107 RODO: dokumenty i załączniki do sprawy w praktyce prawnej

W praktyce stosowania przepisów o ochronie danych osobowych pojęcie „107 RODO” stało się swoistym skrótem myślowym, który w zależności od kontekstu sprawy może odnosić się do trzech zupełnie różnych reżimów prawnych. Dla profesjonalnego pełnomocnika, przedsiębiorcy czy osoby, której dane dotyczą, kluczowe jest precyzyjne rozróżnienie tych pojęć. Może tu chodzić o artykuł 107 ogólnego rozporządzenia o ochronie danych (RODO), który upoważnia państwa członkowskie do wprowadzania własnych sankcji, o artykuł 107 polskiej ustawy o ochronie danych osobowych (UODO), statuujący odpowiedzialność karną za nielegalne przetwarzanie danych, bądź też o artykuł 107 Kodeksu postępowania administracyjnego (K.p.a.), określający wymogi formalne decyzji wydawanej przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO). Każda z tych instytucji wymaga odmiennego podejścia proceduralnego, a przede wszystkim – skrupulatnego przygotowania dokumentacji procesowej i dowodowej. W niniejszym opracowaniu szczegółowo analizujemy, jak krok po kroku skompletować dokumenty, załączniki oraz dowody, aby skutecznie dochodzić swoich praw lub bronić się przed zarzutami w sprawach związanych z naruszeniem bezpieczeństwa danych osobowych.

Trzy wymiary pojęcia „107 RODO” w polskim porządku prawnym

Aby skutecznie sporządzić wniosek, skargę lub zawiadomienie, należy najpierw precyzyjnie zidentyfikować podstawę prawną swojego działania. Mylenie poszczególnych przepisów oznaczonych numerem 107 jest jednym z najczęstszych błędów popełnianych przez osoby samodzielnie występujące przed organami. Poniżej przedstawiamy szczegółowe omówienie każdego z tych trzech wymiarów.

Artykuł 107 RODO – unijne upoważnienie do nakładania sankcji

Artykuł 107 unijnego rozporządzenia RODO nakłada na państwa członkowskie obowiązek określenia przepisów o innych karach za naruszenia niniejszego rozporządzenia – w szczególności za naruszenia, które nie podlegają administracyjnym karom pieniężnym na mocy art. 83. Unijny ustawodawca pozostawił zatem krajom członkowskim margines swobody w zakresie penalizacji określonych zachowań na gruncie prawa krajowego. Sankcje te muszą być skuteczne, proporcjonalne i odstraszające. To właśnie na podstawie tego upoważnienia polski ustawodawca zdecydował się na wprowadzenie przepisów karnych do krajowej ustawy o ochronie danych osobowych.

Artykuł 107 Ustawy o ochronie danych osobowych (UODO) – odpowiedzialność karna

Polski ustawodawca, realizując wytyczne z art. 107 RODO, wprowadził do ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych przepis art. 107, który penalizuje nielegalne przetwarzanie danych osobowych. Zgodnie z art. 107 ust. 1 UODO, kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do których przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch. Z kolei art. 107 ust. 2 UODO zaostrza tę odpowiedzialność do lat trzech, jeżeli czyn dotyczy danych wrażliwych (tzw. danych szczególnych kategorii, o których mowa w art. 9 RODO, takich jak dane o stanie zdrowia, poglądach politycznych czy orientacji seksualnej). Jest to przestępstwo o charakterze powszechnym, ścigane z urzędu, co oznacza, że organem prowadzącym postępowanie przygotowawcze jest prokuratura oraz policja, a nie PUODO.

Artykuł 107 Kodeksu postępowania administracyjnego (K.p.a.) – wymogi decyzji PUODO

Trzecim, niezwykle istotnym aspektem jest art. 107 K.p.a. Prezes Urzędu Ochrony Danych Osobowych, prowadząc postępowanie administracyjne w przedmiocie naruszenia przepisów o ochronie danych osobowych, działa jako organ administracji publicznej. W związku z tym każda decyzja kończąca postępowanie przed PUODO musi spełniać rygorystyczne wymogi formalne określone w art. 107 K.p.a. Decyzja taka must zawierać m.in. oznaczenie organu, datę wydania, oznaczenie stron, powołanie podstawy prawnej, rozstrzygnięcie, uzasadnienie faktyczne i prawne, pouczenie o odwołaniu oraz podpis osoby upoważnionej. Dla pełnomocników stron analiza decyzji pod kątem art. 107 K.p.a. stanowi punkt wyjścia do sporządzenia ewentualnej skargi do Wojewódzkiego Sądu Administracyjnego (WSA).

