Brak współpracy z Prezesem UODO podstawą kary nałożonej na Głównego Geodetę Kraju

Prezes Urzędu Ochrony Danych Osobowych nałożył karę na Głównego Geodetę Kraju za brak współpracy i uniemożliwienie kontroli przetwarzania danych osobowych. Kontrola dotyczyła udostępniania danych z ewidencji gruntów i budynków przez portal GEOPORTAL2. Główny Geodeta Kraju odmówił podpisania upoważnień do kontroli, co zaowocowało wszczęciem postępowania administracyjnego.

Tematyka: Prezes UODO, Główny Geodeta Kraju, GEOPORTAL2, dane osobowe, RODO, kontrola, współpraca, kara pieniężna, postępowanie administracyjne, przetwarzanie danych osobowych

Prezes Urzędu Ochrony Danych Osobowych (dalej jako: Prezes UODO), stwierdził naruszenie przepisów art.
31 oraz 58 ust. 1 lit. e i f rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27.4.2016 r.
w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie
swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie
o ochronie danych, Dz.Urz. UE L z 2016 r. Nr 119, s. 1 ze zm.; dalej jako: RODO), przez Głównego Geodetę
Kraju z siedzibą w Warszawie przy ul. Wspólnej 2. Naruszenie polegało na niezapewnieniu Prezesowi UODO
w trakcie kontroli przestrzegania przepisów o ochronie danych osobowych dostępu do pomieszczeń, sprzętu
i środków służących do przetwarzania danych osobowych oraz dostępu do danych osobowych i informacji
niezbędnych organowi do realizacji jego zadań, a także na braku współpracy z Prezesem UODO. Na
Głównego Geodetę Kraju została nałożona kara pieniężna w kwocie 100 000 zł.
Ustalenia Prezesa UODO
W lutym 2020 r. Prezes UODO przeprowadził kontrolę przetwarzania danych osobowych w Starostwie Powiatowym
w J. Kontrola dotyczyła udostępniania przez Starostę J., za pośrednictwem portalu internetowego GEOPORTAL2
(www.geoportal.gov.pl), danych osobowych z ewidencji gruntów i budynków prowadzonych przez starostów. W toku
kontroli ustalono, że Starosta J. nie publikuje na tym portalu danych osobowych z ewidencji gruntów i budynków, lecz
– na podstawie stosownego porozumienia – przekazuje je (w tym numery ksiąg wieczystych) Głównemu Geodecie
Kraju, który następnie pozyskane dane udostępnia na portalu. Z uwagi na powyższe Prezes UODO zdecydował
o konieczności przeprowadzenia kontroli przetwarzania danych osobowych, w zakresie udostępniania za
pośrednictwem portalu GEOPORTAL2 danych osobowych z ewidencji gruntów i budynków, u Głównego Geodety
Kraju.
W marcu 2020 r. kontrolujący udali się do Głównego Urzędu Geodezji i Kartografii celem rozpoczęcia zaplanowanej
kontroli. Kontrolujący okazali Głównemu Geodecie Kraju legitymacje służbowe oraz przedłożyli imienne
upoważnienia, w których został określony szczegółowy zakres kontroli. Kontrola miała objąć udostępnianie przez
Głównego Geodetę Kraju za pośrednictwem portalu internetowego GEOPORTAL2, danych osobowych z ewidencji
gruntów i budynków, poprzez ustalenie:
1. Podstawy prawnej przetwarzania, w tym udostępniania danych osobowych.
2. Źródła pozyskania danych osobowych.
3. Zakresu i rodzaju udostępnianych danych osobowych.
4. Sposobu oraz celu udostępniania dennych osobowych.
5. Czy przetwarzanie danych osobowych odbywa się na podstawie upoważnienia nadanego przez administratora
danych osobowych lub podmiot przetwarzający,
6. Czy Główny Geodeta Kraju wdrożył odpowiednie środki techniczne i organizacyjne, aby zapewnić odpowiedni
stopień bezpieczeństwa danych objętych ochroną,
7. Czy Główny Geodeta Kraju wyznaczył inspektora ochrony danych.
Jak wynika ze sporządzonego protokołu kontroli, po okazaniu legitymacji i przedłożeniu upoważnień do
przeprowadzenia kontroli, Główny Geodeta Kraju oświadczył, że nie podpisze przedłożonych upoważnień i odmawia
wyrażenia zgody na przeprowadzenie czynności kontrolnych w zakresie wynikającym z przedłożonych upoważnień.
Uzasadniając swoje stanowisko w tej sprawie wskazał, że według jego oceny z zakresu wskazanego
w upoważnieniach kontrolujących wynika, że kontrola ma dotyczyć numeru księgi wieczystej, który to numer nie jest
daną osobową w rozumieniu przepisów ustawy z 17.5.1989 r. - Prawo geodezyjne i kartograficzne (Dz.U. z 2020 r.
poz. 276 ze zm.).
Główny Geodeta Kraju oświadczył następnie, że wyraża zgodę na przeprowadzenie czynności kontrolnych tylko
w zakresie, jaki wynika z punktów 6 i 7 upoważnień imiennych kontrolujących. Zgodnie z przytoczonym wyżej
oświadczeniem Główny Geodeta Kraju przedstawił do akt kontroli pismo, w którym wskazane zostały m.in. podstawy
prawne zakwalifikowania numeru księgi wieczystej jako danej przedmiotowej.

