NSA: konieczne zawarcie umowy powierzenia przetwarzania w związku z obsługą BIP

Sprawa Burmistrza Miasta Aleksandrowa Kujawskiego była jedną z pierwszych rozpatrywanych przez Prezesa Urzędu Ochrony Danych Osobowych. W toku postępowania stwierdzono naruszenie RODO w postaci niezawarcia umowy powierzenia przetwarzania danych z podmiotami obsługującymi stronę BIP jednostki samorządu terytorialnego. Wytknięto także brak procedur wewnętrznych dotyczących przeglądu zasobów dostępnych w BIP – w kontekście okresu ich publikacji. To oznaczało, że administrator stosował zbyt długi okres przechowywania danych.

Od decyzji Prezesa UODO, w której wymierzono karę pieniężną w wysokości 40 tys. zł Burmistrz złożył skargę do Wojewódzkiego Sądu Administracyjnego. Ten jednak skargę oddalił, w związku z czym sprawa trafiła do Naczelnego Sądu Administracyjnego (wyrok z dnia 26 sierpnia 2020 r. II SA/Wa 2826/19).

NSA również oddalił skargę Burmistrza, podtrzymując stanowisko przedstawione przez organ nadzorczy. W ocenie sądu w przedstawionej sytuacji doszło do naruszenia art. 28 ust. 3 RODO. Burmistrz zlecił bowiem zewnętrznemu podmiotowi realizację usługi związanej z przetwarzaniem danych osobowych (administrowanie stroną BIP), a mimo tego nie zawarł umowy powierzenia przetwarzania danych.

Pobierz wzór umowy powierzenia przetwarzania danych w związku z obsługą BIP.

Sąd potwierdził też naruszenie w zakresie określenia niewłaściwego okresu przechowywania danych osobowych (w zakresie oświadczeń majątkowych).

Do tego sąd wskazał na nieprzeprowadzenie analizy ryzyka przed rozpoczęciem przetwarzania danych polegającego na publikacji transmisji z posiedzeń rady gminy w serwisie YouTube. W konsekwencji administrator nie posiadał pełnej kontroli nad tymi danymi np. na wypadek utraty dostępu do nagrań.