Pisma z urzędu wróciły do nadawcy z adnotacją o niepodjęciu przesyłki w terminie. Korespondencję kierowano dwukrotnie do każdego z dwóch adresatów, na adresy biur parlamentarnych, i poza jednym przypadkiem żadnej nie odebrano. To właśnie ta czynność, a raczej jej brak, skończyła się 6 września upomnieniami dla Waldemara Budy i Michała Wosia. Rozróżnienie jest ważne, bo w skrótach sprawa zlewa się w jedno. Obaj zostali upomniani za nieudzielenie odpowiedzi Prezesowi UODO, a nie za publikację, od której historia się zaczęła. Komunikat urzędu nie rozstrzyga, czy tamta publikacja naruszała RODO.
Za co dokładnie zostało udzielone upomnienie
Komunikat urzędu opisuje naruszenie RODO jednym zdaniem i nie zostawia miejsca na domysły. Chodzi o niezapewnienie organowi nadzorczemu dostępu do informacji niezbędnych do realizacji jego zadań. Decyzje mają sygnatury DKE.561.10.2025 i DKE.561.11.2025.
Sankcją jest upomnienie, nie kara pieniężna. Prezes UODO wszczął wprawdzie dwa odrębne postępowania w sprawie nałożenia kary, ale po ich wszczęciu obaj parlamentarzyści wyjaśnienia złożyli. Za moment usunięcia naruszenia urząd uznał chwilę wpłynięcia tych wyjaśnień i uwzględniając podjęcie współpracy, od kary odstąpił.
Ta kolejność zdarzeń jest w całej sprawie najbardziej pouczająca. Postępowanie o karę zadziałało jak przymuszenie, a nie jak sankcja. Odpowiedź przyszła dopiero wtedy, gdy urząd sięgnął po narzędzie, które kosztuje. Dwukrotnie wysłana korespondencja odpowiedzi nie przyniosła. Wyjaśnienia wpłynęły dopiero po tym, jak parlamentarzyści dowiedzieli się o postępowaniach dotyczących możliwości nałożenia kary. Rozporządzenie zresztą wprost każe organowi uwzględniać przy wymiarze kary stopień współpracy przy usuwaniu naruszenia. Każe też brać pod uwagę wcześniejsze naruszenia tego samego administratora, więc upomnienie nie znika bez śladu.
Skąd wzięła się cała sprawa
Zawiadomienia wpłynęły do UODO w trakcie kampanii prezydenckiej 2025 roku. Dotyczyły ujawnienia danych osobowych na platformach X oraz Facebook, w tym szczegółów ze sprawy eksmisyjnej wraz z danymi stron tego postępowania.
Grudniowy komunikat urzędu opisywał to precyzyjniej. Obaj deputowani publikowali posty ze szczegółami sprawy eksmisyjnej i danymi osób, które nie pełnią funkcji publicznych. Takie dane chroni RODO i można je upublicznić tylko wtedy, gdy istnieje do tego podstawa prawna. Prezes UODO chciał ustalić, czy taka podstawa była, i o to właśnie pytał w listach.
Wrześniowy komunikat nie mówi, jak ta część sprawy się skończyła, i nie rozstrzyga, czy publikacja naruszała przepisy. Stanowiska żadnego z parlamentarzystów też nie znamy, bo urząd go nie przytacza.
Dlaczego nieodebranie pisma niczego nie załatwia
Tu zaczyna się część, która dotyczy każdej firmy, nie tylko polityków. Prezes UODO wykorzystał tę sprawę, żeby opisać zjawisko szersze, i zrobił to językiem, który da się przenieść wprost na spółkę z ograniczoną odpowiedzialnością.
Urząd nazywa nieprzyjmowanie korespondencji poważnym problemem. Szczególnie trudne do zaakceptowania są jego zdaniem sytuacje, w których korespondencji nie odbierają instytucje mające własne sekretariaty i biura podawcze. Praktyka ta wydłuża postępowania i uderza w tych, których dane są przedmiotem sprawy.
Najważniejsze zdanie jest jednak inne. Nieodbieranie korespondencji spowalnia pracę urzędu, ale go nie blokuje. Organ może nałożyć karę pieniężną za sam brak współpracy, a samą sprawę rozstrzygnąć na podstawie materiału, który już ma. To znaczy: bez informacji od administratora, w tym bez tych, które mogłyby działać na jego korzyść.
Nazwane jest to wprost taktyką chowania głowy w piasek i opisane jako działanie, które może się skończyć wymiernymi konsekwencjami. Urząd wiąże część rozwiązania z e-Doręczeniami, bo obowiązek posiadania elektronicznej skrzynki utrudnia sytuację, w której pismo po prostu nie dociera.
W praktyce firmowej ten problem rzadko wynika ze złej woli. Częściej bierze się z adresu w Krajowym Rejestrze Sądowym, pod którym od dwóch lat nikt nie siedzi, albo z pracownika, który odbierał listy i odszedł. Skutek jest jednak identyczny jak przy świadomym unikaniu: postępowanie idzie dalej, a firma dowiaduje się o nim z decyzji. Adres do doręczeń i osoba odpowiedzialna za pocztę to najtańszy element całej zgodności z RODO. Kosztuje jedno ustalenie w zespole, a jego brak potrafi zamienić wyjaśnialną sprawę w drugie naruszenie RODO obok pierwszego.
Pierwsza Misja AI · Kodożercy
Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.
Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Ile kosztuje brak współpracy z organem nadzorczym
Obowiązek jest w RODO krótki i ma własny artykuł. Artykuł 31 nosi tytuł “Współpraca z organem nadzorczym” i mieści się w jednym zdaniu. Administrator i podmiot przetwarzający na żądanie współpracują z organem nadzorczym w ramach wykonywania przez niego zadań.
Po drugiej stronie stoi artykuł 58. Organ nadzorczy ma prawo nakazać dostarczenie wszelkich informacji potrzebnych mu do realizacji zadań oraz uzyskiwać dostęp do danych i informacji niezbędnych w postępowaniu. Upomnienie, które dostali obaj parlamentarzyści, jest z kolei środkiem naprawczym z tego samego artykułu.
Teraz liczba, przez którą warto przeczytać ten tekst do końca. Jeżeli brak odpowiedzi zostanie zakwalifikowany jako niezapewnienie dostępu skutkujące naruszeniem artykułu 58 ustęp 1, wchodzi najwyższy próg kar w RODO. Górna granica wynosi wtedy 20 mln euro albo 4% całkowitego rocznego światowego obrotu przedsiębiorstwa, przy czym stosuje się kwotę wyższą. Ten sam próg dotyczy naruszenia podstawowych zasad przetwarzania.
Zastrzeżenie jest tu konieczne, bo komunikat UODO nie podaje podstaw prawnych zastosowanych w decyzjach. Sam obowiązek współpracy z artykułu 31 mieści się w katalogu z niższym progiem, wynoszącym 10 mln euro albo 2% obrotu. To, w której szufladzie wyląduje konkretna sprawa, zależy od tego, jak organ opisze naruszenie.
Kierunek jest jednak czytelny i to on ma znaczenie dla firmy. Milczenie wobec organu nadzorczego nie jest w RODO drobnym uchybieniem formalnym, tylko naruszeniem z własną podstawą i własnym progiem kary. Firma, która pilnuje terminu 72 godzin na zgłoszenie naruszenia, a jednocześnie nie odbiera korespondencji, chroni jeden bok i odsłania drugi.
Trzy dni wcześniej sąd przyznał rację urzędowi w innej sprawie
W tym samym tygodniu UODO opublikował drugi komunikat i razem tworzą one czytelniejszy obraz niż każdy z osobna. 3 września Wojewódzki Sąd Administracyjny w Warszawie podzielił argumentację Prezesa UODO w sprawie upomnienia udzielonego posłowi Kazimierzowi Smolińskiemu. Sygnatura to II SA/Wa 2548/25.
Sprawa jest osobna i dotyczy innego zdarzenia, choć również kampanii prezydenckiej. Poseł udostępnił dane identyfikujące osobę fizyczną podczas transmitowanej na żywo kontroli poselskiej w mieszkaniu niegdyś komunalnym, obecnie należącym do osoby prywatnej.
Sąd wskazał, że nie było podstaw prawnych do udostępnienia tych danych, a podjęte działania nie były niezbędne z perspektywy zadeklarowanego celu, czyli prowadzenia kontroli. Wcześniej Prezes UODO stwierdził w decyzji, że poseł mógł wykonać mandat w sposób nienarażający prywatności tej osoby. Podstawą upomnienia był artykuł 6 ustęp 1 RODO, czyli przepis o warunkach legalnego przetwarzania danych.
Poseł swoje stanowisko przedstawił i urząd opisał je w listopadowym komunikacie. Twierdził, że nie wiedział o transmisji na żywo, że kontrolę prowadził na podstawie informacji medialnych oraz danych z rejestru przedsiębiorców, a za samo ujawnienie odpowiadają władze miasta, bo nie zapewniły posłom właściwych warunków. Znamy na razie wyłącznie ustne motywy wyroku z dnia rozprawy, a komunikat nie podaje, czy jest on prawomocny.
Dla firmy istotne jest tu kryterium, którym posłużył się sąd. Nie pytał, czy cel był ważny, bo kontrola poselska jest instytucją ustawową. Pytał, czy ujawnienie danych było do tego celu niezbędne. Ten sam test przechodzi każdy administrator, który publikuje zdjęcie z wydarzenia, wywiesza listę dłużników albo nagrywa rozmowę z klientem. Ważny powód nie zastępuje podstawy prawnej, a szeroki dostęp do danych nie staje się legalny przez to, że komuś było wygodniej.
Najczęstsze pytania
Czy upomnienie z RODO oznacza to samo co kara?
Nie. Upomnienie jest osobnym środkiem naprawczym organu nadzorczego i nie wiąże się z zapłatą. Prezes UODO może po nie sięgnąć zamiast kary pieniężnej, biorąc pod uwagę okoliczności sprawy, w tym usunięcie naruszenia i podjęcie współpracy. W opisywanej sprawie urząd wprost napisał, że od kary odstąpił właśnie z tego powodu.
Co zrobić, gdy do firmy przyjdzie pismo z UODO?
Odebrać je i odpowiedzieć w wyznaczonym terminie, nawet jeśli odpowiedź brzmi “nie mamy takich danych”. Nieodebranie przesyłki nie wstrzymuje postępowania. Przy tradycyjnym doręczeniu, po prawidłowym awizowaniu i upływie czternastodniowego okresu przechowywania, pismo może zostać uznane za doręczone mimo nieodebrania. Urząd rozstrzyga wtedy sprawę bez wersji firmy, a osobno może ukarać ją za brak współpracy. Jeśli termin jest za krótki, lepiej poprosić o jego przedłużenie, niż milczeć.
Podsumowanie
Upomnienia dotyczą milczenia wobec urzędu, a nie publikacji, od której cała sprawa się zaczęła. Korespondencja wysłana dwukrotnie na adresy biur parlamentarnych w większości wróciła nieodebrana, a naruszeniem RODO było w tej sprawie nieudzielenie organowi wymaganych informacji, niezależnie od tego, czy pierwotny zarzut się potwierdzi. Czy publikacja danych ze sprawy eksmisyjnej naruszała przepisy, komunikat UODO nie rozstrzyga. Rozstrzyga za to, że milczenie wobec organu nadzorczego jest osobnym naruszeniem, z własną podstawą i własną karą. Dla firmy praktyczny wniosek jest prozaiczny i dlatego łatwo go przegapić. Ktoś musi realnie odbierać korespondencję i pilnować terminów odpowiedzi, bo brak reakcji nie zatrzymuje sprawy, tylko odbiera możliwość przedstawienia własnych argumentów. Oba komunikaty stoją w serwisie Urzędu Ochrony Danych Osobowych, a szerszy kontekst kar administracyjnych opisywaliśmy przy wycieku danych z systemu medycznego.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
