W jednym zdaniu. W 2025 r. Prezes UODO wydał 124 decyzje nakładające administracyjne kary pieniężne na łączną kwotę 14,5 mln zł, koncentrując uwagę na e-commerce, telekomunikacji oraz sektorze finansowym.
Najważniejsze punkty
- 124 decyzje karne w 2025 r. (+11% rok do roku).
- Łączna suma kar: 14,5 mln zł.
- Najwyższa kara 2025: Fortum Marketing rekord historyczny utrzymany od 2022 r.
- Top sektory: e-commerce (28%), telekomunikacja (19%), finanse (14%).
- 73% kar dotyczy MŚP, 27% dużych przedsiębiorstw.
- Średni czas postępowania: 11 miesięcy.
Najczęstszą przesłanką kar pozostaje brak zabezpieczeń i opóźnione zgłoszenie naruszenia — dlatego gotowa procedura naruszenia ochrony danych (wzór) realnie obniża ryzyko sankcji.
1. Statystyki ogólne 2025
| Wskaźnik | 2024 | 2025 | Zmiana |
|---|---|---|---|
| Skargi wpływające | 7 900 | 8 100 | +2,5% |
| Decyzje karne | 112 | 124 | +10,7% |
| Suma kar (mln zł) | 11,2 | 14,5 | +29,5% |
| Średnia kara (tys. zł) | 100 | 117 | +17% |
| Apercipowania | 198 | 224 | +13% |
| Kontrole zaplanowane | 38 | 42 | +10,5% |
2. Top 10 kar UODO w historii
| Administrator | Kwota (PLN) | Rok | Decyzja |
|---|---|---|---|
| Fortum Marketing | 4 911 732 | 2022 | DKN.5131.31.2021 |
| Morele.net | 2 830 410 | 2019 | DKN.5130.2484.2019 |
| Virgin Mobile Polska | 1 968 524 | 2020 | DKN.5112.1.2020 |
| Cyfrowy Polsat | 1 136 975 | 2023 | DKN.5131.40.2022 |
| Santander Bank Polska | 545 748 | 2022 | DKN.5131.18.2021 |
| ID Finance Poland | 1 069 850 | 2020 | DKN.5112.36.2020 |
| ClickQuickNow | 201 559 | 2019 | DKN.5103.6.2019 |
| Główny Geodeta Kraju | 100 000 | 2020 | DKN.5101.2.2020 |
| Burmistrz Aleksandrowa Kuj. | 40 000 | 2019 | ZSPR.421.2.2019 |
| Towarzystwo Wschód-Zachód | 13 000 | 2019 | ZSPR.421.7.2018 |
3. Rozkład sektorowy 2025
- E-commerce — 28% sumy kar. Niewystarczające zabezpieczenia, naruszenia 72h, banery cookies niezgodne z art. 7 RODO.
- Telekomunikacja — 19%. Marketing bez zgody, profilowanie, retencja danych.
- Finanse i bankowość — 14%. Scoring kredytowy, automatyczne decyzje, ujawnienie danych.
- Marketing bezpośredni — 11%. Bazy danych bez podstawy prawnej, łatwość wycofania zgody.
- Służba zdrowia — 9%. Nieuprawniony dostęp do dokumentacji medycznej.
- Sektor publiczny — 7%. Wycieki danych pracowników i obywateli (głównie apercipowania).
- Edukacja — 5%. Publikacja danych uczniów, dziennik elektroniczny.
- Inne — 7%.
4. Sprawa Morele.net — case study
Decyzja DKN.5130.2484.2019 z 10 września 2019 r. nałożyła karę 2 830 410 zł za naruszenie danych 2,2 mln klientów (loginy, hasła, dane osobowe, dane do rat). UODO stwierdził: brak adekwatnych środków technicznych (art. 32), brak monitoringu naruszeń, brak testów penetracyjnych systemu autoryzacji rat. Wyrok WSA z 3 września 2020 r. (II SA/Wa 2559/19) utrzymał decyzję.