Postępowanie przed Prezesem UODO: Jak przygotować wniosek i załączniki?

Postępowanie przed Prezesem UODO jest inicjowane na wniosek (skargę) osoby, której dane dotyczą, lub z urzędu. Aby organ podjął merytoryczne działania, wniosek must spełniać wymogi formalne pisma w postępowaniu administracyjnym. Kluczowym elementem sukcesu jest jednak nie samo pismo, lecz załączone do niego dowody, które jednoznacznie wykażą fakt zaistnienia naruszenia.

Wymogi formalne wniosku do PUODO

Wniosek kierowany do organu nadzorczego musi zawierać dokładne dane identyfikacyjne wnioskodawcy (imię, nazwisko, adres zamieszkania, numer PESEL) oraz dane podmiotu, na który składana jest skarga (nazwa firmy, adres siedziby, NIP, KRS lub inne dane rejestrowe). W treści należy precyzyjnie opisać, na czym polegało naruszenie przepisów RODO, kiedy miało miejsce oraz jakich danych dotyczyło. Wniosek musi zostać własnoręcznie podpisany lub opatrzony kwalifikowanym podpisem elektronicznym bądź podpisem zaufanym (ePUAP).

Kluczowe załączniki dowodowe w postępowaniu administracyjnym

Do wniosku należy dołączyć wszelkie dokumenty potwierdzające opisywany stan faktyczny. W praktyce prawnej najczęściej wykorzystuje się następujące załączniki:

Dowody korespondencji z administratorem (ADO): Kopie pism, wiadomości e-mail lub formularzy kontaktowych, w których wnioskodawca domagał się realizacji swoich praw (np. prawa do usunięcia danych, prawa dostępu do danych czy sprzeciwu wobec przetwarzania), wraz z dowodami ich doręczenia (np. potwierdzenie nadania listu poleconego, raport doręczenia e-maila).
Odpowiedzi administratora: Jeżeli administrator ustosunkował się do żądań, należy załączyć jego odpowiedź. Wykaże to organowi, czy administrator odmówił realizacji praw bezpodstawnie, czy też zignorował upływ ustawowego terminu (co do zasady jednego miesiąca).
Zrzuty ekranu (screenshoty): W sprawach dotyczących naruszeń w przestrzeni cyfrowej (np. nieuprawnione publikacje danych na forach internetowych, portalach społecznościowych, wysyłanie niezamówionego newslettera) kluczowe są zrzuty ekranu. Powinny one być sporządzone w sposób umożliwiający identyfikację daty, godziny oraz adresu URL strony internetowej.
Wyciągi z logów systemowych: W przypadku sporów pracowniczych lub naruszeń wewnątrz organizacji, dowodem mogą być logi systemowe potwierdzające, że osoba nieuprawniona logowała się do bazy danych zawierającej dane osobowe wnioskodawcy.
Pełnomocnictwo: Jeżeli sprawę w imieniu poszkodowanego prowadzi profesjonalny pełnomocnik (adwokat, radca prawny), niezbędne jest załączenie dokumentu pełnomocnictwa wraz z dowodem uiszczenia opłaty skarbowej w kwocie 17 zł na konto właściwego urzędu miasta.

Postępowanie karne z art. 107 UODO – zawiadomienie o przestępstwie

Jeżeli naruszenie przepisów o ochronie danych osobowych wyczerpuje znamiona czynu zabronionego określonego w art. 107 UODO, poszkodowany lub każda osoba, która powzięła wiedzę o przestępstwie, może złożyć zawiadomienie o podejrzeniu popełnienia przestępstwa do prokuratury lub na policję. Postępowanie to toczy się według przepisów Kodeksu postępowania karnego (K.p.k.), co wiąże się z zupełnie inną dynamiką i rygorami dowodowymi niż postępowanie przed PUODO.

Jak skonstruować zawiadomienie z art. 107 UODO?

Zawiadomienie powinno zawierać wskazanie czasu i miejsca popełnienia czynu, opis okoliczności zdarzenia, wskazanie osoby podejrzanej (jeśli jest znana) oraz precyzyjne określenie, na czym polegał brak uprawnienia do przetwarzania danych. Warto w treści zawiadomienia powołać się bezpośrednio na art. 107 ust. 1 lub ust. 2 UODO oraz wskazać, że działanie sprawcy miało charakter umyślny. Sprawca musi mieć bowiem świadomość, że przetwarza dane bez podstawy prawnej lub bez stosownego upoważnienia.

