RODO w fundacji: jak odwołać się od decyzji w praktyce prawnej?

Ochrona danych osobowych w organizacjach pozarządowych, takich jak fundacje, to obszar pełen wyzwań prawnych i organizacyjnych. Choć podmioty te realizują cele społecznie użyteczne, często nie dysponując przy tym komercyjnymi budżetami, podlegają tym samym rygorystycznym przepisom Ogólnego Rozporządzenia o Ochronie Danych (RODO) co wielkie korporacje. Gdy Prezes Urzędu Ochrony Danych Osobowych (PUODO) wyda decyzję nakładającą na organizację karę finansową lub nakazującą określone działania, zarząd staje przed poważnym dylematem. Praktyka prawna pokazuje jednak, że decyzje organu nadzorczego nie są ostateczne i przysługuje od nich skuteczna ścieżka odwoławcza. W tym artykule szczegółowo analizujemy, jak krok po kroku zaskarżyć decyzję PUODO, chroniąc stabilność finansową i reputację fundacji.

Status fundacji jako administratora danych osobowych

Każda fundacja, niezależnie od skali swojej działalności, pełni rolę administratora danych osobowych (ADO) w rozumieniu art. 4 pkt 7 RODO. Oznacza to, że ciąży na niej pełna odpowiedzialność za zgodne z prawem przetwarzanie danych różnorodnych grup osób fizycznych. Fundacje najczęściej przetwarzają dane osobowe:

darczyńców i fundatorów,
podopiecznych oraz beneficjentów projektów pomocowych,
wolontariuszy, praktykantów i stażystów,
pracowników etatowych oraz osób zatrudnionych na umowach cywilnoprawnych,
subskrybentów newsletterów i uczestników organizowanych wydarzeń.

Wielość procesów przetwarzania danych w połączeniu z ograniczonymi zasobami kadrowymi i budżetowymi sprawia, że w fundacjach stosunkowo łatwo o uchybienia. Brak wdrożonych procedur, niepełny obowiązek informacyjny czy niedostateczne zabezpieczenia techniczne systemów IT to najczęstsze przyczyny wszczęcia postępowań przez organ nadzorczy.

Decyzje Prezesa UODO – uprawnienia organu i konsekwencje dla fundacji

Prezes Urzędu Ochrony Danych Osobowych dysponuje szerokim wachlarzem uprawnień naprawczych, które określa art. 58 ust. 2 RODO. W przypadku stwierdzenia naruszenia przepisów, organ może wydać decyzję administracyjną, w której:

wydaje ostrzeżenie lub udziela upomnienia fundacji,
nakazuje dostosowanie operacji przetwarzania do przepisów RODO w określony sposób i w określonym terminie,
nakazuje spełnienie żądania osoby, której dane dotyczą (np. usunięcie danych lub sprostowanie),
wprowadza czasowe lub ostateczne ograniczenie przetwarzania danych,
nakłada administracyjną karę pieniężną, która dla wielu fundacji może oznaczać utratę płynności finansowej.

Decyzja organu nadzorczego jest aktem administracyjnym. W polskim systemie prawnym Prezes UODO działa jako organ jednoinstancyjny. Oznacza to, że od jego decyzji nie przysługuje klasyczne odwołanie do organu wyższego stopnia (ponieważ taki nad PUODO nie istnieje). Fundacji przysługuje natomiast prawo do wniesienia skargi bezpośrednio do sądu administracyjnego.

Ścieżka odwoławcza: Skarga do Wojewódzkiego Sądu Administracyjnego

Zgodnie z art. 145 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, na decyzję Prezesa UODO stronie przysługuje skarga do Wojewódzkiego Sądu Administracyjnego w Warszawie. Jest to jedyny właściwy rzeczowo i miejscowo sąd do rozpoznawania tego typu spraw.

Warto wyjaśnić kwestię wniosku o ponowne rozpatrzenie sprawy. Przed nowelizacją przepisów, strona mogła alternatywnie złożyć taki wniosek do samego PUODO. Obecnie jednak najprostszą i najbardziej rekomendowaną w praktyce drogą jest bezpośrednie zaskarżenie decyzji do WSA. Skargę wnosi się za pośrednictwem Prezesa UODO, co oznacza, że pismo adresowane do WSA fizycznie wysyłamy na adres Urzędu Ochrony Danych Osobowych. Organ ma wówczas obowiązek przekazać skargę wraz z aktami sprawy do sądu w terminie 30 dni od jej otrzymania, mogąc jednocześnie w tym trybie uwzględnić skargę w całości (autokontrola).

