Wdrożenie RODO i audyt zgodności: obowiązki, kontrola, kary

Na jednostkę sektora finansów publicznych Prezes UODO może nałożyć karę do 100 000 zł, a na państwową albo samorządową instytucję kultury do 10 000 zł (art. 102 ustawy o ochronie danych osobowych). Przedsiębiorcę obowiązują granice z art. 83 RODO: 10 mln albo 20 mln euro. W 2025 r. ukarano 23 podmioty; osiem z nich należało do sektora publicznego, a suma nałożonych na nie kar wyniosła 375 400 zł.

Dwa różne limity kar i co z nich wynika

Prezes UODO karze na dwóch odrębnych podstawach. Wobec przedsiębiorców stosuje art. 83 RODO: do 10 mln euro albo 2 % rocznego światowego obrotu, a przy najpoważniejszych naruszeniach do 20 mln euro albo 4 %, przy czym bierze się kwotę wyższą. Jednostek sektora finansów publicznych, instytutów badawczych i Narodowego Banku Polskiego nie obejmują natomiast pułapy kwotowe z art. 83 (art. 101 ustawy o ochronie danych osobowych): dla nich granicą jest 100 000 zł, a dla państwowych i samorządowych instytucji kultury 10 000 zł (art. 102 ust. 1 i 2). Sam art. 83 stosuje się do nich dalej — kary z art. 102 Prezes Urzędu nakłada „na podstawie i na warunkach określonych w art. 83” (art. 102 ust. 3), więc o tym, czy kara padnie i jak wysoka będzie, decydują te same przesłanki: charakter i waga naruszenia, umyślność, działania naprawcze i współpraca z organem.

Liczby za 2025 r. pokazują, co z tego wynika. Prezes UODO nałożył 32 kary na 23 podmioty w 20 sprawach, łącznie 64 436 940,25 zł, wobec 27 kar na 13 907 740,96 zł rok wcześniej. Osiem ukaranych podmiotów należało do sektora finansów publicznych, a nałożone na nie kary wyniosły razem 375 400 zł, czyli mniej niż procent całej sumy. Jednostka publiczna trafia pod karę stosunkowo często, tylko sama kara jest niska. Dolegliwość leży w nakazie dostosowania przetwarzania, wydawanym obok kary, i w samej kontroli.

Inspektor ochrony danych: kto musi go mieć i co znaczy skuteczne wyznaczenie

Organ lub podmiot publiczny wyznacza inspektora bez badania skali przetwarzania, z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości (art. 37 ust. 1 lit. a RODO). Polska ustawa rozstrzyga, kogo to obejmuje: jednostki sektora finansów publicznych, instytuty badawcze i NBP (art. 9 ustawy o ochronie danych osobowych). Obowiązek ma więc osobno urząd gminy, szkoła, ośrodek pomocy społecznej, biblioteka i dom kultury. Wyznaczenie, zmianę danych i odwołanie inspektora zgłasza się Prezesowi Urzędu w terminie 14 dni (art. 10 ust. 1 i 4), a jego dane udostępnia się na stronie internetowej (art. 11).

Na Powiatowego Inspektora Nadzoru Budowlanego w Częstochowie Prezes UODO nałożył 25 000 zł za niewyznaczenie inspektora (decyzja DKN.5131.7.2024 z 18 października 2024 r., prawomocna). Inspektorat przedstawił zaświadczenie o szkoleniu, upoważnienie do przetwarzania danych i zakres czynności oparty na ustnym poleceniu. Prezes UODO uznał, że to za mało: potrzebny jest pisemny akt wskazujący konkretną osobę i przypisujący jej zadania z art. 38 i 39 RODO.

Konflikt interesów inspektora, czyli miejsce, w którym zatrzymują się kontrole

Administrator ma obowiązek zbadać, czy inne zadania inspektora nie powodują konfliktu interesów (art. 38 ust. 6 RODO). Trybunał Sprawiedliwości w wyroku z 9 lutego 2023 r. w sprawie C-453/21 przyjął, że konflikt może powstać wtedy, gdy inspektor dostaje zadania prowadzące do określania celów i sposobów przetwarzania, bo musiałby potem oceniać własne decyzje — a ocenę trzeba przeprowadzić osobno w każdym przypadku, biorąc pod uwagę wszystkie okoliczności, w szczególności strukturę organizacyjną jednostki. Prezes UODO dokłada kryterium czasowe: konflikt bywa też skutkiem samego nadmiaru obowiązków.

W kontrolach z 2025 r. dotyczących dokumentowania naruszeń najwięcej wątpliwości wzbudziła właśnie rola inspektora. W kilku podmiotach naruszenia dokumentował inspektor albo podległy mu zespół, a decyzji nie poprzedzała utrwalona na piśmie analiza konfliktu interesów. Jednostki wskazywały, że w ich ocenie konflikt nie zachodzi, tylko oceny tej nie utrwaliły na piśmie.