W związku z uniemożliwieniem przeprowadzenia kontroli przetwarzania przez Głównego Geodetę Kraju danych
osobowych z ewidencji gruntów i budynków w portalu GEOPORTAL2, wszczęte zostało z urzędu postępowanie
w przedmiocie nałożenia na Głównego Geodetę Kraju administracyjnej kary pieniężnej za naruszenie art. 31 oraz art.
58 ust. 1 lit. e i f RODO, polegające na braku współpracy z Prezesem UODO w ramach wykonywania przez niego
jego zadań, uniemożliwieniu przeprowadzenia kontroli w zakresie przetwarzania danych osobowych, a także
niezapewnieniu Prezesowi UODO dostępu do pomieszczeń, sprzętu i środków służących do przetwarzania danych
osobowych, oraz dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań.
Pełnomocnik przedstawił stanowisko Głównego Geodety Kraju, wskazując, że „wszczęcie i prowadzenie
postępowania przez Prezesa UODO w niniejszej sprawie jest bezprzedmiotowe i z tego powodu powinno zostać
umorzone w całości”, wskazując, że: zakres prowadzonej kontroli był bezprzedmiotowy, ponieważ dotyczył
wykorzystywania informacji, które nie stanowią danych osobowych, oraz co do których Główny Geodeta Kraju nie
decyduje o celach i sposobach przetwarzania (nie mógłby więc mieć statusu administratora danych). Zdaniem
pełnomocnika, nie udaremniono przeprowadzenia kontroli, a jedynie zakwestionowano zakres prowadzenia kontroli,
który miał dotyczyć przetwarzania danych osobowych w postaci numeru księgi wieczystej. Dodatkowo
w wyjaśnieniach wskazano, że „Kontrola […] prowadzona była nie u Głównego Geodety Kraju, ale w Głównym
Urzędzie Geodezji i Kartografii, który z punktu widzenia przepisów RODO jest odrębnym administratorem danych
osobowych”. Podniesiono także, że „Prezes UODO bezpodstawnie uznał, że Główny Geodeta Kraju – który brał
udział w postępowaniu kontrolnym jako osoba reprezentująca kontrolowanego, tj. Główny Urząd Geodezji
i Kartografii – nie współpracował z Prezesem UODO w ramach wykonywania przez niego zadań” oraz, że „Prezes
UODO bezpodstawnie uznał, że Główny Geodeta Kraju uniemożliwił przeprowadzenie kontroli w zakresie
przetwarzania danych osobowych u podmiotu kontrolowanego, tj. w Głównym Urzędzie Geodezji i Kartografii.”.
Uzasadnienie z Decyzji Prezesa UODO z 2.7.2020 r.
Prezes UODO stwierdził, że na podstawie art. 58 ust. 1 lit. f RODO oraz przepisów zawartych w Rozdziale 9 (art. 78 -
91) ustawy z 10.5.2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 ze zm., dalej jako:
OchronaDanychU) miał uprawnienie do wszczęcia i przeprowadzenia u Głównego Geodety Kraju kontroli
przetwarzania danych osobowych; miał również uzasadnienie dla dokonania ustaleń w tego rodzaju postępowaniu
(postępowanie kontrolne).
Należy jednocześnie wskazać, że warunkiem przeprowadzenia takiej kontroli nie jest nawet uzasadnione podejrzenie
stwierdzenia naruszenia. Ustawodawca wyraźnie dopuszcza w art. 78 ust. 2 OchronaDanychU możliwość
przeprowadzania kontroli zgodnie z planem kontroli, a więc bez wcześniejszych informacji wskazujących na
nieprawidłowości w zakresie przetwarzania danych osobowych mających miejsce w konkretnym podmiocie, a nawet
bez informacji wskazujących na to czy dany podmiot w ogóle przetwarza dane osobowe (kontrola takiego podmiotu
w pierwszej kolejności musiałaby jednak ustalić taką okoliczność – przed podjęciem dalszych ustaleń dotyczących
np. legalności i zgodności z prawem przetwarzania). W kontekście swobody pozostawionej Prezesowi UODO
w określeniu podmiotu poddanego kontroli i zakresu tej kontroli stwierdzić należy, że w niniejszej sprawie Prezes
UODO miał szczególnie uzasadnioną podstawę do wszczęcia i przeprowadzenia u Głównego Geodety Kraju kontroli
w zakresie, który uznał za niezbędny dla realizacji zadania monitorowania stosowania RODO. Wskutek kontroli
przeprowadzonej w lutym 2020 r. w Starostwie Powiatowym w J. pozyskał bowiem informację o przekazywaniu
Głównemu Geodecie Kraju przez Starostę J. danych osobowych z ewidencji gruntów i budynków (w tym numerów
ksiąg wieczystych) i dalszym przetwarzaniu ich (udostępnianiu) za pośrednictwem portalu GEOPORTAL2. Sam fakt
dysponowania tymi danymi przez Głównego Geodetę Kraju stanowi wystarczającą podstawę przeprowadzenia
u niego kontroli. Z tak rozumianej istoty kontroli wynika, że podmiot kontrolowany nie może kwestionować – na etapie
wszczęcia i prowadzenia kontroli – jej zasadności oraz jej zakresu. Prezes UODO miał prawo i uzasadnienie dla
przeprowadzenia kontroli u Głównego Geodety Kraju. Zakres tej kontroli mieścił się w celach określonych w art. 57
ust. 1 lit. a RODO oraz w art. 78 ust. 1 OchronaDanychU. Odnosząc powyższe ustalenia do obowiązków nałożonych
przepisami RODO na administratora i podmiot przetwarzający, a dotyczących ich stosunku do organu nadzorczego,
należy stwierdzić, że Główny Geodeta Kraju, w trakcie postępowania kontrolnego swoim działaniem naruszył: art. 58
ust. 1 lit. e RODO, art. 58 ust. 1 lit. f RODO, art. 31 RODO.
W ocenie Prezesa UODO po stronie Głównego Geodety Kraju istnieje intencjonalny brak woli współpracy
w zapewnieniu organowi wszelkich informacji (dowodów) niezbędnych do ustalenia czy stanowiące przedmiot kontroli
procesy przetwarzania danych mają podstawę prawną i przetwarzane są zgodnie z prawem. Brak zgody Głównego
Geodety Kraju na przeprowadzenie kontroli i jego deklaracja braku współpracy w tym zakresie wyrażone zostały
w sposób jednoznaczny i stanowczy. Argumentacja przedstawiona na uzasadnienie tego stanowiska Głównego
Geodety Kraju jest, zdaniem Prezesa UODO, całkowicie niezasadna. Główny Geodeta Kraju nie wyraził również
w żadnym stopniu chęci współpracy z Prezesem UODO w celu usunięcia naruszenia.
W związku z powyższymi Prezes UODO stwierdza, że w niniejszej sprawie zaistniały przesłanki uzasadniające
nałożenie na Głównego Geodetę Kraju – na mocy art. 83 ust. 4 lit. a oraz art. 83 ust. 5 lit. e in fine RODO –
administracyjnej kary pieniężnej w związku z niezapewnieniem przez Głównego Geodetę Kraju dostępu do

