Wybrane fragmenty Decyzji z dnia 7 kwietnia 2026 [DKN.5131.16.2025]:

• „(…) W przedmiotowej sprawie, co jednoznacznie wynika z dokonanych ustaleń, doszło do udostępnienia danych osobowych osobie nieuprawnionej, a tym samym do naruszenia ochrony danych osobowych, w związku z przekazaniem tej osobie „zawiadomienia o rozliczeniu opłat za użytkowanie lokali mieszkaniowych” zawierającego dane osobowe innego członka Wspólnoty w zakresie wskazanym w pkt 8 uzasadnienia decyzji. (…).”
• „(…) oceniając ryzyko, które może wynikać z naruszenia, administrator powinien rozważyć połączenie wagi potencjalnego wpływu na prawa i wolności osób fizycznych oraz prawdopodobieństwa ich wystąpienia. Oczywiście tam, gdzie konsekwencje naruszenia są poważniejsze, ryzyko jest większe i podobnie tam, gdzie prawdopodobieństwo ich wystąpienia jest większe, ryzyko jest również podwyższone.(…)”.
• „(…) Z treści powołanych wyżej przepisów rozporządzenia 2016/679 wynika, że w przypadku wystąpienia naruszenia ochrony danych osobowych po stronie administratora danych powstaje obowiązek zgłoszenia go Prezesowi UODO, jeśli z danym naruszeniem wiąże się ryzyko naruszenia praw lub wolności osób fizycznych, niezależnie od poziomu tego ryzyka. Podkreślić w tym miejscu należy, że „małe prawdopodobieństwo” zaistnienia skutku w postaci naruszenia praw lub wolności osoby, której dane dotyczą, które stosownie do art. 33 ust. 1 rozporządzenia 2016/679 powoduje brak konieczności zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu, powinno być utożsamiane z sytuacją, w której oceniający posiada przesłanki pozwalające na stwierdzenie, że skutek ten nie urzeczywistni się w ogóle – a zatem wtedy, gdy mówimy o „braku ryzyka”. Warto zauważyć, że w polskiej wersji rozporządzenia 2016/679 użyto sformułowania „mało prawdopodobne”, zaś w angielskiej – terminu „unlikely”. Wyraz ten ma silniejsze znaczenie niż nasz rodzimy odpowiednik i służy do określenia czegoś, co jest raczej nieprawdopodobne, wątpliwie lub niemal niemożliwe.
• „(…) wskazać, że nie zasługują na uwzględnienie tezy Administratora jakoby nie był on zobowiązany do zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu, z uwagi na prawo wglądu do dokumentacji Wspólnoty. Administrator bezpodstawnie powoływał się przy tym na art. 27 oraz art. 29 ust. 3 ustawy z dnia 24 czerwca 1994 r. o własności lokali (Dz. U. z 2021 r. poz. 1048), dalej jako ustawa o własności lokali. Art. 27 ustawy o własności lokali stanowi, że każdy właściciel lokalu ma prawo i obowiązek współdziałania w zarządzie nieruchomością wspólną. Nie uchybia to jednak przepisom art. 21 ust. 1 i art. 22 ust. 1. Stosownie zaś do art. 29 ust. 3 ustawy o własności lokali, prawo kontroli działalności zarządu służy każdemu właścicielowi lokalu.Powyżej przytoczone przepisy prawa nie legitymizują przekazania nieuprawnionej osobie przesyłki zawierającej „zawiadomienie o rozliczeniu opłat za użytkowanie lokali mieszkaniowych”. Uprawnienia członków wspólnoty mieszkaniowej wynikające z ww. przepisów nie oznaczają, że Wspólnota może dowolnie udostępniać dane osobowe członków wspólnoty, w szczególności w następstwie przekazania przesyłki zawierającej zawiadomienie o rozliczeniu opłat za użytkowania lokalu mieszkaniowego innej osoby, a tym bardziej wbrew woli członka wspólnoty, który tę błędnie przekazaną korespondencję otrzymał. (…)”.
• „(…) Zatem każdemu współwłaścicielowi przysługuje prawo dostępu do dokumentacji związanej z zarządzaniem nieruchomością wspólną. Jednakże, zakres danych i informacji udostępnianych współwłaścicielom musi być adekwatny do ich potrzeb związanych ze zgodnym z prawem celem udostępnienia (…) Z tego wynika, że nie jest dopuszczalne udostępnienie współwłaścicielom określonej nieruchomości, w tym skarżącej, danych, których przetwarzanie nie jest niezbędne do współdziałania w zarządzie nieruchomością wspólną oraz do sprawowania kontroli działalności jej zarządcy (…)”.
