Augustynek, Dykas: Sprawy o ochronę danych mogą potrwać dłużej

Głośny ostatnio wyrok Naczelnego Sądu Administracyjnego (sygn. III OSK 3945/21) może w najbliższym czasie znacząco wydłużyć postępowania administracyjne przed Urzędem Ochrony Danych Osobowych. Według NSA do oceny, czy techniczne i organizacyjne mechanizmy bezpieczeństwa zostały prawidłowo i adekwatnie wdrożone u danego administratora, wymagane będzie posiadanie specjalistycznej wiedzy.

W toku postępowania przed UODO administrator wniósł o przeprowadzenie dowodu z opinii biegłego posiadającego wiadomości specjalne z zakresu bezpieczeństwa systemów informatycznych, na okoliczność:

Postanowieniem z 6 sierpnia 2019 r. prezes UODO odmówił uwzględnienia ww. wniosku dowodowego. W uzasadnieniu wskazał, że skuteczność prawna żądania strony uzależniona jest od spełnienia przesłanki – przedmiotem dowodu musi być okoliczność mająca znaczenie dla sprawy.

Ponadto, w postępowaniu administracyjnym brak jest obowiązku przeprowadzenia dowodu z opinii biegłego nawet wówczas, gdy wyjaśnienie sprawy wymaga wiadomości szerszych niż przeciętne w danej dziedzinie.

W ocenie prezesa UODO okoliczności wskazane w pierwszych dwóch punktach wniosku nie miały istotnego znaczenia dla rozstrzygnięcia. W odniesieniu do punktu trzeciego wniosku organ uznał, że okoliczność ta została już udowodniona na podstawie dowodów pozyskanych w toku kontroli przeprowadzonej w siedzibie spółki, w toku przeprowadzonego postępowania administracyjnego, jak również poprzez złożenie przez spółkę obszernych wyjaśnień w zw. ze zgłoszonymi naruszeniami ochrony danych.

Ponadto zdaniem prezesa UODO należało uwzględnić zasadę szybkości postępowania i uznać, że dopuszczenie dowodu byłoby działaniem ze zbędną zwłoką, prowadzącym do przewlekłości postępowania.

Czytaj więcej

Dane osobowe

Morele nie zapłaci gigantycznej kary za wyciek danych. NSA obciążył UODO

Sklep internetowy Morele.net nie zapłaci prawie 3 mln zł kary za wyciek danych, do którego doszło w 2018 r. Naczelny Sąd Administracyjny zobowiązał natomiast Urząd Ochrony Danych Osobowych do zwrócenia portalowi 65 tys. zł za kosztów postępowania.

Powołania biegłego

Aby prawidłowo ocenić działanie UODO, zdefiniować należy przede wszystkim termin „wiadomości specjalne”.

Sądy administracyjne wskazały, iż jest to przede wszystkim taka wiedza, której nie posiadają pracownicy organów (wyrok NSA z 24 marca 2015 r., sygn. I GSK 407/13). Granica swobody organu przy posiłkowaniu się opinią biegłego powiązana jest z zasadą prawdy obiektywnej, która nakłada na organy administracji publicznej obowiązek podjęcia wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego. Bez dostępu do akt sprawy można posiłkować się jedynie uzasadnieniem wyroku NSA, z którego wynika, że organ obiektywnie ustalił, jakie środki bezpieczeństwa zostały wdrożone przez administratora oraz to, czy dokonywał on w tym zakresie analizy ryzyka związanego z przetwarzaniem danych osobowych. Okoliczności te ustalone zostały na podstawie innych środków dowodowych w trakcie prowadzonej sprawy. W ocenie NSA, z uwagi na brak opinii biegłego, nie zostało jednak wyjaśnione, czy środki te miały charakter adekwatny do skali działalności administratora, charakteru jego działalności oraz wiedzy technicznej. W orzecznictwie podkreśla się, że opinia biegłego nie może być sama w sobie źródłem stanu faktycznego sprawy, a tym bardziej stanowić podstawy ustalenia okoliczności będących przedmiotem oceny biegłych. Wobec tego przynajmniej część okoliczności, w jakich wypowiadać miałby się biegły w związku z wnioskiem strony, dotyczyła okoliczności faktycznych.

Ciężko zgodzić się z takim poglądem prezentowanym przez NSA. WSA w Lublinie w wyroku z 29 stycznia 2010 r. (sygn. I SA/Lu 601/09) podkreślił, że przez pojęcie wiadomości specjalne rozumieć należy nie tylko wiedzę naukową z zakresu poszczególnych gałęzi, zdobytą w wyniku specjalistycznych studiów w danej dziedzinie, ale również umiejętności praktyczne, oparte na długotrwałym, wieloletnim doświadczeniu. Odnosząc to do omawianego wyroku NSA, zadać należy pytanie, kto jeśli nie organ nadzoru nad przetwarzaniem danych osobowych i jego pracownicy posiada tego typu wiedzę i praktyczne umiejętności oceny. Automatyczne uznanie, że nie posiadają oni takiej wiedzy i umiejętności, jest podejściem błędnym.