Co Prezes UODO sprawdza w 2026 roku

Plan kontroli sektorowych na 2026 r. Prezes UODO ogłosił 8 stycznia 2026 r. Objął nim pięć obszarów: organy przetwarzające dane w wielkoskalowych systemach Unii Europejskiej, podmioty lecznicze w zakresie monitoringu wizyjnego, zwłaszcza dotyczącego dzieci, podmioty marketingowe, internetowe platformy dostaw oraz, co dla samorządu najważniejsze, podmioty prowadzące Biuletyn Informacji Publicznej, w szczególności w zakresie anonimizacji danych oraz udostępniania przebiegu sesji rad gminy.

Skala kontroli rośnie. W 2025 r. Prezes UODO skontrolował 76 podmiotów wobec 50 w 2024 r., a 41 kontroli wynikało z planu sektorowego: 17 dotyczyło dokumentowania naruszeń, 12 wizerunków dzieci w szkołach, przedszkolach i placówce opiekuńczo-wychowawczej, 7 danych pacjentów, 5 systemów unijnych.

Naruszenie ochrony danych: 72 godziny, a potem zawiadomienie osób

Naruszenie zgłasza się Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w 72 godziny od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności (art. 33 ust. 1 RODO). Do zgłoszenia po terminie dołącza się wyjaśnienie przyczyn opóźnienia. Przy wysokim ryzyku trzeba dodatkowo zawiadomić osoby, których dane dotyczą (art. 34 ust. 1). Wewnętrznie dokumentuje się każde naruszenie — także to zgłoszone i to, którego się nie zgłasza — wraz z okolicznościami, skutkami i podjętymi działaniami zaradczymi (art. 33 ust. 5).

Zawiadomienie osób to obowiązek odrębny od zgłoszenia i ma inne przesłanki (art. 33 i 34 RODO). Powstaje przy wysokim ryzyku naruszenia praw lub wolności, a samo zawiadomienie musi zawierać informacje wymagane przez art. 34 ust. 2 RODO. Przyczyny naruszeń są powtarzalne: błędnie zaadresowana korespondencja, dokument wydany niewłaściwej osobie, poczta masowa bez ukrycia adresów w polu UDW, wadliwa anonimizacja.

Rejestr czynności i ocena skutków, czyli z czego składa się wdrożenie RODO

Rejestr czynności przetwarzania prowadzi administrator, a rejestr kategorii czynności podmiot przetwarzający, czyli ten, komu powierzono dane (art. 30 ust. 1 i 2 RODO). Zwolnienie dla zatrudniających mniej niż 250 osób jest pozorne: nie działa, gdy przetwarzanie może powodować ryzyko naruszenia praw, nie ma charakteru sporadycznego, obejmuje szczególne kategorie danych albo dane o wyrokach skazujących i naruszeniach prawa (art. 30 ust. 5). Wystarczy jedna z tych przesłanek, a w urzędzie czy szkole spełnione są zwykle wszystkie.

Ocena skutków dla ochrony danych jest obowiązkowa, gdy przetwarzanie z dużym prawdopodobieństwem powoduje wysokie ryzyko (art. 35 ust. 1 i 3 RODO). Wykaz takich operacji Prezes UODO ogłosił komunikatem z 17 czerwca 2019 r. (M.P. 2019 poz. 666): zawiera dwanaście kryteriów, a co do zasady spełnienie dwóch uruchamia obowiązek. Gdy z oceny wynika, że mimo planowanych zabezpieczeń ryzyko pozostaje wysokie, przed rozpoczęciem przetwarzania konsultuje się z organem nadzorczym (art. 36 ust. 1). W całym 2025 r. wpłynęły cztery takie wnioski.

RODO przy informacji publicznej i przy monitoringu w gminie

Prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej lub tajemnicę przedsiębiorcy, poza informacjami o osobach pełniących funkcje publiczne i poza przypadkiem, gdy osoba sama z tej ochrony zrezygnuje (art. 5 ust. 2 ustawy o dostępie do informacji publicznej). Trybunał Sprawiedliwości w wyroku z 3 kwietnia 2025 r. w sprawie C-710/23 uznał, że RODO nie stoi na przeszkodzie orzecznictwu krajowemu nakazującemu organowi poinformować osobę i zasięgnąć jej stanowiska przed udostępnieniem dokumentu z jej danymi — o ile nie jest to niemożliwe do wykonania ani nie wymaga niewspółmiernie dużego wysiłku, bo wtedy ograniczałoby prawo dostępu ponad miarę. Prezes UODO w wystąpieniu z 13 maja 2025 r. (DOL.0623.1.2024) ocenił polską ustawę jako zbyt ogólną i wniósł o jej zmianę.

