Rozporządzenie o ochronie danych osobowych obowiązuje w Polsce od 25 maja 2018 roku. Przez pierwsze lata wielu przedsiębiorców traktowało je jako jednorazowy projekt – wystarczyło przygotować teczkę z dokumentami, wywiesić klauzulę informacyjną, po czym można było uznać temat za zamknięty. Wiele firm traktowało unijne przepisy w zakresie ochrony danych osobowych jako zło konieczne, ograniczając się do jednorazowego przygotowania dokumentacji. W początkowym okresie obowiązywania RODO Urząd Ochrony Danych Osobowych był dość ostrożny w nakładaniu kar, wydawał wytyczne, udzielał pouczeń. W 2026 roku polski Urząd Ochrony Danych Osobowych działa sprawnie, kontroluje przedsiębiorców, a kary za naruszenie RODO są surowe i dotkliwe. Niniejszy artykuł wyjaśnia, jakie obowiązki ciążą na przedsiębiorcy w 2026 roku, jak prawidłowo prowadzić rejestr czynności przetwarzania, co powinna zawierać polityka prywatności zgodna z RODO i jakie sankcje grożą za zaniedbania.
Przepisy RODO obowiązują każdą firmę, która przetwarza dane osobowe – niezależnie od liczby pracowników czy skali działalności. Nawet jednoosobowa działalność gospodarcza, jeśli gromadzi dane klientów, takie jak imię, nazwisko, e-mail, numer telefonu, podlega tym regulacjom.
RODO obowiązuje każdą organizację, która przetwarza dane osobowe osób fizycznych znajdujących się na terenie Unii Europejskiej, niezależnie od wielkości firmy ani jej siedziby. Co kluczowe, dotyczy to również mikroprzedsiębiorców prowadzących sklep internetowy, gabinet lekarski czy nawet lokalny warsztat samochodowy, który zbiera numery telefonów klientów. Nie ma znaczenia, czy przetwarzasz dane w chmurze, na serwerze lokalnym, czy w papierowych segregatorach – zasady są identyczne.
Administrator danych to podmiot, który samodzielnie decyduje o celach i sposobach przetwarzania danych osobowych. W polskiej firmie administratorem jest najczęściej sam przedsiębiorca.
Pierwszym i fundamentalnym obowiązkiem jest zasada rozliczalności – administrator musi być w stanie wykazać w każdej chwili zgodność przetwarzania danych z RODO. Oznacza to, że samo przestrzeganie przepisów nie wystarczy – konieczne jest jego udokumentowanie. Dokumentacja RODO jest tarczą w razie kontroli.
Podstawą całego systemu ochrony danych jest art. 5 Rozporządzenia (UE) 2016/679, który określa sześć zasad przetwarzania danych osobowych. Każdy przedsiębiorca będący administratorem danych musi je znać i stosować w praktyce.
Każda osoba, której dane przetwarzasz, musi otrzymać jasną, zrozumiałą informację o tym, kim jesteś jako administrator, jakie dane zbierasz, w jakim celu, na jakiej podstawie prawnej, komu dane mogą być przekazywane i przez jaki okres je przechowujesz. W 2026 roku standardy jasności komunikacji są wyższe niż kiedykolwiek – UODO regularnie kwestionuje klauzule napisane językiem prawniczym, niedostępnym dla przeciętnego odbiorcy.
Obowiązek informacyjny realizuje się na podstawie art. 13 i 14 RODO – odpowiednio wobec osób, od których dane zbierane są bezpośrednio, oraz wobec osób, których dane pozyskano z innych źródeł. Obowiązek ten dotyczy zarówno klientów, jak i pracowników oraz współpracowników.
W 2026 roku PUODO szczegółowo analizuje „prawnie uzasadniony interes” – nie może to być blankietowa podstawa bez realnego uzasadnienia. UODO szczegółowo weryfikuje prawidłowość stosowania przesłanki uzasadnionego interesu – musi on być poparty testem równowagi, który dokumentuje się na piśmie.
Jeśli korzystasz z usług zewnętrznych dostawców, którym przekazujesz dane osobowe – na przykład biura rachunkowego, firmy hostingowej, systemu CRM w chmurze czy agencji marketingowej – masz obowiązek zawarcia z nimi umowy powierzenia przetwarzania danych osobowych. Umowa taka musi określać zakres i cel przetwarzania, czas trwania, charakter i rodzaj przetwarzanych danych oraz obowiązki i prawa administratora.
RODO przyznaje osobom fizycznym szereg praw, których realizacji administrator musi zapewnić. Należą do nich: prawo dostępu do danych, prawo do sprostowania, prawo do usunięcia danych (tzw. prawo do bycia zapomnianym), prawo do ograniczenia przetwarzania, prawo do przenoszenia danych oraz prawo do sprzeciwu. Brak realizacji wyżej wymienionych praw stanowi naruszenie RODO.
