Wyrok WSA w Warszawie z dnia 10 kwietnia 2025 r., sygn. II SA/Wa 1266/24

Spółka A. S.A. naruszyła art. 24 ust. 1 oraz art. 32 ust. 1 i 2 RODO przez niedostateczne wdrożenie środków bezpieczeństwa danych oraz brak regularnego testowania ich skuteczności. Decyzja Prezesa UODO o nałożeniu kary administracyjnej została uznana za zasadną.

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej, Sędzia WSA Joanna Kube, Asesor WSA Mateusz Rogala (spr.), , Protokolant specjalista Monika Gieroń, po rozpoznaniu na rozprawie w dniu 28 marca 2025 r. sprawy ze skargi A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Uzasadnienie

Zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzją z dnia [...] maja 2024 r. nr [...], wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2023 r., poz. 775 ze zm., powoływanej dalej jako k.p.a.), art. 7 ust. 1 i 2, art. 60, art. 90, art. 101 i art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz art. 57 ust. 1 lit. a) i h), art. 58 ust. 2 lit. d) oraz i), art. 83 ust. 1, 2 i 3, art. 83 ust. 4 lit. a) w związku z art. 24 ust. 1, art. 32 ust. 1 i 2 oraz art. 83 ust. 5 lit. a) w zw. z art. 5 ust. 1 lit. f) oraz art. 5 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm., powoływanego dalej jako rozporządzenie nr 2016/679), Prezes Urzędu Ochrony Danych Osobowych, stwierdzając naruszenie przez A. S.A. z siedzibą w [...] przepisów art. 5 ust. 1 lit. f) i ust. 2, art. 24 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia nr 2016/679, polegające na niewdrożeniu: