Po ile ten incydent? Holenderski taryfikator kar pieniężnych po polsku.

Tym niemniej, europejskie regulacje nie wytyczają żadnych zasad, którymi należałoby się kierować przy określaniu wysokości nakładanych kar administracyjnych. Dostrzegając tak istotną lukę, 19 lutego 2019 r. holenderski organ ochrony danych (niderl. Autoriteit Persoonsgegevens) wydał rozporządzeniew sprawie administracyjnych kar pieniężnych, nazywane potocznie „cennikiem” albo „taryfikatorem”.

Zważywszy, że dokument taki jest niezaprzeczalną innowacją na gruncie ochrony danych osobowych, organy nadzorcze innych krajów – w tym Polski – z pewnością będą korzystać z opracowanego cennika. Aby zatem nie dać się zaskoczyć potencjalnym konsekwencjom zaistniałych naruszeń, warto zapoznać się z zamieszczonym poniżej tłumaczeniem rozporządzenia, a także z krótkim podsumowaniem, objaśniającym istotę oraz najważniejsze aspekty   wydanego przez Holendrów aktu.

Ogólne Przepisy Administracyjne Urzędu Ochrony Danych Osobowych z dnia 19 lutego 2019 dotyczące ustalania wysokości administracyjnych kar pieniężnych (Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2019).

Urząd Ochrony Danych Osobowych, w odniesieniu do ustalania wysokości kar pieniężnych, uwzględniając:

• art. 4:81 i  5:46, ust. 6 Ogólnej Ustawy Administracyjnej
• art. 83 Ogólnego Rozporządzenia o Ochronie Danych,
• art. 14, ust. 3, art. 17 i 18 Ustawy - Przepisy wprowadzające ustawę o ochronie danych osobowych,
• art. Z 11a Ustawy Wyborczej,
• art. 4.1, ust. 1 Ustawy o Powszechnej Ewidencji Ludności,
• art. 35c Ustawy o Rejestrach Policyjnych,
• art. 27, 39r, 51, 51d, 51h Ustawy o Rejestrze Sądowym i Rejestrze Karnym,
• art. 15.4, ust. 3 i 5 Ustawy Prawo Telekomunikacyjne,

zarządza, co następuje:

Rodział 1
Przepisy ogólne

Art. 1 Definicje

Dla celów niniejszego rozporządzenia:

1. Urząd Ochrony Danych Osobowych oznacza Urząd Ochrony Danych Osobowych, o którym mowa  w art. 6, ust. 1 Ustawy - Przepisy wprowadzające ustawę o ochronie danych osobowych,
2. kwota podstawowa grzywny oznacza kwotę stanowiącą podstawę do obliczenia wysokości nakładanej kary administracyjnej, ustaloną w oparciu o kategorię grzywien dotyczących danego wykroczenia, przed zastosowaniem paragrafu 2.6.
3. osoba, której dane dotyczą oznacza podmiot, którego dane można traktować w kategoriach danych osobowych, o czym mowa w art. 4, punkt 1 Ogólnego Rozporządzenia o Ochronie Danych
4. recydywa oznacza okoliczność, gdy przed upływem 5 lat od nałożenia kary administracyjnej przez Urząd Ochrony Danych Osobowych sprawca dopuszcza się takiego samego lub podobnego wykroczenia.

Rodział 2
Wysokość administracyjnych kar pieniężnych

Paragraf 2.1 Naruszenia przepisów podlegające karze pieniężnej w wysokości do 10.000.000 EUR lub 20.000.000 EUR bądź, w przypadku przedsiębiorstw, 2% lub 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.

Art. 2 Kategoryzacja naruszeń przepisów a stawki kar pieniężnych

2.1 Przepisy w sprawie wykroczenia, co do którego organ właściwy ds. danych osobowych może nałożyć karę grzywny administracyjnej w wysokości do 10.000.000 € lub – w odniesieniu do przedsiębiorców – do 2% całkowitej wysokości obrotów światowych w skali roku w poprzednim roku księgowym, jeżeli kwota ta jest wyższa, sklasyfikowano w załączniku nr 1 sklasyfikowano w ramach kategorii I, kategorii II lub kategorii III.