Zgodnie z przepisami, w przypadku naruszenia ochrony danych osobowych, administrator ma obowiązek zgłosić ten fakt do UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia. Nawet jeśli naruszenie ostatecznie nie wyrządziło szkody osobom fizycznym, sam brak zgłoszenia w terminie stanowi odrębne naruszenie RODO i podlega karze administracyjnej – do 10 000 000 EUR lub 2% rocznego światowego obrotu firmy.
Rejestr czynności przetwarzania to jeden z kluczowych dokumentów w systemie RODO i jednocześnie podstawowe narzędzie realizacji zasady rozliczalności. Jego rola nie polega na „posiadaniu dokumentu”, ale na pokazaniu, jak faktycznie w organizacji przetwarzane są dane osobowe.
Ogólne rozporządzenie o ochronie danych przewiduje, że administratorzy danych oraz podmioty przetwarzające mają obowiązek prowadzenia odpowiednio rejestru czynności lub rejestru kategorii czynności. Obowiązek ten wynika bezpośrednio z art. 30 RODO i stanowi element zasady rozliczalności.
Zgodnie z art. 30 ust. 5 RODO przewidziano wyjątek od obowiązku prowadzenia rejestru czynności przetwarzania dla mikro-, małych i średnich przedsiębiorstw zatrudniających mniej niż 250 osób. Celem tego wyłączenia jest ograniczenie nadmiernych obciążeń administracyjnych dla mniejszych podmiotów. Zwolnienie to ma jednak charakter warunkowy i nie ma zastosowania automatycznie. Wyłączenie nie obowiązuje, gdy przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób fizycznych, a także gdy przetwarzanie nie ma charakteru sporadycznego – czyli gdy czynności przetwarzania wykonywane są systematycznie, regularnie i stanowią integralną część działalności operacyjnej podmiotu.
W praktyce oznacza to, że niemal każda firma – niezależnie od wielkości – powinna prowadzić rejestr czynności przetwarzania. Obowiązek prowadzenia rejestru dotyczy wszystkich administratorów danych oraz podmiotów przetwarzających – z wyjątkiem podmiotów zatrudniających mniej niż 250 osób, które przetwarzają dane tylko sporadycznie i wyłącznie w sposób niepowodujący dużego ryzyka. W praktyce wyjątek ten stosuje się rzadko – większość organizacji powinno prowadzi
rejestr bez względu na wielkość.
Sektor MŚP dotychczas często ignorował ten obowiązek, błędnie zakładając, że wyłączenie dla firm poniżej 250 pracowników ma charakter automatyczny.
Rejestr powinien wskazywać cele przetwarzania, kategorie danych i osób, podstawy prawne, odbiorców danych, okresy przechowywania oraz stosowane środki bezpieczeństwa. Dzięki temu możliwe jest szybkie ustalenie, gdzie dane się znajdują, kto ma do nich dostęp i na jakiej podstawie są przetwarzane.
Zgodnie z art. 30 ust. 1 RODO rejestr czynności powinien zawierać:
Najczęstszy błąd to brak aktualizacji. Rejestry tworzone raz na potrzeby wdrożenia RODO w 2018 roku i od tamtej pory nieaktualizowane są w 2026 roku uznawane za dokument martwy – a przez to niespełniający wymogów prawnych.
Rejestr czynności przetwarzania nie musi być skomplikowany, ale musi być prawdziwy i aktualny. Powinien odzwierciedlać rzeczywiste procesy biznesowe, a nie wzorcowy model oderwany od praktyki. Tylko wtedy spełnia swoją funkcję i realnie wspiera zgodność z RODO.
Polityka RODO w firmie to wewnętrzny dokument opisujący zasady i procedury przetwarzania danych osobowych obowiązujące w danej organizacji. Nie jest dokumentem wymaganym wprost przez przepisy RODO, jednak jej posiadanie jest silnie rekomendowane jako element realizacji zasady rozliczalności i dowód na to, że firma podchodzi do ochrony danych w sposób systemowy, a nie jednorazowy.
Polityka RODO w firmie powinna obejmować co najmniej następujące elementy:
Przedsiębiorcy powinni przeprowadzić szczegółowy przegląd dokumentacji związanej z ochroną danych osobowych, obejmujący aktualizacje rejestru czynności przetwarzania danych, polityk prywatności, procedur reagowania na naruszenia oraz rejestrów ryzyka. Regularne audyty zgodności stanowią fundament zarządzania ryzykiem związanym z ochroną danych. Audyty muszą być planowane cyklicznie i dokumentowane w sposób umożliwiający wykazanie zgodności z RODO. Dobrym standardem jest wykonanie audytu raz w roku.
Polityka prywatności zgodna z RODO to dokument skierowany do zewnętrznych odbiorców – klientów, użytkowników strony internetowej, subskrybentów newslettera. Jest ona realizacją obowiązku informacyjnego i musi być dostępna w sposób łatwy i przejrzysty.
