III OSK 533/24

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Artur Kuś Sędziowie: Sędzia NSA Rafał Stasikowski Sędzia del. WSA Maciej Kobak (sprawozdawca) Protokolant: starszy asystent sędziego Edyta Kuczkowska po rozpoznaniu w dniu 8 września 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Rzecznika Finansowego od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 października 2023 r. sygn. akt II SA/Wa 502/23 w sprawie ze skargi Rzecznika Finansowego na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 16 stycznia 2023 r. nr DKN.5131.41.2022 w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od Rzecznika Finansowego na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 400 (słownie: czterysta) złotych tytułem zwrotu kosztów postępowania kasacyjnego. Wyrokiem z 5 maja 2023 r. (II SA/Wa 502/23) Wojewódzki Sąd Administracyjny w Warszawie, w oparciu art. 151 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r., poz. 259 ze zm.; zwanej dalej: "p.p.s.a.") oddalił skargę Rzecznika Finansowego ("skarżący"; "administrator"; "Rzecznik") na decyzję Prezesa Urzędu Ochrony Danych Osobowych ("PUODO"; "Prezes"; "organ"; "organ nadzorczy") z 16 stycznia 2023 r. w przedmiocie przetwarzania danych osobowych Podstawę wydanego rozstrzygnięcia stanowiły następujące okoliczności sprawy. 18 lutego 2022 r. skarżący dokonał organowi zgłoszenia naruszenia ochrony danych osobowych, do którego doszło dnia 14 lutego 2022 r. (zgłoszenia uzupełniającego dokonano 30 kwietnia 2022 r.). Do naruszenia ochrony danych osobowych doszło na skutek kradzieży prywatnego komputera byłego pracownika zatrudnionego w Biurze Rzecznika Finansowego. Pracownik ten po zakończeniu zatrudnienia - bez wiedzy administratora - przechowywał na prywatnym komputerze kopie dokumentów, informacje i dane osobowe, do których miał dostęp w związku ze świadczoną pracą w okresie zatrudnienia w Biurze Rzecznika Finansowego. Z informacji wskazanych w zgłoszeniu naruszenia ochrony danych osobowych wynika, że "(...) wedle przekazanych przez byłego pracownika informacji przedmiotowe kopie usunięte zostały z jego komputera w 2021 r., z zastrzeżeniem, iż były pracownik nie był pewien, czy usunięte pliki usunął również z folderu tj. czy usunął je trwale (...)". 16 lutego 2022 r. były pracownik poinformował administratora o fakcie przechowywania kopii dokumentów i zawartych w nich danych oraz, że ww. dokumenty, informacje i dane zostały przez niego utracone 14 lutego 2022 r. na skutek kradzieży komputera, na którym były przechowywane. Administrator wskazał, że fakt kradzieży został przez byłego pracownika zgłoszony Policji. Organ ustalił, iż naruszenie ochrony danych osobowych dotyczyło 1334 osób. W konsekwencji ww. naruszenia doszło do utraty poufności danych osobowych tych osób. Administrator wskazał, że kategorie danych osobowych, które zostały naruszone to: nazwiska i imiona, imiona rodziców, data urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, numer PESEL, nazwa użytkownika i/lub hasło, dane dotyczące zarobków i/lub posiadanego majątku, nazwisko rodowe matki, seria i numer dowodu osobistego, numer telefonu, wizerunek, inne (nr umowy np. kredytu, rodzaj umowy, rodzaj kredytu, nr klienta, nr karty, kwoty roszczeń, kwoty kredytów, nr polisy, nr rejestracyjne pojazdów, nr VIN, nr prawa jazdy, sygnatura sprawy u Rzecznika Finansowego, informacje o prowadzonym postępowaniu, miejsce urodzenia, niewymienione wcześniej dane zawarte na np. kopii dowodu osobistego (m.in. nazwisko rodowe, wzrost, kolor oczu), stan cywilny, płeć, uprawnienia do prowadzenia pojazdów). W związku ze zgłoszonym naruszeniem ochrony danych osobowych, pismem z 4 maja 2022 r., organ nadzorczy zwrócił się do administratora o przekazanie: - kserokopii zanonimizowanego zawiadomienia skierowanego do osób objętych naruszeniem wraz ze wskazaniem daty zawiadomienia tych osób, - kserokopii zaktualizowanej Polityki ochrony danych osobowych, - kserokopii dodatkowych procedur bezpieczeństwa informatycznego, - potwierdzenia zawiadomienia organów ścigania o podejrzeniu popełnienia przestępstwa. Ponadto, ww. pismem PUODO zwrócił się do Rzecznika o wskazanie: - czy administrator ustalił okoliczności, w jakich doszło do naruszenia ochrony danych osobowych (np. w związku z wykonywaniem pracy zdalnej z wykorzystaniem komputera prywatnego, skopiowania tych danych, itp.), - czy administrator wprowadził środki techniczne uniemożliwiające kopiowanie danych na prywatny sprzęt pracownika oraz czy prowadził monitoring w tym zakresie (w jaki sposób), - czy administrator przeprowadzał szkolenia z zakresu ochrony danych osobowych, które swym zakresem obejmowały zagadnienia będące przedmiotem zgłoszonego naruszenia ochrony danych osobowych, - czy administrator jest w posiadaniu kopii danych osobowych przetwarzanych przez pracownika odpowiedzialnego za ww. naruszenie danych osobowych. W odpowiedzi na ww. wezwanie organu nadzorczego Rzecznik pismem z 18 maja 2022 r. wskazał na okoliczności, w jakich doszło do naruszenia. Poza informacjami podanymi już w zgłoszeniu naruszenia ochrony danych osobowych (tj. wskazaniem, że do naruszenia doszło na skutek kradzieży prywatnego komputera byłego pracownika) Rzecznik wyjaśnił, że pracownik w okresie zatrudnienia - w związku z wykonywaną pracą - miał dostęp do elektronicznej skrzynki pocztowej, z której kopiował dokumenty. Jednocześnie administrator potwierdził, że ten pracownik wykonywał pracę w trybie zdalnym z wykorzystaniem prywatnego komputera. Rzecznik odniósł się także do kwestii środków technicznych uniemożliwiających kopiowanie danych na prywatny sprzęt pracownika, a także