Wyrok WSA w Warszawie z dnia 27 lutego 2024 r., sygn. II SA/Wa 1404/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Piotr Borowiecki (spr.), Sędzia WSA Andrzej Wieczorek, , Protokolant starszy specjalista Aleksandra Weiher, , po rozpoznaniu na rozprawie w dniu 27 lutego 2024 r. sprawy ze skargi Burmistrza Miasta i Gminy W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Uzasadnienie

Zaskarżoną decyzją z dnia [...] maja 2023 r., nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO" lub "organ nadzorczy"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2022 r., poz. 2000 ze zm. - dalej: "k.p.a.") oraz art. 7 ust. 1, art. 60, art. 102 ust. 1 pkt 1 i ust. 3 oraz art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2019 r., poz. 1781 - dalej także: "u.o.d.o."), a także art. 57 ust. 1 lit. a i lit. h, art. 58 ust. 2 lit. i, art. 83 ust. 1 – 3 i ust. 4 lit. a w związku z art. 24 ust. 1, art. 25 ust. 1 i art. 32 ust. 1 i 2 oraz art. 83 ust. 5 lit. a w związku z art. 5 ust 1 lit. f i art. 5 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., s. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, s. 35 - dalej także: "RODO"), po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie naruszenia przepisów o ochronie danych osobowych przez Burmistrza Miasta i Gminy W. (dalej także: "skarżący Burmistrz", "skarżący administrator" lub "strona skarżąca"), stwierdzając naruszenie przez Burmistrza Miasta i Gminy W. przepisów art. 5 ust. 1 lit. f, art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO, polegające na niezastosowaniu przez Burmistrza Miasta i Gminy W. odpowiednich środków organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych, co skutkowało nieuprawnionym wykonaniem kopii danych osobowych z komputera służbowego na przenośny nośnik pamięci przez pracownika Urzędu Miasta i Gminy W., nałożył na Burmistrza Miasta i Gminy W. naruszenie przepisów art. 5 ust 1 lit. f, art. 5 ust. 2, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO administracyjną karę pieniężną w kwocie 10 000 złotych (słownie: dziesięć tysięcy złotych).