Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski złożył skargę kasacyjną do Naczelnego Sądu Administracyjnego (NSA), zaskarżając wyrok Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie, który uchylił decyzję o nałożeniu na Santander Bank Polska administracyjnej kary pieniężnej w wysokości 1 440 549 zł – poinformował UODO 9 czerwca 2025 roku. Sprawa dotyczy naruszenia ochrony danych osobowych z 2018 roku, gdy skradzione dokumenty bankowe, zawierające dane klientów, zostały porzucone na śmietniku.

Prezes UODO ustalił, że bank nie zgłosił incydentu organowi nadzorczemu ani nie powiadomił osób, których dane dotyczyły, naruszając obowiązki wynikające z RODO. W efekcie nałożono karę i nakazano powiadomienie poszkodowanych. Santander zaskarżył decyzję do WSA, który uchylił karę, uznając, że uległa przedawnieniu. Prezes UODO w skardze kasacyjnej argumentuje, że RODO nie przewiduje przedawnienia kar i nie upoważnia państw członkowskich do wprowadzania takich terminów w prawie krajowym. Podkreśla, że stosowanie polskiego Kodeksu postępowania administracyjnego (KPA) w tej sprawie może naruszać zasady pierwszeństwa, skuteczności i jednolitości prawa UE.

Kluczowe jest RODO

UODO wskazuje, że kluczowe jest rozstrzygnięcie, czy krajowe przepisy o przedawnieniu mają zastosowanie do kar RODO, a jeśli tak, to od kiedy należy liczyć termin przedawnienia: od daty naruszenia, powiadomienia czy realizacji obowiązków. Prezes UODO stoi na stanowisku, że obowiązek powiadomienia o incydencie pozostaje aktualny, nawet jeśli został wykonany z opóźnieniem, co potwierdzają wytyczne Europejskiej Rady Ochrony Danych. UODO zwróciło się do NSA o rozważenie skierowania pytania prejudycjalnego do Trybunału Sprawiedliwości UE, by zapewnić jednolitą wykładnię prawa UE.

– Sprawa ma charakter precedensowy, gdyż wpłynie na stosowanie RODO w Polsce w kwestii przedawnienia odpowiedzialności administracyjnej za naruszenia ochrony danych – podkreślił UODO. Rozstrzygnięcie NSA może przesądzić o uprawnieniach organu nadzorczego i skuteczności ochrony danych osobowych w Polsce.

Źródło: UODO