prowadzenia monitoringu w tym zakresie. Ponadto administrator wskazał, że dyski twarde komputerów przenośnych są szyfrowane BitLockerem, a hasło jest znane tylko administratorom. W opinii Rzecznika powyższe rozwiązania uniemożliwiają podpięcie dysku do innego urządzenia i kopiowania danych. Wskazano ponadto, że administrator poprzez raporty z programu ESET monitoruje próby logowania i podpinania zewnętrznych urządzeń. Administrator przekazał także wyjaśnienia dotyczące szkolenia z zakresu ochrony danych osobowych wskazując, że pracownik winny wystąpienia naruszenia przed przystąpieniem do pracy był zapoznawany z zasadami ochrony danych osobowych obowiązującymi w Biurze Rzecznika Finansowego, co oświadczył i potwierdził w zawartej umowie. W piśmie z 18 maja 2022 r. Rzecznik wskazał także, że jest w posiadaniu kopii danych osobowych przetwarzanych przez pracownika odpowiedzialnego za ww. naruszenie danych osobowych. Do złożonych wyjaśnień Rzecznik załączył wzory wysyłanych zawiadomień do osób, których dotyczyło naruszenie ochrony danych osobowych - administrator poinformował jednocześnie, że wysyłka tych zawiadomień jest w trakcie realizacji. Administrator załączył ponadto kopie następujących dokumentów: "Instrukcja postępowania w sytuacji naruszenia ochrony danych osobowych w Biurze Rzecznika Finansowego" i "Polityka Bezpieczeństwa Informacji w systemach informatycznych w Biurze Rzecznika Finansowego". W wyjaśnieniach z 18 maja 2022 r. Administrator wskazał jednocześnie, że "(...) Zarządzenie zmieniające Politykę Ochronę Danych jest w trakcie opiniowania i przygotowywania do podpisu przez Rzecznika Finansowego. Po wprowadzeniu zarządzenia, zostanie ono przesłane do Prezesa Urzędu Ochrony Danych Osobowych Kopię dokumentu "Zarządzenie Nr 11/2022 Rzecznika Finansowego z dnia 27 maja 2022 r. iv sprawie zmiany Zarządzenia w sprawie wprowadzenia Polityki ochrony danych w Biurze Rzecznika Finansowego oraz Instrukcji i innych dokumentów z nią związanych" Administrator przekazał Prezesowi UODO pismem z 2 czerwca 2022 r. Następnie pismem z 6 czerwca 2022 r. Prezes UODO zwrócił się do Rzecznika o przekazanie kserokopii analizy ryzyka funkcjonującej przed naruszeniem ochrony danych osobowych oraz wykonanej po jego wystąpieniu oraz kserokopii procedury Polityki Ochrony Danych w Biurze Rzecznika Finansowego obowiązującej przed naruszeniem ochrony danych osobowych. Ponadto organ nadzorczy zwrócił się o wyjaśnienie: - czy administrator przeprowadził szkolenia z zakresu ochrony danych osobowych przed wystąpieniem naruszenia (czy w tych szkoleniach uczestniczyła osoba odpowiedzialna za wystąpienie naruszenia), - czy administrator dopuszczał używanie prywatnego sprzętu komputerowego przez pracowników wykonujących pracę w trybie zdalnym, a jeżeli tak, to czy w tym zakresie zostały opracowane i wdrożone procedury bądź instrukcje regulujące przetwarzanie danych osobowych przez pracowników wykonujących pracę zdalną z użyciem prywatnego sprzętu komputerowego, - jakie inne środki techniczne i organizacyjne administrator stosował przed naruszeniem w celu wyeliminowania wystąpienia tego typu zdarzenia. W odpowiedzi na ww. wezwanie, pismem z 22 czerwca 2022 r. administrator szczegółowo opisał zasady korzystania z prywatnego sprzętu komputerowego wykorzystywanego w celach służbowych (obowiązujące przed wystąpieniem przedmiotowego naruszenia ochrony danych osobowych), które obowiązywały do końca 2020 r. kiedy to zaprzestano używania sprzętu prywatnego w celach służbowych. Udzielając odpowiedzi na pytanie, czy przed wystąpieniem przedmiotowego naruszenia Administrator przeprowadził szkolenia z zakresu ochrony danych osobowych Rzecznik wyjaśnił, że takie szkolenia były prowadzone. Co więcej, administrator wskazał, że dostępne były konsultacje z Inspektorem Ochrony Danych, a ponadto, że powołany został "(...) Zespół Ochrony Danych Osobowych oraz wyznaczono Koordynatora, który jest wsparciem merytorycznym i punktem kontaktowym dla całego Biura Rzecznika (...) ". Do wyjaśnień z 22 czerwca 2022 r. Rzecznik załączył między innymi następujące dokumenty: - arkusz analizy ryzyka po naruszeniu, - zarządzenie Nr 4/2018 Rzecznika Finansowego z 25 maja 2018 r. w sprawie wprowadzenia Polityki ochrony danych osobowych w Biurze Rzecznika Finansowego oraz instrukcji i innych dokumentów z nią związanych, - zarządzenie Nr 6/2018 Rzecznika Finansowego z 8 sierpnia 2016 r. w sprawie wprowadzenia Polityki Bezpieczeństwa Danych Osobowych oraz Instrukcji Zarządzania Systemem Informatycznym Służącym Do Przetwarzania Danych Osobowych, - oświadczenie pracownika o zapoznaniu się z regulaminem pracy, - upoważnienia do przetwarzania danych, - zarządzenie Rzecznika Finansowego nr 2/2015 z 18 listopada 2015 r. w sprawie ustalenia Regulaminu Pracy dla Pracowników Biura Rzecznika Finansowego, - umowa o wzajemnych obowiązkach pracodawcy i pracownika w związku wykonywaniem telepracy, - wytyczne dotyczące bezpieczeństwa i higieny pracy przy wykonywaniu telepracy, - porozumienie z 6 lutego 2020 r. zawarte między Rzecznikiem Finansowym, a Związkiem Zawodowym Pracowników Biura Rzecznika Finansowego w sprawie warunków stosowania telepracy w Biurze Rzecznika Finansowego. W związku ze złożonymi wyjaśnieniami, 31 sierpnia 2022 r. Prezes UODO wszczął postępowanie administracyjne w zakresie możliwości naruszenia przez Rzecznika, jako administratora danych, obowiązków wynikających z przepisów art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679, w związku z naruszeniem ochrony danych osobowych, zgłoszonym Prezesowi Urzędu Ochrony Danych Osobowych w dniu 18 lutego 2022 r. W odpowiedzi na wszczęcie postępowania administracyjnego, pismem z 3 listopada 2022 r. Rzecznik szczegółowo opisał zdarzenie związane z kradzieżą danych, zasady współpracy z pracownikiem który zgłosił utratę danych oraz procedury panujące u organu w zakresie ochrony danych osobowych. Prezes przywołując normę art. 34 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1871 ze zm.; dalej także: "u.o.d.o.") oraz przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119 z 4.05.2016, str. 1, Dz.Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz.Urz. UE L 74 z 4.03.2021, str. 35; dalej także: "RODO") wskazał, że jest właściwym organem nadzorczym i w ramach posiadanych kompetencji monitoruje oraz egzekwuje stosowanie przepisów RODO, a także prowadzi postępowania w sprawie ich naruszenia. Organ zwrócił uwagę, że w pierwszej kolejności istotnym jest określenie poziomu ryzyka, jakie wiąże się z przetwarzaniem danych osobowych uwzględniając przy tym kryteria wskazane w art. 32 ust. 1 RODO, a następnie należy ustalić, jakie środki techniczne i organizacyjne będą odpowiednie, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku. Prezes wyjaśnił, że z okoliczności sprawy wynika, że Rzecznik przed wystąpieniem naruszenia ochrony danych osobowych nie dokonał oceny ryzyka w zakresie możliwości naruszenia zasady poufności danych osobowych (art. 5 ust. 1 lit. f) RODO), wynikającego z zagrożeń związanych z pracą zdalną oraz wykorzystywaniem prywatnych komputerów przez pracowników Biura Rzecznika Finansowego, w tym zagrożeń dotyczących kradzieży takiego sprzętu. W konsekwencji administrator nie wykazał również przestrzegania w tym zakresie zasady rozliczalności (art. 5 ust. 2 RODO). Organ nadzorczy zaznaczył, że przeprowadzenie analizy ryzyka przed powierzeniem pracownikom świadczenia pracy poza organizacją Administratora, a następnie monitorowanie przyjętych procedur bezpieczeństwa zminimalizowałoby ryzyko wystąpienia przedmiotowego naruszenia i czyniłoby zadość obowiązkowi rozliczalności, który został nałożony na Administratora. W stanie faktycznym przedmiotowej sprawy, ryzyko dotyczyło zagrożenia polegającego na kradzieży sprzętu komputerowego wykorzystywanego przez pracownika do celów służbowych realizowanych w ramach pracy zdalnej z prywatnego mieszkania byłego pracownika zatrudnionego w Biurze Rzecznika Finansowego. W toku przeprowadzonego postępowania Administrator nie wykazał, aby komputer prywatny byłego pracownika był w odpowiedni sposób zabezpieczony przed potencjalnym nieuprawnionym dostępem do danych osobowych, które na nim się znajdowały. Rzecznik Finansowy wyjaśnił jedynie, że pracownicy świadczący pracę w ramach telepracy byli zobowiązani do zainstalowania określonych programów, tj. programu typu VPN służącego do połączenia z serwerem plików pracodawcy, certyfikatów zabezpieczeń połączenia VPN, programu szyfrującego i odszyfrowującego pliki w formatach zip, rar, 7z i innych, umowy o wzajemnych obowiązkach pracodawcy i pracownika w związku z wykonywaniem telepracy z 27 kwietnia 2020 r. (której kopia została załączona do akt postępowania administracyjnego) nie wynika, aby pracownik był zobowiązany do zabezpieczania komputera przed nieuprawnionym dostępem do niego i danych na nim zawartych np. poprzez zastosowanie szyfrowania dysku twardego. W ww. umowie zobowiązano pracownika jedynie, do tego, aby dostęp do sprzętu był zabezpieczony hasłem znanym wyłącznie jemu i cyklicznie zmienianym. W zakresie bezpieczeństwa przesyłanych danych z ww. umowy wynika, że " (...) Telepracownik w celu zapewnienia bezpieczeństwa przesyłania danych, powinien w szczególności nie korzystać z sieci Internet poprzez łączenie się za pośrednictwem sieci otwartych i publicznie dostępnych, posiadać włączone oprogramowanie antywirusowe [np. Windows Defender udostępniony razem z systemem Windows] oraz włączone aktualizacje systemu operacyjnego i programów wykorzystywanych do telepracy (...)". W świetle dokonanych ustaleń organ przyjął, że Rzecznik nie stosując środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzanych danych, rezultatem czego było naruszenie ochrony danych osobowych zgłoszone Prezesowi UODO 25 lutego 2021 r., naruszył art. 5 ust. 1 lit. f) RODO, odzwierciedlony w postaci obowiązków określonych w art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i art. 32 ust. 2. Konsekwencją zaś naruszenia art. 5 ust. 1 lit. f) RODO jest naruszenie zasady rozliczalności wyrażonej w art. 5 ust. 2 RODO. Prezes UODO uznał, że w ustalonych okolicznościach niniejszej sprawy wystarczającym środkiem jest udzielenie administratorowi upomnienia. Administrator po naruszeniu podjął szereg działań mających na celu ograniczenie ryzyka ponownego jego wystąpienia. Naruszenie dotyczyło jednorazowego zdarzenia, które wystąpiło w przeszłości, a zatem nie było ono systematycznym działaniem lub zaniechaniem, które stanowiłoby poważne zagrożenie dla praw lub wolności osób, których dane osobowe są przetwarzane przez Rzecznika, co uzasadniało udzielenie administratorowi upomnienia za stwierdzone naruszenie i co zapewni także, aby w przyszłości podobne zdarzenia nie miały miejsca. Decyzja Prezesa UODO stała się przedmiotem skargi do sądu administracyjnego, który powołanym na wstępie wyrokiem ją oddalił. WSA ocenił, że złożony środek zaskarżenia nie zasługuje na uwzględnienie, ponieważ wydana przez organ decyzja nie narusza prawa. Sąd za oczywiste uznał, że w rozpatrywanym przypadku administratorem danych osobowych był Rzecznik, a nie były pracownik, zaś przepisy RODO nakładają na takiego administratora obowiązki w zakresie przestrzegania zasad przetwarzania danych osobowych i obarczają go