Niezbędne załączniki w procesie karnym

W procesie karnym ciężar udowodnienia winy spoczywa na oskarżycielu, jednak aby prokurator w ogóle wszczął dochodzenie lub śledztwo, zawiadomienie musi być poparte wiarygodnym materiałem dowodowym. Do zawiadomienia należy dołączyć:

Dokumentację potwierdzającą brak uprawnienia sprawcy: Np. umowę o pracę, która wygasła, cofnięte upoważnienie do przetwarzania danych osobowych, oświadczenie o wycofaniu zgody na przetwarzanie danych.
Wydruki wiadomości e-mail lub SMS: Dowodzące, że sprawca mimo braku uprawnień nadal przetwarzał dane, np. wysyłał wiadomości o charakterze nękającym lub handlowym.
Oświadczenia świadków: Pisemne oświadczenia osób, które mają wiedzę o nielegalnym procederze (np. innych pracowników, klientów), wraz ze wskazaniem ich danych kontaktowych w celu wezwania na przesłuchanie.
Ekspertyzy informatyczne: W skomplikowanych sprawach dotyczących wycieku danych lub włamań do systemów, prywatna opinia biegłego z zakresu cyberbezpieczeństwa może stanowić kluczowy załącznik, który przekona prokuratora do podjęcia natychmiastowych działań zabezpieczających sprzęt komputerowy sprawcy.

Obowiązki dowodowe i rola organów w praktyce

W sprawach dotyczących ochrony danych osobowych niezwykle istotny jest podział obowiązków dowodowych pomiędzy strony a organy państwowe. W postępowaniu administracyjnym przed PUODO obowiązuje zasada oficjalności (art. 7 i art. 77 § 1 K.p.a.), co oznacza, że organ ma obowiązek z urzędu wyczerpująco zebrać i rozpatrzyć cały materiał dowodowy. Nie zwalnia to jednak wnioskodawcy z obowiązku współdziałania. Bierna postawa skarżącego, polegająca jedynie na ogólnikowych twierdzeniach bez przedstawienia jakichkolwiek załączników, najczęściej skutkuje umorzeniem postępowania z uwagi na brak wystarczających dowodów potwierdzających naruszenie.

W postępowaniu karnym z art. 107 UODO rola pokrzywdzonego jako oskarżyciela posiłkowego (jeśli zdecyduje się na wstąpienie w tę rolę) polega na aktywnym zgłaszaniu wniosków dowodowych. Prokuratura, dysponując narzędziami przymusu (takimi jak przeszukanie, zatrzymanie rzeczy czy żądanie wydania danych od operatorów telekomunikacyjnych), może zabezpieczyć dowody, do których osoba fizyczna nie ma dostępu. Aby jednak do tego doszło, załączniki do zawiadomienia muszą uprawdopodobnić popełnienie przestępstwa w stopniu uzasadniającym wszczęcie postępowania przygotowawczego.

Terminy procesowe – o czym musi pamiętać pełnomocnik?

Niedopełnienie terminów procesowych może bezpowrotnie zamknąć drogę do ochrony prawnej. W sprawach związanych z art. 107 UODO oraz procedurą administracyjną należy pamiętać o kilku kluczowych terminach:

Termin na uzupełnienie braków formalnych: Jeżeli wniosek do PUODO lub zawiadomienie do prokuratury zawiera braki formalne (np. brak podpisu, brak pełnomocnictwa), organ wzywa do ich usunięcia w terminie 7 dni od dnia doręczenia wezwania. Niezastosowanie się do wezwania w tym terminie skutkuje pozostawieniem wniosku bez rozpoznania lub odmową wszczęcia postępowania.
Termin na wniesienie skargi do WSA: Na decyzję Prezesa PUODO (która musi spełniać wymogi art. 107 K.p.a.) stronie przysługuje skarga do Wojewódzkiego Sądu Administracyjnego. Skargę wnosi się za pośrednictwem Prezesa PUODO w terminie 30 dni od dnia doręczenia decyzji skarżącemu.
Przedawnienie karalności przestępstwa z art. 107 UODO: Karalność przestępstwa zagrożonego karą pozbawienia wolności do lat 3 (art. 107 ust. 2 UODO) ustaje z upływem 5 lat od czasu jego popełnienia. Jeżeli w tym okresie wszczęto postępowanie przeciwko osobie, karalność przestępstwa ustaje z upływem 10 lat od zakończenia tego okresu (zgodnie z przepisami Kodeksu karnego).

