Ignorowanie decyzji Prezesa UODO kosztuje: kara 29 112 zł dla Costalea za niewykonanie nakazu

Prezes UODO nałożył karę pieniężną w wysokości 29 112 zł na administratora, który nie wykonał decyzji organu nadzorczego. Według komunikatu chodzi o warszawską spółkę Costalea, której nakazano spełnić obowiązek informacyjny wobec osoby skarżącej. To ważne ostrzeżenie dla wszystkich administratorów, zwłaszcza małych i średnich firm, które nie odbierają korespondencji kierowanej na adres z KRS, oraz dla IOD i pełnomocników odpowiadających za obieg pism urzędowych.

Stan na 10 października 2026.

Stan faktyczny

Z komunikatu UODO wynika następujący przebieg zdarzeń:

• w 2025 r. Prezes UODO Mirosław Wróblewski nakazał spółce Costalea z Warszawy spełnienie obowiązku informacyjnego wobec osoby skarżącej,
• decyzję wysłano na adres siedziby spółki ujawniony w KRS,
• UODO wezwał spółkę do wyjaśnień i przedstawienia dowodów wykonania decyzji, ale spółka milczała,
• skarżąca oświadczyła, że obowiązek informacyjny nie został spełniony, więc Prezes UODO uznał, że decyzja nie została wykonana,
• Prezes UODO skierował do spółki upomnienie, czyli pismo konieczne do wszczęcia egzekucji,
• ostatecznie nałożono karę 29 112 zł.

Komunikat figuruje na liście aktualności UODO, według której pochodzi z 5 października 2026 r. (daty na liście są jednak niespójne – patrz uwagi redakcyjne).

Jakie przepisy i dlaczego

Zgodnie z komunikatem za brak wykonania decyzji organu nadzorczego grozi administracyjna kara pieniężna do 20 mln zł, a dla przedsiębiorstwa do 4% całkowitego rocznego obrotu. Logika jest prosta: decyzja Prezesa UODO jest wiążąca. Jeśli administrator może ją zignorować bez konsekwencji, cały system ochrony praw osób, których dane dotyczą, przestaje działać.

Warto zauważyć, że kara nie dotyczy tu pierwotnego naruszenia, lecz braku reakcji na nakaz. Pierwotna sprawa dotyczyła obowiązku informacyjnego wobec skarżącej, czyli stosunkowo prostej czynności, którą spółka mogła wykonać i zamknąć sprawę.

Rozstrzygnięcie

Kara dla administratora wyniosła 29 112 zł. Źródło, na którym opieramy artykuł, to komunikat UODO. Sygnatura i data decyzji o karze oraz jej szczegółowa podstawa prawna nie zostały tu potwierdzone, więc ich nie podajemy. Nie wiadomo również, czy kara jest prawomocna i czy spółka wniosła skargę do sądu administracyjnego.

Czego to uczy

• Milczenie nie zamyka sprawy. Brak odpowiedzi na wezwanie UODO nie powoduje wygaśnięcia nakazu, a otwiera drogę do kolejnych kroków.
• Adres z KRS to adres doręczeń. Pismo wysłane na siedzibę ujawnioną w rejestrze trafia do administratora niezależnie od tego, czy ktoś je odbiera.
• Drobne obowiązki też mają znaczenie. Początek sprawy to nie wyciek ani cyberatak, lecz niewypełniony obowiązek informacyjny.
• Skarżący weryfikuje wykonanie. To jego oświadczenie o braku wykonania zaważyło na ustaleniach organu.
• Kara za brak reakcji bywa realna i dotkliwa, nawet jeśli konkretna kwota jest dużo niższa od ustawowego maksimum.

O podobnej logice odpowiedzialności za zaniedbania organizacyjne pisaliśmy w artykule Kara 20 000 zł za pendrive.

Sprawdź u siebie

• Czy adres siedziby w KRS jest aktualny i czy ktoś codziennie odbiera stamtąd korespondencję (także awizo)?
• Czy pisma z UODO są rejestrowane w dniu wpływu i od razu trafiają do IOD, pełnomocnika lub zarządu?
• Czy ktoś ma wyznaczony termin odpowiedzi i pilnuje go w kalendarzu?
• Czy po otrzymaniu decyzji z nakazem jest wyznaczona osoba odpowiedzialna za jej wykonanie?
• Czy wykonanie nakazu jest udokumentowane (kopia informacji, dowód wysłania, potwierdzenie)?
• Czy organowi przekazywane są wyjaśnienia i dowody wykonania decyzji w wyznaczonym terminie?
• Czy podczas urlopów i zmian kadrowych obieg pism nie ulega przerwaniu?
• Czy zarząd wie, że upomnienie z UODO to sygnał zbliżającej się egzekucji, a nie formalność?

Co zrobić

1. Zweryfikuj w KRS adres siedziby i ustal, kto fizycznie odbiera pocztę. Popraw adres, jeśli jest nieaktualny.
2. Wprowadź procedurę obiegu pism urzędowych: rejestr wpływu, natychmiastowe przekazanie do IOD lub pełnomocnika, termin reakcji.
3. Po każdej decyzji UODO wyznacz odpowiedzialną osobę i listę czynności do wykonania.
4. Wykonaj nakaz w terminie i zachowaj dowody. Przekaż organowi wyjaśnienia wraz z dowodami wykonania.
5. Jeśli upomnienie już wpłynęło, potraktuj je jako pilne: skontaktuj się z prawnikiem lub IOD i niezwłocznie wykonaj obowiązek.
6. Włącz temat do szkolenia zarządu i osób odbierających pocztę oraz do przeglądu SZBI lub polityki ochrony danych.

Synergia Analytic pomaga we wdrożeniu takich procedur (audyt, pełnomocnik SZBI, IOD) – umów konsultację.

Źródła

• Komunikat UODO: kara pieniężna za niewykonanie decyzji Prezesa UODO – uodo.gov.pl
• Lista aktualności Urzędu Ochrony Danych Osobowych – uodo.gov.pl