Decyzja

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256) oraz art. 7 ust. 1 i ust. 2, art. 60, art. 101,  art. 101a ust. 2, art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z  2019 r., poz. 1781) w związku z art. 31, art. 58 ust. 1 lit. a) w związku z art. 83 ust. 1-3 oraz art. 83 ust. 5 lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych  i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2.) (zwanego dalej „Rozporządzeniem 2016/679”), po przeprowadzeniu wszczętego z urzędu postępowania administracyjnego w sprawie nałożenia na Anwara Sp. z o.o. z siedzibą w Warszawie przy  Al. Jerozolimskich 81 administracyjnej kary pieniężnej, Prezes Urzędu Ochrony Danych Osobowych stwierdzając naruszenie przez Anwara Sp. z o.o. z siedzibą w Warszawie przy Al. Jerozolimskich 81, przepisu art. 31 oraz art. 58 ust. 1 lit. a) Rozporządzenia 2016/679, polegające na braku współpracy z Prezesem Urzędu Ochrony Danych Osobowych w ramach wykonywania przez niego jego zadań oraz niedostarczeniu wszelkich informacji potrzebnych Prezesowi Urzędu Ochrony Danych Osobowych do realizacji jego zadań, to jest do rozpatrzenia skargi Pana M. K. na nieprawidłowości w procesie przetwarzania jego danych osobowych,

nakłada na Anwara Sp. z o.o. z siedzibą w Warszawie przy Al. Jerozolimskich 81 administracyjną karę pieniężną w  kwocie 21.397 PLN (słownie: dwadzieścia jeden tysięcy  trzysta dziewięćdziesiąt siedem złotych).

UZASADNIENIE

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pana M. K., zamieszkałego w W., zwanego dalej „Skarżącym”, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Anwara Sp. z o.o. z siedzibą w Warszawie przy Al. Jerozolimskich 81 (poprzednio: Al. Solidarności 117/207), zwaną dalej „Spółką”, prowadzącą szkołę […] w W. Wskazane naruszenie polegało na przetwarzaniu danych osobowych Skarżącego w zakresie jego imienia, nazwiska, adresu zamieszkania oraz numeru PESEL bez jego wiedzy i zgody. Prezes Urzędu Ochrony Danych Osobowych, zwany dalej także „Prezesem UODO”, w ramach wszczętego postępowania administracyjnego prowadzonego celem rozpatrzenia wniesionej skargi (pod sygnaturą […]), zwrócił się do Spółki pismem z […] lipca 2020 r. o ustosunkowanie się – w terminie 7 dni od chwili doręczenia wezwania – do treści skargi oraz o odpowiedź na następujące, szczegółowe pytania dotyczące sprawy:

1. czy, a jeśli tak, to na jakiej podstawie, kiedy i z jakiego źródła Spółka pozyskała dane osobowe Skarżącego w szczególności w zakresie imienia, nazwiska, adresu zamieszkania  i numeru PESEL;
2. czy, a jeśli tak, to na jakiej podstawie (proszę wskazać konkretny przepis prawa), w jakim celu, w jakim zakresie i w jakim zbiorze Spółka przetwarza aktualnie dane osobowe Skarżącego;
3. czy doszło do udostępnienia danych osobowych Skarżącego na rzecz innych podmiotów (w szczególności Biura Edukacji Urzędu Miasta […] W.), a jeżeli tak,  to kiedy, na jakiej podstawie prawnej, w jakim celu i zakresie oraz na rzecz jakich podmiotów dane te zostały udostępnione;
4. czy Skarżący zwracał się do Spółki z żądaniem spełnienia wobec niego obowiązku informacyjnego, wynikającego z art. 13, 14 lub 15 Rozporządzenia 2016/679, a jeżeli tak, to kiedy i jaka była treść przekazywanych informacji;
5. czy Skarżący zwracał się do Spółki o usunięcie jego danych osobowych, a jeżeli tak,  to kiedy i w jaki sposób Spółka ustosunkowała się do powyższego.

