W dniu 28 lutego 2020 r. zapadł wyrok Wojewódzkiego Sądu Administracyjnego w sprawie Dolnośląskiego Związku Piłki Nożnej, która dotyczyła ujawnienia danych osobowych sędziów piłkarskich (sygn. II SA/Wa 1511/19). Przypomnijmy, że Dolnośląski Związek Piłki Nożnej został ukarany przez Prezesa Urzędu Ochrony Danych karą pieniężną w kwocie 55 750,50 zł, w związku z faktem opublikowania nazwisk i adresów sędziów piłkarskich na stronie internetowej związku, na mocy decyzji zapadłej dnia 25 kwietnia 2020.

 

Związek zgłosił Prezesowi Urzędu naruszenie ochrony danych osobowych polegające na niezamierzonej publikacji na stronie internetowej związku danych osobowych osób, którym przyznano licencje sędziowskie w 2015 r.; publikacja ta objęła imię, nazwisko, numer PESEL oraz adres zamieszkania i dotyczyła 585 osób. Celem usunięcia naruszenia, Związek usunął pliki z danymi, powiadomił dostawców wyszukiwarek, aby usunąć dane z wyników wyszukiwania, usunął dane ze strony internetowej, a także zlecił obsługującej go firmie informatycznej usunięcie linków z indexu.

DZPN był zobowiązany do publikacji przyznanych licencji na stronie internetowej zgodnie z § 13 uchwały Zarządu Polskiego Związku Piłki Nożnej z dnia 19 kwietnia 2012 r., nr IV/74, w sprawie licencji dla sędziów piłkarskich (nr VI/90, z dnia 13.05.2015 r., tekst jednolity). Uchwała ta jednak nie precyzowała, jakie informacje na temat osób, którym przyznano licencje, mogą zostać opublikowane.

W wyniku złożonej skargi od jednej z osób, której dane osobowe zostały udostępnione na stronie internetowej DZPN, Prezes UODO podjął działania w celu sprawdzenia, czy publikacja danych została przez DZPN usunięta, czy widnieje nadal; w wyniku tych czynności Urząd ustalił, że dane te są wciąż dostępne w Internecie. Po wszczęciu postępowania Związek usunął ze swojej strony internetowej dane osób, w związku z czym po wpisaniu w wyszukiwarce internetowej adresu url, strona przestała wyświetlać się w wynikach wyszukiwania.

Urząd Ochrony Danych Osobowych stwierdził jednak, że okoliczności przemawiają za koniecznością nałożenia kary pieniężnej na administratora – Urząd stwierdził, że Związek opublikował dane w zbyt szerokim zakresie, ponieważ udostępnienie adresu zamieszkania i numeru PESEL wykraczało poza cel wynikający z ww. uchwały. Co więcej, zdaniem Prezesa UODO, Związek nie wdrożył odpowiednich środków technicznych i organizacyjnych, aby zapewnić bezpieczeństwo danych, przez co dane te były dostępne na stronie internetowej również po zgłoszeniu naruszenia i zadeklarowaniu ich usunięcia. Działania podjęte przez Związek okazały się bowiem nieskuteczne – DZPN zlecił podmiotowi zewnętrznemu usunięcie naruszenia, ale nie dokonał weryfikacji podjętych przez niego działań, przez co dostęp do danych osobowych był nadal możliwy z poziomu wyszukiwarki internetowej.

W wydanym w dniu 28 lutego 2020 r. wyroku Wojewódzki Sąd Administracyjny oddalił skargę Związku, utrzymując tym samym w mocy decyzję Prezesa UODO. Sąd zwrócił szczególną uwagę na zasadę minimalizacji danych, tj. zasadę, zgodnie z którą dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (art. 5 ust. 1 lit. c RODO). Zdaniem Sądu, Związek nie był uprawniony do opublikowania numeru PESEL oraz adresu zamieszkania osoby, w szczególności nie uprawniała go do tego treść uchwały Zarządu PZPN; błędem ze strony Związku była publikacja numeru PESEL i numeru domu sędziego.

Co ciekawe, Związek podnosił, że to w rzeczywistości Google odpowiada za bezprawne ujawnienie danych osobowych sędziów piłkarskich, ponieważ dopiero za drugim razem (w styczniu 2019 r.) udało się go zmusić do usunięcia tych danych z wyszukiwarki. Argument ten nie został jednak przyjęty.

Zdaniem Sądu kara pieniężna jest proporcjonalna do stwierdzonego naruszenia, szczególnie ze względu na wagę naruszenia, kategorie danych (numer PESEL oraz adres zamieszkania udostępnione w połączeniu  z imieniem i nazwiskiem), liczbę osób (585) i czas trwania naruszenia (lipiec 2018- styczeń 2019). Ponadto, kara ma za zadanie odstraszać, aby zarówno DZPN, jak i inni administratorzy nie popełniali naruszeń w przyszłości.

Wyrok jest nieprawomocny.

 

Radca prawny Małgorzata Topyła