Prezes Urzędu Ochrony Danych Osobowych nałożył karę pieniężną w wysokości 100 tysięcy złotych na Ministra Sprawiedliwości. Powodem była głośna sprawa z 2019 roku, opisywana w mediach jako tzw. afera hejterska. Decyzja jest ważna nie tylko ze względu na to, kogo dotyczy, ale przede wszystkim dlatego, że pokazuje, za co odpowiada instytucja zarządzająca danymi osobowymi – nawet wtedy, gdy konkretnego nadużycia dopuszczają się poszczególni pracownicy.
Spis treści
O co chodziło w „aferze hejterskiej”
Sprawa wyszła na jaw latem 2019 roku za sprawą publikacji prasowych. Dziennikarze opisali wówczas mechanizm pozyskiwania informacji o sędziach, którzy krytycznie wypowiadali się na temat zmian wprowadzanych w wymiarze sprawiedliwości.
Z ustaleń wynikało, że dane sędziów trafiały do osób, które wykorzystywały je do celów prywatnych i politycznych. Na ich podstawie tworzono i rozpowszechniano treści wymierzone w konkretne osoby. Część z tych materiałów publikowano w internecie, między innymi na koncie w serwisie społecznościowym, które – jak później ustalono – założono z adresu przypisanego Ministerstwu Sprawiedliwości. W efekcie sędziowie stali się obiektem zniesławiających ataków.
Długa droga do decyzji
Postępowanie organu nadzorczego rozpoczęło się jeszcze w 2019 roku, zaraz po pierwszych publikacjach. Przez kolejne lata Prezes UODO bezskutecznie starał się jednak uzyskać szczegółowe ustalenia od prokuratury, która powoływała się na dobro prowadzonego śledztwa.
Przełom nastąpił dopiero pod koniec 2024 roku. Prokuratura Regionalna we Wrocławiu przekazała wtedy materiał dowodowy, który okazał się wystarczający do wydania decyzji. Potwierdził on, że doszło do naruszenia ochrony danych osobowych sędziów.
Dlaczego ukarano ministra, a nie konkretnych sprawców
To pytanie pojawia się w tej sprawie najczęściej. Skoro nadużyć dopuszczały się poszczególne osoby, dlaczego karę otrzymała instytucja? Odpowiedź wynika wprost z zasad ochrony danych osobowych.
Za bezpieczeństwo danych odpowiada administrator
W systemie ochrony danych kluczową rolę pełni administrator – czyli podmiot, który decyduje o tym, w jakim celu i w jaki sposób dane są wykorzystywane. W tej sprawie administratorem był Minister Sprawiedliwości.
Administrator ma obowiązek wdrożyć odpowiednie zabezpieczenia oraz zadbać o to, by osoby mające dostęp do danych korzystały z nich wyłącznie zgodnie z jego poleceniem. Musi też zachować realną kontrolę nad całym procesem przetwarzania, tak aby dane nie trafiły do osób nieuprawnionych. Według organu nadzorczego właśnie tego zabrakło: pracownicy mieli dostęp do akt osobowych sędziów, ale nikt nie pilnował, czy korzystają z nich w granicach udzielonych upoważnień.
Co istotne, fakt, że konkretne osoby działały poza zakresem swoich uprawnień, nie zwalnia administratora z odpowiedzialności. To on odpowiada za to, jak z danymi obchodzą się podmioty, którym powierzył ich przetwarzanie. Potwierdza to także orzecznictwo europejskie – Trybunał Sprawiedliwości Unii Europejskiej w wyroku z 5 grudnia 2023 roku (sprawa C-683/21) wskazał, że administrator odpowiada nie tylko za przetwarzanie, którego dokonuje sam, ale również za to realizowane w jego imieniu.
Co z osobami, które faktycznie złamały prawo
Decyzja organu nadzorczego nie oznacza, że osoby, które bezprawnie udostępniły dane, pozostają bezkarne. Kara administracyjna z założenia może być wymierzona wyłącznie administratorowi, a nie poszczególnym pracownikom.