2.2 Przepisy regulujące kwestię naruszeń podlegających karze pieniężnej, możliwej do nałożenia przez Urząd Ochrony Danych Osobowych w wysokości do 20.000.000 EUR lub, w przypadku przedsiębiorstwa, do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa, zostały w załączniku 2 podzielone na kategorię I, kategorię II, kategorię III lub kategorię IV.

2.3 Organ właściwy ds. danych osobowych określa wysokość grzywny podstawowej za wykroczenia, co do których ustawowa maksymalna wysokość grzywny wynosi 10.000.000 lub – w odniesieniu do przedsiębiorców – do 2% całkowitej wysokości obrotów światowych w skali roku w poprzednim roku księgowym, jeżeli kwota ta jest wyższa, lub 20.000.000 € lub – w odniesieniu do przedsiębiorców – do 4% całkowitej wysokości obrotów światowych w skali roku w poprzednim roku księgowym, jeżeli kwota ta jest wyższa, w ramach następujących zasad wymiaru kary grzywny:

2.4 Wysokość grzywny podstawowej ustala się na poziomie minimalnej  kwoty grzywny, powiększonej o połowę wysokości grzywny za wykroczenie związane z określoną kategorią podlegającą karze.

Paragraf 2.2 Naruszenia przepisów podlegające karze pieniężnej w wysokości do 900.000 EUR.

Art. 3 Kategoryzacja naruszeń przepisów a stawki kar pieniężnych

3.1 Przepisy regulujące kwestię naruszeń podlegających karze pieniężnej, możliwej do nałożenia przez Urząd Ochrony Danych Osobowych, w wysokości do 900.000 EUR, zostały w załączniku 3 podzielone na kategorię I, kategorię II lub kategorię III.

3.2 Organ właściwy ds. danych osobowych ustala wysokość grzywny podstawowej za wykroczenia, dla których obowiązuje ustawowa kwota maksymalna grzywny w wysokość 900.000 € w ramach następujących dopuszczalnych wymiarów grzywien:

 Paragraf 2.3 Naruszenia przepisów podlegające karze pieniężnej w wysokości do € 830.000

Art. 4 Kategoryzacja naruszeń przepisów a stawki kar pieniężnych

4.1 Przepisy dotyczące wykroczenia, w przypadku którego organ właściwy ds. danych osobowych może nałożyć karę grzywny w wysokości odpowiadającej co najwyżej kwocie kary pieniężnej kategorii szóstej określonej w artykule 23 ust. 4 Kodeksu karnego (na dzień 1 stycznia 2018 r. 830.000 €) , w załączniku nr 4 sklasyfikowano w ramach kategorii I, kategorii II lub kategorii III.

4.2 Organ właściwy ds. danych osobowych ustala wysokość grzywny podstawowej za wykroczenia, dla których obowiązuje ustawowa kwota maksymalna grzywny w wysokość 830.000 € w ramach następujących dopuszczalnych wymiarów grzywien:

4.3 Wysokość grzywny podstawowej ustala się na poziomie minimalnej  kwoty grzywny, powiększonej o połowę wysokości grzywny za wykroczenie związane z określoną kategorią podlegającą karze.

Paragraf 2.5 Naruszenia przepisów podlegające karze pieniężnej w wysokości do 83.000 EUR.

Art. 5 Kategoryzacja naruszeń przepisów a stawki kar pieniężnych

5.1 Przepisy dotyczące wykroczenia, w przypadku którego organ właściwy ds. danych osobowych może nałożyć karę grzywny w wysokości odpowiadającej co najwyżej kwocie kary pieniężnej kategorii piątej określonej w artykule 23 ust. 4 Kodeksu karnego (na dzień 1 stycznia 2018 r. 83.000 €), w załączniku nr 4 sklasyfikowano w ramach kategorii I, kategorii II lub kategorii III.

5.2 Organ właściwy ds. danych osobowych ustala wysokość grzywny podstawowej za wykroczenia, dla których obowiązuje ustawowa kwota maksymalna grzywny w wysokość 83.000 € w ramach następujących dopuszczalnych wymiarów grzywien:

 Paragraf 2.6 Ustalanie wysokości kary grzywny.

Art. 6 Grzywna podstawowa i jej ewentualne podwyższenie lub obniżenie

Organ właściwy ds. danych osobowych określa wysokość grzywny przez podwyższenie podstawowej kwoty grzywny (do co najwyżej maksymalnego wymiaru grzywny dla kategorii grzywny właściwej dla danego wykroczenia) lub jej obniżenie (maksymalnie do minimalnego wymiaru grzywny dla kategorii grzywny właściwej dla danego wykroczenia). Podstawowa kwota grzywny jest podwyższana lub obniżana w zależności od stopnia, w jakim znajduje to uzasadnienie w oparciu o czynniki określone w artykule 7.

