Sprawa Fortum Marketing and Sales Polska – sąd uchyla karę UODO

O decyzji Prezesa UODO dotyczącej spółki Fortum Marketing and Sales Polska było głośno na początku 2022 r. Organ nadzorczy wymierzył wówczas tej spółce bardzo wysoką karę pieniężną – blisko 5 mln zł. Spółka zgłosiła naruszenie ochrony danych polegające na ich wycieku i przejęciu przez nieuprawnione osoby. Miało to miejsce podczas wprowadzania zmian w systemie IT przez podmiot przetwarzający, który zresztą też został ukarany.

Administratorowi zarzucono brak nadzoru nad stosowaniem przez procesora środków bezpieczeństwa przewidzianych w umowie powierzenia m.in. pseudonimizacji i szyfrowania. Poza tym wytknięto brak systematycznego testowania stosowanych środków bezpieczeństwa.

Jak można się było spodziewać, zarówno administrator jak i procesor wnieśli skargę na tę decyzję do WSA w Warszawie. Sąd uchylił zaś zaskarżoną decyzję i przekazał sprawę do ponownego rozpoznania. W uzasadnieniu wskazał, że Prezes UODO nie wyjaśnił wszystkich okoliczności istotnych dla rozstrzygnięcia sprawy. Wprawdzie przywołał wyjaśnienia stron postępowania, ale nie poddał ich analizie i nie ocenił wiarygodności. Nie wskazał bowiem, w jakim zakresie dał im wiarę, a w jakim (i dlaczego) tej wiarygodności odmówił.

W efekcie w ogóle nie ustalił stanu faktycznego, naruszając art. 7 Kodeksu postępowania administracyjnego (zasada prawdy obiektywnej). Zgodnie z tym przepisem organy z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do:

• dokładnego wyjaśnienia stanu faktycznego,

• załatwienia sprawy.

• wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 10 października 2022 r.II SA/Wa 567/22