To jednak nie zamyka sprawy. Administrator, który został ukarany, może następnie dochodzić odpowiedzialności wobec osób, które nadużyły swoich uprawnień – na przykład na gruncie prawa pracy lub prawa cywilnego, w tym domagać się naprawienia poniesionej szkody. Równolegle prowadzone było postępowanie karne dotyczące przekroczenia uprawnień przez funkcjonariuszy publicznych.
Na czym dokładnie polegało naruszenie
Sednem problemu był brak odpowiednich rozwiązań technicznych i organizacyjnych po stronie administratora. W praktyce oznaczało to, że nikt skutecznie nie sprawdzał, czy nadane upoważnienia są wykorzystywane zgodnie z celem, w jakim ich udzielono.
Dane szczególnie wrażliwe
Sprawa jest poważna również ze względu na rodzaj ujawnionych informacji. Wśród przetwarzanych danych znalazły się informacje należące do kategorii szczególnie chronionych – dotyczące stanu zdrowia sędziów, ich poglądów politycznych oraz przynależności do organizacji. To dane, które wymagają najwyższego poziomu ostrożności, a ich ujawnienie może mieć szczególnie dotkliwe skutki dla osób, których dotyczą.
Postawa, która utrudniła wyjaśnienie sprawy
Na ocenę sytuacji wpłynął też sposób, w jaki administrator reagował na początku. Na wczesnym etapie postępowania, w 2019 roku, poinformowano organ nadzorczy, że żaden wyciek danych nie miał miejsca. Późniejsze ustalenia prokuratury okazały się z tym sprzeczne. Taka postawa utrudniła sprawne i dokładne przeprowadzenie postępowania.
Dlaczego kara ma taki, a nie inny wymiar
Organ nadzorczy uznał naruszenie za poważne, ponieważ uderzało ono w podstawowe zasady ochrony danych. Dodatkowo jako okoliczność obciążającą potraktowano fakt, że naruszenia dopuścił się konstytucyjny organ państwa – instytucja, która ze względu na swoją rolę powinna w sposób szczególny dbać o praworządność i poszanowanie praw obywateli.
W ocenie Prezesa UODO kara pieniężna była w tej sprawie nieunikniona. Tylko taka sankcja mogła bowiem realnie przyczynić się do przestrzegania przepisów o ochronie danych w przyszłości.
Praktyczne wnioski dla każdej organizacji
Choć sprawa dotyczy instytucji państwowej, płynące z niej wnioski są uniwersalne i przydadzą się każdej firmie czy organizacji przetwarzającej dane osobowe.
Po pierwsze, samo nadanie pracownikowi upoważnienia to za mało. Równie ważne jest sprawdzanie, czy osoby z dostępem do danych korzystają z nich wyłącznie w wyznaczonym celu i zakresie. Brak takiego nadzoru obciąża administratora.
Po drugie, odpowiedzialność za bezpieczeństwo danych spoczywa na organizacji jako całości, a nie tylko na konkretnym pracowniku. Nawet jeśli to pojedyncza osoba przekroczy swoje uprawnienia, konsekwencje może ponieść administrator.
Po trzecie, w razie podejrzenia naruszenia warto rzetelnie wyjaśnić sytuację, zamiast przyjmować, że problemu nie ma. Pochopne zapewnienia, które później okażą się nieprawdziwe, mogą dodatkowo pogorszyć ocenę całej sprawy.
Podsumowanie
Kara 100 tysięcy złotych dla Ministra Sprawiedliwości to przede wszystkim przypomnienie prostej zasady: za to, co dzieje się z danymi osobowymi, odpowiada przede wszystkim ten, kto nimi zarządza. Nadanie dostępu do danych musi iść w parze z rzeczywistą kontrolą nad sposobem ich wykorzystania. Brak takiego nadzoru – niezależnie od tego, kto bezpośrednio dopuścił się nadużycia – może skończyć się odpowiedzialnością po stronie administratora.
