Costalea: kara UODO 29 112 zł po skardze

Prezes UODO nałożył na spółkę Costalea karę 29 112 zł (równowartość 6 930 euro). Ta kara UODO nie dotyczy wycieku danych ani złego zabezpieczenia systemów. Spółka zapłaci za to, że **przez ponad rok nie wykonała decyzji** wydanej po skardze jednej osoby.

Decyzja o sygnaturze DKE.561.3.2026 zapadła 18 sierpnia 2026 r. i **jest nieprawomocna**. Urząd poinformował o niej w komunikacie z 5 października 2026 r., a jej pełną, zanonimizowaną treść można przeczytać w **bazie orzeczeń UODO**.

Punktem wyjścia była skarga do UODO. **25 czerwca 2025 r.** Prezes UODO nakazał spółce spełnić wobec skarżącej obowiązek informacyjny z art. 14 ust. 1 i 2 RODO. Spółka nie odebrała przesyłki z decyzją mimo dwóch awiz, więc według kodeksu postępowania administracyjnego uznano ją za doręczoną 14 lipca 2025 r.

Dalej było już tylko milczenie. We wrześniu 2025 r. urząd wezwał spółkę do wykazania, że wykonała nakaz. Pod koniec października, po telefonie pracownika spółki, kopia decyzji trafiła e-mailem do prezesa zarządu. **24 listopada 2025 r.** przyszło upomnienie, czyli pismo otwierające drogę do egzekucji administracyjnej. Siedmiodniowy termin minął 3 grudnia bez odpowiedzi.

W marcu 2026 r. urząd wszczął postępowanie w sprawie kary. Skarżąca złożyła w tym czasie pisemne oświadczenie, że nadal nie dostała należnych jej informacji. Do dnia wydania decyzji spółka nie odpowiedziała na żadne pismo i nie przesłała sprawozdania finansowego, o które urząd prosił dwa razy.

Prezes UODO uznał naruszenie za **umyślne**, bo spółka znała decyzję i świadomie jej nie wykonała. Niewykonanie nakazu organu nadzorczego należy w RODO do grupy naruszeń zagrożonych wyższą karą: do 20 mln euro albo do 4% rocznego światowego obrotu przedsiębiorstwa, jeśli ta kwota jest wyższa.

Wysokość kary urząd ustalił na podstawie wyników finansowych spółki. Ponieważ spółka nie przesłała sprawozdania, organ sięgnął do publicznej przeglądarki dokumentów finansowych Ministerstwa Sprawiedliwości. Uznał, że wyższa kwota nie zwiększyłaby już skuteczności kary.

Jedna rzecz jest tu ważna: **zapłata kary nie zwalnia spółki z obowiązku**. Urząd zapowiada, że nadal będzie dążył do tego, żeby skarżąca dostała informacje, które się jej należą z mocy prawa.

Obowiązek z art. 14 RODO dotyczy sytuacji, gdy firma ma dane osoby, ale nie dostała ich od niej samej. Musi wtedy poinformować tę osobę między innymi o tym, **skąd te dane pochodzą**. Dla kogoś, kto po wycieku odbiera telefony i wiadomości od nieznanych firm, to jedno z praktycznych narzędzi.

Ta sprawa pokazuje obie strony skargi do UODO. Dobra wiadomość: decyzja urzędu nie jest pustym papierem. Gdy firma ją ignoruje, organ może wszcząć egzekucję i nałożyć karę. Gorsza wiadomość: **kara trafia do budżetu państwa, a nie do skarżącej**. Ponad rok po decyzji skarżąca nadal czekała na informacje. Skarga do UODO służy wymuszeniu przestrzegania prawa. Nie jest drogą do odszkodowania za wyciek danych, bo o tym rozstrzyga sąd cywilny.