Prezes Urzędu Ochrony Danych Osobowych karę w wysokości 1,13 mln zł nałożył na Cyfrowy Polsat wiosną 2021 roku. Wcześniej firma zgłaszała UODO zdarzenia związane z dostarczaniem jej korespondencji klientom przez firmę kurierską. Chodziło m.in. o zgubienie przesyłek i dostarczenie ich niewłaściwym adresatom.
W komunikacie Urzędu zaznaczono, że Cyfrowy Polsat zgłaszał takie naruszenia, jak tylko otrzymywał o nich informację od firmy kurierskiej.
Cyfrowy Polsat z grzywną od UODO
Mimo to prezes UODO ukarał operatora grzywną. Uzasadnił, że to Cyfrowy Polsat jako administrator danych ponosi odpowiedzialność za podjęcie skutecznych działań, które zminimalizują skalę naruszeń i pozwolą na szybsze identyfikowanie incydentów oraz informowanie o nich – zarówno osób dotkniętych danym zdarzeniem, jak i organu nadzorczego.
Urząd zarzucił Cyfrowemu Polsatowi, że nie wdrożył odpowiednich środków organizacyjnych i technicznych, które pozwoliłyby na szybką identyfikację naruszeń.
W komunikacie zwrócono uwagę, że osoby, których dotyczyły owe naruszenia, przez długi czas mogły nie wiedzieć o ryzyku wykorzystania ich danych osobowych przez osoby nieuprawnione, nie mogły też podjąć działań, które ograniczyłyby niebezpieczeństwo np. kradzieży ich tożsamości. Ponadto w zgubionej bądź dostarczonej niewłaściwemu adresatowi korespondencji znajdowało się wiele ich danych, m.in. dane ID kontraktu, numer umowy czy numery faktur.
UODO zaznaczył, że dopiero w trakcie jego postępowania firma wdrożyła mechanizmy pozwalające na ograniczenie wydawania korespondencji nieuprawnionej osobie oraz śledzenie przesyłek.
Sądy uchyliły karę
Cyfrowy Polsat zaskarżył tę decyzję. Wojewódzki Sąd Administracyjny przyznał spółce rację, oceniając, że UODO w trakcie postępowania nie wyjaśnił wszystkich istotnych okoliczności sprawy. W konsekwencji nie przedstawiono uzasadnienia tezy, że firma nie wdrożyła środków technicznych i organizacyjnych w celu zapewnienia bezpieczeństwa danych osobowych.
Z tym rozstrzygnięciem nie zgodził się natomiast UODO i skierował skargę kasacyjną do Naczelnego Sądu Administracyjnego. Ten zaś – jak opisała "Rzeczpospolita" – oddalił kasację, oceniając, że w decyzji dotyczącej Cyfrowego Polsatu zabrakło uzasadnienia grzywny.
NSA podkreślił, że UODO nie wskazał podstaw uznania firmy za odpowiedzialną z art. 32 ust. 1 i 2 RODO za dane klientów, których dotyczyły naruszenia. A to jest konieczne nawet w sytuacji, gdy spółka sama poinformowała Urząd o takich naruszeniach.
Jak już szczegółowo opisywaliśmy, grupa kapitałowa Cyfrowy Polsat w drugim kwartale 2025 r. wypracowała wzrost przychodów r/r o prawie 4 proc. do 3,58 mld zł. Wpływy ze sprzedaży prądu były już tylko o 30 proc. niższe od tych ze sprzedaży urządzeń dla użytkowników. Natomiast zysk netto zmalał ze 175,5 do 113 mln zł, m.in. wskutek niekorzystnych zmian kursów walut i sprzedaży akcji Asseco Poland.