odpowiedzialnością za ich naruszenie. Zdaniem WSA, Prezes UODO prawidłowo stwierdził, że Rzecznik naruszył przepisy art. 5 ust. 1 lit. f), art. 5 ust. 2, art 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO. Z materiału dowodowego wynika zdaniem Sądu, że skarżący dopuścił się naruszenia zasad określonych w art. 5 ust. 1 RODO, starając się przerzucić odpowiedzialność za te naruszenia na byłego pracownika, pomijając swój udział w powstaniu naruszeń, polegający zarówno na niedopełnieniu swoich obowiązków pracodawcy w zakresie kontroli pracy pracownika, jak i niedopełnieniu obowiązków administratora danych osobowych, określonych w rozporządzeniu RODO. W ocenie Sądu brak przeprowadzenia analizy ryzyka o którym informował organ, przy uwzględnieniu wytycznych z art. 32 ust. 1 RODO determinował odpowiedzialność skarżącego za wskazane w decyzji z 16 stycznia 2023 r. naruszenia. Prezes PUODO prawidłowo przyjął, że stosownie do art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO to administrator danych, nie zaś pracownik lub osoba wykonująca zadania służbowe, jest zobowiązany do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z wymaganiami wskazanego rozporządzenia. Ponadto, pracownik nie może zastępować administratora danych w realizacji jego zadań wynikających z tych przepisów, nawet wówczas gdy do przetwarzania danych osobowych wykorzystywany jest sprzęt komputerowy będący własnością tego pracownika. Zarządzanie ryzykiem (przeprowadzenie analizy ryzyka i na tej podstawie wdrożenie odpowiednich zabezpieczeń) jest jednym z podstawowych elementów systemu ochrony danych osobowych, ma charakter ciągłego procesu. Winna więc następować okresowa weryfikacja zarówno adekwatności, jak i skuteczności zastosowanych zabezpieczeń, stosownie do wymogu przewidzianego w art. 32 ust. 1 lit. d) RODO. Administrator danych powinien zatem regularnie testować, mierzyć i oceniać skuteczność środków technicznych i organizacyjnych, mających zapewnić bezpieczeństwo przetwarzania. Jako słuszny uznał WSA wywód Prezesa UODO, iż administrator nie dokonując analizy ryzyka w gruncie rzeczy odpowiedzialność za jej przeprowadzanie w związku ze świadczeniem pracy zdalnej przy wykorzystaniu prywatnego sprzętu (i dobór adekwatnych środków bezpieczeństwa) przeniósł na pracownika. Prezes UODO w stanie faktycznym przedmiotowej sprawy prawidłowo ustalił, że ryzyko dotyczyło zagrożenia polegającego na kradzieży sprzętu komputerowego wykorzystywanego przez pracownika do celów służbowych realizowanych w ramach pracy zdalnej z prywatnego mieszkania byłego pracownika zatrudnionego w Biurze Rzecznika Finansowego. W toku przeprowadzonego postępowania Administrator nie wykazał, aby komputer prywatny byłego pracownika był w odpowiedni sposób zabezpieczony przed potencjalnym nieuprawnionym dostępem do danych osobowych, które na nim się znajdowały. Rzecznik wyjaśnił jedynie, że pracownicy świadczący pracę w ramach telepracy byli zobowiązani do zainstalowania określonych programów, tj. programu typu VPN służącego do połączenia z serwerem plików pracodawcy, certyfikatów zabezpieczeń połączenia VPN, programu szyfrującego i odszyfrowującego pliki w formatach zip, rar, 7z i innych. Z umowy o wzajemnych obowiązkach pracodawcy i pracownika w związku z wykonywaniem telepracy z 27 kwietnia 2020 r. (której kopia została załączona do akt postępowania administracyjnego) nie wynika, aby pracownik był zobowiązany do zabezpieczania komputera przed nieuprawnionym dostępem do niego i danych na nim zawartych np. poprzez zastosowanie szyfrowania dysku twardego. W ww. umowie zobowiązano pracownika jedynie, do tego, aby dostęp do sprzętu był zabezpieczony hasłem znanym wyłącznie jemu i cyklicznie zmienianym. W tym zatem zakresie podniesione zarzuty skargi ocenione zostały jako nieskuteczne, a działania Prezesa UODO prawidłowe. Niezasadnie skarżący podniósł także zarzuty dotyczące błędu w ustaleniach faktycznych do czego odniesiono się w uzasadnieniu wyroku. Reasumując, w ocenie WSA organ nie naruszył w sprawie przepisów prawa materialnego, ani przepisów postępowania, m.in. co do obowiązku właściwego wyjaśnienia sprawy i zgromadzenia pełnego materiału dowodowego w zakresie w jakim mogłoby mieć to istotny wpływ na jej wynik. Ponadto, Sąd nie spostrzegł z urzędu lub wobec argumentacji skargi wad w zaskarżonym akcie, które przemawiałyby za jego wyeliminowaniem z obrotu prawnego. W skardze kasacyjnej, zaskarżając wyrok WSA w całości, skarżący zarzucił: 1) w trybie art. 174 pkt 1 p.p.s.a. - naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy tj. art. 145 § 1 pkt 1 lit. a p.p.s.a. w zw. z art. 83 ust. 1 i z motywem 148 preambuły RODO poprzez uznanie przez Sąd, że organ prawidłowo zastosował w/w przepis i nałożył karę upomnienia na skarżącego, mimo że skarżący nie dopuścił się naruszenia przepisów o ochronie danych osobowych; 2) w trybie art. 174 pkt 2 p.p.s.a. - naruszenie przez Sąd pierwszej instancji przepisów postępowania, które mogły mieć istotny wpływ na wynik sprawy tj. art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 3 § 2 pkt 1, art. 133 § 1 p.p.s.a. oraz art. 7, art. 77 § 1, art. 107 § 3, art. 80 k.p.a., poprzez uznanie przez Sąd, że: a) organ podjął wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego, a w szczególności ustalił prawidłowo okoliczności przemawiające za tym, że były pracownik jest samodzielnym administratorem spełniającym kryteria określone w art. 4 ust 7 RODO lub wykazał, że radca prawny nie jest samodzielnym administratorem danych osobowych; b) organ prawidłowo ustalił stan faktyczny tzn. że brak zastosowania przez Rzecznika odpowiednich środków organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych w przypadku wykonywania telepracy przez pracowników, skutkował utratą na skutek kradzieży przez byłego pracownika BRF jego prywatnego komputera, w sytuacji gdy, zastosowane przez Rzecznika Finansowego środki bezpieczeństwa nijak nie zwiększyły ryzyka prywatnego kradzieży komputera byłego pracownika z jego prywatnego mieszkania, zwłaszcza, iż po wygaśnięciu stosunku pracy, pracodawca nie ma żadnej możliwości kontroli nad działaniami podejmowanymi przez byłego pracownika; c) organ prawidłowo ustalił, że na ukradzionym komputerze znajdowały się dokumenty zawierające dane osobowe, podczas gdy zebrany materiał dowodowy w sprawie nie pozwalał na poczynienie takiego stanowczego ustalenia; d) organ prawidłowo ustalił, że dokumenty, informacje i dane do których były pracownik miał dostęp w trakcie trwania zatrudnienia zostały przez byłego pracownika utracone w dniu 14 lutego 2022 r., podczas gdy udowodniona jest jedynie utrata komputera, na którym przedmiotowe dokumenty, informacje i dane wcale nie musiały się znajdować; e) organ prawidłowo ustalił, że doszło do utraty poufności danych 1334 osób, w sytuacji gdy w odniesieniu do takiej ilości osób istniało jedynie ryzyko utraty poufności, a nie ich utrata, albowiem była to łączna ilość osób, do których danych była pracownica miała dostęp w trakcie trwania całego okresu zatrudnienia; f) brak wskazania, że organ pominął okoliczność, iż telepracownicy zobowiązani byli do zainstalowania na komputerach, na których świadczyli prace programów szyfrujących, jak również zobowiązani byli do zabezpieczania komputerów hasłem, które należało cyklicznie zmieniać; g) organ prawidłowo ustalił, że administrator nie podjął działań zapewniających właściwy poziom ochrony danych, w sytuacji gdy telepracownik była radcą prawnym, skutkiem czego uzyskując wpis na listę radców prawnych dawała rękojmie znajomości przepisów prawa - w tym RODO, jak również zobowiązana była do zachowania tajemnicy zawodowej, wynikającej z art. 3 ustawy z 6 lipca 1982 r. o radcach prawnych oraz z art. 23 Kodeksu Etyki Radcy Prawnego, zgodnie z którym, radca prawny obowiązany jest zabezpieczyć przed niepowołanym ujawnieniem wszelkie informacje objęte tajemnicą zawodową, niezależnie od ich formy i sposobu utrwalenia. Dokumenty i nośniki zawierające informacje poufne należy przechowywać w sposób chroniący je przed zniszczeniem, zniekształceniem lub zaginięciem; dokumenty i nośniki przechowywane w formie elektronicznej powinny być objęte odpowiednią kontrolą dostępu oraz zabezpieczeniem systemu przed zakłóceniem działania, uzyskaniem nieuprawnionego dostępu lub utratą danych; radca prawny powinien kontrolować dostęp osób współpracujących do takich dokumentów i nośników; h) brak wskazania, że organ pominął okoliczność, iż telepracownik była radcą prawnym, a powierzone jej zadania stanowiły świadczenie pomocy prawnej, a tym samym zgodnie z art. 5c ust. 1 pkt. 2 ustawy z 6 lipca 1982 r. o radcach prawnych zobowiązana była do przechowywania akt przez okres 10 lat; 3) w trybie art. 174 pkt 2 p.p.s.a. - naruszenie przez Sąd pierwszej instancji przepisów postępowania, które mogły mieć istotny wpływ na wynik sprawy tj. art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 3 § 2 pkt 1, art. 133 § 1, art. 134 § 1 p.p.s.a. oraz art. 107 § 1 ust. 4 k.p.a., poprzez nie dostrzeżenie przez Sąd, że decyzja wydana przez organ nie zawiera wszystkich elementów obligatoryjnych wskazanych w art. 107 § 1 k.p.a., tj. nie zawiera podstawy prawnej na podstawie której organ stwierdzając naruszenie przez skarżącego przepisów, udzielił mu upomnienia. Powyższe naruszenia w/w przepisów, zdaniem skarżącego miały istotny wpływ na wynik sprawy, gdyż powinny, a nie doprowadziły do uchylenia zaskarżonej decyzji, stąd skarżący kasacyjnie wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania, zasądzenie kosztów postępowania wraz z kosztami zastępstwa prawnego, według norm przepisanych, a także rozpoznanie sprawy na rozprawie. Podniesione zarzuty zostały rozwinięte w treści uzasadnienia skargi kasacyjnej. W odpowiedzi na skargę, Prezes UODO wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie. Naczelny Sąd Administracyjny zważył, co następuje: Stosownie do treści art. 183 § 1 p.p.s.a., rozpoznanie sprawy przed Naczelnym Sądem Administracyjnym następuje w granicach złożonej skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli dokonywanej przez NSA, który w odróżnieniu od Sądu pierwszej instancji nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych w skardze kasacyjnej. Skarga kasacyjna nie zawiera usprawiedliwionych podstaw. Wobec oparcia skargi kasacyjnej na obu podstawach wymienionych w art. 174 p.p.s.a. w pierwszej kolejności należało odnieść się do zarzutów procesowych. Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty za podstawę zaskarżonego wyroku nie został skutecznie zakwestionowany, możliwa jest ocena zarzutów odnoszących się do prawa materialnego. Zarzuty naruszenia art. 145 § 1 pkt 1 lit. c w związku z art. 3 § 2 pkt 1, art. 133 § 1 i art. 134 § 1 p.p.s.a. oraz art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. nie mogły odnieść zamierzonego skutku. Artykuł 145 § 1 pkt 1 lit. c p.p.s.a. jest przepisem wynikowym. Jego naruszenie mogłoby zostać stwierdzone dopiero wówczas, gdyby autor skargi kasacyjnej wykazał, że Sąd pierwszej instancji nie dostrzegł takiej wady postępowania administracyjnego, która mogła mieć istotny wpływ na wynik sprawy. Tego rodzaju wady nie wykazano. Artykuł 133 § 1 p.p.s.a. nakazuje sądowi administracyjnemu orzekać na podstawie akt sprawy. Nie służy on natomiast