Nieudzielanie informacji Prezesowi UODO kończy się karą pieniężną

Urząd Ochrony Danych Osobowych złożył wniosek o rozpoczęcie egzekucji administracyjnej kary pieniężnej od Stowarzyszenia RKW – Ruch Kontroli Wyborów – Ruch Kontroli Władzy. Karę w wysokości 10 082 zł nałożył na stowarzyszenie Prezes UODO Mirosław Wróblewski za brak współpracy i uporczywe ignorowanie wezwań do udzielenia organowi nadzorczemu informacji. Zgodnie z ustawą o postępowaniu egzekucyjnym w administracji wniosek skierowano do Urzędu Skarbowego, który prowadzi tę egzekucję.

W związku z wyborami prezydenckimi z roku 2025 do Prezesa UODO wpłynęła informacja wskazująca na możliwość wystąpienia nieprawidłowości przy przetwarzaniu danych osobowych w trakcie procesu wyborczego. Zgodnie z nią, członkowie obwodowych komisji wyborczych mieli weryfikować – poza spisem wyborców – uprawnienia osób głosujących na podstawie zaświadczeń o prawie do głosowania poza miejscem zamieszkania. Do tej weryfikacji miała służyć aplikacja mobilna Stowarzyszenia RKW, która – według zawiadomienia – nie była autoryzowana przez Krajowe Biuro Wyborcze.

Na bazie tych informacji Prezes Urzędu przeprowadził postępowanie wyjaśniające. Jego celem było ustalenie, czy rzeczywiście doszło do opisywanego zdarzenia oraz jakie dane osobowe mogły być przetwarzane podczas wykorzystywania aplikacji. Organ musiał również ustalić, kto odpowiadał za przetwarzanie danych, w jakim zakresie były one zbierane, gdzie je przechowywano, jak zabezpieczono i na jakiej podstawie prawnej były wykorzystywane.

Organ nadzorczy domagał się udzielenia informacji

W ramach postępowania Prezes UODO dwukrotnie zwrócił się do Stowarzyszenia o wyjaśnienia. Pierwsze wezwanie skierowano w czerwcu 2025, drugie w lipcu 2025 r. Organ nadzorczy wystąpił o wskazanie kategorii danych osobowych pozyskiwanych za pomocą formularza internetowego dostępnego pod adresem internetowym. Pytał też, czy oprócz danych wpisywanych przez użytkownika administrator zbierał informacje, takie jak adres IP, dane o urządzeniu lub lokalizacja. Prezes UODO chciał również ustalić, gdzie fizycznie przechowywano dane: czy były to serwery w EOG, poza tym obszarem, czy też rozwiązania chmurowe lub inne.

Organ nadzorczy pytał także o zabezpieczenia techniczne i organizacyjne. Chodziło m.in. o to, czy dane były szyfrowane w czasie przechowywania i przesyłania oraz czy zastosowano mechanizmy chroniące przed nieautoryzowanym dostępem. Prezes Urzędu potrzebował też informacji o okresie retencji danych, celu ich zbierania, możliwości ich usunięcia przez użytkownika oraz o tym, czy były wykorzystywane wyłącznie do obsługi formularza, czy również do innych celów, np. marketingowych, analitycznych, albo do profilowania.

Stowarzyszenie dwukrotnie zignorowało wezwania Urzędu

Oba wezwania wróciły do UODO z adnotacją „nie podjęto w terminie”. Mimo to, zgodnie z przepisami Kodeksu postępowania administracyjnego, pisma uznano za skutecznie doręczone. W każdym z nich było zawarte pouczenie, że brak odpowiedzi może skutkować nałożeniem administracyjnej kary pieniężnej. Stowarzyszenie nie udzieliło odpowiedzi na żadne z pism.

W celu nawiązania kontaktu z organizacją, w październiku 2025 r. pracownik UODO skontaktował się telefonicznie z prezesem Stowarzyszenia RKW. Przedstawiciel RKW poinformował, że Stowarzyszenie nie otrzymało kierowanych do niego pism, i poprosił o ich ponowne przesłanie na wskazany adres. W odpowiedzi na tę prośbę UODO jeszcze raz przesłał kopie pism wraz z pismem przewodnim. Organ również tym razem pouczył, że brak odpowiedzi może skutkować wszczęciem postępowania ws. administracyjnej kary (za naruszenie art. 58 ust. 1 lit. a i lit. e rozporządzenia ogólnego 2016/679 – RODO).

Korespondencja przesłana na adres siedziby Stowarzyszenia została odebrana. Jednak mimo skutecznego doręczenia organizacja nie przekazała żądanych informacji.

10 tys. zł kary za brak współpracy z organem nadzorczym

Wobec braku odpowiedzi Prezes UODO wszczął z urzędu odrębne postępowanie. Dotyczyło ono nałożenia kary pieniężnej za naruszenie obowiązków współpracy z organem nadzorczym. O wszczęciu postępowania Stowarzyszenie poinformowano pismem w grudniu 2025 r. Jednocześnie organ nadzorczy wezwał Stowarzyszenie do przedstawienia sprawozdania finansowego albo innego dokumentu, pokazującego wysokość obrotu i wynik finansowy osiągnięty w 2024 r.

