Naczelny Sąd Administracyjny w wyroku z 24 listopada 2025 r. oddalił skargę kasacyjną przedsiębiorcy prowadzącego klinikę stomatologiczną, podtrzymując decyzję Prezesa Urzędu Ochrony Danych Osobowych o nałożeniu administracyjnej kary pieniężnej w wysokości 85 588 zł. Sprawa dotyczyła niewykonania prawomocnego nakazu zawiadomienia osób, których dane zostały naruszone. Wyrok ma istotne znaczenie praktyczne – pokazuje, że opóźnione wykonanie obowiązzków z zakresu ochrony danych nie chroni przed sankcją.
Naruszenie danych i nakaz zawiadomienia
Sprawa rozpoczęła się w 2019 r., gdy przedsiębiorca sam zgłosił naruszenie ochrony danych osobowych. Były pracownik kliniki skopiował dane pacjentów, zamierzając wykorzystać je do marketingu własnej działalności. Prezes UODO nakazał administratorowi danych poinformowanie wszystkich osób dotkniętych incydentem.
Nakaz miał charakter prawomocnej decyzji administracyjnej. Oznaczało to, że przedsiębiorca był zobowiązany nie tylko do jego wykonania, ale również do udokumentowania przed organem nadzorczym, że obowiązek został zrealizowany.
Unikanie odpowiedzi i niewiarygodne dowody
W toku postępowania sprawdzającego przedsiębiorca przez długi czas nie potrafił wykazać wykonania decyzji. Unikał odpowiedzi na wezwania, a później przedstawiał wyjaśnienia sprzeczne i niejasne. Twierdził m.in., że nie wie, ilu osób dotyczy naruszenie, że nie wie, jak wykonać nakaz, a nawet że obowiązek zawiadomienia spoczywa na samym Prezesie UODO.
Ostatecznie przedstawił dowód zakupu 37 znaczków pocztowych oraz oświadczenie osoby podającej się za pracownika poczty, że pisma zostały wysłane jako przesyłki nierejestrowane. Organ nadzorczy uznał takie dowody za niewiarygodne – nie pozwalały one stwierdzić, czy zawiadomienia rzeczywiście trafiły do adresatów.
W konsekwencji Prezes UODO nałożył karę administracyjną za niewykonanie nakazu.
Spóźniona naprawa sytuacji
Dopiero po doręczeniu decyzji o karze przedsiębiorca przedstawił bezsporne dowody prawidłowego wykonania obowiązku: kopie pism oraz potwierdzenia wysyłki listów poleconych. Problem polegał jednak na tym, że zostały one wysłane już po wydaniu decyzji organu.
Sądy administracyjne obu instancji uznały, że nie zmienia to oceny sprawy.
Wojewódzki Sąd Administracyjny w Warszawie w 2021 r. oddalił skargę przedsiębiorcy, wskazując, że decyzja UODO była zgodna z prawem zarówno co do samego naruszenia, jak i wysokości kary.
Stan sprawy ocenia się na dzień decyzji
Naczelny Sąd Administracyjny podtrzymał to stanowisko w 2025 r. Sąd jednoznacznie stwierdził, że Prezes UODO ocenia wykonanie obowiązku według stanu istniejącego w dniu wydania decyzji. Późniejsze działania przedsiębiorcy, nawet jeśli skutecznie realizują nakaz, nie eliminują wcześniejszego naruszenia.
NSA podkreślił również znaczenie tzw. zasady rozliczalności. To administrator danych musi posiadać dokumenty potwierdzające wykonanie obowiązków i być w stanie je przedstawić organowi nadzorczemu. Brak takiej dokumentacji działa na niekorzyść przedsiębiorcy.
Rzadko stosowany, ale surowy środek
UODO zwrócił uwagę, że administracyjna kara za nieprzestrzeganie nakazu organu nadzorczego jest odrębnym środkiem od sankcji znanych z postępowania egzekucyjnego w administracji. Jest ona zdecydowanie bardziej dolegliwa niż tzw. grzywny w celu przymuszenia.
Organ zapowiada, że będzie sięgał po to narzędzie w sytuacjach umyślnego lub uporczywego lekceważenia obowiązków z zakresu ochrony danych osobowych. Sprawa kliniki stomatologicznej ma więc charakter ostrzegawczy dla wszystkich administratorów danych.
Wnioski dla przedsiębiorców
Wyrok NSA pokazuje, że w ochronie danych osobowych liczy się nie tylko samo wykonanie obowiązku, ale także jego terminowość i możliwość udowodnienia tego faktu. Opóźnione działania naprawcze nie cofają odpowiedzialności za wcześniejsze zaniechanie.
Dla firm oznacza to konieczność prowadzenia rzetelnej dokumentacji i traktowania decyzji organu nadzorczego jako bezwzględnie wiążących. W przeciwnym razie ryzyko finansowe może być znacznie wyższe niż koszt samego wdrożenia wymaganych działań.
Decyzja Prezesa UODO w tej sprawie została wydana pod sygnaturą DKE.561.11.2020 i stanowi ważny punkt odniesienia dla praktyki stosowania RODO w Polsce.