do podważania oceny materiału dowodowego dokonanej przez organ i skontrolowanej przez Sąd. Z kolei art. 134 § 1 p.p.s.a. określa zakres rozpoznania sprawy przez wojewódzki sąd administracyjny i nie może stanowić samodzielnej podstawy kasacyjnej bez wskazania konkretnej, pominiętej przez ten Sąd normy lub kwestii prawnej. WSA wydał wyrok na podstawie akt administracyjnych, rozpoznał istotę sporu i odniósł się do twierdzeń skargi. To, że nie podzielił stanowiska Rzecznika Finansowego, nie oznacza naruszenia żadnego z wymienionych przepisów. Materiał dowodowy zgromadzony w postępowaniu administracyjnym był wystarczający do wydania decyzji. Składały się na niego przede wszystkim: dokonane przez samego administratora zgłoszenie naruszenia i jego uzupełnienie, wyjaśnienia składane w toku postępowania, informacja przekazana przez byłego pracownika, dokumenty regulujące telepracę i korzystanie z prywatnego sprzętu, polityki bezpieczeństwa, upoważnienia do przetwarzania danych, dokumentacja szkoleń oraz analiza ryzyka przedstawiona organowi. Prezes UODO wielokrotnie wzywał Rzecznika do uzupełnienia wyjaśnień i dokumentów. Ocena dowodów nie była dowolna. Organ wskazał, jakie fakty uznał za ustalone, na jakich dowodach się oparł i z jakich przyczyn wyjaśnienia administratora nie potwierdzały wdrożenia adekwatnego systemu zabezpieczeń przed zdarzeniem. Nie jest zasadny zarzut, że organ nie mógł uwzględnić, iż na skradzionym komputerze mogły znajdować się dane osobowe tylko dlatego, że nie wykonano badania tego urządzenia. Badanie takie było obiektywnie niemożliwe, skoro komputer został skradziony. Zawiadomienie o naruszeniu zostało złożone przez Rzecznika na podstawie informacji byłego pracownika, który przyznał, że kopiował dokumenty ze służbowej skrzynki pocztowej na prywatny komputer, następnie je usuwał, lecz nie miał pewności, czy opróżnił folder zawierający pliki usunięte. Administrator sam określił kategorie danych i maksymalny krąg osób objętych zdarzeniem, a następnie zawiadamiał te osoby o naruszeniu. W tych okolicznościach organ nie był obowiązany traktować formalnego zgłoszenia administratora jako pozbawionego wartości dowodowej tylko dlatego, że po utracie urządzenia nie można już było przeprowadzić jego oględzin. Co istotniejsze, spór o to, czy w chwili kradzieży na dysku nadal znajdowały się wszystkie dane dotyczące 1334 osób, nie miał rozstrzygającego znaczenia dla wyniku sprawy. Przedmiotem decyzji nie było wymierzenie sankcji za sam skutek w postaci udowodnionego zapoznania się osób trzecich z konkretnymi plikami. Prezes UODO stwierdził naruszenie obowiązków wynikających z art. 5 ust. 1 lit. f i ust. 2, art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO, polegające na niewdrożeniu oraz niewykazaniu wdrożenia odpowiednich środków technicznych i organizacyjnych dla przetwarzania danych w modelu telepracy z użyciem prywatnych komputerów. Obowiązki te powstały już na etapie dopuszczenia takiego sposobu przetwarzania. Nie zależały od tego, czy później ziścił się najdalej idący wariant ryzyka. Ewentualna niepewność co do liczby plików pozostałych na komputerze mogła wpływać na ocenę rozmiaru incydentu, ale nie usuwała stwierdzonych braków systemowych. Przechodząc do zarzutów prawa materialnego, zasadnicze znaczenie należy przypisać prawidłowemu określeniu administratora danych. Zgodnie z art. 4 pkt 7 RODO administratorem jest podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Jest to pojęcie funkcjonalne. O statusie administratora nie przesądza nazwa stanowiska, kwalifikacje zawodowe osoby mającej dostęp do danych ani własność urządzenia, lecz rzeczywista rola w ustalaniu celów i zasadniczych sposobów przetwarzania. Taki sposób rozumienia pojęcia administratora odpowiada Wytycznym Europejskiej Rady Ochrony Danych (EROD) 07/2020 dotyczącym pojęć administratora i podmiotu przetwarzającego w RODO, wersja 2.1, w szczególności pkt 17–19. EROD wskazuje, że co do zasady administratorem jest organizacja, nie zaś pracownik działający w jej strukturze. Osoby mające dostęp do danych w ramach organizacji są zwykle osobami działającymi z upoważnienia administratora w rozumieniu art. 29 RODO. Tylko wyjątkowo pracownik, który wykorzystuje dane dla własnych celów, wykraczając poza udzielone upoważnienie, może stać się administratorem takiego odrębnego przetwarzania. Również w literaturze trafnie zwraca się uwagę, że w przypadku radcy prawnego wykonującego zawód w ramach stosunku pracy administratorem danych przetwarzanych przy świadczeniu pomocy prawnej pozostaje zatrudniająca go jednostka organizacyjna, podczas gdy odmiennie może kształtować się status radcy prowadzącego własną kancelarię albo kancelarii działającej na podstawie samodzielnej umowy o obsługę prawną (zob. R. Stankiewicz, Radca prawny – administrator danych, "Radca Prawny" z 7 czerwca 2018 r.). W rozpoznawanej sprawie cele przetwarzania wynikały z ustawowych zadań Rzecznika Finansowego, zaś zasadnicze sposoby przetwarzania określał Rzecznik jako pracodawca i jednostka organizacyjna. To Rzecznik utworzył służbową skrzynkę pocztową, udzielił pracownikowi upoważnienia do przetwarzania danych, określił zasady telepracy, dopuścił używanie prywatnego komputera i nałożył obowiązek usunięcia danych po ustaniu zatrudnienia. Były pracownik uzyskiwał dostęp do danych wyłącznie w związku z wykonywaniem zadań na rzecz Rzecznika. Nie zawarł z Rzecznikiem niezależnej umowy o świadczenie obsługi prawnej jako kancelaria, nie pozyskiwał danych od własnych klientów i nie ustalał samodzielnie celów ich pierwotnego przetwarzania. Własność komputera nie zmieniała tego układu. Nie prowadzi