Art. 7 Istotne czynniki

Bez uszczerbku dla stosowania art. 3: 4 i 5:46 Ogólnej ustawy administracyjnej, organ ochrony danych bierze pod uwagę czynniki wymienione w lit. od a do k, o ile ma to zastosowanie w konkretnym przypadku:

1. charakter, powagę i czas trwania naruszenia, biorąc pod uwagę charakter, zakres lub cel przedmiotowego przetwarzania, a także liczbę dotkniętych osób, których dane dotyczą, oraz zakres poniesionej przez nie szkody;
2. umyślny lub nieumyślny charakter naruszenia;
3. środki podjęte przez administratora lub podmiot przetwarzający w celu ograniczenia szkód poniesionych przez osoby, których dane dotyczą;
4. zakres odpowiedzialności  administratora lub podmiotu przetwarzającego, przy uwzględnieniu środków technicznych i organizacyjnych wdrożonych zgodnie z art. 25 i 32 Ogólnego Rozporządzenia o Ochronie Danych;
5. wcześniejsze istotne naruszenia popełnione przez administratora lub podmiot przetwarzający;
6. stopień współpracy z organem nadzorczym w celu zaradzenia naruszeniu i ograniczenia jego ewentualnych negatywnych skutków;g)    kategorie danych osobowych, których dotyczy naruszenie;
7. kategorie danych osobowych, których dotyczy naruszenie;
8. sposób, w jaki organ nadzoru dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosił naruszenie;
9. zgodność z określonymi w art. 58, ust. 2 Ogólnego Rozporządzenia Ochrony Danych środkami, które zostały wcześniej podjęte względem administratora lub podmiotu przetwarzającego w odniesieniu  do tej samej sprawy;
10. stosowanie zatwierdzonych kodeksów postępowania, zgodnie z art. 40 Ogólnego Rozporządzenia Ochrony Danych lub z zatwierdzonymi mechanizmami certyfikacji zgodnymi z art. 42 Ogólnego Rozporządzenia Ochrony Danych;
11. wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.

Art. 8 Wykroczenie poza limit stawek kar pieniężnych oraz zwiększona kara maksymalna dla przedsiębiorstwa

8.1 W przypadku naruszenia przepisów, podlegającego pod kategorię niepozwalającą na nałożenie odpowiedniej do danego wykroczenia kary, Urząd Ochrony Danych Osobowych może zastosować karę w oparciu odpowiednio o kolejno wyższą bądź niższą kategorię.

8.2 W ramach uzupełnienia artykułu 7 lit. e przedmiotowych wytycznych i zastrzeżeniem postanowień artykułu 15.4 ust. 5 ustawy o telekomunikacji, organ właściwy ds. danych osobowych stosuje zasadę podwyższenia kwoty grzywny o 50% w przypadku ponownego dopuszczenia się wykroczenia, chyba że w okolicznościach danej sprawy należy to uznać za nieracjonalne. Organ właściwy ds. danych osobowych może przy tym przekroczyć właściwe ograniczenia dotyczące wymiaru grzywny, z uwzględnieniem ustawowej maksymalnej kwoty kary grzywny.

8.3 Jeżeli w przedmiocie określonego naruszenia, na przedsiębiorstwo może zostać nałożona kara grzywny administracyjnej w kwocie co najwyżej 10.000.000 €, a maksymalna kwota według właściwych przepisów dotyczących wymiaru kary grzywny w ocenie organu ds. ochrony danych nie pozwala na nałożenie kary we właściwej wysokości, to może on na podstawie artykułu 83 ust. 4 Ogólnego rozporządzenia ws. ochrony danych nałożyć na nie karę w wyższej kwocie, do co najwyżej 10.000.000 € lub 2% całkowitej wysokości obrotów światowych w skali roku w roku księgowym poprzedzającym wydanie decyzji w przedmiocie nałożenia kary grzywny administracyjnej, jeżeli kwota ta jest wyższa.   Organ właściwy ds. danych osobowych dokonuje przy tym czynności z pominięciem ograniczeń wymiaru kary grzywny określonych w artykule 2.3.

