RODO (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) na stałe zmieniło sposób, w jaki firmy, instytucje publiczne i organizacje pozarządowe przetwarzają dane osobowe.
Kary za złamanie przepisów RODO są wysokie i coraz częściej egzekwowane. Organy nadzorcze, takie jak Prezes Urzędu Ochrony Danych Osobowych (UODO) w Polsce, nakładają je nie tylko za poważne wycieki danych, ale również za błędy proceduralne, brak nadzoru nad procesami przetwarzania czy niewypełnienie obowiązków informacyjnych.
Spis treści
Na jakiej podstawie nakłada się kary za naruszenie RODO?
Zasady nakładania kar określa art. 83 RODO, który przewiduje dwa progi sankcji:
1. Pierwszy próg – do 10 mln euro lub 2% rocznego obrotu
Dotyczy naruszeń proceduralnych i organizacyjnych, m.in.:
- braku prowadzenia rejestru czynności przetwarzania),
- niewłaściwego zabezpieczenia danych,
- braku umowy powierzenia przetwarzania,
- niewyznaczenia inspektora ochrony danych,
- zbyt późnego zgłoszenia naruszenia do UODO .
2. Drugi próg – do 20 mln euro lub 4% rocznego obrotu
Dotyczy naruszeń najbardziej dotkliwych, uderzających w prawa osób fizycznych, np.:
- przetwarzania danych bez podstawy prawnej,
- odmowy realizacji prawa dostępu lub usunięcia danych,
- nieprzestrzegania decyzji organu nadzorczego,
- przekazywania danych do państw trzecich bez zabezpieczeń.
Wysokość kary zależy od skali naruszenia, liczby osób, których dane dotyczą, stopnia winy, współpracy z organem oraz działań naprawczych.
Kary RODO w Polsce – aktualne decyzje Prezesa UODO
W Polsce decyzje UODO pokazują, że sankcje dotykają zarówno duże spółki, jak i mniejsze podmioty. Poniżej najważniejsze przykłady z aktualnymi kwotami (stan na 2025 r.).
a) Morele.net – 3,8 mln zł za niewystarczające zabezpieczenia techniczne
To najgłośniejsza sprawa w historii polskiego RODO.
W wyniku ataku hakerskiego wyciekły dane ponad 2 milionów klientów sklepu internetowego Morele.net. UODO uznał, że zastosowane zabezpieczenia były niewystarczające – firma nie wdrożyła m.in. silnych mechanizmów uwierzytelniania i monitoringu systemów.
Pierwotna kara z 2019 roku wynosiła 2,8 mln zł, ale po ponownym rozpoznaniu sprawy w 2024 roku została podniesiona do 3,8 mln zł.
Wniosek: sam fakt ataku hakerskiego nie zwalnia administratora z odpowiedzialności – liczy się to, czy wdrożył adekwatne środki techniczne i organizacyjne.
b) Santander Bank Polska – 545 tys. zł za błędne udostępnienie danych
W 2022 roku Santander Bank Polska został ukarany kwotą 545 748 zł za niewłaściwe udostępnienie danych osobowych osobie nieuprawnionej.
Bank posiadał procedury ochrony danych, jednak w praktyce pracownicy nie przestrzegali ich właściwie.
Wniosek: posiadanie polityk i regulaminów nie wystarczy – konieczne jest egzekwowanie ich w codziennej pracy.
c) Virgin Mobile (obecnie P4) – 1,6 mln zł za brak testowania zabezpieczeń
Spółka Virgin Mobile Polska została ukarana pierwotnie kwotą 1,9 mln zł w 2020 roku.
Po ponownym rozpoznaniu sprawy, decyzją z 2023 roku, UODO obniżył karę do 1,6 mln zł.
Powodem było niewdrożenie skutecznych zabezpieczeń danych użytkowników i brak regularnych testów systemów informatycznych.
Wniosek: obowiązek zapewnienia bezpieczeństwa danych nie kończy się na wdrożeniu środków – wymaga ciągłego ich testowania i aktualizacji.
d) Szkoła podstawowa – 20 tys. zł za pobieranie odcisków palców uczniów
Prezes UODO nałożył na szkołę podstawową w Gdańsku karę 20 tys. zł za stosowanie systemu biometrycznego (odcisków palców) przy wydawaniu posiłków.
Szkoła nie miała podstawy prawnej do przetwarzania tak wrażliwych danych uczniów, a zgoda rodziców nie spełniała wymogów RODO (nie była dobrowolna i proporcjonalna).
Wniosek: dane biometryczne należą do kategorii szczególnej (art. 9 RODO) – ich przetwarzanie jest dopuszczalne tylko w wyjątkowych przypadkach.
Rekordowe kary RODO w Europie
RODO obowiązuje we wszystkich państwach UE, a europejskie organy nadzorcze coraz częściej wymierzają kary w setkach milionów euro.
a) Meta (Facebook) – 1,2 mld euro
W 2023 roku irlandzki organ nadzorczy (Data Protection Commission) nałożył na Meta Platforms Ireland Ltd. rekordową karę 1,2 miliarda euro za przekazywanie danych użytkowników z UE do USA z naruszeniem przepisów o transferze danych (art. 44–49 RODO).
To najwyższa kara w historii RODO.