Najczęstsze błędy w dokumentacji spraw z zakresu ochrony danych

Analiza orzecznictwa sądów administracyjnych oraz praktyki prokuratorskiej pozwala na wskazanie najczęściej popełnianych błędów przy sporządzaniu dokumentów i załączników:

Brak precyzyjnego określenia tożsamości administratora: Wpisywanie nazw handlowych zamiast pełnej nazwy rejestrowej spółki (np. „Sklep u Jana” zamiast „Jan Kowalski Przedsiębiorstwo Handlowe Sp. z o.o.”). Uniemożliwia to organom prawidłowe doręczenie pism i prowadzenie postępowania.
Przedkładanie niepoświadczonych kopii dokumentów: W przypadku reprezentacji przez profesjonalnego pełnomocnika, wszystkie załączniki będące kopiami dokumentów powinny być poświadczone za zgodność z oryginałem.
Niewykazanie legitymacji procesowej: Składanie skargi w interesie innej osoby bez posiadania stosownego, pisemnego pełnomocnictwa.
Zgłaszanie wniosków dowodowych, które nie mają znaczenia dla sprawy: Zasypywanie organu setkami stron dokumentacji księgowej czy osobistej, która nie ma bezpośredniego związku z faktem nielegalnego przetwarzania danych osobowych. Działa to na niekorzyść wnioskodawcy, przedłużając postępowanie.

Praktyczny przykład (Case Study): Nielegalne udostępnienie danych wrażliwych

Aby zobrazować, jak w praktyce wygląda kompletowanie dokumentów i załączników, posłużmy się przykładem pani Marty. Pani Marta była zatrudniona w firmie medycznej. Po rozwiązaniu umowy o pracę za porozumieniem stron, jej były pracodawca, chcąc zdyskredytować ją w oczach innych pracowników, opublikował na wewnętrznym komunikatorze firmowym (dostępnym dla kilkudziesięciu osób) informację o her problemach zdrowotnych oraz szczegółach zwolnienia lekarskiego. Działanie to wyczerpywało znamiona czynu z art. 107 ust. 2 UODO (przetwarzanie danych szczególnej kategorii bez uprawnienia).

Pani Marta zdecydowała się na podjęcie kroków prawnych. Jej pełnomocnik przygotował dwa niezależne pisma:

Skargę do Prezesa UODO (ścieżka administracyjna): Do skargi załączono: zrzuty ekranu z komunikatora firmowego (z widoczną datą, treścią wpisu oraz nazwą użytkownika pracodawcy), oświadczenia dwóch byłych współpracowników potwierdzające, że wpis był widoczny dla wszystkich zatrudnionych, kopię umowy o pracę oraz porozumienia rozwiązującego stosunek pracy (w celu wykazania braku podstawy prawnej do dalszego przetwarzania danych w celach innych niż kadrowe), a także pełnomocnictwo wraz z dowodem opłaty skarbowej.
Zawiadomienie o podejrzeniu popełnienia przestępstwa z art. 107 ust. 2 UODO (ścieżka karna): Do zawiadomienia skierowanego do Prokuratury Rejonowej załączono te same dowody zrzutów ekranu, ale dodatkowo sformułowano wnioski dowodowe o przesłuchanie wskazanych z imienia i nazwiska świadków (pracowników firmy) oraz o zabezpieczenie serwera komunikatora firmowego w celu uniknięcia usunięcia wpisów przez pracodawcę.

Dzięki skrupulatnemu przygotowaniu załączników już na etapie inicjowania postępowań, Prezes PUODO wszczął postępowanie administracyjne, które zakończyło się nałożeniem kary upomnienia i nakazem usunięcia danych, natomiast prokurator niezwłocznie wszczął dochodzenie, co doprowadziło do skierowania aktu oskarżenia przeciwko byłemu pracodawcy do sądu karnego.

Podsumowanie i checklista końcowa dla prawnika

Prawidłowe przygotowanie spraw opartych na art. 107 UODO lub wymagających zgodności z art. 107 K.p.a. wymaga systematyczności i dbałości o detale. Przed wysłaniem dokumentów do organu upewnij się, że:

Wniosek/zawiadomienie zawiera pełne dane identyfikacyjne stron (w tym PESEL/NIP/KRS).
Pismo zostało podpisane w sposób zgodny z reprezentacją lub osobiście przez wnioskodawcę.
Wszystkie zrzuty ekranu są czytelne i zawierają pełny kontekst (data, czas, adres URL).
Dołączono dowody wcześniejszego kontaktu z administratorem i podjęto próbę polubownego rozwiązania sprawy (jeśli dotyczy ścieżki przed PUODO).
W przypadku udziału pełnomocnika, dołączono oryginał lub uwierzytelniony odpis pełnomocnictwa oraz dowód uiszczenia opłaty skarbowej.
Sformułowane żądania są jasne, precyzyjne i znajdują oparcie w powołanych przepisach prawa.