Odpowiedzialność administratora danych przy korzystaniu z prywatnych urządzeń przez zatrudnionych.
W dniu 8 września 2026 roku Naczelny Sąd Administracyjny (NSA) wydał wyrok (sygn. akt: III OSK 533/24) dotyczący odpowiedzialności administratora danych za dane osobowe przetwarzane przez zatrudnionych na prywatnym sprzęcie np. podczas telepracy czy pracy zdalnej. NSA podkreślił w tym wyroku, że administrator nie może przenieść na zatrudnionego odpowiedzialności za zaprojektowanie, wdrożenie i wykazanie adekwatnych zabezpieczeń (RODO), ale odpowiedzialność za to ponosi administrator.
W stanie faktycznym, na kanwie którego zapadł wyrok, Prezes Urzędu Ochrony Danych Osobowych udzielił upomnienia Rzecznikowi Finansowemu po kradzieży prywatnego komputera byłego pracownika, na którym znajdowały się skopiowane dokumenty ze służbowej skrzynki. Sprawa dotyczyła danych 1334 osób, w tym m.in. numerów PESEL, informacji finansowych, danych z dokumentów tożsamości oraz informacji o prowadzonych sprawach.
Zarzuty, jakie w tej sprawie NSA miał do administratora, to brak przeprowadzenia analizy ryzyka dotyczącej telepracy na prywatnych komputerach; brak wymogu szyfrowania całego dysku (lub rozwiązania równoważnego) na prywatnym sprzęcie; brak technicznej weryfikacji, czy zabezpieczenia na prywatnym urządzeniu są faktycznie zainstalowane i skuteczne; brak kontroli/ograniczeń kopiowania dokumentów ze służbowej poczty na lokalny dysk; brak sprawdzalnego mechanizmu potwierdzającego trwałe usunięcie kopii danych po zakończeniu zatrudnienia. NSA uznał również, że VPN/hasło/szyfrowanie archiwów jest niewystarczające, ponieważ VPN chroni kanał połączenia, a nie dane już zapisane lokalnie na dysku; szyfrowanie archiwów chroni tylko te pliki, które zostały objęte szyfrowaniem, a hasło do konta użytkownika nie jest równoważne szyfrowaniu danych na nośniku.
NSA rozpoznając sprawę postawił następujące tezy:
• Administrator odpowiada także za prywatny sprzęt używany do pracy przez zatrudnionych (oczywiście o ile dopuszcza korzystanie z takiego sprzętu). Administrator ma obowiązek tak zorganizować pracę, telepracę, pracę zdalną, aby zapewnić bezpieczeństwo danych osobowych.
• O statusie administratora decyduje to, który podmiot ustala faktycznie cele i sposoby przetwarzania danych.
• Sam incydent naruszenia ochrony danych nie oznacza automatycznie, że zabezpieczenia stosowane przez administratora nie były właściwe i wystarczające. To podlega dopiero analizie, ale nie mamy tu automatyzmu. Dobór środków ochrony danych ocenia się w konkretnym stanie faktycznym.
• Administrator nie jest rozliczany za to, że nie zapobiegł kradzieży i nie za to ponosi odpowiedzialność – to nie było jego obowiązkiem. Obowiązkiem administratora jest zaś – i z tego jest rozliczany – dobranie i stosowanie odpowiednich, adekwatnych środków ochrony danych osobowych, aby w razie przewidywalnego ryzyka jak utrata/kradzież urządzenia, na którym przetwarzane są dane, ograniczyć możliwość dostępu do danych osobowych i ich naruszenia.
Istotną konsekwencją praktyczną, jaka płynie z powyższego wyroku jest to, że dopuszczenie przez administratora prywatnego sprzętu do przetwarzania danych powoduje, że to na administratorze spoczywa obowiązek zapewnienia bezpiecznego przetwarzania tych danych i to administrator będzie za to ponosił odpowiedzialność i będzie z tego rozliczany. Wymagane jest więc przeprowadzenie w pierwszej kolejności analizy ryzyka (i tam gdzie to konieczne oceny skutków dla ochrony danych) oraz na jej podstawie dobór odpowiednich środków ochrony danych osobowych przetwarzanych na takich urządzeniach. Jeżeli takie działania w Państwa organizacji nie zostały podjęte, rekomendujemy ich podjęcie.
W przypadku pytań lub chęci nawiązania współpracy, serdecznie zapraszamy do kontaktu.