Przedmiotowe pismo, skierowane zostało na ujawniony w Krajowym Rejestrze Sądowym adres siedziby Spółki, tj. […] – aktualny w dacie nadania korespondencji. Pomimo prawidłowego doręczenia pisma Spółce […] lipca 2020 r., Spółka nie udzieliła  na nie żadnej odpowiedzi.

W związku z powyższym, pismem z […] sierpnia 2020 r. Prezes UODO ponownie wezwał Spółkę do ustosunkowania się do treści skargi oraz do złożenia szczegółowych wyjaśnień  w sprawie, zakreślając jej przy tym 7-dniowy termin na udzielenie odpowiedzi. Spółka pouczona została również, że brak nadesłania wyjaśnień w wyżej wskazanym zakresie skutkować może nałożeniem administracyjnej kary pieniężnej, zgodnie z art. 83 ust. 5 lit. e) Rozporządzenia 2016/679. Pomimo doręczenia korespondencji Spółce […] sierpnia 2020 r., ta nie odniosła  się w żaden sposób do żądania sformułowanego przez organ ochrony danych osobowych.

W związku z nieudzieleniem przez Spółkę informacji niezbędnych do rozstrzygnięcia sprawy o sygnaturze […], zainicjowanej skargą Skarżącego, Prezes UODO wszczął z urzędu wobec Spółki – w oparciu o art. 83 ust. 5 lit. e) Rozporządzenia 2016/679, w związku z naruszeniem przez Spółkę art. 31 oraz 58 ust. 1 lit. a) Rozporządzenia 2016/679  – postępowanie administracyjne w przedmiocie nałożenia na Spółkę administracyjnej kary pieniężnej (pod sygnaturą DKE.561.16.2020.[…]). O wszczęciu postępowania Spółka poinformowana została pismem z […] października 2020 r., prawidłowo doręczonym Spółce  […] października 2020 r. Pismem tym Spółka wezwana została również – celem ustalenia podstawy wymiaru kary, w oparciu o art. 101a ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) – do przedstawienia sprawozdania finansowego Spółki za rok 2019 bądź – w przypadku jego braku – oświadczenia o wysokości obrotu i wyniku finansowego osiągniętego przez Spółkę w 2019 r.

Spółka nie ustosunkowała się w żaden sposób do ww. korespondencji, nie złożyła wyjaśnień w sprawie, ani też nie przedstawiła danych zezwalających na ustalenie jej sytuacji finansowej.

Spółka prowadzi działalność m.in. w zakresie prowadzenia szkół policealnych, liceów ogólnokształcących, szkół podstawowych i placówek wychowania przedszkolnego, działalności wspomagającej edukację oraz w zakresie reklamy, badania rynku i opinii publicznej.

Po zapoznaniu się z całością materiału dowodowego zebranego w sprawie Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Zgodnie z art. 57 ust. 1 lit. a) Rozporządzenia 2016/679, Prezes UODO – jako organ nadzorczy w rozumieniu art. 51 Rozporządzenia 2016/679 – na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia. W ramach swoich kompetencji Prezes UODO rozpatruje m.in. skargi wniesione przez osoby, których dane dotyczą, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje  skarżącego o postępach i wynikach tych postępowań (art. 57 ust. 1 lit. f)). Dla umożliwienia egzekwowania tak określonych kompetencji, Prezesowi UODO przysługuje szereg określonych w art. 58 ust. 1 Rozporządzenia 2016/679 uprawnień w zakresie prowadzonych postępowań, w tym uprawnienie do nakazania administratorowi i podmiotowi przetwarzającemu dostarczenia wszelkich informacji potrzebnych do realizacji jego zadań (art. 58 ust. 1 lit. a)). Naruszenie przepisów Rozporządzenia 2016/679, polegające na niedostarczeniu informacji, o których mowa powyżej, skutkujące naruszeniem uprawnień organu nadzorczego określonych w art. 58 ust. 1, podlega zaś – zgodnie z art. 83 ust 5 lit e) in fine Rozporządzenia 2016/679 – administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Wskazać należy ponadto, że administrator i podmiot przetwarzający obowiązani są współpracować z organem nadzorczym w ramach wykonywania przez niego zadań, o czym stanowi art. 31 Rozporządzenia 2016/679.

