W jednym zdaniu. Zgodność z RODO w 2026 roku wymaga od polskich administratorów dwunastu udokumentowanych obowiązków, a Urząd Ochrony Danych Osobowych nakłada sankcje sięgające 20 mln EUR lub 4% rocznego obrotu światowego.
Najważniejsze punkty
- RODO obowiązuje bezpośrednio w Polsce od 25 maja 2018 r., uzupełnione ustawą z 10 maja 2018 r.
- UODO prowadzi średnio 7 000 postępowań rocznie i wydaje ponad 100 decyzji administracyjnych.
- Najwyższa polska kara: Morele.net 2,8 mln zł (DKN.5130.2484.2019).
- Każdy administrator danych musi prowadzić rejestr czynności przetwarzania (RCP).
- Naruszenie zgłasza się UODO w 72 godziny od stwierdzenia incydentu.
- Inspektor Ochrony Danych (IOD) jest obowiązkowy dla podmiotów publicznych i wskazanych kategorii administratorów.
1. Podstawa prawna RODO w Polsce
W polskim porządku prawnym ochronę danych osobowych regulują równolegle: rozporządzenie 2016/679 (RODO), ustawa z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000) oraz przepisy sektorowe (Prawo telekomunikacyjne, ustawa o świadczeniu usług drogą elektroniczną, Kodeks pracy w zakresie art. 22^1^). Polska wybrała model jednolitego organu nadzoru — Prezesa Urzędu Ochrony Danych Osobowych.
2. Zakres podmiotowy i terytorialny
Obowiązkom RODO podlega każdy administrator i podmiot przetwarzający dane osobowe osób fizycznych przebywających w Unii Europejskiej, niezależnie od siedziby. Polski przedsiębiorca przetwarzający dane klientów ze Niemiec, jak i firma amerykańska oferująca usługi mieszkańcom Warszawy — oboje podlegają nadzorowi UODO oraz sankcjom z art. 83 RODO. Choć obowiązki są uniwersalne, ich praktyczne zastosowanie różni się branżowo — osobno omawiam RODO w kancelarii prawnej, biurze rachunkowym i administracji publicznej.
3. Dwanaście obowiązków administratora
| Obowiązek | Podstawa | Dokumentacja |
|---|---|---|
| Rejestr czynności przetwarzania | art. 30 ust. 1 | RCP |
| Polityka ochrony danych | art. 24 | wewnętrzna |
| Klauzula informacyjna | art. 13-14 | dla podmiotów danych |
| Umowa powierzenia | art. 28 | z procesorem |
| Ocena skutków (DPIA) | art. 35 | dla wysokiego ryzyka |
| Inspektor (IOD) | art. 37 | wyznaczenie i zgłoszenie |
| Środki bezpieczeństwa | art. 32 | analiza ryzyka |
| Procedura naruszeń | art. 33-34 | zgłoszenia 72h |
| Realizacja praw osób | art. 12-22 | termin 30 dni |
| Mechanizmy zgody | art. 7 | log, wycofanie |
| Transfery poza EOG | art. 44-49 | SCC, BCR |
| Privacy by design | art. 25 | projektowanie systemów |
4. Sankcje UODO i polskie precedensy
Maksymalne sankcje RODO wynoszą 20 mln EUR lub 4% rocznego obrotu globalnego. UODO nakładał kary m.in. na Morele.net (2,8 mln zł), Virgin Mobile Polska (1,9 mln zł), ClickQuickNow (201 tys. zł), Fortum Marketing (4,9 mln zł) i Głównego Geodetę Kraju (100 tys. zł — pierwsza kara dla podmiotu publicznego).
5. Kontrole UODO w 2026 roku
Plan kontroli sektorowych Prezesa UODO na 2026 r. obejmuje: pośredników finansowych (scoring), platformy e-commerce (cookies i profilowanie), placówki służby zdrowia (dostęp do dokumentacji medycznej), uczelnie wyższe (rekrutacja) oraz operatorów monitoringu wizyjnego w miejscach publicznych. Kontrola trwa zwykle 30 dni i kończy się protokołem oraz ewentualnym postępowaniem administracyjnym.
6. Inspektor Ochrony Danych (IOD)
Wyznaczenie IOD jest obowiązkowe dla organów publicznych, podmiotów przetwarzających dane na dużą skalę (art. 37 ust. 1 lit. b) oraz przetwarzających dane szczególnych kategorii. IOD zgłasza się do UODO w ciągu 14 dni od wyznaczenia poprzez formularz elektroniczny. Funkcję może pełnić pracownik etatowy lub zewnętrzny wykonawca na podstawie umowy.
7. Ocena ryzyka i DPIA
Ocena skutków dla ochrony danych (art. 35 RODO) jest wymagana, gdy przetwarzanie może powodować wysokie ryzyko dla praw osób fizycznych. Prezes UODO opublikował wykaz operacji wymagających DPIA (M.P. 2018 poz. 827): m.in. profilowanie skutkujące decyzjami prawnymi, biometria w celu identyfikacji, monitoring na dużą skalę miejsc dostępnych publicznie, dane lokalizacyjne pracowników.