pomieszczeń, sprzętu i środków służących do przetwarzania danych osobowych oraz dostępu do danych osobowych
i informacji niezbędnych Prezesowi UODO do realizacji jego zadań, a także z brakiem współpracy z Prezesem
UODO w trakcie tej kontroli. Wagę naruszenia zwiększa okoliczność, że dokonane przez Głównego Geodetę Kraju
naruszenie, jakkolwiek jednorazowe wywołało skutki trwające do chwili obecnej.

Komentarz
W niniejszej sprawie zastosowanie znajdują przepisy art. 102 ust. 1 i 3 OchronaDanychU, w związku z czym kara
została ograniczona do kwoty 100 000 złotych, co stanowi najwyższy wymiar kary, jaki może być zastosowany
względem jednostki sektora finansów publicznych - należy tę karę uznać za wysoką. Zdaniem Prezesa UODO
w stosunku do podmiotów publicznych oczekuje się szczególnego, większego niż w przypadku podmiotów
prywatnych, zrozumienia i szacunku dla działań podejmowanych przez inne organy w ramach ich ustawowo
określonych zadań, oraz większego stopnia współpracy w ich realizacji.

Decyzja Prezesa UODO z 2.7.2020 r., DKE.561.3.2020

Prezes UODO uzasadnił nałożenie kary na Głównego Geodetę Kraju brakiem współpracy i uniemożliwieniem kontroli przetwarzania danych osobowych. Decyzja została poparta przepisami prawa i uzasadnieniem konieczności monitorowania zgodności z RODO. Kara w wysokości 100 000 zł została uznana za adekwatną, z uwagi na szczególną rolę podmiotów publicznych w zapewnieniu współpracy organom nadzorczym.