Odnosząc przytoczone powyżej przepisy Rozporządzenia 2016/679 do ustalonego w niniejszej sprawie, a opisanego na wstępie uzasadnienia niniejszej decyzji stanu faktycznego, stwierdzić należy, że Spółka – administrator danych osobowych Skarżącego, Pana M. K. – jako strona prowadzonego przez Prezesa UODO postępowania o sygnaturze […], naruszyła ciążący na niej obowiązek zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań – w tym przypadku do merytorycznego rozstrzygnięcia wyżej wymienionej sprawy. Takie działanie Spółki stanowi naruszenie art. 58 ust. 1 lit. a) Rozporządzenia 2016/679.

Zważyć należy, że w postępowaniu o sygnaturze […] Prezes UODO dwukrotnie wezwał Spółkę do udzielenia wyjaśnień niezbędnych do rozpatrzenia sprawy.

Każde z pism wystosowanych przez Prezesa UODO, tj. zarówno pismo z […] lipca 2020 r., jak i pismo z […] sierpnia 2020 r. (prawidłowo doręczone Spółce – odpowiednio – […] lipca  2020 r. oraz […] sierpnia 2020 r.) pozostało bez odpowiedzi. Powyższego stanu rzeczy nie zmienił fakt następczego wszczęcia niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej. Spółka, prawidłowo zawiadomiona przez organ nadzorczy o zamiarze podjęcia wobec niej określonych w art. 58 ust. 2 lit. i) Rozporządzenia 2016/679 działań, a nadto pouczona o przysługującym jej – jako stronie niniejszego postępowania – prawie do wypowiedzenia się co do zebranych dowodów i materiałów oraz zgłoszonych żądań,  nie podjęła żadnych czynności zmierzających do wyjaśnienia zaistniałej po jej stronie bezczynności ani usprawiedliwienia braku współpracy w Prezesem UODO. Osoby uprawnione do reprezentacji Spółki nie kontaktowały się również z Urzędem Ochrony Danych Osobowych celem zasygnalizowania ewentualnych wątpliwości, które Spółka mogłaby powziąć odnośnie zakresu informacji, których udzielenia żądał Prezes UODO.

Wyżej opisane postępowanie Spółki w sprawie o sygnaturze […], polegające na braku odpowiedzi na wezwania Prezesa UODO do złożenia wyjaśnień, wskazuje na brak woli współpracy z Prezesem UODO w ustaleniu stanu faktycznego sprawy i prawidłowym jej rozstrzygnięciu lub co najmniej rażące lekceważenie swoich obowiązków dotyczących współpracy z Prezesem UODO w ramach wykonywania przez niego zadań określonych Rozporządzeniem 2016/679.

Wskazać w tym miejscu należy, że niedostarczenie informacji, których Prezes UODO żądał i żąda od Spółki, a które niewątpliwie są w jej posiadaniu (a zatem informacji  o okolicznościach przetwarzania danych osobowych Skarżącego), stoi na przeszkodzie wnikliwemu rozpatrzeniu sprawy zainicjowanej skargą Pana M. K. Opisywane zaniechanie, skutkuje również nadmiernym i nieuzasadnionym przedłużaniem wyżej wymienionego postępowania, co stoi w sprzeczności z podstawowymi zasadami rządzącymi postępowaniem administracyjnym – określonymi w art. 12 ust. 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r., poz. 256) zasadami wnikliwości i szybkości postępowania.

Mając na uwadze powyższe ustalenia, Prezes UODO stwierdza, że w niniejszej sprawie zaistniały przesłanki uzasadniające nałożenie na Spółkę – na mocy art. 83 ust. 5 lit. e) in fine Rozporządzenia 2016/679 – administracyjnej kary pieniężnej w związku z niedostarczeniem przez Spółkę wszelkich informacji niezbędnych Prezesowi UODO do realizacji jego zadań, to jest do rozstrzygnięcia sprawy o sygnaturze […].