Termin na wniesienie skargi – rygorystyczne ramy czasowe

Podstawowym warunkiem skutecznego wszczęcia procedury odwoławczej jest dochowanie ustawowego terminu. Skargę do WSA wnosi się w terminie 30 dni od dnia doręczenia decyzji fundacji. Termin ten liczy się według zasad określonych w Kodeksie postępowania administracyjnego (Kpa):

bieg terminu rozpoczyna się od dnia następującego po dniu doręczenia decyzji (np. jeśli fundacja odebrała decyzję 10 marca, termin zaczyna biec 11 marca),
jeżeli koniec terminu przypada na dzień ustawowo wolny od pracy lub sobotę, termin upływa następnego dnia, który nie jest dniem wolnym od pracy,
dla zachowania terminu kluczowe jest nadanie pisma w polskiej placówce pocztowej operatora wyznaczonego (Poczta Polska) przed upływem trzydziestego dnia.

Przekroczenie tego terminu jest błędem kardynalnym. Sąd odrzuci skargę wniesioną po terminie bez merytorycznego badania sprawy, a decyzja PUODO stanie się ostateczna i prawomocna.

Wymogi formalne skargi do WSA

Skarga do sądu administracyjnego musi spełniać surowe kryteria formalne określone w ustawie – Prawo o postępowaniu przed sądami administracyjnymi (p.p.s.a.). Brak spełnienia tych wymogów skutkuje wezwaniem do uzupełnienia braków formalnych w terminie 7 dni, co niepotrzebnie wydłuża całe postępowanie. Prawidłowo sporządzona skarga musi zawierać:

oznaczenie sądu, do którego jest kierowana (Wojewódzki Sąd Administracyjny w Warszawie),
imię i nazwisko lub nazwę stron, ich przedstawicieli ustawowych lub pełnomocników (w przypadku fundacji: pełna nazwa z KRS, adres siedziby, numer KRS oraz numery NIP/REGON),
oznaczenie zaskarżonej decyzji (numer decyzji, data wydania, data doręczenia),
określenie i zwięzłe przedstawienie zarzutów, czyli wskazanie przepisów prawa, które zdaniem fundacji zostały naruszone przez organ,
uzasadnienie skargi, w którym szczegółowo opisuje się stan faktyczny i prawny, argumentując dlaczego decyzja jest wadliwa,
wniosek o uchylenie zaskarżonej decyzji w całości lub w części,
podpisy osób uprawnionych do reprezentowania fundacji zgodnie z odpisem z KRS (np. dwóch członków zarządu działających łącznie),
wykaz załączników (w tym aktualny odpis z KRS fundacji, dowód uiszczenia wpisu sądowego lub wniosek o przyznanie prawa pomocy, pełnomocnictwo jeśli występuje pełnomocnik).

Jak sformułować zarzuty w skardze?

Skuteczność odwołania zależy w głównej mierze od precyzyjnego sformułowania zarzutów. W praktyce prawnej zarzuty dzieli się na dwie główne kategorie: naruszenie przepisów postępowania oraz naruszenie prawa materialnego.

Naruszenie przepisów postępowania (Kpa)

Fundacje mogą wykazywać, że Prezes UODO nie dopełnił obowiązków proceduralnych podczas prowadzenia postępowania wyjaśniającego. Najczęstsze zarzuty dotyczą:

art. 7 i 77 § 1 Kpa – niewyczerpujące zebranie i rozpatrzenie całego materiału dowodowego, pominięcie dowodów przedkładanych przez fundację (np. dowodów na wdrożenie odpowiednich środków technicznych),
art. 80 Kpa – przekroczenie granic swobodnej oceny dowodów i dokonanie oceny dowolnej,
art. 107 § 3 Kpa – wadliwe uzasadnienie decyzji, brak jasnego wyjaśnienia, dlaczego organ uznał argumenty fundacji za niewiarygodne.

Naruszenie prawa materialnego (RODO)

W tej grupie zarzutów fundacja wskazuje na błędną interpretację lub niewłaściwe zastosowanie przepisów samego rozporządzenia RODO. Przykładowo:

błędne uznanie, że dany zbiór danych podlegał obowiązkowi zgłoszenia lub szczególnej ochronie,
błędna interpretacja art. 32 RODO poprzez uznanie, że zastosowane przez fundację środki techniczne i organizacyjne były niewystarczające, podczas gdy były one adekwatne do zidentyfikowanego ryzyka i możliwości finansowych organizacji,
naruszenie art. 83 RODO poprzez nałożenie kary rażąco wygórowanej, nieproporcjonalnej do charakteru, wagi i czasu trwania naruszenia, a także nieuwzględnienie faktu, że fundacja podjęła natychmiastowe działania naprawcze i współpracowała z organem.

