Wyrok NSA Naczelnego Sądu Administracyjnego z 7 maja 2026 r. (sygn. III OSK 2694/23) należy uznać za jedno z kluczowych polskich orzeczeń dotyczących praktycznego stosowania art. 32 RODO. W ww. orzeczeniu NSA ostatecznie potwierdził stanowisko Prezesa Urzędu Ochrony Danych Osobowych, zgodnie z którym administrator danych nie może ograniczać się wyłącznie do wdrożenia środków technicznych i organizacyjnych. Obowiązki wynikające z RODO obejmują bowiem również regularne testowanie, mierzenie oraz ocenianie skuteczności stosowanych zabezpieczeń.
Znaczenie tego wyroku wykracza daleko poza samą sprawę Virgin Mobile. To orzeczenie wyznacza standard, według którego organy nadzorcze i sądy będą oceniały realizację obowiązków wynikających z art. 32 RODO przez administratorów danych osobowych.
Jak doszło do naruszenia ochrony danych osobowych?
Sprawa miała swój początek w grudniu 2019 r., kiedy doszło do wycieku danych osobowych abonentów usług przedpłaconych. Osoba nieuprawniona wykorzystała podatność systemu informatycznego służącego do generowania potwierdzeń rejestracji kart prepaid, uzyskując dostęp do 142 222 rekordów zawierających dane 114 963 klientów. Zakres naruszenia obejmował m.in. imiona i nazwiska, numery PESEL, serie i numery dokumentów tożsamości, numery telefonów, a w części przypadków również numery NIP i nazwy podmiotów. Incydent trwał od 18 do 22 grudnia 2019 r.
Porozmawiaj z ekspertem 🎯
Borykasz się z zagadnieniem, które tutaj poruszyłem? Skontaktuj się ze mną! Wspólnie znajdziemy najlepsze rozwiązanie dla Twojego biznesu.
Po otrzymaniu zgłoszenia naruszenia przez Spółkę Prezes UODO przeprowadził kontrolę, w toku której ustalono, że źródłem incydentu była luka w systemie informatycznym. Podatność umożliwiała generowanie potwierdzeń rejestracji bez prawidłowej weryfikacji wszystkich parametrów identyfikujących punkt sprzedaży. W pierwszej decyzji z 3 grudnia 2020 r. Prezes UODO nałożył na spółkę administracyjną karę pieniężną w wysokości 1 968 524 zł, uznając, że doszło do naruszenia m.in. art. 5, art. 25 oraz art. 32 RODO. Sprawa wracała jednak do ponownego rozpatrzenia, z uwagi na braki proceduralne.
Jaki był rzeczywisty problem?
Wbrew pozorom sednem sprawy nie było samo wykrycie naruszenia. Prezes UODO uznał, że rzeczywistym problemem był brak skutecznego systemu regularnego testowania, mierzenia i oceniania zabezpieczeń. Dokumentacja bezpieczeństwa nie zawierała procedur dotyczących regularnej weryfikacji skuteczności stosowanych środków ochrony danych, a wykonywane działania miały charakter doraźny i reaktywny. Organ wskazał również, że wykrycie podatności nie wymagało ani zaawansowanej wiedzy specjalistycznej, ani znaczących nakładów finansowych. Wystarczyło przeprowadzenie podstawowej kontroli funkcjonowania systemu i sprawdzenie, czy następuje prawidłowa walidacja numeru punktu sprzedaży (POS) z numerem wniosku rejestracyjnego.
Od kiedy administrator musi regularnie testować zabezpieczenia?