Stosownie do treści art. 83 ust. 2 Rozporządzenia 2016/679, administracyjne kary pieniężne nakłada się zależnie od okoliczności każdego indywidualnego przypadku. Zwraca się przy tym, w każdym przypadku, uwagę na szereg okoliczności wymienionych w punktach od a) do k) wskazanego wyżej przepisu. Decydując o nałożeniu na Spółkę administracyjnej kary pieniężnej oraz ustalając jej wysokość, Prezes UODO wziął pod uwagę następujące okoliczności wpływające obciążająco na ocenę naruszenia:

1. Charakter, wagę i czas trwania naruszenia (art. 83 ust. 2 lit. a) Rozporządzenia 2016/679), jako że podlegające administracyjnej karze pieniężnej zachowanie Spółki, noszące znamiona naruszenia art. 31 oraz 58 ust. 1 lit. a) Rozporządzenia 2016/679, godzi w system mający na celu ochronę jednego z podstawowych praw osoby fizycznej, którym jest prawo do ochrony jej danych osobowych, czy też szerzej – do ochrony jej prywatności. Istotnym elementem tego systemu, którego ramy określone zostały Rozporządzeniem 2016/679, są organy nadzorcze, na które nałożone zostały zadania związane z ochroną i egzekwowaniem praw osób fizycznych w tym zakresie. W celu umożliwienia realizacji tych zadań organy nadzorcze wyposażone zostały w szereg uprawnień kontrolnych, uprawnień umożliwiających prowadzenie postępowań administracyjnych oraz uprawnień naprawczych. Natomiast na administratorów i podmioty przetwarzające nałożone zostały, skorelowane z uprawnieniami organów nadzorczych, określone obowiązki, w tym obowiązek współpracy z organami nadzorczymi oraz obowiązek zapewnienia tym organom dostępu do informacji niezbędnych do realizacji ich zadań. Działania Spółki w niniejszej sprawie, polegające na zaniechaniu dostarczenia wszelkich żądanych przez Prezesa UODO informacji, a skutkujące utrudnieniem i nieuzasadnionym przedłużeniem prowadzonego przez niego postępowania, należy więc uznać za godzące w cały system ochrony danych osobowych, i z tego względu mające dużą wagę i naganny charakter. Wagę naruszenia zwiększa dodatkowo okoliczność, że dokonane przez Spółkę naruszenie nie było zdarzeniem jednorazowym i incydentalnym. Przeciwnie, działanie Spółki miało charakter ciągły i długotrwały, co bezsprzecznie potwierdza fakt, iż stwierdzone w niniejszym postępowaniu naruszenie trwa od chwili upływu terminu wyznaczonego na złożenie wyjaśnień, zakreślonego w pierwszym piśmie Prezesa UODO, tj. od […] lipca 2020 r., do chwili obecnej.
2. Umyślny charakter naruszenia (art. 83 ust. 2 lit. b) Rozporządzenia 2016/679), przejawiający się w braku woli współpracy z organem nadzorczym w celu dostarczenia wszelkich informacji niezbędnych do rozstrzygnięcia sprawy, w toku której organ zwracał się do Spółki o ich udzielenie. Świadczy o tym w szczególności brak odpowiedzi  na kierowane do Spółki, prawidłowo jej doręczone, wezwania Prezesa UODO do złożenia wyjaśnień. Wskazać przy tym należy, że Spółka, będąc podmiotem profesjonalnie uczestniczącym w obrocie prawno-gospodarczym, powinna mieć świadomość ciążących na niej obowiązków, w tym obowiązków z zakresu prawa ochrony danych osobowych  (a za taki niewątpliwie należy uznawać obowiązek współpracy administratorów danych lub podmiotów przetwarzających z Prezesem UODO). Pozyskiwanie i przetwarzanie danych osobowych ściśle powiązane jest z przedmiotem działalności Spółki, jakim jest m.in. prowadzenie szkół policealnych, liceów ogólnokształcących, szkół podstawowych  i placówek wychowania przedszkolnego. Stąd, zdaniem Prezesa UODO, od Spółki należy wymagać adekwatnego do ilości oraz kategorii przetwarzanych przez nią danych osobowych poziomu świadomości ciążących na niej powinności. Zauważyć również należy, że w treści pisma z […] sierpnia 2020 r. Prezes UODO zawarł pouczenie o tym,  że brak nadesłania przez Spółkę wyjaśnień skutkować może nałożeniem na nią administracyjnej kary pieniężnej, zgodnie z art. 83 ust. 5 lit. e) Rozporządzenia 2016/679. Tym samym Spółka była w pełni świadoma grożących jej, negatywnych konsekwencji zaniechania udzielenia wyjaśnień. Wreszcie podkreślić należy, że Spółka na żadnym etapie postępowania o sygnaturze […], jak również w toku niniejszego postępowania, nie podjęła próby usprawiedliwienia swego zachowania, co nakazuje interpretować je jako celowe działanie, uniemożliwiające Prezesowi UODO pozyskanie informacji niezbędnych do realizacji jego zadań, stanowiące naruszenie przepisów Rozporządzenia 2016/679.
3. Brak współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków (art. 83 ust. 2 lit. f) Rozporządzenia 2016/679), jako że Spółka nie złożyła w toku niniejszego postępowania w przedmiocie nałożenia administracyjnej kary pieniężnej jakichkolwiek wyjaśnień, które zezwoliłyby na ustalenie przyczyn jej bezczynności bądź dalsze procedowanie w sprawie o sygnaturze […].