Monitoring ma własne granice ustawowe, osobne dla każdego rodzaju jednostki: gmina prowadzi go na podstawie art. 9a ustawy o samorządzie gminnym, szkoła na podstawie art. 108a Prawa oświatowego, a pracodawca wobec pracowników na podstawie art. 22² Kodeksu pracy. Nagrania przechowuje się nie dłużej niż 3 miesiące od dnia nagrania, monitoring nie obejmuje pomieszczeń sanitarnych, szatni, stołówek, palarni ani obiektów socjalnych, a obiekty oznacza się widoczną informacją (art. 9a ustawy o samorządzie gminnym). Osobno obrady rady gminy są transmitowane i utrwalane, a nagrania udostępniane w Biuletynie Informacji Publicznej, na stronie internetowej gminy i w sposób zwyczajowo przyjęty (art. 20 ust. 1b).

Na co zwrócić uwagę przy ochronie danych

Po pierwsze, inspektor wyznaczony ustnie albo przy okazji. Pracownik kadr po szkoleniu, wpisany do klauzuli informacyjnej, nie jest skutecznie wyznaczonym inspektorem.

Po drugie, brak zawiadomienia osób po naruszeniu. Zgłoszenie do UODO zamyka pierwszy obowiązek, nie drugi. Zawiadomienie jest wymagane, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób (art. 34 ust. 1 RODO).

Po trzecie, analiza ryzyka sporządzana po zdarzeniu. Kary z 2025 r. najczęściej dotyczyły art. 5 RODO (14 razy) i art. 32 RODO (12 razy), a więc zasad przetwarzania i bezpieczeństwa, a nie samych rejestrów: art. 30 i art. 35 pojawiły się po jednym razie.

Po czwarte, powierzenie przetwarzania bez sprawdzenia dostawcy. Naruszenie art. 28 RODO było podstawą kary pięć razy. Umowa powierzenia nie zastępuje kontroli, czy podmiot przetwarzający robi to, co w niej napisano.

Po piąte, milczenie wobec organu. Udaremnianie lub utrudnianie kontroli jest przestępstwem zagrożonym grzywną, karą ograniczenia wolności albo pozbawienia wolności do lat dwóch (art. 108 ust. 1 ustawy o ochronie danych osobowych); tej samej karze podlega niedostarczenie Prezesowi Urzędu danych niezbędnych do ustalenia podstawy wymiaru kary pieniężnej (ust. 2).

Jak wygląda praca z Kancelarią

Zaczynamy od ustalenia, w jakim reżimie kar Państwo działają, bo od tego zależy skala ryzyka: art. 83 RODO czy art. 102 ustawy o ochronie danych osobowych. Przy jednostce samorządu ustalamy, które jednostki organizacyjne są odrębnymi administratorami. Prosimy o schemat organizacyjny, dotychczasową dokumentację ochrony danych, wykaz systemów informatycznych, umowy powierzenia oraz akt powołania inspektora.

Adwokat sprawdza skuteczność wyznaczenia inspektora i zgłoszenia jego danych, przegląda rejestr czynności i rejestr kategorii czynności, ustala, które operacje wymagają oceny skutków, a w razie potrzeby ocenia możliwość łączenia funkcji inspektora z innymi zadaniami, z uwzględnieniem niezależności i konfliktu interesów. Formę i zakres tej oceny określa umowa. Przygotowujemy procedurę postępowania z naruszeniami wraz z wewnętrznym rejestrem z art. 33 ust. 5 RODO oraz wzorami zgłoszenia i zawiadomienia osób. Opiniujemy odpowiedzi na wnioski o informację publiczną w części dotyczącej anonimizacji.

Reprezentujemy administratorów w kontroli, przed Prezesem UODO i przed sądami administracyjnymi. Obowiązek wdrożenia procedury zgłoszeń wewnętrznych, opisanej na stronie o ochronie sygnalistów, oceniamy odrębnie od obowiązków administratora danych. Obsługujemy jednostki samorządu i instytucje kultury oraz spółki i przedsiębiorców. Spotykamy się w Katowicach przy Placu Oddziałów Młodzieży Powstańczej 5/8 i w Zawierciu przy ul. 3 Maja 33. Wynagrodzenie ustalamy przed rozpoczęciem pracy.

Pytania i odpowiedzi

Czy urząd gminy musi mieć inspektora ochrony danych?