8.4 Jeżeli w przedmiocie określonego naruszenia, na przedsiębiorstwo może zostać nałożona kara grzywny administracyjnej w kwocie co najwyżej 20.000.000 €, a maksymalna kwota według właściwych przepisów dotyczących wymiaru kary grzywny w ocenie organu ds. ochrony danych nie pozwala na nałożenie kary we właściwej wysokości, to może on na podstawie artykułu 83 ust. 5 i 6 Ogólnego rozporządzenia ws. ochrony danych nałożyć na nie karę w wyższej kwocie, do co najwyżej 20.000.000 € lub 4% całkowitej wysokości obrotów światowych w skali roku w roku księgowym poprzedzającym wydanie decyzji w przedmiocie nałożenia kary grzywny administracyjnej, jeżeli kwota ta jest wyższa. Organ właściwy ds. danych osobowych dokonuje przy tym czynności z pominięciem ograniczeń wymiaru kary grzywny określonych w artykule 2.3.

Paragraf 2.7 Kondycja finansowa.

Art. 9 Kondycja finansowa

Wymierzając administracyjną karę pieniężną, Urząd Ochrony Danych Osobowych bierze pod uwagę kondycję finansową podmiotu. W przypadku ograniczonej bądź niezadowalającej zdolności finansowej osoby dopuszczającej się naruszenia, Urząd Ochrony Danych Osobowych może zmniejszyć karę pieniężną, jeżeli, po zastosowaniu art. 8.1 niniejszego rozporządzenia, uzna nałożenie kary w wysokości mieszczącej się w limicie niższej kategorii za nieproporcjonalnie wysoką.

Paragraf 2.8 Naruszenie kilku przepisów.

Art. 10 Kary za naruszenia kilku przepisów

W przypadku naruszenia kilku przepisów w ramach tych samych lub powiązanych operacji przetwarzania całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie.

Rodział 3
Przepisy przejściowe i końcowe

Art. 11 Kary za naruszenia kilku przepisów

W przypadku naruszeń przepisów, w odniesieniu do których Urząd Ochrony Danych Osobowych stwierdza, iż zostały popełnione przed obowiązywaniem Ogólnego Rozporządzenia o Ochronie Danych oraz przed wejściem w życie Ustawy - Przepisy wprowadzające ustawę o ochronie danych osobowych dnia 25 maja 2018, zastosowanie ma  obowiązujące wcześniejsze Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2016.

Art. 12 Kary za naruszenia kilku przepisów

Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2016 zostaje uchylone.

Art. 13 Wejście w życie

Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2016 zostaje uchylone.

Art. 14 Tytuł

Tytuł niniejszego rozporządzenia otrzymuje brzmienie: Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2019.

Art. 14 Niniejsze rozporządzenie wraz z notami objaśniającymi zostanie opublikowane w Dzienniku Urzędowym.

Tytuł niniejszego rozporządzenia otrzymuje brzmienie: Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2019.

Haga, 19 luty 2019

Urząd Ochrony

Danych Osobowych

A. Wolfsen

Prezes

Załącznik 1 do art. 2
Rozporządzenia Urzędu Ochrony Danych Osobowych
ws. Administracyjnych Kar Pieniężnych 2019

Naruszenia przepisów podlegające karze pieniężnej w wysokości do 10.000.000 EU bądź, w przypadku przedsiębiorstw, 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

Załącznik 2 do art. 2
Rozporządzenia Urzędu Ochrony Danych Osobowych
ws. Administracyjnych Kar Pieniężnych 2019

Naruszenia przepisów podlegające karze pieniężnej w wysokości do 20.000.000 EUR bądź, w przypadku przedsiębiorstw, 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

Załącznik 3 do art. 2
Rozporządzenia Urzędu Ochrony Danych Osobowych
ws. Administracyjnych Kar Pieniężnych 2019

Naruszenia przepisów podlegające karze pieniężnej w wysokości do 900.000 EUR

Załącznik 4 do art. 2
Rozporządzenia Urzędu Ochrony Danych Osobowych
ws. Administracyjnych Kar Pieniężnych 2019

Naruszenia przepisów podlegające karze pieniężnej w wysokości do 830.000 EUR.