Wniosek: dane użytkowników z UE muszą być przetwarzane w granicach prawnych Europejskiego Obszaru Gospodarczego – niezależnie od tego, jak globalna jest firma.
b) Amazon Europe – 746 mln euro
W 2021 roku luksemburski organ ochrony danych (CNPD) wymierzył Amazon Europe Core S.à r.l. karę 746 mln euro.
Spółka przetwarzała dane użytkowników w celach marketingowych i profilowała ich zachowania bez ważnej zgody.
W 2025 roku sąd administracyjny w Luksemburgu utrzymał decyzję CNPD.
Wniosek: zgoda użytkownika musi być jednoznaczna i możliwa do wycofania – „ukrycie” jej w regulaminie jest niedopuszczalne.
c) H&M – 35,3 mln euro za naruszanie prywatności pracowników
W 2020 roku niemiecki urząd ochrony danych w Hamburgu ukarał H&M kwotą 35,3 mln euro za gromadzenie informacji o życiu prywatnym pracowników (np. o zdrowiu, wierze, sytuacji rodzinnej).
Dane te były nieuzasadnione i naruszały zasadę minimalizacji.
Wniosek: pracodawcy mogą przetwarzać tylko te dane, które są konieczne do zatrudnienia – prywatne informacje nie mają prawa trafić do systemu HR.
Od czego zależy wysokość kary?
Zgodnie z art. 83 ust. 2 RODO, wysokość kary ustalana jest indywidualnie.
Organ nadzorczy bierze pod uwagę m.in.:
- Charakter, wagę i czas trwania naruszenia – długotrwałe lub poważne incydenty oznaczają wyższe sankcje.
- Zakres danych – im bardziej wrażliwe informacje (np. dane zdrowotne, biometryczne), tym większe ryzyko.
- Stopień winy administratora – czy był to błąd ludzki, czy zaniedbanie systemowe.
- Działania naprawcze – szybka reakcja, zgłoszenie naruszenia w 72 godziny, poinformowanie osób.
- Współpraca z organem – transparentność i gotowość do poprawy ograniczają karę.
- Historia naruszeń – powtarzające się błędy traktowane są surowiej.
- Korzyść finansowa z naruszenia – jeśli administrator zyskał na niezgodnym przetwarzaniu, kara rośnie.
Celem kary jest nie tylko ukaranie, ale również prewencja i edukacja – by inne podmioty unikały podobnych błędów.
Jak uniknąć kary za naruszenie RODO?
Aby uniknąć kary za naruszenie RODO, konieczne jest utrzymywanie stałej czujności i kultury ochrony danych w całej organizacji. Przede wszystkim należy regularnie aktualizować rejestr czynności przetwarzania (RCP), który stanowi podstawę rozliczalności zgodnie z art. 30 RODO. To dokument, który pokazuje, jakie dane są przetwarzane, w jakim celu, na jakiej podstawie prawnej i przez jaki czas. Jego aktualność jest kluczowa, bo pozwala wykazać, że administrator rzeczywiście panuje nad procesami przetwarzania.
Równie istotne jest prowadzenie analizy ryzyka – zgodnie z motywem 76 RODO każda organizacja powinna regularnie oceniać, jakie zagrożenia wiążą się z jej sposobem przetwarzania danych i jaki mogą mieć one wpływ na prawa osób fizycznych. Takie analizy powinny być aktualizowane, gdy zmienia się sposób działania firmy, technologie lub zakres danych.
Nie można zapominać o czynniku ludzkim, który jest najczęstszą przyczyną naruszeń. Dlatego niezwykle ważne jest systematyczne szkolenie pracowników – nie tylko przy zatrudnieniu, ale także cyklicznie, by przypominać im zasady bezpiecznego postępowania z danymi.
Odpowiedzialny administrator musi też weryfikować podmioty zewnętrzne, którym powierza dane – jak dostawcy usług IT, biura rachunkowe czy agencje marketingowe. Każda współpraca powinna być potwierdzona pisemną umową powierzenia przetwarzania danych, zgodnie z art. 28 RODO.
Kiedy dojdzie do incydentu, kluczowa jest szybka reakcja. Administrator ma obowiązek zgłosić naruszenie ochrony danych do UODO w ciągu 72 godzin, nawet jeśli nie zna jeszcze pełnej skali zdarzenia. Takie działanie pokazuje odpowiedzialność i może złagodzić ewentualne konsekwencje.
Ochrona danych to także codzienna praktyka – konieczne jest regularne aktualizowanie polityk bezpieczeństwa, procedur i klauzul informacyjnych, tak aby odzwierciedlały aktualny stan faktyczny. Równocześnie warto testować systemy zabezpieczeń, ponieważ technologia szybko się starzeje, a metody ataków stają się coraz bardziej zaawansowane.
Kary to nie wszystko – ryzyko reputacyjne i prawne
Kara finansowa to dopiero początek problemów. Każda decyzja UODO jest publiczna i szeroko opisywana w mediach. Dla firm działających w sektorach usługowych, finansowych czy edukacyjnych utrata zaufania klientów może być bardziej dotkliwa niż sama sankcja.
Dodatkowo osoba, której dane zostały naruszone, może dochodzić odszkodowania na drodze cywilnej (art. 82 RODO). Oznacza to, że oprócz kary administracyjnej firma może zapłacić również zadośćuczynienie.
Jak pokazują decyzje UODO – koszt wdrożenia zgodności z RODO jest zawsze niższy niż koszt jej braku.