Dane te były potrzebne do ustalenia podstawy wymiaru kary. W tym samym piśmie Prezes UODO poinformował, że udzielenie wyczerpujących wyjaśnień w sprawie aplikacji internetowej mogłoby wpłynąć łagodząco na wymiar kary albo nawet doprowadzić do odstąpienia od jej nałożenia. Stowarzyszenie jednak nie odpowiedziało również na pisma wysyłane w postępowaniu dotyczącym kary.

W ocenie Prezesa Urzędu Stowarzyszenie naruszyło art. 58 ust. 1 lit. a oraz lit. e RODO. Przepisy te dają organowi nadzorczemu prawo nakazania administratorowi lub podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań oraz prawo uzyskania dostępu do danych osobowych i informacji niezbędnych do prowadzenia postępowań.

Odmowa informacji utrudnia należyte zbadanie sprawy

Prezes UODO zaznaczył, że ustalenie dokładnej roli Stowarzyszenia w procesie przetwarzania danych za pomocą aplikacji było przedmiotem postępowania wyjaśniającego. UODO nie mógł jednak przeprowadzić pełnej oceny, ponieważ Stowarzyszenie nie przekazało informacji, które – zdaniem organu – pozostawały w jego dyspozycji.

Prezes UODO uznał, że brak odpowiedzi uniemożliwił obiektywne, wnikliwe i wszechstronne rozpatrzenie sprawy. W konsekwencji postępowanie wyjaśniające przedłużyło się, a osoby, których dane mogły być przetwarzane, zostały pozbawione możliwości szybkiej reakcji organu nadzorczego w ich sprawie.

Prezes Urzędu wskazał, że Stowarzyszenie miało obiektywną możliwość zapoznania się z prośbami UODO dotyczącymi przekazania stosownych informacji. Wynikało to zarówno z doręczeń zastępczych, jak i z późniejszego bezpośredniego kontaktu telefonicznego oraz z ponownego przesłania kopii wezwań. Mimo to organizacja nie podjęła współpracy. Prezes UODO ocenił postawę Stowarzyszenia jako bierną i lekceważącą wobec organu państwowego oraz prowadzonego postępowania.

Wysokość kary i okoliczności obciążające

Przy rozpatrywaniu sprawy organ uznał za obciążające trzy podstawowe okoliczności: charakter, wagę i czas trwania naruszenia, umyślny charakter naruszenia oraz całkowity brak współpracy z organem. Według Prezesa Urzędu naruszenie było poważne, ponieważ godziło w mechanizm ochrony danych osobowych. System ten opiera się nie tylko na obowiązkach administratorów, lecz także na realnej możliwości działania organu nadzorczego.

Prezes UODO zauważył też, że naruszenie nie miało charakteru jednorazowego. Trwało ponad dziesięć miesięcy – od 15 lipca 2025 r. (od upływu terminu na odpowiedź na pierwsze wezwanie) do wydania decyzji 18 maja 2026 r. Tak długi czas trwania naruszenia miał istotny wpływ na ocenę sprawy. Prezes Urzędu stwierdził również, że naruszenie miało charakter umyślny, a Stowarzyszenie było świadome treści żądań.

Jednocześnie organ wskazał, że nie stwierdzono wcześniejszych naruszeń przepisów o ochronie danych osobowych po stronie Stowarzyszenia. Nie ustalono też, by organizacja osiągnęła korzyści finansowe albo uniknęła strat dzięki nieudzieleniu odpowiedzi. Okoliczności te nie zostały jednak potraktowane jako łagodzące.

Szacunkowa wysokość kary wobec braku danych finansowych

Przy ustalaniu wysokości kary Prezes UODO nie mógł się oprzeć na pełnych danych finansowych Stowarzyszenia, bo organizacja ich nie dostarczyła. Organ dokonał więc oceny szacunkowej, odnosząc się do dostępnych danych o organizacji. Prezes Urzędu zaznaczył, że działalność Stowarzyszenia nasila się przede wszystkim w okresach okołowyborczych i bywa szeroko komentowana w środkach masowego przekazu. Organ odnotował też, że organizacja udostępnia numer rachunku bankowego przeznaczony do wpłat darowizn na cele statutowe. Na tej podstawie skalę działalności organizacji oceniono jako średnią.

Ostatecznie Prezes UODO ustalił karę administracyjną na poziomie 10 082 zł. Organ podkreślił, że kara stanowi jedynie 0,012 proc. maksymalnej kary, jaka na podstawie art. 83 ust. 5 RODO mogłaby zostać nałożona za tego rodzaju naruszenie. W ocenie Prezesa Urzędu kara jest skuteczna, proporcjonalna i odstraszająca; ma być także sygnałem dla innych podmiotów, że ignorowanie wezwań UODO i utrudnianie dostępu do informacji może skutkować sankcją finansową.

Wobec uprawomocnienia się kary, Urząd rozpoczął czynności zmierzające do jej wyegzekwowania. Nałożona kara odnosi się tylko do nie udzielenia informacji, nie przesądza natomiast meritum sprawy i nie kończy głównego postępowania. Jeśli Stowarzyszenie będzie dalej odmawiało współpracy z organem nadzorczym, może on nałożyć kolejne administracyjne kary pieniężne.

DKE.561.13.2025