RODO w firmie 2026 — obowiązki, audyt, kary i ochrona danych

RODO (ogólne rozporządzenie o ochronie danych 2016/679) obowiązuje w Polsce od 25 maja 2018 r. i wiąże każdy podmiot, który przetwarza dane osobowe osób fizycznych — od jednoosobowej działalności z listą klientów po dużą spółkę zatrudniającą setki pracowników. W 2026 r. praktyka nadzoru skupia się na trzech obszarach: zgodzie marketingowej i profilowaniu, bezpieczeństwie systemów IT i obsłudze incydentów oraz prawidłowym informowaniu osób, których dane są przetwarzane. Niezgodność kosztuje — kary UODO sięgają 20 mln euro lub 4% rocznego obrotu.

Kto musi stosować RODO

RODO stosuje każdy administrator danych osobowych i każdy podmiot przetwarzający (procesor). Administratorem jest firma, która decyduje o celach i sposobach przetwarzania — pracodawca wobec pracowników, sklep internetowy wobec kupujących, biuro rachunkowe wobec własnych klientów. Procesorem jest podmiot, który przetwarza dane w imieniu administratora — np. dostawca systemu CRM, firma hostingowa, kancelaria obsługująca windykację.

Nie ma dolnego progu wielkości firmy. Jednoosobowy fotograf fotografujący wesela, trener personalny z bazą kontaktów w telefonie i sklep internetowy z milionem użytkowników podlegają tym samym zasadom — różni ich jedynie zakres obowiązków dokumentacyjnych i wymagana skala środków bezpieczeństwa.

Siedem zasad, których nie wolno łamać

Art. 5 RODO wymienia zasady, do których musi zastosować się każdy administrator. W praktyce audytorzy sprowadzają je do siedmiu reguł:

• legalność, rzetelność i przejrzystość — przetwarzanie opiera się na konkretnej podstawie prawnej (zgoda, umowa, obowiązek prawny, interes publiczny, prawnie uzasadniony interes administratora, żywotny interes osoby), a osoba wie, co się dzieje z jej danymi;
• ograniczenie celu — dane zebrane do rekrutacji nie mogą trafić do newslettera bez odrębnej zgody;
• minimalizacja — zbieramy tylko to, co faktycznie potrzebne (np. nie prosimy klienta sklepu internetowego o PESEL do wystawienia faktury dla firmy);
• prawidłowość — dane muszą być aktualne, a nieaktualne — poprawione lub usunięte;
• ograniczenie przechowywania — po realizacji celu dane trzeba usunąć albo zanonimizować, poza okresami wymaganymi przez przepisy (np. 5 lat na dokumenty podatkowe);
• integralność i poufność — odpowiednie zabezpieczenia techniczne i organizacyjne;
• rozliczalność — administrator musi móc udowodnić zgodność, nie wystarczy jej deklarować.

Dokumentacja, której wymaga UODO

Każda firma powinna zidentyfikować, jakie dane przetwarza, w jakim celu i na jakiej podstawie prawnej. Z tej analizy powstaje rejestr czynności przetwarzania (RCPD) oraz, jeśli występuje przetwarzanie w imieniu innych podmiotów, rejestr kategorii czynności (RKPD). Niektóre firmy mają wymóg prowadzenia obu dokumentów równolegle.

Minimalny zestaw dokumentów w średniej firmie obejmuje:

• politykę ochrony danych osobowych (wewnętrzną) wraz z procedurami;
• rejestr czynności przetwarzania;
• klauzule informacyjne dla różnych kategorii osób (klient, pracownik, kandydat, newsletterowy odbiorca);
• umowy powierzenia przetwarzania ze wszystkimi dostawcami, którym przekazujemy dane (hosting, biuro rachunkowe, SaaS);
• procedurę obsługi żądań osób (dostęp, sprostowanie, usunięcie, przeniesienie, sprzeciw);
• procedurę obsługi incydentów i naruszeń ochrony danych;
• analizy ryzyka i — gdy wymagane — ocenę skutków dla ochrony danych (DPIA).

Audyt RODO — jak go przeprowadzić

Audyt RODO to inwentaryzacja stanu faktycznego i porównanie go z wymaganiami rozporządzenia. Prawidłowo zaprojektowany ma pięć etapów:

1. mapowanie procesów — zidentyfikowanie, gdzie w firmie w ogóle pojawiają się dane osobowe (ERP, CRM, e-mail, chmura, dyski lokalne, dokumenty papierowe);
2. analiza podstaw prawnych — dla każdej czynności przetwarzania wskazanie, czy opiera się na zgodzie, umowie, obowiązku, interesie uzasadnionym;
3. przegląd dokumentów — klauzule informacyjne, zgody, polityka, umowy powierzenia;
4. analiza ryzyka — ocena prawdopodobieństwa i wagi potencjalnych naruszeń oraz adekwatności zabezpieczeń;
5. raport z rekomendacjami — hierarchia działań, terminy, osoby odpowiedzialne.