Pozostałe przesłanki wymiaru administracyjnej kary pieniężnej wskazane w art. 83. ust. 2 Rozporządzenia 2016/679 nie miały wpływu (obciążającego lub łagodzącego) na dokonaną przez Prezesa UODO ocenę naruszenia (w tym: wszelkie stosowne wcześniejsze naruszenia ze strony administratora, sposób w jaki organ nadzorczy dowiedział się o naruszeniu, przestrzeganie wcześniej zastosowanych w tej samem sprawie środków, stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji) lub też, ze względu na specyficzny charakter naruszenia (dotyczącego stosunku administratora z organem nadzorczym, a nie stosunku administratora z osobą, której dane dotyczą), nie mogły być wzięte pod uwagą w niniejszej sprawie (w tym: liczba poszkodowanych osób oraz rozmiar poniesionej przez nie szkody, działania podjęte przez administratora w celu zminimalizowania szkody poniesionej przez podmioty danych, stopień odpowiedzialności administratora z uwzględnieniem wdrożonych przez niego środków technicznych i organizacyjnych, kategorie danych osobowych, których dotyczy naruszenie).

Stosownie do brzmienia art. 83 ust. 1 Rozporządzenia 2016/679, nałożona przez organ nadzorczy administracyjna kara pieniężna powinna być w każdym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. W ocenie Prezesa UODO kara nałożona na Spółkę w niniejszym postępowaniu spełnia te kryteria. Zdyscyplinuje ona Spółkę do prawidłowej współpracy z Prezesem UODO, zarówno w dalszym toku postępowania o sygnaturze […], jak i w ewentualnych innych postępowaniach prowadzonych w przyszłości z udziałem Spółki przed Prezesem UODO. Nałożona niniejszą decyzją kara jest – w ocenie Prezesa UODO – proporcjonalna do wagi stwierdzonego naruszenia oraz do możliwości jej poniesienia przez Spółkę bez dużego uszczerbku dla prowadzonej przez nią działalności. Kara ta spełni ponadto funkcję odstraszającą; będzie jasnym sygnałem dla Spółki, zobowiązanej na mocy przepisów Rozporządzenia 2016/679 do współpracy z Prezesem UODO, że lekceważenie obowiązków związanych ze współpracą z nim (w szczególności utrudnianie dostępu do informacji niezbędnych do realizacji jego zadań) stanowi naruszenie o dużej wadze i jako takie podlegać będzie sankcjom finansowym. W tym miejscu wskazać należy, że nałożenie na Spółkę administracyjnej kary pieniężnej jest – wobec dotychczasowego postępowania Spółki, jako strony postępowania […] – niezbędne; jest jedynym środkiem znajdującym się w dyspozycji Prezesa UODO, który umożliwi uzyskanie dostępu do informacji niezbędnych w prowadzonym postępowaniu.