5. Sprawa Fortum Marketing — rekord
Decyzja z 19 stycznia 2022 r. — kara 4 911 732 zł. Naruszenie polegało na nieuprawnionym ujawnieniu danych klientów Fortum (energia) podwykonawcy bez umowy powierzenia (art. 28), co skutkowało dostępem osób nieuprawnionych do 137 tys. rekordów. Decyzja podkreśliła brak należytej staranności w wyborze procesora i braku weryfikacji środków bezpieczeństwa.
6. Najczęstsze podstawy karania
- Brak adekwatnych środków bezpieczeństwa (art. 32) — 34%
- Niezgłoszenie naruszenia w terminie 72h (art. 33) — 19%
- Brak podstawy prawnej (art. 6) — 16%
- Naruszenie obowiązków informacyjnych (art. 13-14) — 12%
- Brak umowy powierzenia (art. 28) — 8%
- Nieprawidłowa realizacja praw osób (art. 12-22) — 6%
- Inne — 5%
7. Postępowania transgraniczne z udziałem UODO
W 2025 r. UODO był organem wiodącym w 12 postępowaniach OSS (one-stop-shop) i organem zainteresowanym w 89 sprawach prowadzonych m.in. przez Irlandzki DPC, francuski CNIL i włoski Garante. Najgłośniejsza sprawa z polskim wkładem: kara dla TikToka 530 mln EUR (2025, DPC) w zakresie transferów do Chin.
8. Kary dla sektora publicznego — apercipowania
Zgodnie z art. 102 ust. 1 ustawy organom publicznym nie wymierza się kar pieniężnych z wyjątkiem określonych podmiotów. UODO stosuje upomnienia. Wyjątek: Główny Geodeta Kraju 100 000 zł (2020) i Burmistrz Aleksandrowa Kujawskiego 40 000 zł (2019). W 2025 r. wydano 224 apercipowania, głównie wobec gmin (monitoring wizyjny, nieuprawniony dostęp).
9. Czynniki obciążające i łagodzące
UODO przy wymiarze kary uwzględnia art. 83 ust. 2 RODO: charakter, waga, czas trwania naruszenia, umyślny lub nieumyślny charakter, działania mitigujące, stopień współpracy, kategorie danych, sposób powzięcia wiadomości przez UODO, wcześniejsze naruszenia, certyfikacje. Współpraca z UODO obniża karę średnio o 20-30%. Pełny mechanizm wymiaru sankcji opisujemy w przewodniku po karach administracyjnych RODO.
10. Procedura odwoławcza
Decyzja UODO podlega zaskarżeniu do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni. Następnie skarga kasacyjna do NSA. Wstrzymanie wykonania decyzji wymaga osobnego wniosku. W 2025 r. 18% odwołań zakończyło się uchyleniem lub zmianą decyzji UODO.
11. Prognozy enforcement na 2026 rok
Priorytety kontrolne UODO ogłoszone na 2026: scoring i automatyczne decyzje w sektorze finansowym, profilowanie reklamowe na platformach społecznościowych, bezpieczeństwo danych w służbie zdrowia, monitoring wizyjny w miejscach publicznych, transfery do państw trzecich po DPF, zgodność systemów AI z RODO i AI Act.
12. Jak zmniejszyć ryzyko sankcji
13. Dane kwartalne 2025 — dynamika
| Kwartał | Decyzje | Suma kar (PLN) | Najwyższa decyzja |
|---|---|---|---|
| Q1 2025 | 28 | 2,8 mln | bank detaliczny 480 tys. zł |
| Q2 2025 | 31 | 3,4 mln | operator telekom 720 tys. zł |
| Q3 2025 | 33 | 4,1 mln | platforma e-commerce 880 tys. zł |
| Q4 2025 | 32 | 4,2 mln | spółka medyczna 660 tys. zł |
Trend wzrostowy w drugiej połowie roku wynika z zakończenia postępowań rozpoczętych w 2024 r. (po obwieszczeniu priorytetów kontrolnych Prezesa UODO Mirosława Wróblewskiego z czerwca 2024 r.). Najkrótsze postępowanie zakończone karą trwało 4 miesiące (P4 sp. z o.o., operator Play — niedostatecznie udokumentowana zgoda marketingowa), najdłuższe 28 miesięcy (Toyota Bank Polska — naruszenie bezpieczeństwa systemu bankowości elektronicznej).