8. Zgłoszenie naruszenia w 72 godziny
Każde naruszenie ochrony danych osobowych, które może powodować ryzyko naruszenia praw lub wolności osób fizycznych, zgłasza się Prezesowi UODO w terminie 72 godzin od stwierdzenia. Zgłoszenie odbywa się przez formularz na biznes.gov.pl. Niezgłoszenie naruszenia było podstawą kary dla Morele.net.
9. Cookies i Prawo telekomunikacyjne
Art. 173 Prawa telekomunikacyjnego wymaga zgody użytkownika końcowego na przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanych w urządzeniu końcowym. UODO i UKE traktują tę zgodę zgodnie ze standardem RODO: jednoznaczna, świadoma, dobrowolna i równie łatwa do wycofania jak do udzielenia.
10. Transfery międzynarodowe po Schrems II
Transfer danych do państw trzecich (poza EOG) wymaga decyzji adekwatności (np. Wielka Brytania, Japonia, USA na podstawie DPF), standardowych klauzul umownych (SCC) lub wiążących reguł korporacyjnych (BCR). Każdy transfer wymaga oceny skutków przekazania (TIA) zgodnie z wyrokiem TSUE C-311/18 (Schrems II).
11. Prawa osób, których dane dotyczą
Administrator ma 30 dni (z możliwością przedłużenia o 60 dni) na realizację wniosku osoby fizycznej. Najczęstsze prawa to: dostęp (art. 15), sprostowanie (art. 16), usunięcie (art. 17), ograniczenie (art. 18), przenoszenie (art. 20), sprzeciw (art. 21). Brak odpowiedzi to częsta przyczyna skargi do UODO.
12. Plan działania na 2026 rok
Praktyczny program zgodności obejmuje: aktualizację RCP co kwartał, przegląd umów powierzenia, test procedury naruszenia, audyt cookies i banera zgody, szkolenie pracowników (minimum raz w roku), przegląd okresów retencji oraz weryfikację transferów poza EOG. Zobacz też nasz GDPR compliance guide w wersji angielskiej.
13. Statystyki UODO 2024-2025 i kluczowe trendy
14. Najlepsze praktyki obrony i mitigacji
FAQ
Czy RODO dotyczy jednoosobowej działalności gospodarczej?
Tak. Każdy przedsiębiorca przetwarzający dane osobowe klientów, kontrahentów lub pracowników jest administratorem w rozumieniu art. 4 pkt 7 RODO, niezależnie od formy prawnej i wielkości.
Ile wynosi maksymalna kara od UODO?
Do 20 mln EUR lub 4% rocznego światowego obrotu — w zależności, która kwota jest wyższa. Najwyższa polska kara to 4,9 mln zł nałożona na Fortum Marketing w 2022 r.
Czy IOD musi być zatrudniony na etat?
Nie. IOD może być pracownikiem lub wykonawcą zewnętrznym (outsourcing). Kluczowe są niezależność, brak konfliktu interesów oraz odpowiednie kwalifikacje zawodowe.
Jak długo przechowywać dane pracowników?
Dokumentacja pracownicza — 10 lat od końca roku kalendarzowego zakończenia stosunku pracy (art. 94 pkt 9a KP). Listy płac — 50 lat dla umów sprzed 2019 r., 10 lat dla umów po 2019 r.
Czy zgoda na cookies jest zawsze wymagana?
Nie dla cookies technicznych niezbędnych do działania usługi. Wymagana dla cookies analitycznych, marketingowych, profilujących oraz wszelkich trackerów stron trzecich.
Jak przygotować firmę do kontroli UODO?
Przygotowanie obejmuje 5 etapów: (1) aktualny RCP zatwierdzony przez kierownictwo z datą sprzed 90 dni, (2) udokumentowane szkolenia personelu z testami i certyfikatami, (3) procedura naruszeń przetestowana w ramach tabletop exercise w ciągu 12 miesięcy, (4) audyt zewnętrzny lub wewnętrzny w 24-miesięcznym cyklu z protokołem działań naprawczych, (5) wyznaczone osoby odpowiedzialne (IOD/Koordynator, rzecznik prasowy, prawnik). UODO podczas kontroli rozpoczyna od żądania RCP, polityki ochrony danych, klauzul informacyjnych, umów powierzenia i dziennika naruszeń. Brak któregokolwiek z dokumentów jest czerwoną flagą i znacznie podnosi ryzyko kary.
Jakie zmiany w prawie ochrony danych przewidujemy w 2026 r.?
Czy ChatGPT i AI generatywne wymagają osobnej zgodności RODO?
Tak, bezwzględnie. Wykorzystanie AI generatywnej w firmie wymaga: DPIA dla każdego use case z danymi osobowymi, FRIA dla systemów wysokiego ryzyka (AI Act art. 27), umowy z dostawcą (OpenAI, Anthropic, Google) gwarantującej zgodność z RODO, polityki używania AI w firmie z zakazem wprowadzania danych szczególnych kategorii bez wcześniejszej zgody/podstawy, log promptów dla audytu, szkolenia personelu. Wykorzystanie ChatGPT do generowania klauzul informacyjnych lub kodów źródłowych z danymi klientów = klasyczne naruszenie. Włoski Garante nałożył w grudniu 2024 r. karę 15 mln EUR na OpenAI. UODO prowadzi postępowanie wobec OpenAI od 2024 r.