Wobec nieprzedstawienia przez Spółkę żądanych przez Prezesa UODO danych finansowych za rok 2019, ustalając wysokość administracyjnej kary pieniężnej w niniejszej sprawie, Prezes UODO wziął pod uwagę, w oparciu o art. 101a ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), szacunkową wielkość Spółki oraz specyfikę, zakres i skalę prowadzonej przez nią działalności.

Stosownie do treści art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) równowartość wyrażonych w euro kwot, o których mowa  w art. 83 Rozporządzenia 2016/679, oblicza się w złotych według średniego kursu euro ogłaszanego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia każdego roku, a w przypadku gdy w danym roku Narodowy Bank Polski nie ogłasza średniego kursu euro w dniu 28 stycznia - według średniego kursu euro ogłoszonego w najbliższej po tej dacie tabeli kursów Narodowego Banku Polskiego.

Mając powyższe na uwadze, Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 83 ust. 3 i art. 83 ust. 4 lit a) oraz art. 83 ust. 5 lit. e) Rozporządzenia 2016/679, w związku z art. 103 ustawy o ochronie danych osobowych z 2018 r., za naruszenia opisane w sentencji niniejszej decyzji, nałożył na Spółkę – stosując średni kurs euro z dnia 28 stycznia 2020 r.  (1 EUR = 4.2794 PLN) – administracyjną karę pieniężną w kwocie 21.397 PLN (co stanowi równowartość 5.000 EUR), według średniego kursu euro ogłoszonego przez Narodowy Bank Polski w tabeli kursów na dzień 28 stycznia 2020 r.

Mając powyższe na uwadze Prezes UODO orzekł  jak w  sentencji niniejszej decyzji. 

Decyzja jest ostateczna. Zgodnie z art. 53 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.), od decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia jej doręczenia, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00 - 193 Warszawa).

Od skargi należy wnieść wpis stosunkowy, zgodnie z art. 231 w związku z art. 233 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325). Zgodnie z art. 74 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) wniesienie przez stronę skargi do sądu administracyjnego wstrzymuje wykonanie decyzji w zakresie administracyjnej kary pieniężnej.

W postępowaniu przed Wojewódzkim Sądem Administracyjnym Strona ma prawo ubiegać się o prawo pomocy, które obejmuje zwolnienie od kosztów sądowych oraz ustanowienie adwokata, radcy prawnego, doradcy podatkowego lub rzecznika patentowego. Prawo pomocy może być przyznane na wniosek Strony złożony przed wszczęciem postępowania lub w toku postępowania. Wniosek jest wolny od opłat sądowych.

Zgodnie z art. 105 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych  (Dz. U. z 2019 r., poz. 1781), administracyjną karę pieniężną należy uiścić w terminie 14 dni od dnia upływu terminu na wniesienie skargi do Wojewódzkiego Sądu Administracyjnego, albo od dnia uprawomocnienia się orzeczenia sądu administracyjnego, na rachunek bankowy Urzędu Ochrony Danych Osobowych w NBP O/O Warszawa nr 28 1010 1010 0028 8622 3100 0000. Ponadto, zgodnie z art. 105 ust. 2 wskazanej wyżej ustawy Prezes UODO może,  na uzasadniony wniosek podmiotu ukaranego, odroczyć termin uiszczenia administracyjnej kary pieniężnej albo rozłożyć ją na raty. W przypadku odroczenia terminu uiszczenia administracyjnej kary pieniężnej albo rozłożenia jej na raty, Prezes Urzędu Ochrony Danych Osobowych nalicza od nieuiszczonej kwoty odsetki w stosunku rocznym, przy zastosowaniu obniżonej stawki odsetek za zwłokę, ogłaszanej na podstawie art. 56d ustawy z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (Dz. U. z 2020 r., poz. 1325), od dnia następującego po dniu złożenia wniosku.