Rok 2025 okazał się przełomowy dla egzekwowania przepisów o ochronie danych osobowych w Polsce. Łączna wartość kar nałożonych przez UODO przekroczyła 64 mln zł, a wśród nich znalazły się trzy najwyższe sankcje w historii stosowania przepisów o ochronie danych osobowych w Polsce. Trend ten nie słabnie – w 2026 roku RODO kary dotykają już nie tylko wielkich korporacji, ale coraz częściej małych i średnich przedsiębiorców. Poniżej wyjaśniamy, kto i za co może zostać ukarany oraz jakie konsekwencje grożą pracownikom.
Podstawą nakładania kar jest art. 83 Rozporządzenia (UE) 2016/679. Zgodnie z nim administracyjne kary pieniężne mogą wynieść do 20 000 000 euro, a w przypadku przedsiębiorstwa – do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która wartość jest wyższa.
Przepisy przewidują dwa progi odpowiedzialności. Niższy próg – do 10 mln euro lub 2% obrotu – dotyczy naruszeń o charakterze proceduralnym, takich jak brak rejestru czynności przetwarzania, nieprawidłowe umowy powierzenia czy niedopełnienie obowiązku wyznaczenia inspektora ochrony danych. Wyższy próg – do 20 mln euro lub 4% obrotu – obejmuje naruszenia zasad przetwarzania danych, brak podstawy prawnej czy naruszenie praw osób, których dane dotyczą.
Dla porównania, w Polsce przyjęto, że na podmioty publiczne może zostać nałożona kara w wysokości do 100 tys. zł. Tak duże rozróżnienie sytuacji podmiotów publicznych i prywatnych wydaje się niesprawiedliwe i krzywdzące.
Kary za nieprzestrzeganie przepisów RODO nakładane są przez UODO w drodze decyzji administracyjnej, a każda ze spraw rozpatrywana jest indywidualnie, z uwzględnieniem okoliczności popełnionego czynu.
Najczęstsze przyczyny sankcji to:
Kary za naruszenia umyślne są stanowczo wyższe niż kary za naruszenia nieumyślne. Naruszenia umyślne obejmowały przede wszystkim sytuacje, w których administrator w sposób świadomy zaniechał realizacji swoich obowiązków lub podjął działania, które wprost naruszały przepisy o ochronie danych osobowych.
UODO, działając na podstawie wytycznych EDPB, uwzględnia takie kryteria jak waga naruszenia, stopień winy, podjęte środki zaradcze czy współpraca z organem.
Okolicznością łagodzącą jest zawsze dobrowolne zgłoszenie naruszenia, szybkie podjęcie działań naprawczych oraz dotychczasowa niekaralność administratora. Okolicznością obciążającą jest natomiast umyślność działania, duża liczba osób dotkniętych naruszeniem oraz brak jakiejkolwiek współpracy z UODO w toku postępowania.
UODO coraz częściej nakłada sankcje za brak współpracy z organem, dlatego firmy nie powinny ignorować żadnej korespondencji od UODO.
To jedno z najczęściej zadawanych pytań przez pracodawców i pracowników. Odpowiedź jest jednoznaczna: RODO nie przewiduje kar finansowych ani innych sankcji za naruszenie jego przepisów przez pracowników administratora danych.
Oznacza to, że kara administracyjna nakładana przez UODO zawsze obciąża administratora danych, czyli pracodawcę – nie pracownika. Administratorem danych zgodnie z przepisami RODO jest pracodawca i to na nim spoczywa odpowiedzialność za wdrożenie adekwatnych środków ochrony danych. Na pracodawcę, a nie na pracownika, nakładane są wysokie kary finansowe.
Pracownik może jednak ponieść konsekwencje na gruncie prawa pracy. Konsekwencje nieprzestrzegania procedur ochrony danych osobowych przez pracownika wynikają z Kodeksu pracy. Artykuł 108 Kodeksu pracy określa środki dyscyplinarne, pozwalając na zastosowanie wobec pracownika kar porządkowych w postaci upomnienia lub nagany.
W skrajnych przypadkach pracownik może ponieść odpowiedzialność karną. Zgodnie z art. 107 polskiej ustawy o ochronie danych osobowych nieuprawnione przetwarzanie danych podlega karze grzywny lub pozbawienia wolności do lat 2, a przy danych wrażliwych – do lat 3.
Kara administracyjna to nie jedyna konsekwencja naruszenia RODO. Na podstawie art. 82 Rozporządzenia (UE) 2016/679 każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów, ma prawo żądać odszkodowania od administratora danych.
Zgodnie z planem kontroli na 2026 rok uwaga UODO zostanie poświęcona firmom prowadzącym działania marketingowe, platformom dostaw online oraz podmiotom leczniczym. Jeśli Twoja firma należy do jednej z tych kategorii, ryzyko kontroli jest szczególnie wysokie.
Podstawowe działania minimalizujące ryzyko kary to: aktualna dokumentacja RODO, prowadzony i regularnie aktualizowany rejestr czynności przetwarzania, prawidłowe klauzule informacyjne, umowy powierzenia z podmiotami zewnętrznymi, szkolenia pracowników oraz wdrożona procedura reagowania na naruszenia z zachowaniem terminu 72 godzin.
Po upływie ośmiu lat od wprowadzenia RODO na polskie firmy nałożono 106 kar na łączną kwotę blisko 25 mln euro. RODO kary przestały być abstrakcją – dotykają firm każdej wielkości. Kara za naruszenie RODO może wynieść nawet 20 mln euro lub 4% rocznego obrotu, a kara za nieprzestrzeganie RODO to nie tylko sankcja finansowa, ale też ryzyko odpowiedzialności cywilnej i reputacyjnej. RODO kary dla pracownika w rozumieniu przepisów rozporządzenia nie istnieją – odpowiada zawsze administrator, czyli pracodawca. Jeśli masz wątpliwości co do stanu zgodności swojej firmy z przepisami, skonsultuj się z doświadczonym prawnikiem lub inspektorem ochrony danych.
Pomoc przedsiębiorcom oraz konsumentom świadczę od 2017 r. Jestem wyspecjalizowanym prawnikiem w dwóch obszarach. Doradzam startupom, zakładam i obsługuję spółki. Dodatkowo prowadzę procesy sądowe w sporach bankowych, pomagam konsumentom odzyskiwać nienależne świadczenia pobrane przez bank.