• „(…) W omawianej sprawie osoba, której udostępniono dane osobowe innego członka Wspólnoty, w ogóle nie wnioskowała o przekazania jej tych danych, w szczególności w celu współdziałania w zarządzie nieruchomością wspólną oraz do sprawowania kontroli działalności jej zarządcy. Ponadto, przekazanie tych danych osobie nieuprawnionej nie wiązało się z realizacją – zgodnego z prawem – celu udostępnienia. Wręcz przeciwnie, udostępnienie to nastąpiło bez związku z celami określonymi w ww. przepisach ustawy o własności lokali (było efektem naruszenia ochrony danych osobowych)”.
• „(…) Wskazać należy, że członek wspólnoty mieszkaniowej może upoważnić do odbioru korespondencji dowolnie inną osobę, która nie musi być członkiem Wspólnoty. Administrator nie wykazał, zgodnie z zasadą rozliczalności, o której mowa w art. 5 ust. 2 rozporządzenia 2016/679, że dostęp do danych osobowych członka Wspólnoty – w następstwie przedmiotowego naruszenia ochrony danych osobowych – nie uzyskała osoba niebędąca członkiem Wspólnoty. (…)”.
• „(…) Niedopuszczalne jest również ignorowanie obowiązku rzetelnego przeprowadzenia analizy ryzyka naruszenia praw lub wolności osób fizycznych tylko dlatego, że naruszenie to dotyczyło jednej osoby. Uchylenie się przez Administratora od obowiązku zgłoszenia naruszenia osobowych ponieważ „naruszenie dotyczyło jednego członka Wspólnoty” nie znajduje oparcia w przepisach rozporządzenia 2016/679, a w gruncie rzeczy jest sprzeczne z podstawowym celem regulacji zawartych w tym rozporządzeniu, tj. ochroną praw podstawowych praw i wolności osób fizycznych, w szczególności ich prawa do ochrony danych osobowych. (…)”.
• „(…) Ujawnienie takich danych nie jest co prawda związane z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych (a co za tym idzie, Wspólnota nie miała obowiązku zawiadomić o naruszeniu osoby, której dane dotyczą, zgodnie z art. 34 ust. 1 rozporządzenia 2016/679), tym niemniej nie jest to równoznaczne z brakiem ryzyka jako takiego – stąd zaistniała konieczność zawiadomienia Prezesa UODO o naruszeniu ochrony danych osobowych. Wskazać również należy, że ujawnione nieuprawnionej osobie w następstwie omawianego zdarzenia dane osobowe członka Wspólnoty pozwalają na jego jednoznaczną identyfikację.(…)”.
• „(…) Warte szczególnego podkreślenia jest to, że możliwe konsekwencje zaistniałego zdarzenia nie muszą się zmaterializować – w treści art. 33 ust. 1 rozporządzenia 2016/679 wskazano, że samo wystąpienie naruszenia ochrony danych osobowych, z którym wiąże się ryzyko naruszenia praw lub wolności osób fizycznych, implikuje obowiązek zgłoszenia naruszenia właściwemu organowi nadzorczemu. (…)”,.
• „(…) „Oceny, czy występuje ryzyko naruszenia praw lub wolności człowieka, musi dokonać administrator. Ocena taka powinna być oparta na obiektywnych kryteriach (jak dotychczasowe doświadczenie związane z podobnymi sprawami, wiedza z zakresu bezpieczeństwa informacji) oraz na uwzględnieniu okoliczności samego naruszenia ochrony danych osobowych. Trzeba też pamiętać, że dla braku konieczności zgłoszenia naruszenia do organu nadzorczego niezbędne jest wystąpienie małego prawdopodobieństwa, ale nie samego naruszenia praw lub wolności osób fizycznych, lecz ryzyka takiego naruszenia. Powoduje to szerszy zakres obowiązku niż w przypadku, gdyby ocena dotyczyła prawdopodobieństwa wystąpienia naruszenia praw lub wolności. Nie jest konieczne, by wysokie ryzyko się zmaterializowało i by faktycznie doszło do naruszenia praw lub wolności. Dlatego nie ma znaczenia, czy ostatecznie ich naruszenie nastąpi. […] W toku dokonywania oceny, czy występują ryzyka ich naruszenia, administrator powinien brać pod uwagę wszelkie możliwe szkody, jak i krzywdy, które mogą wyniknąć z danego zdarzenia dla osób fizycznych” […] „Do zaistnienia ryzyka nie jest przy tym konieczne, by ostatecznie doszło do wystąpienia szkody lub krzywdy wynikających z danego naruszenia ochrony danych osobowych”.(…)”.
• „(…) Za okoliczność obciążającą z kolei Prezes UODO musiał uznać długi – blisko trzyletni – czas trwania naruszenia. Naruszenie przepisu art. 33 ust. 1 rozporządzenia 2016/679 trwa od momentu upływu 72 godzin od stwierdzenia naruszenia ochrony danych osobowych, które miało miejsce w ostatnich dniach kwietnia 2023 r. (o czym Administrator miał wiedzę co najmniej od 5 czerwca 2023 r.) i ma miejsce nadal, bowiem w dalszym ciągu Administrator nie dokonał zgłoszenia naruszenia ochrony danych osobowych Prezesowi UODO.(…)”.