Załącznik 5 do art. 2
Rozporządzenia Urzędu Ochrony Danych Osobowych
ws. Administracyjnych Kar Pieniężnych 2019

Naruszenia przepisów podlegające karze pieniężnej w wysokości do 83.000 EUR

Noty objaśniające do Rozporządzenia

Ogólne uwagi

Urząd Ochrony Danych Osobowych jest niezależnym organem nadzorczym, mającym za zadanie sprawować nadzór prawny nad przetwarzaniem danych osobowych. Zadania oraz uprawnienia Urzędu wynikają w głównej mierze bezpośrednio z Ogólnego Rozporządzenia o Ochronie Danych (zwanego dalej: RODO) , a zostały dalej doprecyzowane  w Ustawie - Przepisy wprowadzające ustawę o ochronie danych osobowych, (zwanej dalej: Przepisy wprowadzające RODO).

Uprawnienia Urzędu do nakładania kar pieniężnych

Na mocy uchylonej 25 maja 2018 roku Ustawy o ochronie danych osobowych (zwanej dalej Wbp) Urząd Ochrony Danych Osobowych uprawniony był do nakładania administracyjnych kar pieniężnych w przypadku naruszenia przepisów tej ustawy. W celu stosowania tego uprawnienia, Urząd Ochrony Danych Osobowych ustanowił wytyczne, Rozporządzenie Urzędu Ochrony Danych Osobowych ws. Administracyjnych Kar Pieniężnych 2016.

W związku z ostatnim rozszerzeniem kompetencji Urzędu do nakładania kar pieniężnych na podstawie Wbp powstał system egzekwowania prawa, mający zastosowanie od dnia 25 maja 2018 RODO, który zastąpił Wbp. RODO zapewnia krajowym organom nadzorczym szerokie uprawnienia ws. nakładania kar, wynikających z rozporządzenia. Na podstawie art. 14, ust. 3 tej Ustawy uprawnienia te przydzielone zostały Urzędowi Ochrony Danych Osobowych. Na mocy artykułu 18 Ustawy Urząd może również nałożyć karę pieniężną na instytucje rządowe bądź inne organy władzy publicznej z tytułu naruszenia RODO.

3 października 2017 ówczesna Grupa Robocza ds. Ochrony Danych przyjęła Artykuł 29 „Wytyczne w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia (UE) nr 2016/679”.  Wytyczne te zostały 25 maja 2018 zatwierdzone przez Europejską Radę Ochrony Danych (European Data Protection Board; zwaną dalej: EROD). W dokumencie tym ustanowiono przepisy i zasady regulujące stosowanie uprawnień do nakładania kar pieniężnych na podstawie RODO.

W związku z tym, że EROD nie ustanowiła jeszcze wspólnych zasad obliczania kar pieniężnych, Urząd Ochrony Danych Osobowych skłania się ku temu, by ustalić regulacje w zakresie wdrożenia uprawnień do nakładania kar na podstawie RODO i Przepisów wprowadzających RODO. Regulacje te odnoszą się do określania wysokości kar pieniężnych, w imię zasad równości i pewności prawa. EROD ma na celu wypracowanie wspólnych zasad dotyczących obliczania kar pieniężnych z tytułu naruszeń RODO. Ustanawiane przez Urząd Ochrony Danych Osobowych regulacje mają zatem w tym zakresie co do zasady charakter tymczasowy. W związku z powyższym Urząd, dostosowując swoją politykę do naruszeń RODO, podjął decyzję o zachowaniu struktury przedstawionej w niniejszym dokumencie, jaką jest kategoryzacja naruszeń przepisów a stawki kar pieniężnych. Oprócz kompetencji do nakładania kar pieniężnych wynikających z RODO oraz Przepisów Wprowadzających RODO, Urząd Ochrony Danych Osobowych na podstawie art. 15.4, ust. 4 Ustawy Prawo Telekomunikacyjne (zwanej dalej Tw)  jest uprawniony do nałożenia kary pieniężnej za naruszenie przepisów, o których mowa w art. 15.1, ust. 2 tejże ustawy (obowiązek zgłaszania naruszeń danych w art. 11.3a Tw), oraz przepisów art. 18.15a Tw, art. 19, ust. 2 Rozporządzenia eIDAS i art. 5:20 Ogólnej Ustawy Administracyjnej (zwanej dalej Awb), nadzorując przestrzeganie przepisów Tw.