Audyt warto powtarzać co 12–24 miesiące oraz zawsze po istotnej zmianie — wdrożeniu nowego systemu, uruchomieniu sprzedaży internetowej, rozpoczęciu rekrutacji na dużą skalę, zmianie dostawcy IT.

IOD — kto musi go wyznaczyć

Inspektora Ochrony Danych (IOD) wyznaczają obowiązkowo trzy kategorie podmiotów:

• organy i podmioty publiczne (poza sądami);
• administratorzy i procesorzy, których główna działalność polega na operacjach wymagających regularnego i systematycznego monitorowania osób na dużą skalę (np. platformy marketingowe, duże portale, systemy telemedyczne);
• administratorzy i procesorzy, których główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (zdrowotne, biometryczne, dot. orientacji seksualnej, pochodzenia, przekonań).

Mała lub średnia firma z kadrami, kilkoma procesami i kilkuset klientami zwykle nie ma obowiązku wyznaczenia IOD. Może jednak zrobić to dobrowolnie — i wtedy obowiązują ją te same wymogi niezależności i raportowania wobec UODO jak podmiot zobowiązany. IOD można zatrudnić na etat albo zawrzeć umowę z zewnętrznym specjalistą.

Wyciek danych — co zrobić w pierwszych 72 godzinach

Naruszenie ochrony danych osobowych (incydent) powstaje za każdym razem, gdy dane zostaną utracone, ujawnione nieuprawnionej osobie, zmienione lub zniszczone — niezależnie od tego, czy skutek jest już widoczny. Scenariusze są prozaiczne: zgubiony laptop pracownika, atak phishingowy skutkujący przejęciem skrzynki e-mail, wysłanie zbiorczego maila z adresatami w „Do” zamiast „Ukryte do wiadomości”.

Reakcja ma kilka kroków:

1. natychmiast zabezpieczyć sytuację (zablokować konto, odciąć dostęp, zmienić hasła);
2. sprawdzić, jakie dane zostały ujawnione i ilu osób dotyczyły;
3. ocenić ryzyko dla praw i wolności osób, których dotyczy incydent;
4. jeśli ryzyko jest realne — zgłosić naruszenie do UODO w ciągu 72 godzin od wykrycia (formularz dostępny na uodo.gov.pl);
5. jeżeli ryzyko jest wysokie — zawiadomić osoby, których dotyczyło zdarzenie, i opisać, jakie środki zaradcze proponuje administrator;
6. każdy incydent odnotować w wewnętrznym rejestrze — nawet gdy nie wymagał zgłoszenia do UODO.

Kary UODO — na co uważa organ nadzoru

Prezes UODO może nałożyć administracyjną karę pieniężną do 10 mln euro lub 2% rocznego obrotu światowego (za lżejsze naruszenia, np. braki dokumentacji, nieprawidłowy IOD) albo do 20 mln euro lub 4% rocznego obrotu światowego (za ciężkie — brak podstawy prawnej przetwarzania, naruszenia zasad RODO, nieposzanowanie praw osób). Wyższa z kwot ma zastosowanie.

W ostatnich latach UODO karał m.in. za brak odpowiedniego zabezpieczenia aplikacji wyciekającej dane klientów, za przetwarzanie nagrań z monitoringu bez podstawy prawnej oraz za zaniedbania w procesach rekrutacyjnych. Niezależnie od kary administracyjnej osoba, której dane dotknął incydent, może dochodzić odszkodowania w sądzie cywilnym.

Marketing, cookies i zgoda w 2026 r.

Komunikacja marketingowa pozostaje najbardziej problematycznym obszarem RODO. W Polsce obok rozporządzenia obowiązuje ustawa o świadczeniu usług drogą elektroniczną oraz Prawo komunikacji elektronicznej (dawniej Prawo telekomunikacyjne). Łącznie wymagają one, by:

• wysyłka handlowego e-maila lub SMS-a miała odrębną zgodę, dobrowolną i wyraźnie opisaną;
• zgoda na cookies była aktywna (nie dorozumiana ze „scroll” albo „continue”), z łatwą opcją odmowy;
• każdy odbiorca miał prostą ścieżkę rezygnacji (link w stopce, słowo kluczowe w SMS);
• administrator rejestrował, kto i kiedy zgodę wyraził — tak, aby móc to udowodnić.

Praktyka pokazuje, że dobrze zaprojektowany baner plików cookie i formularz zapisu na newsletter z osobnymi polami zgody to inwestycja, która zwraca się już przy pierwszej kontroli UODO.

Jak Good Balance pomaga

Zespół Good Balance w ramach konsultacji prawnej przeprowadza audyt RODO, opracowuje politykę i procedury, pisze klauzule informacyjne, umowy powierzenia i rejestr czynności, a także wspiera przy incydentach — od oceny ryzyka po zgłoszenie do UODO. Dla firm z obowiązkiem IOD oferujemy outsourcing funkcji inspektora oraz szkolenia dla pracowników. Jeżeli otrzymali Państwo pismo z UODO, pomożemy przygotować odpowiedź i obronę przed karą.