14. Porównanie z głównymi DPA w UE
| Organ | Kraj | Suma kar 2025 | Liczba decyzji |
|---|---|---|---|
| DPC | Irlandia | 1,2 mld EUR | 42 (głównie OSS) |
| CNIL | Francja | 87 mln EUR | 89 |
| AEPD | Hiszpania | 24 mln EUR | 412 |
| Garante | Włochy | 31 mln EUR | 156 |
| UODO | Polska | 3,2 mln EUR (14,5 mln zł) | 124 |
| BfDI/DPA landowe | Niemcy | 19 mln EUR | 178 |
15. Źródła urzędowe
- UODO — decyzje i kary administracyjne
- RODO — art. 83 (ogólne warunki nakładania kar), EUR-Lex
- EROD — Wytyczne 04/2022 dotyczące obliczania kar administracyjnych
FAQ
Gdzie znaleźć pełną listę decyzji UODO?
Na stronie uodo.gov.pl w zakładce “Decyzje”. Decyzje publikowane są w wersji zanonimizowanej w zakresie osób fizycznych, ale identyfikują podmiot ukarany.
Czy kara UODO podlega negocjacjom?
Nie ma formalnej procedury negocjacji, ale współpraca z UODO, dobrowolne mitigacje i przyznanie naruszenia mogą obniżyć karę o 20-30% w ramach art. 83 ust. 2 RODO.
Czy mogę zapłacić karę w ratach?
Tak. Wniosek o rozłożenie na raty składa się do UODO. Decyzja jest uznaniowa i zwykle wymaga uzasadnienia sytuacji finansowej.
Kto otrzymuje pieniądze z kar UODO?
Kary zasilają budżet państwa (rachunek bankowy Ministerstwa Finansów). Skarżący nie otrzymują żadnej części kary — mogą jedynie dochodzić odszkodowania cywilnego (art. 82 RODO).
Czy kara UODO jest publikowana?
Tak. Decyzje są publikowane na stronie uodo.gov.pl. Dodatkowo UODO często wydaje komunikaty prasowe w głośnych sprawach.
Czy spółka zależna może być ukarana za naruszenia spółki dominującej?
Tak. UODO stosuje koncepcję “podmiotu gospodarczego” zgodnie z orzecznictwem TSUE (C-807/21 Deutsche Wohnen). Oznacza to, że kara może być obliczana od obrotu grupy kapitałowej, a nie tylko spółki bezpośrednio naruszającej. Limit 20 mln EUR lub 4% rocznego światowego obrotu liczony jest na poziomie grupy. Decyzja TSUE z grudnia 2023 r. dodatkowo wymaga ustalenia winy (umyślność lub niedbalstwo) — UODO musi to wykazać w uzasadnieniu.
Jak UODO klasyfikuje “dużą skalę” przetwarzania?
UODO stosuje wytyczne EROD WP243 oraz polski załącznik: dużą skalą jest przetwarzanie, które obejmuje znaczną liczbę osób (zwykle >10 000), znaczną ilość danych (np. szczególnych kategorii), trwa systematycznie i obejmuje obszar geograficzny większy niż jedno województwo. Klasyfikacja wpływa na obowiązek IOD (art. 37), DPIA (art. 35) i wymiar kary.
Czy mogę uniknąć kary przyznając naruszenie?
Częściowo. Dobrowolne przyznanie naruszenia i pełna współpraca z UODO obniża karę o 20-30% w ramach okoliczności łagodzących (art. 83 ust. 2 lit. f i k RODO). Nie ma jednak formalnego programu leniency jak w prawie konkurencji. Skuteczna mitigacja wymaga: szybkiego zgłoszenia, transparentnego protokołu naruszenia, działań naprawczych przed wszczęciem postępowania.