Morele - sklep uniknie kary za wyciek danych użytkowników. NSA przyjął skargę kasacyjną serwisu w sprawie kary UODO

Od kilku lat w całej Unii Europejskiej obowiązuje RODO - rygorystyczny zestaw zasad dotyczący przechowywania i przetwarzania danych osobowych. Jednym z instrumentów zapewnienia przestrzegania prawa są możliwe wysokie kary. Ich limit - kwotowy lub procentowy - może znacząco uszczuplić zasoby finansowe przedsiębiorstwa. Tym samym urzędy ochrony danych osobowych dysponują znacznym wpływem na kontrowersyjne lub niestaranne praktyki firm.

Naczelny Sąd Administracyjny w lutym finalnie rozstrzygnął spór spółki Morele.net z Urzędem Ochrony Danych Osobowych co do kary na korzyść serwisu. Teraz poznaliśmy uzasadnienie orzeczenia uchylającego wcześniejszy wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie. Do tego UODO musi zapłacić portalowi 65 tys. zł za koszty postępowania. 

Morele.net musi zapłacić 3 miliony złotych kary za wyciek danych

Dla przypomnienia, sprawa sięga roku 2018. Wtedy zaczęły się problemy sklepu internetowego. Cała baza klientów (łącznie z tymi rzekomo usuniętymi) pojawiła się w sieci po nieudanych negocjacjach z hakerem. W następstwie baza klientów serwisu zaczęła być traktowana jak książka telefoniczna. W związku z tym urząd ochrony danych osobowych rok później zdecydował o nałożeniu wówczas rekordowej kary - trzech milionów złotych. Co prawda, Morele.net padło ofiarą przestępców, jednak nie podjęło wystarczających działań, by przeciwdziałać włamaniu. Wojewódzki Sąd w Warszawie podtrzymał decyzję UODO, podzielając argumentację urzędu w kwestii słabych zabezpieczeń w strukturach spółki.

Morele: baza danych 2,5 mln klientów sklepu dostępna w sieci

W związku z powyższym spółce została ścieżka odwoławcza w postaci złożenia skargi kasacyjnej do Naczelnego Sądu Administracyjnego. Rozstrzygnięcie w tej instancji zakończyło spór szczęśliwie dla sklepu internetowego. W orzeczeniu pod sygnaturą akt III OSK 3945/21 sąd administracyjny uznał skargę kasacyjną za zasadną. Co wpłynęło na taką decyzję? Po pierwsze, NSA wszedł w polemikę z urzędem i sądem pierwszej instancji co do wykładni przepisów RODO w kontekście minimalnego standardu bezpieczeństwa. Sama okoliczność włamania się na serwery (skutek) nie stanowi wystarczającego dowodu na to, że nie dochowano staranności. NSA zwrócił uwagę na brak opinii biegłego w sprawie, czego domagało się Morele.net. Tymczasem według przyjętych standardów powinien przysługiwać możliwie najwyższy stopień obiektywizacji materiału. Krytyce poddano też ograniczenie prawa do obrony poprzez pomijanie wniosków dowodowych "oskarżonego" czy lakoniczność uzasadnień UODO. Wyrok jest ostateczny i kończy jeden z ciekawszych wątków w polskiej branży sprzedaży internetowej.