Pomyłka w korespondencji początkiem problemów

Incydent, który doprowadził do kary, wydawał się z pozoru błahym błędem administracyjnym. Do nieuprawnionej osoby przesłano zawiadomienie o rozliczeniu opłat za użytkowanie lokalu, które należało do innego członka wspólnoty. Korespondencję wysłała firma administrująca nieruchomością, działająca na zlecenie wspólnoty.
Dokument, który trafił w niepowołane ręce, zawierał szeroki zakres danych osobowych:
• imię i nazwisko,

• dokładny adres i numer lokalu,

• szczegółowe kwoty rozliczeń,

• numery oraz stany liczników,

• indywidualny numer rachunku bankowego do wpłat.

O naruszeniu dowiedział się UODO bezpośrednio od osoby, która otrzymała cudzą korespondencję.

Błędna interpretacja przepisów przez wspólnotę

W toku postępowania wspólnota oraz podmiot przetwarzający (firma administrująca) próbowały argumentować, że do naruszenia w rzeczywistości nie doszło. Twierdzono, że skoro obaj członkowie wspólnoty są właścicielami lokali w tej samej nieruchomości, to na mocy Ustawy o własności lokali mają oni prawo wglądu w dokumentację wspólnoty i listę współwłaścicieli. Dodatkowo administrator stał na stanowisku, że incydent dotyczył tylko jednej osoby i „danych zwykłych”, więc nie było podstaw do powiadomienia Prezesa UODO.

przedsiebiorczy krag

Stanowcze stanowisko Prezesa UODO

Organ nadzorczy odrzucił tę argumentację. W uzasadnieniu decyzji podkreślono, że prawa właścicieli lokali do kontroli zarządu nie dają wspólnocie legitymacji do dowolnego przesyłania dokumentów rozliczeniowych osobom trzecim. UODO zaznaczył, że udostępnienie danych nastąpiło bez żadnego związku z celami określonymi w Ustawie o własności lokali, lecz było efektem błędu.


Kluczowe wnioski z decyzji UODO:

1. Ryzyko dla praw i wolności: Nawet jeśli prawdopodobieństwo negatywnych skutków dla osoby poszkodowanej wydaje się małe, administrator ma obowiązek zgłosić naruszenie, chyba że ryzyko w ogóle nie istnieje.

2. Liczba osób nie ma znaczenia: Obowiązek zgłoszenia naruszenia istnieje nawet wtedy, gdy sprawa dotyczy tylko jednego członka wspólnoty.

3. Czas trwania naruszenia: Wspólnota, mimo otrzymywanych wezwań i wyjaśnień ze strony UODO, przez blisko trzy lata odmawiała dokonania zgłoszenia. Ten długi czas zwłoki został uznany za okoliczność obciążającą.

Lekcja dla zarządców nieruchomości

Decyzja z kwietnia 2026 roku jasno pokazuje, że wspólnota mieszkaniowa jako administrator danych ponosi pełną odpowiedzialność za bezpieczeństwo informacji, nawet jeśli techniczną obsługę wysyłek powierza zewnętrznej firmie. Bagatelizowanie incydentów związanych z wyciekiem danych oraz ignorowanie wezwań organu nadzorczego może prowadzić do dotkliwych kar finansowych, które ostatecznie obciążają budżet wspólnoty.