Spółka argumentowała, że stan naruszenia zakończył się już w lutym 2020 r., gdy rozpoczęto działania naprawcze i przygotowania do certyfikacji ISO/IEC 27001:2013 oraz ISO/IEC 27701:2019. Sąd uznał jednak, że dopiero uzyskanie certyfikatów pozwalało stwierdzić, że wymagane rozwiązania zostały skutecznie wdrożone. Co istotne, NSA potwierdził, że obowiązek posiadania mechanizmów regularnego testowania, mierzenia i oceniania skuteczności środków bezpieczeństwa istniał już od dnia rozpoczęcia stosowania RODO, tj. od 25 maja 2018 r. W praktyce oznacza to, że administrator nie może skutecznie tłumaczyć się tym, że był dopiero w trakcie wdrażania systemu bezpieczeństwa, przygotowywał się do audytu lub planował certyfikację. Jeśli przetwarzanie danych trwało, obowiązki wynikające z art. 32 RODO również już obowiązywały. Jest to ważna wskazówka dla organizacji traktujących certyfikację jako dowód zgodności, która potwierdza, że sam proces dochodzenia do zgodności nie jest równoznaczny z jej osiągnięciem.
Czy zgłoszenie naruszenia do UODO powinno obniżać karę?
Spółka argumentowała ponadto, że samodzielne zgłoszenie naruszenia powinno zostać potraktowane jako okoliczność łagodząca przy ustalaniu wysokości kary administracyjnej. Sądy wskazały jednak zgodnie, że zgłoszenie naruszenia stanowi realizację ustawowego obowiązku administratora wynikającego wprost z art. 33 RODO. Wykonanie obowiązku nałożonego przez przepisy nie jest działaniem nadzwyczajnym, lecz oczekiwanym od administratora. Z tego względu okoliczność ta pozostaje co do zasady neutralna przy wymiarze sankcji.
Kluczowe wnioski dla administratorów danych osobowych:
- Wdrożenie polityk bezpieczeństwa, procedur czy narzędzi technicznych nie zamyka obowiązków wynikających z RODO. Konieczne jest ich stałe monitorowanie i okresowa ocena skuteczności.
- Administrator powinien dysponować nie tylko procedurą testowania, ale również dokumentacją potwierdzającą jej faktyczne wykonywanie. W razie kontroli organ będzie oczekiwał dowodów, a nie samych deklaracji.
- Pojedynczy audyt lub przegląd zgodności nie spełnia wymagań art. 32 RODO. Konieczny jest stały, cykliczny proces weryfikacji skuteczności zabezpieczeń.
- Ocena ryzyka nie może być dokumentem sporządzonym wyłącznie na potrzeby wdrożenia RODO. Powinna być regularnie aktualizowana w odpowiedzi na zmiany technologiczne, organizacyjne i prawne.
- Uzyskanie certyfikatów bezpieczeństwa może stanowić istotny dowód zgodności, jednak nie eliminuje odpowiedzialności za wcześniejsze naruszenia ani okres, w którym odpowiednie mechanizmy nie funkcjonowały prawidłowo.
- Terminowe zgłoszenie incydentu do UODO pozostaje obowiązkiem ustawowym. Co do zasady nie będzie ono samoistnie wpływało na obniżenie wymiaru administracyjnej kary pieniężnej.
Podsumowanie
Wyrok NSA z 7 maja 2026 r. wyraźnie pokazuje, że RODO wymaga nie tylko posiadania zabezpieczeń, ale również aktywnego zarządzania ich skutecznością. Organizacje, które ograniczają się do stworzenia dokumentacji i wdrożenia procedur bez ich późniejszej weryfikacji, narażają się na zarzut naruszenia art. 32 RODO oraz ryzyko dotkliwych sankcji administracyjnych.
Patrycja Myśliwiec
PRAWNIK
Specjalizuję się w ochronie danych osobowych i bezpieczeństwie informacji. Od ponad 10 lat wspieram firmy i instytucje w zgodności z RODO, audytach oraz wdrażaniu systemów ochrony danych. Mam doświadczenie jako Inspektor Ochrony Danych i audytor. Pomagam organizacjom tworzyć bezpieczne i zgodne z prawem rozwiązania.
Skontaktuj się ze mną, chętnie odpowiem na Twoje pytania dotyczące naszej oferty i przedstawię rozwiązania dostosowane do Twojego biznesu.