Ponadto Urząd ma prawo, na podstawie art. 35c, ust. 1 Ustawy o Rejestrach Policyjnych (zwanej dalej Wpg) oraz art. 27, ust. 4, art. 39r, ust. 3, art. 51, ust. 3, 51d, ust. 3 i art. 51h, ust. 3  Ustawy o Rejestrze Sądowym i Rejestrze Karnym (zwanej dalej Wjsg) nałożyć karę pieniężną za naruszenia przepisów wynikających z powyższych ustaw.

Przepisy wymienionych powyżej ustaw, których naruszenie grozi karą grzywny, zostały sklasyfikowane wg maksymalnej wysokości kary, są też wymienione i opisane w załącznikach 1-5 w niniejszym rozporządzeniu. 

Należy przy tym zaznaczyć, że nowelizacja Wpg i Wjsg wdrażająca europejską dyrektywę o ochronie danych do celów wykrywania i ścigania czynów zabronionych zawiera pewne nieprawidłowe odniesienia.

Dotyczy to odniesień do artykułów ustaw Wpg oraz Wjsg, których nieprzestrzeganie przez administratora może skutkować nałożeniem kary administracyjnej. Zostało to wyraźnie wskazane przez rząd w odpowiedzi skierowanej do Pierwszej Izby  Zapewniono, że wszystkie nieprawidłowości zostaną skorygowane możliwie jak najszybciej w oddzielnym wniosku legislacyjnym.

Ustalanie wysokości administracyjnych kar pieniężnych

Ustalając wysokość kary Urząd Ochrony Danych Osobowych musi  zastosować się do m.in. ustawowo maksymalnej wysokości kary pieniężnej, obowiązujących przepisów (rozdział 5) Awb oraz ogólnych zasad dobrej administracji.

Zgodnie z Rozporządzeniem ws. Administracyjnych Kar Pieniężnych 2016  Urząd Ochrony Danych Osobowych z w pierwszej kolejności umożliwia zrozumienie czynników określających wysokość kary pieniężnej. Z drugiej strony przepisy te zapewniają Urzędowi odpowiednią elastyczność, pozwalającą na dostosowanie odpowiednich rozwiązań w indywidualnych przypadkach.

Zgodnie z art. 4:84 Awb Urząd Ochrony Danych Osobowych może odstąpić od przepisów dotyczących ustalania wysokości kar pieniężnych w przypadku sytuacji o charakterze szczególnym, które nie zostały uwzględnione w rozporządzeniu (możliwość odstąpienia od nałożenia administracyjnej kary pieniężnej).

Struktura Rozporządzenia ws. Administracyjnych Kar Pieniężnych

W celu ogólnego objaśnienia struktury kategoryzacji naruszeń przepisów a stawek kar pieniężnych Urząd Ochrony Danych Osobowych odsyła w pierwszej kolejności do not objaśniających przy Rozporządzeniu ws. Administracyjnych Kar Pieniężnych 2016 (Dziennik Urzędowy 2016, 2043).Ustalając kategoryzację, Urząd Ochrony Danych Osobowych postanowił przyjąć podział naruszeń przepisów na 3 kategorie, powiązane z odpowiednio wysokimi administracyjnymi  karami pieniężnymi.

Wyjątek od powyższego stanowią przepisy dotyczące naruszenia, za które Urząd Ochrony Danych Osobowych ma prawo nałożyć administracyjną karę pieniężną w wysokości do 20.000.000 EUR bądź, w przypadku przedsiębiorstw, 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Wykroczenia, w przypadku których kara ta ma zastosowanie, zostały podzielone w załączniku 2 na 4 kategorie.

Ustalając klasyfikację przepisów w kategoriach kar, Urząd o Ochronie Danych Osobowych ocenił wagę naruszonej normy. Dotyczy to zarówno wartości przepisów, jak i ich miejsca w hierarchii w zakresie  ustawodawstwa i rozporządzeń w ramach prawa ochrony danych, z uwzględnieniem realizowanych przez nie celów i interesów publicznych, których przepisy mają za zadanie chronić.