Polityka prywatności to realizacja obowiązku informacyjnego wobec odwiedzających witrynę. W 2026 roku strona firmowa bez polityki prywatności to jedno z najłatwiejszych do stwierdzenia naruszeń RODO.
Polityka prywatności zgodna z RODO musi zawierać:
Koniec z uciążliwymi paskami cookies manipulującymi użytkownikiem – tzw. dark patterns. UODO w 2026 roku szczególnie rygorystycznie podchodzi do mechanizmów wyrażania zgody na pliki cookies, wymagając, by odmowa zgody była równie prosta jak jej wyrażenie.
RODO nie narzuca sztywnych rozwiązań technicznych, nakazuje natomiast wdrożenie odpowiednich środków bezpieczeństwa adekwatnych do skali, kontekstu i ryzyka przetwarzania.
W 2026 roku absolutną podstawą jest szyfrowanie danych – zarówno w spoczynku, jak i podczas transmisji. Pełne szyfrowanie dysków twardych laptopów i komputerów firmowych, szyfrowanie baz danych i kopii zapasowych – to rozwiązania, które można wdrożyć niewielkim kosztem, a które w przypadku ewentualnej utraty sprzętu lub nieuprawnionego dostępu mogą uchronić firmę przed obowiązkiem zgłoszenia naruszenia UODO i klientom.
Do minimalnych środków technicznych i organizacyjnych wymaganych przez RODO w 2026 roku należą:
Monitoring wizyjny jako operacja przetwarzania danych osobowych nie podlega odrębnemu obowiązkowi rejestracji w UODO – wystarczy, że zostanie ujęty w rejestrze czynności przetwarzania. Należy jednak dopełnić innych obowiązków: umieścić odpowiednie oznakowanie obszaru monitorowanego wraz z klauzulą informacyjną, zrealizować obowiązek informacyjny wobec osób nagrywanych, zabezpieczyć nagrania przed nieuprawnionym dostępem i regularnie usuwać nagrania po upływie okresu przechowywania.
Samo korzystanie z narzędzia AI nie łamie RODO, jednak wprowadzanie do publicznych, darmowych wersji generatorów AI jakichkolwiek danych osobowych klientów lub pracowników bez odpowiednich podstaw prawnych i zabezpieczeń stanowi naruszenie przepisów i grozi wyciekiem danych.
Obowiązek wyznaczenia IOD dotyczy organów publicznych, podmiotów, których główna działalność polega na przetwarzaniu danych wrażliwych na dużą skalę, oraz tych, którzy regularnie i systematycznie monitorują osoby na dużą skalę. Małe firmy usługowe czy sklepy stacjonarne z reguły nie mają takiego obowiązku, ale mogą dobrowolnie wyznaczyć IOD.
Inspektor Ochrony Danych może być pracownikiem firmy lub zewnętrznym specjalistą. Jego zadaniem jest monitorowanie zgodności z RODO, szkolenie pracowników, współpraca z UODO oraz pełnienie roli punktu kontaktowego dla osób, których dane dotyczą.
Poniżej znajdziesz zestawienie kluczowych obowiązków, które każdy przedsiębiorca powinien zweryfikować w 2026 roku.
W 2026 roku, po ośmiu latach funkcjonowania, prawo to jest już dojrzałe – orzecznictwo sądów administracyjnych i decyzje Prezesa Urzędu Ochrony Danych Osobowych doprecyzowały dziesiątki niejasnych do tej pory przepisów. Nie ma już miejsca na tłumaczenie się niewiedzą ani na odkładanie wdrożenia na później.
RODO dla firm to nie jednorazowy projekt, lecz ciągły proces. Każda zmiana w firmie, na przykład nowe narzędzie lub nowa usługa, powinna być przeanalizowana pod kątem ochrony danych. Polityka RODO w firmie, rejestr czynności przetwarzania i polityka prywatności zgodna z RODO to trzy filary, od których należy zacząć. RODO obowiązki przedsiębiorcy obejmują jednak znacznie więcej – od umów powierzenia, przez zabezpieczenia techniczne, po procedury reagowania na incydenty. Jeśli masz wątpliwości co do stanu zgodności swojej firmy z przepisami, skonsultuj się z doświadczonym prawnikiem lub inspektorem ochrony danych – inwestycja w audyt RODO jest zawsze tańsza niż kara nałożona przez UODO.
Pomoc przedsiębiorcom oraz konsumentom świadczę od 2017 r. Jestem wyspecjalizowanym prawnikiem w dwóch obszarach. Doradzam startupom, zakładam i obsługuję spółki. Dodatkowo prowadzę procesy sądowe w sporach bankowych, pomagam konsumentom odzyskiwać nienależne świadczenia pobrane przez bank.