Tak. Organ publiczny wyznacza inspektora niezależnie od skali przetwarzania, z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości (art. 37 ust. 1 lit. a RODO), a polska ustawa zalicza do tej grupy wszystkie jednostki sektora finansów publicznych (art. 9 ustawy o ochronie danych osobowych). Obowiązek ma osobno urząd, szkoła i instytucja kultury, choć dla kilku podmiotów publicznych można wyznaczyć jednego inspektora (art. 37 ust. 3 RODO) — wtedy jednak każdy z nich zawiadamia Prezesa Urzędu osobno (art. 10 ust. 5 ustawy o ochronie danych osobowych).

Ile wynosi kara za naruszenie RODO w jednostce publicznej?

Do 100 000 zł dla jednostki sektora finansów publicznych oraz do 10 000 zł dla państwowej albo samorządowej instytucji kultury (art. 102 ust. 1 i 2 ustawy o ochronie danych osobowych). Tych podmiotów nie obejmują pułapy 10 mln i 20 mln euro z art. 83 RODO (art. 101), ale same przesłanki wymiaru kary z art. 83 stosuje się do nich tak samo (art. 102 ust. 3). W 2025 r. na osiem ukaranych jednostek publicznych nałożono łącznie 375 400 zł.

Czy szkoła albo biblioteka musi prowadzić rejestr czynności przetwarzania?

Tak. Zwolnienie dla podmiotów zatrudniających mniej niż 250 osób nie działa, gdy przetwarzanie może powodować ryzyko naruszenia praw, nie ma charakteru sporadycznego, obejmuje szczególne kategorie danych albo dane o wyrokach skazujących i naruszeniach prawa (art. 30 ust. 5 RODO). Wystarczy, by spełniona była jedna z tych przesłanek, a szkoła i biblioteka spełniają zwykle wszystkie naraz, więc rejestr prowadzą bez względu na liczbę etatów.

Co trzeba zrobić w ciągu 72 godzin po wycieku danych?

Zgłosić naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w 72 godziny od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności (art. 33 ust. 1 RODO). Zgłoszenie po terminie jest nadal obowiązkowe, dołącza się do niego wyjaśnienie przyczyn opóźnienia.

Czy zawsze trzeba zawiadamiać osoby, których dane wyciekły?

Nie zawsze. Zawiadomienie jest konieczne przy wysokim ryzyku naruszenia praw lub wolności (art. 34 ust. 1 RODO), a odpada między innymi wtedy, gdy wdrożone środki — na przykład szyfrowanie — objęły właśnie te dane i uniemożliwiają ich odczyt osobom nieuprawnionym (ust. 3).

Czy inspektorem ochrony danych może być kierownik działu IT albo kadr?

Ustawa tego wprost nie zakazuje, ale administrator musi wykazać brak konfliktu interesów (art. 38 ust. 6 RODO), a osoba decydująca o celach i sposobach przetwarzania oceniałaby własne decyzje. Tak rozumiał to Trybunał Sprawiedliwości w wyroku C-453/21, zastrzegając, że konflikt bada się indywidualnie, według struktury organizacyjnej i podziału zadań. Dlatego analizę trzeba sporządzić na piśmie przed powierzeniem zadań — brak takiej analizy wytknął jednostkom Prezes UODO w kontrolach z 2025 r.

Czy można odmówić informacji publicznej, powołując się na RODO?

Samo RODO nie jest podstawą odmowy. Jest nią art. 5 ust. 2 ustawy o dostępie do informacji publicznej, który chroni prywatność osoby fizycznej i tajemnicę przedsiębiorcy, ale nie działa wobec osób pełniących funkcje publiczne w zakresie związanym z tymi funkcjami ani wtedy, gdy osoba sama z tej ochrony zrezygnuje. Zwykle prawidłowym rozwiązaniem jest udostępnienie dokumentu po anonimizacji, a nie odmowa.

Czy przepisy o ochronie danych osobowych zmieniły się w 2026 roku?

Tak, choć punktowo. Ustawę z 10 maja 2018 r. zmieniono w 2026 r. trzykrotnie: od 3 kwietnia połowa kar za naruszenia bezpieczeństwa danych zasila Fundusz Cyberbezpieczeństwa (Dz.U. 2026 poz. 252), od 23 lipca Prezes UODO jest organem właściwym w sprawach pośrednictwa i altruizmu danych (Dz.U. 2026 poz. 548), a od 28 października współpracuje z Komisją Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (Dz.U. 2026 poz. 1003). Samego RODO nie zmieniono.

Kontakt

Jeżeli mają Państwo ustalić, czy Państwa jednostka spełnia obowiązki z RODO, przygotować się do kontroli albo uporządkować dokumentację po naruszeniu, zapraszamy do Katowic lub do Zawiercia. Termin umówią Państwo pod numerem 535 204 359 lub pisząc na sekretariat@oca.com.pl.

Wróć do zgodności i audytów