Administracyjne kary pieniężne także za brak dokumentacji ODO

Obecnie administracyjna kara pieniężna może być wymierzona bezpośrednio po zakończeniu postępowania w sprawie stwierdzenia naruszenia. Prezes UODO nie musi najpierw nakazywać usunięcia stwierdzonych nieprawidłowości. Brak dokumentacji ODO może niejako bez uprzedzenia doprowadzić do konsekwencji finansowych.

RODO wyszczególnia 2 grupy, których naruszenie skutkuje odpowiedzialnością finansową.

Kary nie mogą przekroczyć 100 000 zł w przypadku:

• jednostek sektora finansów publicznych,
• instytutów badawczych,
• Narodowego Banku Polskiego.

RODO wiąże wysokość administracyjnych kar pieniężnych z określonymi kategoriami naruszeń ochrony danych. Kary są różnicowane w kontekście okoliczności faktycznych danego przypadku. Do kryteriów różnicujących zalicza się np.:

• wagę, czas trwania naruszenia, rodzaj naruszonych danych osobowych,
• umyślny bądź nieumyślny charakter naruszenia,
• działania  w celu zminimalizowania szkody poniesionej przez podmioty danych,
• to, jak organ nadzorczy dowiedział się o naruszeniu (czy i w jakim zakresie je zgłoszono).

W jakich przypadkach administrator może odpowiadać za nieprawidłowości w dokumentacji? Otóż administracyjna kara pieniężna może grozić za nieprowadzenie lub nienależyte prowadzenie rejestru czynności przetwarzania danych.

Bardzo często spotyka się również naruszenia w postaci niezawarcia umowy powierzenia przetwarzania danych osobowych. To bardzo popularne naruszenie ochrony danych dotyczące dokumentacji ODO.

Podobnym błędem w zakresie dokumentacji ODO jest niewydanie upoważnień do przetwarzania danych osobowych. Takie upoważnienia powinny zostać udzielone osobom przetwarzającym dane w imieniu administratora.

Wprawdzie takie dokumenty jak polityka bezpieczeństwa czy procedura postępowania na wypadek naruszeń nie są wprost przewidziane w RODO. Niemniej jednak ich w brak połączony z nieskutecznym działaniem administratora na tych płaszczyznach z całą pewnością może być obciążający.

Zdarza się również, że administratorzy pozyskują zgody na przetwarzanie danych osobowych niezgodnie z wymogami RODO.

Błędy w zakresie dokumentacji ODO mogą obejmować również wykonywanie praw podmiotów danych.

Zdecydowanie najwięcej kar wymierzanych jest za brak sporządzania zawiadomień o naruszeniu ochrony danych osób, których te dane dotyczą.

Brak dokumentacji poza karami pieniężnymi może spotkać się również z innymi konsekwencjami. Wszak Prezes UODO ma stosunkowo szerokie uprawnienia kontrolne i naprawcze. W przypadku naruszeń w zakresie dokumentacji organ nadzorczy może więc, zamiast od razu wymierzać karę pieniężną:

• wydać ostrzeżenia dotyczące możliwości naruszenia przepisów RODO poprzez planowane operacje przetwarzania,
• udzielać upomnienia, gdy doszło do naruszenia przepisów rozporządzenia przez operacje przetwarzania,
• nakazać spełnienie żądania podmiotu danych, wynikającego z praw przysługujących mu na mocy RODO,
• nakazać dostosowanie operacji przetwarzania do przepisów RODO,
• wprowadzić czasowe lub całkowitego ograniczenie przetwarzania, w tym zakaz przetwarzania,
• nakazać zawiadomienie podmiotu danych o naruszeniu ochrony danych.

Oczywiście administracyjne kary pieniężne za brak dokumentacji nie wykluczają także innych konsekwencji np. odpowiedzialności odszkodowawczej administratora względem podmiotów danych za szkodę wywołaną naruszeniem ochrony danych. Odrębną kwestią są również konsekwencje porządkowe, dyscyplinarne, czy karne dla pracowników.