Prezes UODO nałożył na warszawską spółkę Costalea karę 29 112 zł za niewykonanie wcześniejszej decyzji dotyczącej obowiązku informacyjnego wobec osoby skarżącej. Urząd opisał sprawę 5 października 2026 roku i udostępnił decyzję DKE.561.3.2026. Według organu kolejne wezwania pozostawały bez odpowiedzi. Kara jest odrębną konsekwencją, a jej zapłata nie ma zastąpić przekazania wymaganych informacji.

Sprawa zaczęła się od nakazu informacyjnego

Zgodnie z relacją UODO w 2025 roku organ nakazał administratorowi spełnienie obowiązku informacyjnego wobec konkretnej osoby. Chodzi o wykonanie decyzji w indywidualnej sprawie. Komunikat nie opisuje tego jako kary za masowy wyciek danych, więc nie przypisujemy spółce takiego zdarzenia.

Urząd wysłał decyzję na adres siedziby ujawniony w Krajowym Rejestrze Sądowym. Korespondencja wróciła po dwukrotnej awizacji. Następnie organ próbował ustalić, czy obowiązek został wykonany, wzywając administratora do przedstawienia wyjaśnień i dowodów. W opisie UODO te próby także nie przyniosły odpowiedzi.

Osoba skarżąca przekazała urzędowi, że nie otrzymała wymaganych informacji. Organ uznał, że jego decyzji nie wykonano, i skierował upomnienie związane z możliwością egzekucji administracyjnej. To kolejny etap wskazanej chronologii. Nie należy przedstawiać całego ciągu zdarzeń jako pojedynczego nieodebranego listu.

Co oznacza niewykonanie decyzji według UODO?

Urząd ocenia zachowanie administratora jako świadome i celowe uchylanie się od nałożonego obowiązku. Jest to ocena organu zawarta w jego argumentacji. Artykuł nie przekształca jej w ustalenie sądu karnego ani nie przypisuje spółce odpowiedzialności za przestępstwo. Mówimy o sankcji administracyjnej i wykonaniu nakazu nadzorczego.

Rozróżnienie ma znaczenie dla osoby oczekującej odpowiedzi. Jej interes nie kończy się na ukaraniu administratora. Nadal potrzebuje informacji, których dotyczyła decyzja. Sankcja może skłaniać do zmiany zachowania, ale sama nie dostarcza dokumentu ani nie zastępuje odpowiedzi skierowanej do skarżącej.

Z perspektywy firmy ważne są także organizacja odbioru korespondencji i przekazanie jej osobom odpowiedzialnym. Nie wyprowadzamy z tej sprawy wniosku o każdej nieodebranej przesyłce. Konkretny skutek zależy od zasad doręczenia i przebiegu postępowania. Materiał pokazuje jednak, że ignorowanie kolejnych czynności organu nie zamyka sprawy.

Kara pieniężna i egzekucja mają różne zadania

UODO wskazuje na możliwość stosowania środków egzekucyjnych oraz na odrębną podstawę administracyjnej kary pieniężnej w RODO. W opisywanej sprawie organ wybrał także sankcję finansową. Wysokość miał ustalić z uwzględnieniem wyników finansowych administratora i powagi naruszenia.

Przepisy wymagają, aby kary były skuteczne, proporcjonalne i odstraszające. Nie oznacza to identycznej kwoty w każdej sprawie. Ocena obejmuje konkretne okoliczności, między innymi charakter naruszenia i współpracę z organem. Podana kwota 29 112 zł dotyczy właśnie tego rozstrzygnięcia, a nie stałego cennika niewykonania decyzji.

Według urzędu również wyegzekwowanie kary nie zwolni Costalei z wcześniejszego obowiązku. W praktyce trzeba więc oddzielać dwie informacje: czy sankcję zapłacono oraz czy wymagane działanie wykonano. Potwierdzenie pierwszej nie jest dowodem drugiej. Październikowy komunikat nie przedstawia późniejszego bilansu obu czynności.

W komunikacie pojawia się błędna waluta limitu

W opisie ogólnego limitu sankcji komunikat UODO podaje 20 mln zł. Artykuł 83 ust. 6 RODO wskazuje natomiast 20 mln euro, a dla przedsiębiorstw także 4 proc. całkowitego rocznego światowego obrotu z poprzedniego roku, przy zastosowaniu kwoty wyższej. To istotna różnica jednostki, którą można sprawdzić w samym rozporządzeniu.

Nie przenosimy błędu komunikatu do opisu przepisów. Jednocześnie pomyłka w ogólnej informacji nie daje podstaw do stwierdzenia, że błędna jest konkretna kara 29 112 zł. Ocena samej decyzji wymagałaby analizy jej podstaw i wyliczenia. Rzeczowe sprostowanie waluty nie jest automatycznym zakwestionowaniem całego postępowania.

Maksymalny limit nie jest też kwotą rzeczywiście nałożoną na spółkę. Zestawienie wielomilionowego pułapu i indywidualnej sankcji może pokazać różnicę skali, lecz nie pozwala bez dodatkowych danych ocenić surowości kary. Ważne są okoliczności, które organ wziął pod uwagę, oraz możliwość kontroli jego rozstrzygnięcia.

Czego dokumenty nie potwierdzają?

Stan wiedzy na 11 października 2026 roku obejmuje komunikat i udostępnioną decyzję UODO. Decyzja ma oznaczenie nieprawomocnej. Nie znaleźliśmy późniejszego potwierdzenia zapłaty, wykonania obowiązku ani zakończonej kontroli sądowej. Dlatego nie przedstawiamy sprawy jako prawomocnie rozstrzygniętej przez sąd i zamkniętej.

Materiały organu potwierdzają fakt nałożenia sankcji i jego uzasadnienie, ale nie zawierają niezależnej relacji spółki. Przy ewentualnej aktualizacji trzeba sprawdzić jej stanowisko, dalszy bieg zaskarżenia i rzeczywiste wykonanie decyzji. Obecny tekst wyjaśnia znaczenie rozstrzygnięcia oraz koryguje walutę limitu na podstawie źródła prawa.

Opublikowana decyzja jest datowana na 18 sierpnia 2026 roku i oznaczona w bazie jako nieprawomocna. Wskazuje wcześniejszy nakaz z 25 czerwca 2025 roku. Opisuje także telefoniczny kontakt pracownika spółki 29 października 2025 roku, po którym urząd przesłał kopię decyzji na adres e-mail prezesa zarządu. Dlatego skrót o milczeniu nie oznacza braku jakiegokolwiek kontaktu: chodzi o niewykazanie wykonania nakazu i brak odpowiedzi na pisma. Październikowy komunikat dotyczy więc decyzji wydanej wcześniej, a nie sankcji nałożonej dopiero w dniu publikacji wiadomości.

Źródła

Stan wiedzy: 11 października 2026 roku. Materiały sprawdzono przed zaplanowaniem publikacji.

Źródła obrazów

Tablice Urzędu Ochrony Danych Osobowych przy ulicy Moniuszki 1A w Warszawie. Autor: Adamklimowski. Strona pliku w Wikimedia Commons. Licencja: Creative Commons CC0 1.0 Universal. Zmniejszono rozdzielczość; bez kadrowania i retuszu.

Dołącz do dyskusji

Dodaj komentarz

Adres e-mail nie będzie widoczny publicznie. Komentarze pojawiają się automatycznie i są sprawdzane przez filtr antyspamowy.