o karze w wysoko\u015bci 40 tys. z\u0142 na\u0142o\u017conej w 2019 r. za naruszenie przepis\u00f3w og\u00f3lnego rozporz\u0105dzenia o ochronie danych osobowych.<\/strong><\/p>\n\n\n\nNSA oddalaj\u0105c skarg\u0119 podtrzyma\u0142 argumenty podnoszone przez Prezesa UODO i zgodzi\u0142 si\u0119 <\/strong>z wcze\u015bniejszym wyrokiem WSA w Warszawie o sygn. akt. II SA\/Wa 2826\/19 z 26 sierpnia 2020 r.<\/p>\n\n\n\nZarzuty Prezesa UODO, z kt\u00f3rymi zgodzi\u0142 si\u0119 NSA, a wcze\u015bniej WSA, dotyczy\u0142y m.in. tego, \u017ce administrator nie zawar\u0142 umowy powierzenia z<\/strong> firm\u0105, na kt\u00f3rej serwerach znalaz\u0142y si\u0119 zasoby Biuletynu Informacji Publicznej (BIP) Urz\u0119du Miejskiego w Aleksandrowie Kujawskim, a tak\u017ce z podmiotem, kt\u00f3ry dostarcza\u0142 oprogramowanie do stworzenia BIP i \u015bwiadczy\u0142 us\u0142ugi serwisowe w tym zakresie. Brak takich um\u00f3w narusza art. 28 ust. 3 RODO, zgodnie z kt\u00f3rym administrator ma obowi\u0105zek zawarcia umowy powierzenia, gdy zleca wykonanie us\u0142ug zwi\u0105zanych z przetwarzaniem danych osobowych. Sp\u00f3r z burmistrzem Aleksandrowa dotyczy\u0142 m.in. kwestii tego, czy w takich okoliczno\u015bciach RODO w og\u00f3le ma zastosowanie. Wyrok NSA potwierdza, \u017ce wyj\u0105tki wy\u0142\u0105czaj\u0105ce stosowanie RODO musz\u0105 by\u0107 interpretowane zaw\u0119\u017caj\u0105co i ogranicza\u0107 si\u0119 wy\u0142\u0105cznie do tego, co niezb\u0119dne.<\/p>\n\n\n\nNSA potwierdzi\u0142 r\u00f3wnie\u017c, jak istotne jest posiadanie przez administrator\u00f3w odpowiednich polityk dotycz\u0105cych przetwarzania danych osobowych w BIP, jak i okre\u015blenie okresu, przez jaki b\u0119d\u0105 przetwarzane dane w BIP.<\/p>\n\n\n\n
NSA zgodzi\u0142 si\u0119 z decyzj\u0105 PUODO w aspekcie nieprawid\u0142owo\u015bci w zwi\u0105zku z publikacj\u0105 nagra\u0144 sesji rady miasta na kanale w YouTube. Administrator wybieraj\u0105c do zamieszczenia film\u00f3w z transmisj\u0105 z posiedze\u0144 rady wy\u0142\u0105cznie kana\u0142 YouTube nie przeprowadzi\u0142 analizy ryzyka. W konsekwencji administrator nie mia\u0142 pe\u0142nej kontroli nad danymi zawartymi w nagraniach. Analiza ryzyka mog\u0142a za\u015b pozwoli\u0107 administratorowi upewni\u0107 si\u0119, czy <\/strong>dane z tego serwisu mo\u017cna odzyska\u0107, czy w ka\u017cdej sytuacji istnieje mo\u017cliwo\u015b\u0107 zrealizowania prawa os\u00f3b do dost\u0119pu do danych, czy nie nale\u017cy mie\u0107 kopii nagra\u0144 w innych miejscach, czy te\u017c jakie kategorie danych s\u0105 w tym miejscu przetwarzane i zastosowa\u0107 odpowiednie \u015brodki ochrony, jak np. anonimizacja danych.<\/p>\n\n\n\nZ wyroku NSA wynikaj\u0105 dla administrator\u00f3w bardzo istotne konsekwencje.<\/strong><\/p>\n\n\n\n\n- W pierwszej kolejno\u015bci, \u00a0administratorzy powinni pami\u0119ta\u0107 o\u00a0konieczno\u015bci zawierania um\u00f3w powierzenia przetwarzania danych, gdy us\u0142ugi czy operacje przetwarzania danych realizowane s\u0105 przez inny podmiot.<\/li>\n\n\n\n
- Po drugie, bardzo istotne jest, by okre\u015bli\u0107, jak d\u0142ugo dane b\u0119d\u0105 przetwarzane do realizacji okre\u015blonych cel\u00f3w szczeg\u00f3lnie w\u00a0sytuacji, gdy nie wynika to wprost z\u00a0przepis\u00f3w prawa. W\u00a0sytuacji, gdy przepisy reguluj\u0105 t\u0119 kwesti\u0119, nie nale\u017cy przetwarza\u0107 danych d\u0142u\u017cej ni\u017c maksymalny okres wskazany w\u00a0prawie.<\/li>\n\n\n\n
- Wreszcie, decyzja powinna u\u015bwiadomi\u0107 administratorom danych to, \u017ce oceniaj\u0105c procesy przetwarzania danych osobowych i\u00a0przekazuj\u0105c informacje za po\u015brednictwem serwis\u00f3w b\u0119d\u0105cych w\u0142asno\u015bci\u0105 innych administrator\u00f3w, trzeba pami\u0119ta\u0107 o\u00a0konieczno\u015bci dokonania oceny zwi\u0105zanych z\u00a0tym ryzyk, ale przede wszystkim oceny r\u00f3l podmiot\u00f3w wyst\u0119puj\u0105cych w\u00a0tych procesach, czyli przeprowadzenia wnikliwej analizy ryzyka.<\/li>\n<\/ul>\n\n\n\n
Przeprowadzenie takiej analizy ryzyka, jak i posiadania odpowiednich polityk zwi\u0105zanych z procesami przetwarzania danych, pozwala administratorom realizowa\u0107 zasad\u0119 rozliczalno\u015bci, okre\u015blon\u0105 w RODO. Mog\u0105 oni w\u00f3wczas \u0142atwo wykaza\u0107, \u017ce przetwarzanie danych odbywa si\u0119 zgodnie z prawem, zasad\u0105 celowo\u015bci, zasad\u0105 ograniczenia czasu przetwarzania i zasad\u0105 poufno\u015bci oraz integralno\u015bci danych.<\/p>\n\n\n\n
Uzasadnienie wyroku<\/strong><\/p>\n\n\n\nStanowisko to znajduje potwierdzenie w pisemnym uzasadnieniu wyroku przekazanym przez NSA 12 marca 2024 r (Sygn. akt III OSK 3839\/21). S\u0105d podziela w nim argumentacj\u0119 PUODO oraz WSA w Warszawie.<\/p>\n\n\n\n
NSA wskazuje w nim, \u017ce prawo do ochrony danych osobowych jest prawem podstawowym, kt\u00f3rego ochron\u0119 gwarantuje prawo pierwotne Unii Europejskiej – Karta Praw Podstawowych UE oraz Traktat o funkcjonowaniu Unii Europejskiej. Do tego prawa odwo\u0142uje si\u0119 RODO. Intencj\u0105 ustawodawcy nie by\u0142o zaw\u0119\u017cenie zakresu ochrony danych osobowych, lecz wr\u0119cz przeciwnie – zwi\u0119kszenie zakresu jej stosowania. Dlatego:<\/p>\n\n\n\n