NSA prawomocnie utrzymał karę 15 tys. zł nałożoną przez Prezesa UODO na mazowieckie OHP za niewystarczające zabezpieczenie danych osobowych. Sąd potwierdził, że administrator nie wdrożył środków ochrony wynikających z własnej analizy ryzyka.
Naczelny Sąd Administracyjny 3 listopada 2026 roku oddalił skargę kasacyjną Mazowieckiej Wojewódzkiej Komendy Ochotniczych Hufców Pracy, utrzymując w mocy decyzję Prezesa Urzędu Ochrony Danych Osobowych o nałożeniu administracyjnej kary pieniężnej w wysokości 15 tys. zł. Tym samym prawomocnie zakończył się trwający od kilku lat spór dotyczący naruszenia ochrony danych osobowych po kradzieży służbowego laptopa.
Laptop z danymi skradziono podczas delegacji.
Sprawa miała swój początek podczas delegacji służbowej, gdy z samochodu osoby pełniącej funkcję kierowniczą w mazowieckim OHP skradziono laptop zawierający dane osobowe trzech osób. Choć dane zostały później odtworzone z kopii zapasowych, nie można było wykluczyć, że osoba nieuprawniona uzyskała do nich dostęp.
W toku postępowania Prezes UODO szczegółowo przeanalizował sposób, w jaki administrator zarządzał ryzykiem związanym z przetwarzaniem danych. Kluczowe znaczenie miała przedstawiona przez OHP analiza ryzyka. Wynikało z niej, że zagrożenie związane z utratą lub kradzieżą sprzętu służbowego zostało zidentyfikowane, a jednym z rekomendowanych środków bezpieczeństwa było wdrożenie szyfrowania komputerów przy użyciu narzędzia BitLocker. Problem polegał jednak na tym, że rozwiązanie to wprowadzono dopiero po incydencie.
Zdaniem organu nadzorczego administrator nie wykazał również, że regularnie sprawdzał skuteczność stosowanych środków ochrony danych. Prezes UODO uznał więc, że nie wdrożono adekwatnych środków technicznych i organizacyjnych, które odpowiadałyby ryzyku zidentyfikowanemu przez samego administratora.
WSA i NSA podzieliły stanowisko Prezesa UODO
Mazowieckie OHP nie zgodziło się z taką oceną. W skardze do Wojewódzkiego Sądu Administracyjnego wskazywano, że laptop był zabezpieczony indywidualnym loginem i hasłem, a samochód, z którego został skradziony, posiadał autoalarm. Podnoszono również, że incydent dotyczył niewielkiej liczby osób, dlatego kara jest niewspółmiernie wysoka.
Argumenty te nie przekonały jednak sądów administracyjnych. WSA w Warszawie uznał, że Prezes UODO prawidłowo ustalił stan faktyczny i przeprowadził postępowanie dowodowe. Sąd zwrócił uwagę, że samo zabezpieczenie urządzenia hasłem nie stanowiło środka adekwatnego do zidentyfikowanego ryzyka, zwłaszcza że administrator wcześniej sam wskazał konieczność stosowania szyfrowania danych.
Stanowisko to podzielił również NSA. W ustnym uzasadnieniu sąd potwierdził, że organ nadzorczy właściwie ocenił zarówno okoliczności naruszenia, jak i wysokość kary. Nie znalazł też podstaw do zakwestionowania ustaleń dotyczących liczby osób, których dane znalazły się na skradzionym komputerze.
Co wynika z tego wyroku dla administratorów danych?
Sprawa jest kolejnym przykładem pokazującym, że Prezes UODO nie nakłada kar za sam fakt wystąpienia incydentu bezpieczeństwa. Kluczowe znaczenie ma to, czy administrator prawidłowo przeprowadził analizę ryzyka, wdrożył wynikające z niej zabezpieczenia oraz potrafi wykazać, że stosowane środki ochrony odpowiadają realnym zagrożeniom.
Wyrok NSA potwierdza, że niewdrożenie rekomendowanych przez siebie zabezpieczeń może zostać uznane za naruszenie obowiązków wynikających z RODO, nawet jeśli skala samego wycieku danych jest ograniczona.