Czy w opisanej sytuacji spółka ponosi odpowiedzialność na gruncie przepisów RODO za naruszenie ochrony danych osobowych?

Spółka zakończyła współpracę ze swoim kontrahentem (administratorem danych) w 2014 roku, pod rządami ustawy o ochronie danych osobowych z 1997 roku. Stron nie łączyła wówczas umowa powierzenia przetwarzania danych, o której mowa w art. 31 ww. ustawy. W związku z zakończeniem współpracy, spółka zwróciła administratorowi dane, przesyłając je na wskazany przez niego serwer. W 2019 roku, tj. po wejściu w życie przepisów RODO, doszło do stwierdzenia naruszenia ochrony danych osobowych, polegającego na nieuprawnionym, trwającym od 2014 roku publicznym dostępie do tych danych (przy czym dane nie znajdowały się już w zasobach spółki).

Czy spółka ponosi odpowiedzialność na gruncie przepisów RODO za naruszenie ochrony danych osobowych?

Jakie są postawy prawne odpowiedzialności spółki wobec osób, których dane dotyczą oraz wobec administratora danych?