Wyrok WSA w Warszawie z dnia 12 listopada 2014 r., sygn. II SA/Wa 1013/14

 

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Janusz Walawski (spr.), Sędziowie WSA Ewa Pisula-Dąbrowska, Eugeniusz Wasilewski, Protokolant Referent stażysta Małgorzata Ciach, po rozpoznaniu na rozprawie w dniu 12 listopada 2014 r. sprawy ze skargi Fundacji [...] z siedzibą w [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2014 r. nr [...] w przedmiocie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] października 2013 r., 2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości, 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz strony skarżącej Fundacji [...] z siedzibą w [...] kwotę 457 (słownie: czterysta pięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.

Uzasadnienie

Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jedn. Dz. U. z 2013 r., poz. 267) zwany dalej Kpa, oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22 w zw. z art. 31, art. 36 ust. 1-3, art. 37, art. 39 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), w dniu [...] października 2013 r. wydał decyzję nr [...], w której nakazał Fundacji [...] z siedzibą w W. przy ul. [...], jako administratorowi danych, usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez:

1) zastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych przesyłanych za pomocą formularza umieszczonego w portalu [...] odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, poprzez zabezpieczenie danych protokołem szyfrującym, w terminie 14 dni od dnia, w którym niniejsza decyzja stanie się ostateczna;

2) opracowanie i wdrożenie dokumentacji dotyczącej przetwarzania danych, tj. polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym służącym przetwarzaniu danych osobowych, w terminie 14 dni od dnia, w którym niniejsza decyzja stanie się ostateczna;