Wniosek o wstrzymanie wykonania decyzji – kluczowy element strategii

Samo wniesienie skargi do sądu administracyjnego nie wstrzymuje wykonania zaskarżonej decyzji (art. 61 § 1 p.p.s.a.). Oznacza to, że jeśli PUODO nałożył na fundację karę finansową z terminem płatności, fundacja ma obowiązek ją zapłacić, mimo że sprawa trafiła do sądu. Aby tego uniknąć, fundacja musi złożyć formalny wniosek o wstrzymanie wykonania decyzji w całości lub w części.

Wniosek taki można zawrzeć bezpośrednio w treści skargi do WSA lub złożyć jako osobne pismo. Kluczowe jest drobiazgowe uzasadnienie, że wykonanie decyzji (zapłata kary) spowoduje niebezpieczeństwo wyrządzenia znacznej szkody lub spowoduje trudne do odwrócenia skutki. Dla fundacji argumentem takim może być wykazanie, że zapłata kary uniemożliwi realizację celów statutowych (np. finansowanie leczenia podopiecznych, utrzymanie schroniska), doprowadzi do konieczności zwolnienia pracowników lub ogłoszenia upadłości organizacji. Do wniosku należy dołączyć dokumenty finansowe potwierdzające trudną sytuację materialną fundacji.

Prawo pomocy, czyli jak fundacja może uniknąć kosztów sądowych

Wniesienie skargi do Wojewódzkiego Sądu Administracyjnego wiąże się z koniecznością uiszczenia wpisu sądowego. W sprawach dotyczących kar pieniężnych nakładanych przez Prezesa UODO, wpis ten ma charakter stosunkowy i zależy od wysokości nałożonej kary (zgodnie z rozporządzeniem Rady Ministrów w sprawie wysokości opłat w postępowaniu przed sądami administracyjnymi). Dla fundacji o skromnych zasobach finansowych nawet sam koszt wpisu sądowego może stanowić barierę w dostępie do wymiaru sprawiedliwości.

Rozwiązaniem tego problemu jest instytucja prawa pomocy, uregulowana w art. 243 i następnych p.p.s.a. Fundacja jako osoba prawna może ubiegać się o przyznanie prawa pomocy w zakresie częściowym (zwolnienie z opłat sądowych) lub rozszerzonym (zwolnienie z opłat oraz ustanowienie bezpłatnego profesjonalnego pełnomocnika – adwokata lub radcy prawnego). Aby wniosek o prawo pomocy (składany na oficjalnym formularzu PPPr) został uwzględniony, fundacja musi wykazać, że nie posiada żadnych środków na poniesienie kosztów postępowania. Sąd bada wówczas stan kont bankowych, sprawozdania finansowe oraz posiadany majątek nieruchomy i ruchomy organizacji. Dla wielu mniejszych fundacji jest to niezwykle skuteczna metoda na bezkosztowe przeprowadzenie całego procesu odwoławczego.

Rola Inspektora Ochrony Danych (IOD) w procesie odwoławczym

Wiele fundacji, zwłaszcza tych przetwarzających dane wrażliwe (np. informacje o stanie zdrowia podopiecznych, wyznaniu czy sytuacji społecznej), decyduje się na powołanie Inspektora Ochrony Danych (IOD). W sytuacji sporu z organem nadzorczym rola IOD staje się kluczowa. To właśnie Inspektor powinien być głównym architektem strategii obronnej fundacji.

Do zadań IOD w kontekście odwołania od decyzji PUODO należy przede wszystkim:

przeprowadzenie wewnętrznego audytu śledczego w celu ustalenia rzeczywistych przyczyn i skali naruszenia,
przygotowanie merytorycznych argumentów technicznych i organizacyjnych wykazujących, że fundacja dopełniła należytej staranności,
współpraca z zarządem oraz zewnętrznymi doradcami prawnymi przy formułowaniu zarzutów skargi do WSA,
rekomendowanie natychmiastowych działań naprawczych, które mogą zostać przedstawione sądowi jako dowód na aktywną i odpowiedzialną postawę administratora po wystąpieniu incydentu.