do odmiennego wniosku zawodowa niezależność radcy prawnego, jego obowiązek zachowania tajemnicy ani gwarancje określone w ustawie o radcach prawnych i Kodeksie Etyki Radcy Prawnego. Gwarancje te wyznaczają standard wykonywania zawodu i chronią treść pomocy prawnej. Nie przenoszą jednak na pracownika zadań administratora w zakresie zaprojektowania, wdrożenia, monitorowania i wykazania odpowiednich środków bezpieczeństwa. Profesjonalne kwalifikacje pracownika mogą być jednym z elementów środowiska organizacyjnego, nie zastępują natomiast analizy ryzyka, kontroli technicznych ani rozliczalnego procesu zakończenia dostępu po ustaniu zatrudnienia. Obowiązki zawodowe pracownika i obowiązki administratora mogą istnieć równolegle; pierwsze z nich nie uchylają drugich. Nie można też wyprowadzić statusu odrębnego administratora z art. 5c ust. 1 pkt 2 lit. c ustawy o radcach prawnych. Przepis ten określa okres przechowywania danych osobowych przetwarzanych przez radców prawnych w ramach wykonywania zawodu. Nie zawiera jednak ustawowego wskazania administratora w rozumieniu art. 4 pkt 7 zdanie drugie RODO i nie rozstrzyga abstrahując od formy wykonywania zawodu, kto ustala cele i sposoby konkretnego przetwarzania. W przypadku radcy zatrudnionego w jednostce organizacyjnej obowiązek retencji może i powinien być realizowany w ramach kontrolowanego systemu tej jednostki. Nie stanowi on podstawy do przechowywania, po zakończeniu zatrudnienia, niezweryfikowanych kopii dokumentów na prywatnym komputerze, wbrew obowiązkowi ich usunięcia. Przywoływany w tym kontekście wyrok Naczelnego Sądu Administracyjnego z 17 czerwca 2026 r., III OSK 2175/24, nie przemawia za stanowiskiem skarżącego kasacyjnie. Orzeczenie to dotyczyło kancelarii działającej na podstawie odrębnej umowy o obsługę prawną, która jako samodzielna jednostka przetwarzała dane przekazane przez klienta w celu świadczenia pomocy prawnej. W niniejszej sprawie występował stosunek pracy i przetwarzanie w strukturze Rzecznika, na podstawie udzielonego przez niego upoważnienia. Odmienność stanów faktycznych ma zatem charakter zasadniczy. Nawet gdyby założyć, że były pracownik po ustaniu zatrudnienia wykorzystałby dane dla własnego celu i w zakresie takiego nowego, nieuprawnionego przetwarzania uzyskałby status odrębnego administratora, nie zwalniałoby to Rzecznika z obowiązków dotyczących wcześniejszego przetwarzania. Możliwe późniejsze przekroczenie upoważnienia przez pracownika nie usuwa obowiązku administratora, aby wcześniej zaprojektować środowisko pracy w sposób ograniczający możliwość niekontrolowanego kopiowania danych oraz zapewnić sprawdzalny proces odebrania dostępu i trwałego usunięcia lokalnych kopii. Nie zasługuje na uwzględnienie także argumentacja dotycząca wykładni art. 24 i art. 32 RODO. Przepisy te nie ustanawiają odpowiedzialności absolutnej administratora za każdy incydent. Sam fakt nieuprawnionego ujawnienia danych lub dostępu osoby trzeciej nie wystarcza do stwierdzenia, że zastosowane środki były nieodpowiednie. Wynika to wprost z wyroku Trybunału Sprawiedliwości Unii Europejskiej z 14 grudnia 2023 r. w sprawie C 340/21, VB przeciwko Natsionalna agentsia za prihodite, EU:C:2023:986, pkt 29–31 i 39. Odpowiedniość środków należy oceniać konkretnie, z uwzględnieniem charakteru, zakresu, kontekstu i celów przetwarzania, stanu wiedzy technicznej, kosztów wdrożenia oraz prawdopodobieństwa i wagi ryzyka. Zasada rozliczalności nie jest więc domniemaniem odpowiedzialności za skutek. Oznacza ona obowiązek podjęcia i wykazania działań adekwatnych do ryzyka. Taki właśnie, zindywidualizowany sposób oceny zastosowano w zaskarżonej decyzji. Organ nie wyprowadził naruszenia wyłącznie z kradzieży komputera. Wskazał konkretne braki w organizacji przetwarzania. Rzecznik dopuścił przez pewien czas wykonywanie telepracy na prywatnych komputerach, obejmującej dostęp do rozległego zbioru danych o wysokiej wadze dla praw i wolności osób fizycznych, w tym numerów PESEL, danych dokumentów tożsamości, informacji finansowych i danych dotyczących prowadzonych spraw. Model ten stwarzał przewidywalne ryzyka utraty lub kradzieży urządzenia, pozostawienia lokalnych kopii, dostępu innych użytkowników sprzętu oraz braku skutecznego usunięcia danych po ustaniu zatrudnienia. Pomimo tego Rzecznik nie przedstawił analizy ryzyka odnoszącej się do tego modelu przetwarzania, sporządzonej przed zdarzeniem. Przekazany arkusz powstał po naruszeniu. Dokumenty dotyczące telepracy nakładały na pracownika obowiązek używania VPN, programu do szyfrowania archiwów, oprogramowania antywirusowego, aktualizacji systemu i hasła dostępu do urządzenia, lecz nie wymagały szyfrowania całego dysku ani innego równoważnego zabezpieczenia danych przechowywanych lokalnie. Administrator nie wykazał również, że instalacja i skuteczność wskazanych zabezpieczeń na prywatnym sprzęcie były technicznie weryfikowane. VPN zabezpiecza kanał połączenia z zasobami pracodawcy, a szyfrowanie archiwów chroni tylko pliki objęte konkretną operacją szyfrowania. Środki te nie zapewniają automatycznie poufności wszystkich dokumentów skopiowanych z poczty i przechowywanych na dysku. Hasło do konta użytkownika również nie jest równoważne szyfrowaniu danych pozostających na nośniku. W przypadku fizycznej utraty urządzenia różnica ta ma podstawowe znaczenie. Zarzut skargi kasacyjnej błędnie utożsamia przy tym środek bezpieczeństwa ze środkiem zapobiegającym kradzieży. Rzecznik nie miał obowiązku uniemożliwić samo zabranie komputera przez sprawcę, lecz powinien był ograniczyć możliwość uzyskania dostępu do danych w razie ziszczenia się tego przewidywalnego