenie przepisów o ochronie danych osobowych oddala skargę.

Uzasadnienie

KSSiP z siedzibą w K. złożyła skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2021 r., nr [...], w przedmiocie stwierdzenia naruszenia przez Krajową Szkołę Sądownictwa i Prokuratury przepisów art. 5 ust. 1 lit f), art. 25 ust. 1, art. 28 ust. 3, art. 32 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 216/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony danych osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu w takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.119 z o4.05.2016, str. 1 ze zm. - dalej jako "RODO" bądź "rozporządzenie 2016/679") oraz nałożenia kary administracyjnej w wysokości 100.000 zł (sto tysięcy złotych).

W dniu 9 kwietnia 2020 r. KSSiP (zwana dalej także: "KSSiP" lub "administratorem") zgłosiła Prezesowi Urzędu Ochrony Danych Osobowych (zwanym dalej także: "Prezesem UODO") naruszenie ochrony danych osobowych. Zgłoszenie zostało uzupełnione przez KSSiP dnia 16 kwietnia 2020 r. W zgłoszeniu naruszenia wskazano, że dnia 7 kwietnia 2020 r. administrator został powiadomiony przez Komendę Główną Policji o pojawieniu się w internecie danych osobowych związanych z domeną kssip.gov.pl. Tego samego dnia administrator stwierdził naruszenie ochrony danych osobowych. Po zapoznaniu się z rodzajem danych ustalił, że są to dane z bazy danych witryny szkolenia.kssip.gov.pl powstałe [...] lutego 2020 r. w trakcie testowej migracji do nowej platformy szkoleniowej ekssip.kssip.gov.pl. Naruszenie dotyczyło danych osobowych 50 283 osób.