Wojewódzki Sąd Administracyjny oddalił skargę Toyota Bank Polska SA na decyzję Prezesa UODO. Sąd podzielił ustalenia dotyczące braku niezależności IOD oraz pominięcia profilowania w dokumentacji przetwarzania.
WSA oddalił skargę Toyota Bank Polska SA na decyzję Prezesa UODO dotyczącą dwóch kar o łącznej wysokości 576 220 zł. Sankcje nałożono za niewłaściwe umiejscowienie inspektora ochrony danych (IOD) oraz za nieuwzględnienie profilowania w rejestrze czynności przetwarzania i w ocenie skutków dla ochrony danych.
Kontrola UODO wykazała, że IOD nie raportował bezpośrednio do zarządu, lecz podlegał dyrektorowi departamentu bezpieczeństwa, który zarządzał procesami przetwarzania i kontrolą zabezpieczeń. W ocenie Prezesa UODO takie usytuowanie podważało niezależność IOD; za ten zarzut nałożono 261 918 zł. Druga kara, w wysokości 314 302 zł, dotyczyła braku ujęcia profilowania w dokumentacji oraz braku oceny skutków tego procesu.
Sąd w ustnych motywach stwierdził, że Prezes UODO prawidłowo ocenił stan faktyczny i prawny, a „zatrudnienie IOD było sprzeczne z przepisami prawa”. Wskazano też, że nieuwzględnienie profilowania w opisie rejestru czynności oraz brak oceny skutków stanowiło naruszenie wymogów RODO. Sygnatura sprawy: DKN.5112.14.2022; wyrok z 18 września 2025 r.
Co to oznacza w praktyce
Wyrok potwierdza, że IOD powinien podlegać bezpośrednio najwyższemu kierownictwu. Profilowanie danych musi być ujęte w rejestrze czynności i podlegać ocenie skutków dla ochrony danych, gdy jest stosowane.
Źródło: UODO – aktualności.
Jeżeli juz odwiedziłeś naszą stronę - zapraszamy do przejrzenia cennika usług!
- UODO zawiadamia Policję ws. wygenerowanego nagiego wizerunku uczennicy - 20 października 2026
- UE uzgadnia nowe przepisy proceduralne dla egzekwowania RODO w sprawach transgranicznych - 20 października 2026
- NSA podtrzymał karę UODO dla KSSiP za uchybienia przy migracji danych - 20 października 2026