Sprawa Morele.net – reakcja Prezesa UODO

Przypomnijmy, że w głośnej sprawie Morele.net Naczelny Sąd Administracyjny w wyroku z 9 lutego 2023 r. III OSK 3945/21 uchylił decyzję Prezesa UODO, w której organ nadzorczy wymierzył spółce bardzo wysoką karę pieniężną. Rozstrzygnięcie takie było motywowane błędami proceduralnymi a szczególności oddaleniem wniosku o dopuszczenie dowodu z opinii biegłego, która miała dotyczyć adekwatności środków bezpieczeństwa danych stosowanych przez administratora. Sąd wyraził też wątpliwość, czy organ nadzorczy dysponował specjalistyczną wiedzą na temat zasadności środków bezpieczeństwa danych, które powinny być stosowane w działalności o dużej skali.

W komunikacie Prezes UODO wyraził zaniepokojeniem kierunkiem obranym w orzecznictwie. Zdaniem Prezesa UODO wyrok kwestionuje niezależność i kompetencje organu nadzorczego w tym kwalifikacje merytoryczne zatrudnionych w tym organie osób. Prezes UODO powołał się tu przede wszystkim na art. 52 RODO gwarantujący niezależność organu nadzorczego. Niezależność ta przejawia się choćby w doborze przez Prezesa UODO własnego personelu, ale też zasobów technicznych i finansowych, pomieszczeń i infrastruktury niezbędnymi do skutecznego wypełniania swoich zadań i wykonywania swoich uprawnień umożliwiających realizację zadań organu (motyw 121 RODO, art. 53 ust. 4-5 RODO). Poza tym Prezes UODO winien mieć możliwość samodzielnego decydowania o działaniach, podejmowanych w ramach pełnionej funkcji. Akcent na niezależność organów nadzorczych kładł również Trybunał Sprawiedliwości UE (wyrok z 6 października 2015 r. w sprawie C-362/14, Maximillian Schrems v. Data Protection Commissioner).

W tym kontekście Prezes UODO powołał się na wieloletnie doświadczenie swojego personelu w rozstrzyganiu spraw dotyczących naruszeń ochrony danych. W ocenie organu nadzorczego personel ten jest doświadczony w zakresie oceny skuteczności stosowanych środków bezpieczeństwa przetwarzania danych. Znalazło to odzwierciedlenie choćby w dokumentacji z kontroli.

Prezes UODO wskazał również, że NSA pominął aspekt naruszenia uprawnień ponad 2 mln klientów spółki. W ocenie organu nadzorczego sąd powinien był również zwrócić uwagę na potencjalne konsekwencje dla tych osób takie jak choćby utrata haseł dostępu do rozmaitych serwisów WWW czy konta bankowego.

Na tej podstawie Prezes UODO w komunikacie wyraził nadzieję, że jego argumenty zostaną uwzględnione w dalszej praktyce orzeczniczej.