Każdej kategorii odpowiadają stawki kar pieniężnych, które Urząd Ochrony Danych Osobowych uznał za odpowiednie i konieczne. Oznacza to, że wysokość kary musi być proporcjonalna i wystarczająco odstraszająca zarówno dla sprawcy (prewencja szczególna), jak i dla potencjalnych sprawców (prewencja ogólna). Urząd Ochrony Danych w ramach każdej kategorii stawek ustala kwotę podstawową grzywny, będącą kwotą wyjściową do obliczania odpowiednich kar pieniężnych. Urząd Ochrony Danych Osobowych ustala kwotę podstawową grzywny na poziomie 50% stawki odpowiadającej kategorii, przypisanej do odpowiedniego naruszenia.

Nakładając karę pieniężna, Urząd Ochrony Danych Osobowych uwzględnia czynniki wymienione w art.7. Czynniki te oparte są na art. 83 , ust. 2 RODO. Oprócz czynników określonych w art. 7, lit. a- j, przepisy z art. 7 lit. k przewidują możliwość uwzględnienia innych, mających zastosowanie do okoliczności sprawy, czynników. Mogą one m.in., choć nie wyłącznie, dotyczyć zysków finansowych. Wysokość nakładanej kary jest w dalszej kolejności dostosowywana na podstawie stosownych okoliczności łagodzących bądź obciążających w ramach stawek odpowiadających danej kategorii. Innymi słowy uwzględniana jest waga danego naruszenia oraz stopień, w jakim naruszenie można przypisać sprawcy. Urząd Ochrony Danych Osobowych może przy tym, w stosownych przypadkach oraz zależnie od stopnia, w jakim czynniki określone w art. 7 mają swoje uzasadnienie, odpowiednio zmniejszyć bądź zwiększyć karę, dopasowując ją do kolejno wyższej lub niższej kategorii (art. 8, ust. 1). Rozpatrywane może być również wykroczenie poza ustalone limity w przypadku, gdy wysokość kary, uwzględniając okoliczności konkretnego przypadku, nie zadziała wystarczająco prewencyjnie bądź jest nieproporcjonalnie wysoka. Ponadto podwyższenie nakładanej kary w przypadku recydywy może także skutkować wykraczaniem poza ustalone limity w stosownych przypadkach.

Stawki odpowiadające kategoriom naruszeń ustaw Tw, Wpg oraz Wjsg bazują w najwyższej kategorii na ustawowo maksymalnej karze pieniężnej.  W odniesieniu do stawek przypisanych odpowiednim kategoriom naruszeń zgodnie z RODO postanowiono  podzielić te naruszenia na 4 kategorie, przy czym stawka maksymalna przy najwyższej kategorii wynosi 1.000.000 EUR. Klasyfikacja ta uznana jest przez Urząd Ochrony Danych Osobowych za odpowiednią z punktu widzenia prewencji. Urząd bierze w szczególności pod uwagę fakt, iż kwota podstawowa kary w kategorii 4 (725.000 EUR) dotyczy sankcji, która - niezależnie od okoliczności szczególnych przypadków - jest odpowiednia, zważywszy na wagę naruszonej normy. Jeśli naruszenie zostało popełnione przez przedsiębiorstwo, a najwyższa kwota w odpowiedniej kategorii stawek kar pieniężnych nie pozwala w tym konkretnym przypadku w ocenie Urzędu na odpowiednią karę - przy czym można wziąć pod uwagę wagę firmy, wyrażoną w rocznym obrocie - wówczas art. 8, ust. 3 i 4 niniejszego rozporządzenia stanowi, że Urząd Ochrony Danych Osobowych może wykroczyć poza limit określonych w art. 2, ust. 3, kategorii stawek i nałożyć karę równą ustawowo maksymalnej karze zgodnie z RODO,  art. 83, ust. 4, 5, 6.

Zastosowanie zasady proporcjonalności nakłada na Urząd Ochrony Danych Osobowych obowiązek uwzględniania sytuacji finansowej sprawcy przy ustalaniu wysokości kary. W przypadku ustalenia przez Urząd ograniczonej bądź niezadowalającej zdolności finansowej osoby, która dopuściła się naruszenia, może on zmniejszyć karę pieniężną w oparciu o art. 9. W tym kontekście Urząd odwołuje się również do art. 2a Ustawy - Przepisów Wprowadzających RODO, który nakłada wymóg uwzględniania potrzeb małych, średnich i mikroprzedsiębiorstw.

W celu przybliżenia najistotniejszych elementów powyższego rozporządzenia, polecamy zapoznanie się z artykułem pt. Cennik kar, czyli ile dokładnie zapłacimy za naruszenie zasad ochrony danych osobowych.