Warto podkreślić, że posiadanie wyznaczonego IOD oraz jego aktywne zaangażowanie w sprawę jest przez sądy i sam organ nadzorczy traktowane jako okoliczność łagodząca, świadcząca o profesjonalnym podejściu fundacji do ochrony danych osobowych.

Praktyczny przykład: Odwołanie fundacji od kary za wyciek danych

Aby lepiej zobrazować procedurę, posłużmy się praktycznym przykładem. Fundacja wspierająca dzieci z ubogich rodzin ucierpiała w wyniku cyberataku typu ransomware. Baza danych zawierająca imiona, nazwiska, adresy i numery PESEL 300 darczyńców została zaszyfrowana, a część danych wyciekła do sieci. Fundacja niezwłocznie zgłosiła naruszenie do PUODO oraz powiadomiła osoby, których dane dotyczą. Po przeprowadzeniu postępowania, Prezes UODO nałożył na fundację karę w wysokości 15 000 zł, zarzucając brak wdrożenia dwuskładnikowego uwierzytelniania (2FA) w systemie bazodanowym.

Zarząd fundacji, nie zgadzając się z wysokością kary, postanowił złożyć skargę do WSA w Warszawie. W skardze sformułowano następujące argumenty:

Fundacja wykazała, że regularnie szkoliła pracowników z cyberbezpieczeństwa, a system posiadał aktualne oprogramowanie antywirusowe i zapory sieciowe, co spełniało wymogi adekwatności środków z art. 32 RODO.
Wskazano na rażący brak proporcjonalności kary (art. 83 RODO) – kwota 15 000 zł stanowiła 40% rocznego budżetu operacyjnego fundacji przeznaczonego na bezpośrednią pomoc dzieciom.
Złożono wniosek o wstrzymanie wykonania decyzji, załączając sprawozdanie finansowe oraz wyciągi z kont bankowych wykazujące, że natychmiastowe ściągnięcie kary zablokuje realizację bieżących turnusów rehabilitacyjnych dla dzieci.

WSA w Warszawie w pierwszej kolejności przychylił się do wniosku o wstrzymanie wykonania decyzji, dzięki czemu fundacja nie musiała płacić kary w trakcie procesu. Po zbadaniu sprawy, sąd uchylił decyzję PUODO w części dotyczącej wysokości kary, nakazując organowi ponowne rozpatrzenie sprawy z uwzględnieniem statusu non-profit fundacji oraz jej ograniczeń budżetowych. Ostatecznie PUODO obniżył karę do symbolicznego upomnienia.

Najczęstsze błędy popełniane przez fundacje w sporach z UODO

Analiza postępowań sądowo-administracyjnych pozwala na zidentyfikowanie powtarzających się błędów, które niweczą szanse fundacji na wygraną:

Ignorowanie pism z urzędu: Nieodbieranie korespondencji lub brak odpowiedzi na wezwania PUODO na etapie postępowania wyjaśniającego drastycznie pogarsza pozycję fundacji.
Brak wniosku o wstrzymanie wykonania kary: Złożenie samej skargi bez wniosku o wstrzymanie wykonania skutkuje wszczęciem egzekucji administracyjnej przez urząd skarbowy.
Niewłaściwa reprezentacja: Podpisanie skargi przez osobę nieuprawnioną do jednoosobowej reprezentacji fundacji (niezgodnie z KRS).
Brak dowodów: Oparcie skargi wyłącznie na ogólnych twierdzeniach, bez poparcia ich dokumentami finansowymi, procedurami wewnętrznymi czy opiniami biegłych z zakresu IT.

Podsumowanie – jak zabezpieczyć interesy fundacji?

Odwołanie od decyzji Prezesa UODO to skomplikowany proces, wymagający nie tylko znajomości przepisów o ochronie danych osobowych, ale przede wszystkim procedury sądowoadministracyjnej. Dla fundacji, które często działają przy ograniczonych zasobach, kluczowe jest szybkie reagowanie, skrupulatne pilnowanie 30-dniowego terminu oraz precyzyjne wykazanie wpływu ewentualnej kary na realizację celów społecznych. Choć walka z organem nadzorczym bywa trudna, polskie sądy administracyjne coraz częściej biorą pod uwagę specyfikę sektora NGO, co daje fundacjom realną szansę na skuteczną obronę swoich praw i uniknięcie dotkliwych sankcji finansowych.