Kara dla Morele.net podtrzymana przez sąd. Bo “UODO ma kompetencje”

[1s2k.pl]

Morele.net ma zapłacić 3,8 mln zł kary za wyciek danych klientów sprzed sześciu lat – uznał Wojewódzki Sąd Administracyjny.  Minęło już 5 lat od wydania pierwszej decyzji UODO w tej sprawie, a sprawa sciąż nie jest całkiem przesądzona.

Dawno temu o wycieku z Morele.net było głośno. Po pierwsze, wyciek był naprawdę znaczący. Po drugie, RODO ma w Polsce zastosowanie od 2018 r., zatem pierwsza decyzja nałożeniu kary na Morele.net w wysokości aż 3 mln zł była dla niektórych szokująca. Dziś wypada blado przy ostatniej karze dla mBanku (ponad 4 mln zł), ale przed laty mówiono o “dodatkowym karaniu ofiary”. Sklep nie zgodził się z karą i poszedł do sądu. Spory prawne ciągną się do dziś i wywołują w branży sprzeczne komentarze. Niektórzy mówią, że “kary UODO nic nie znaczą” bo przecież UODO kilka razy przegrał z Morele.net i do tej pory kara nie została wpłacona. Inni mówią, że “nie warto było szaleć tak” bo Morele.net też kilka razy przegrał i grozi mu kara wyższa niż pierwotnie nałożona.

Gdzie jesteśmy teraz?

16 września Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę na ostatnią decyzję Prezesa Urzędu Ochrony Danych Osobowych. To oznacza, że zdaniem sądu spółka Morele.net powinna zapłacić karę i to podwyższoną względem tej, którą na spółkę nałożono w roku 2019. Sąd przyznał też, że UODO posiada wiedzę i kompetencje potrzebne do oceny, czy środki zabezpieczeń zastosowane przez administratora były wystarczające. UODO nie musiał – zdaniem WSA – powoływać jakiegoś dodatkowego biegłego, a to było istotną osią sporu dotyczącego pierwszej decyzji o karze.

Pozwólcie, że nie będziemy po raz kolejny przytaczać historii całego wycieku. Przypomnimy natomiast jak przebiegały spory w sądzie.

• 10 września 2019 UODO nałożył na sklep karę w wysokości 3 mln zł. Była to pierwsza decyzja UODO w tej sprawie.
• Spółka odwołała się do Wojewódzkiego Sądu Administracyjnego w Warszawie. Ten we wrześniu 2020 r. zgodził się z UODO i podtrzymał jego decyzję.
• Morele.net złożyła skargę kasacyjną do Naczelnego Sądu Administracyjnego.
• 9 lutego 2023 NSA stwierdził, że skarga kasacyjna miała uzasadnione podstawy gdyż Wojewódzki Sąd Administracyjny nie pozwolił spółce Morele.net na bronienie się w sądzie i błędnie założył, że Prezes UODO dysponował dostatecznym materiałem dowodowym w sprawie. NSA zarzucił też UODO zbyt lakoniczne uzasadnienie pierwszej decyzji. To unieważniało pierwszą decyzję, ale nie zamykało sprawy całkowicie.
• W reakcji na wyrok NSA Prezes UODO przeprowadził nowe postępowanie, aby wydać drugą decyzję.
• Po drugim postępowaniu UODO wydał decyzję, w której nałożył na firmę karę wyższą niż pierwotnie – 3,8 mln zł.

Prezes UODO nie krył, że był dotknięty pierwszym wyrokiem NSA bo zarzucanie mu “braku kompetencji” do oceny środków technicznych podważało właściwie wszystko co UODO robi. Podwyższenie wysokości kary w drugiej decyzji uzasadnione było m.in. wzięciem pod uwagę nowej analizy rozwiązań Morele.net, która została opracowana przez UODO w celu “dostosowania się do wyroku NSA” (czytaj: miało być staranniej to proszę… oto jest!).

W najnowszym wyroku WSA uznał, że wysokość nowej kary była wystarczająco dobrze uzasadniona.

Co dalej?

Spółka Morele.net już ogłosiła, że zaskarży wyrok do Naczelnego Sądu Administracyjnego. Zdaniem spółki WSA nie uwzględnił zarzutu, że Prezes UODO nie był uprawniony do nałożenia kary wyższej niż kara nałożona w decyzji z 2019 r gdyż żadne okoliczności sprawy nie uległy zmianie. Czy Morele podniesie jakieś inne zarzuty? Tego nie wiemy, ale możliwe że walka z decyzją nakładającą karę zmieni się teraz na walkę o to, aby wrócić do wysokości kary z roku 2019.

Przeczytaj cały wpis