ryzyka. Wytknięte braki dotyczyły także warstwy organizacyjnej. Administrator nie wykazał prowadzenia regularnych testów, pomiarów i oceny skuteczności przyjętych środków w rozumieniu art. 32 ust. 1 lit. d RODO. Nie zapewnił technicznej kontroli nad kopiowaniem dokumentów ze służbowej poczty na prywatne urządzenie. Nie dysponował sprawdzalnym mechanizmem potwierdzenia, że po ustaniu zatrudnienia lokalne kopie zostały trwale usunięte. Nie wykazał też, że osoba, której dotyczyło zdarzenie, uczestniczyła w szkoleniu obejmującym te ryzyka. Samo ogólne oświadczenie pracownika o zapoznaniu się z zasadami ochrony danych nie dowodzi skuteczności całego systemu. Zgodnie z zasadą uwzględnienia ochrony danych w fazie projektowania, wyrażoną w art. 25 ust. 1 RODO, administrator powinien uwzględnić wymienione ryzyka już przy wyborze sposobu wykonywania pracy. W przypadku korzystania z urządzeń prywatnych oznaczało to potrzebę ustalenia nie tylko obowiązków pracownika, lecz również możliwych do zweryfikowania wymagań technicznych, ograniczenia lokalnego kopiowania oraz procedury wycofania urządzenia z procesu przetwarzania. Jak podkreśla się w piśmiennictwie, odpowiedniość środków ma charakter relatywny i wymaga ciągłej oceny, a zasada rozliczalności nakazuje administratorowi utrwalić podstawy dokonanego wyboru i wykazać skuteczność wdrożenia (por. P. Fajgielski, Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. 2, Warszawa 2022, komentarz do art. 24 i art. 32 RODO). Okoliczność, że po naruszeniu Rzecznik wyposażył pracowników w urządzenia służbowe, zastosował szyfrowanie BitLocker, rozwiązania DLP i dodatkowe ograniczenia w korzystaniu z nośników oraz usług zewnętrznych, nie stanowi sama przez się przyznania naruszenia. Potwierdza jednak, że ryzyka ujawnione w sprawie były możliwe do zidentyfikowania i ograniczenia za pomocą dostępnych środków. Działania naprawcze mogły zostać uwzględnione na korzyść administratora przy doborze środka naprawczego, nie dowodziły natomiast, że wcześniejszy system był odpowiedni. Nie zachodziła potrzeba powołania biegłego w celu ustalenia okoliczności, które wynikały wprost z dokumentów przedstawionych przez Rzecznika. Trybunał Sprawiedliwości w powołanym wyroku C 340/21 wyjaśnił, że ocena odpowiedniości środków nie wymaga systematycznie opinii biegłego, a dowód taki nie jest sam w sobie ani konieczny, ani wystarczający (pkt 49–56). W tej sprawie zasadnicze braki miały charakter organizacyjny i dokumentacyjny: brak analizy ryzyka sprzed zdarzenia, brak obowiązku szyfrowania całego dysku, brak wykazanego monitorowania zabezpieczeń i brak weryfikowalnego usunięcia danych. Ich stwierdzenie nie wymagało wiadomości specjalnych. Powyższe prowadzi do wniosku, że WSA prawidłowo zaakceptował dokonaną przez organ wykładnię i zastosowanie art. 5 ust. 1 lit. f i ust. 2, art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO. Rozstrzygnięcie nie zostało oparte na niedopuszczalnym założeniu, że każdy incydent automatycznie dowodzi nieodpowiedniości zabezpieczeń. O niezgodności przesądzała suma konkretnych, wykazanych uchybień w zarządzaniu ryzykiem i zabezpieczeniu telepracy na prywatnym sprzęcie. Niezasadny jest również zarzut dotyczący podstawy prawnej udzielonego upomnienia. W komparycji decyzji Prezes UODO wyraźnie powołał art. 58 ust. 2 lit. b RODO, zgodnie z którym organ nadzorczy może udzielić administratorowi upomnienia w przypadku naruszenia przepisów rozporządzenia. Powołane zostały także przepisy, których naruszenie stwierdzono. Decyzja zawierała więc podstawę prawną rozstrzygnięcia wymaganą przez art. 107 § 1 pkt 4 k.p.a. Zarzut w tym zakresie pozostaje w oczywistej sprzeczności z treścią kontrolowanego aktu. Artykuł 83 ust. 1 RODO, przywołany w pierwszym zarzucie kasacyjnym, dotyczy administracyjnych kar pieniężnych. Prezes UODO nie nałożył na Rzecznika kary pieniężnej, lecz zastosował środek naprawczy przewidziany w art. 58 ust. 2 lit. b RODO. Już z tej przyczyny zarzut błędnego zastosowania art. 83 ust. 1 RODO jest chybiony. Upomnienie pozostaje środkiem władczym i powinno być adekwatne oraz proporcjonalne do stwierdzonego naruszenia, nie staje się jednak z tego powodu administracyjną karą pieniężną. Organ należycie uzasadnił wybór tego środka. Uwzględnił jednorazowy i przeszły charakter zdarzenia, podjęcie przez administratora działań naprawczych oraz brak podstaw do przyjęcia, że w dacie decyzji utrzymywało się systematyczne działanie lub zaniechanie stwarzające nadal poważne zagrożenie dla praw i wolności osób. Motyw 148 RODO nie sprzeciwiał się zastosowaniu upomnienia; przeciwnie, dopuszcza taką reakcję w przypadku naruszeń mniejszej wagi. Również w orzecznictwie Naczelnego Sądu Administracyjnego przyjmuje się, że organ nadzorczy, uwzględniając okoliczności konkretnej sprawy, może poprzestać na upomnieniu jako proporcjonalnym środku naprawczym (por. wyrok NSA z 29 maja 2025 r., III OSK 1018/22). W rozpoznawanej sprawie wybór najłagodniejszego z relewantnych środków nie naruszał prawa. Z wyłożonych względów nie doszło do naruszenia art. 145 § 1 pkt 1 lit. a p.p.s.a. Przepis ten, podobnie jak art. 145 § 1 pkt 1 lit. c p.p.s.a., ma charakter wynikowy. Skoro WSA trafnie ocenił, że organ prawidłowo określił administratora, ustalił istotne okoliczności sprawy, zastosował właściwe przepisy RODO i wskazał podstawę prawną upomnienia, nie miał podstaw do uchylenia decyzji. Mając na uwadze całość powyższego, Naczelny Sąd Administracyjny nie znalazł podstaw do uwzględnienia skargi kasacyjnej i oddalił ją na podstawie art. 184 p.p.s.a. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 204 pkt 1 p.p.s.a.