Spółdzielnia mieszkaniowa musi chronić dane osobowe swoich członków

Wyrok NSA nie ustanawia formalnego, skierowanego do wszystkich spółdzielni nakazu przeprowadzenia audytu, ale RODO zobowiązuje administratora do wdrażania, przeglądania i aktualizowania odpowiednich środków organizacyjnych oraz technicznych. Zawiadomienie nie powinno być urzędowym, uspokajającym komunikatem ograniczonym do stwierdzenia, że „doszło do incydentu, ale nie stwierdzono szkody”. Wyrok Naczelnego Sądu Administracyjnego z 26 sierpnia 2026 r. (III OSK 251/24) ma znaczenie szersze niż rozstrzygnięcie jednostkowego sporu pomiędzy prezesem UODO a spółdzielnią mieszkaniową. Dotyczy bowiem jednego z najtrudniejszych praktycznie obowiązków administratora: prawidłowego rozpoznania, czy naruszenie ochrony danych powoduje ryzyko dla praw lub wolności osoby, a następnie podjęcia decyzji o zgłoszeniu naruszenia organowi nadzorczemu i zawiadomieniu osoby, której dane dotyczą. NSA uchylił korzystny dla spółdzielni wyrok WSA i oddalił jej skargę, akceptując ocenę prezesa UODO, że ujawnienie imienia, nazwiska, numeru PESEL i adresu zamieszkania powodowało wysokie ryzyko dla osoby poszkodowanej. Sąd potwierdził również możliwość traktowania spółdzielni mieszkaniowej jako przedsiębiorstwa na potrzeby stosowania art. 83 RODO.