Kary za naruszenie RODO w Polsce: 4 sprawy małych podmiotów

Kary za naruszenie RODO, czyli unijnego rozporządzenia o ochronie danych osobowych, kojarzą się z milionami dla banków i sieci restauracji. I słusznie… tylko że to połowa obrazu. W tym samym wydaniu Biuletynu Urzędu Ochrony Danych Osobowych (UODO), nr 7-8/2025, w którym prezes urzędu opisał ponad 18 mln zł kary dla ING Banku Śląskiego i blisko 17 mln zł dla McDonald's Polska, jest też kara 32 tys. zł dla przychodni.

Jeśli prowadzisz małą firmę, gabinet, wspólnotę albo pracujesz w niewielkim urzędzie, ten wpis jest dla Ciebie. Opisuję cztery polskie sprawy z biuletynów UODO z lat 2024-2026: za co była kara, ile wyniosła i czego w każdej z nich zabrakło.

Dokumentacja pacjentów w skradzionym aucie: 32 tys. zł dla przychodni

Lekarz zabierał dokumentację pacjentów na wizyty domowe. Ktoś ukradł mu samochód, a dane o zdrowiu pacjentów trafiły w nieznane ręce. Prezes UODO nałożył na przychodnię 32 tys. zł kary (Biuletyn UODO, wydanie 7-8/2025, s. 7).

Za co dokładnie? Przychodnia nie uwzględniła wszystkich ryzyk dla danych pacjentów przy wizytach domowych. Postępowanie wykazało, że kradzieży dokumentów poza placówką nikt nie brał pod uwagę, więc nikt się przed nią nie zabezpieczał. Urząd podpowiada nawet proste rozwiązanie: teczki na dokumentację z szyfrowanym zamkiem.

Analiza ryzyka ma opisywać, jak naprawdę pracujesz, a nie tylko to, co dzieje się w biurze. RODO każe dobrać zabezpieczenia do ryzyka (art. 24 i art. 32 RODO). Jeśli dokumenty jeżdżą autem, praca odbywa się w domu pacjenta albo pracownik bierze teczkę do domu, to wszystko powinno być w analizie razem z zabezpieczeniem.

Jaka kara grozi przychodni prywatnej, a jaka publicznej, i co sprawdzić w systemie dokumentacji, opisujemy we wpisie Wyciek danych medycznych: kara dla szpitala we Francji, kary w Polsce i co sprawdzić w przychodni.

Niezgłoszone naruszenie danych: 5 tys. zł dla wspólnoty mieszkaniowej

Zawiadomienie o opłatach z danymi osobowymi członka wspólnoty trafiło do osoby, która nie powinna go dostać. Wspólnota uznała, że sprawa jest drobna, bo dotyczyła „jednego członka Wspólnoty”, i nie zgłosiła naruszenia do UODO. Skończyło się karą 5 tys. zł (Biuletyn UODO, wydanie 4/2026, s. 4).

Kara nie była za to, że zawiadomienie trafiło do niewłaściwej osoby, tylko za to, że naruszenia nie zgłoszono. Prezes UODO wyjaśnił w biuletynie, że skoro doszło do naruszenia, liczy się poziom ryzyka dla osoby, której dane dotyczą, a w tej sprawie ryzyka nie dało się wykluczyć.

RODO każe zgłosić naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w 72 godziny od jego stwierdzenia. Zgłoszenie po tym terminie też składasz, ale z wyjaśnieniem przyczyn opóźnienia. Zgłaszać nie trzeba tylko wtedy, gdy jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla praw lub wolności tej osoby (art. 33 ust. 1 RODO). Każde naruszenie, także niezgłoszone, wpisujesz do własnego rejestru naruszeń razem z okolicznościami, skutkami i podjętymi działaniami (art. 33 ust. 5).

Jak liczyć te 72 godziny, kiedy wolno nie zgłaszać i co dokładnie wpisać do rejestru, opisaliśmy szczegółowo we wpisie Zgłoszenie naruszenia danych osobowych: termin, wyjątki, zawiadomienie osób i rejestr naruszeń.

Jak ocenić, czy zgłaszać, krok po kroku pokazujemy we wpisie Zgłoszenie naruszenia do UODO po wycieku z programu do faktur.

Brak inspektora ochrony danych: 25 tys. zł dla nadzoru budowlanego

Powiatowy Inspektor Nadzoru Budowlanego w Częstochowie nie wyznaczył inspektora ochrony danych (IOD). W efekcie nie opublikował jego danych kontaktowych i nie zawiadomił o nich UODO. Kara wyniosła 25 tys. zł (Biuletyn UODO, wydanie 11/2024, s. 5).

Osobne kary dla firm objętych NIS2 wprowadziła nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa: do 10 mln euro albo 2% przychodów dla podmiotów kluczowych i do 7 mln euro albo 1,4% przychodów dla ważnych. Kogo obejmują i od kiedy urząd może je nakładać, piszę we wpisie Wykaz podmiotów kluczowych i ważnych po 3 października: wniosek, terminy NIS2 i kary.

Tu nie ma pola do interpretacji. Organ albo podmiot publiczny musi mieć inspektora (art. 37 ust. 1 lit. a RODO), opublikować jego dane kontaktowe i przekazać je urzędowi (art. 37 ust. 7). Polska ustawa o ochronie danych osobowych daje na zawiadomienie Prezesa UODO 14 dni od wyznaczenia inspektora (art. 10 ust. 1).

Zaniedbane formalności, a kara realna: 25 tys. zł. Kto poza urzędami musi mieć IOD (np. szkoła gminna, publiczna przychodnia), a kto zwykle nie, wyjaśniamy we wpisie Inspektor ochrony danych: kto musi go powołać, a kto nie.

Samo wyznaczenie inspektora też nie wystarczy, jeśli zostaje nim niewłaściwa osoba: jak skończyło się to dla komornika, który był inspektorem we własnej kancelarii, opisujemy we wpisie Kto nie może być inspektorem ochrony danych: kara 12 tys. zł dla komornika.

Zgubiony pendrive bez szyfrowania: trzy kary, w tym dla firmy z zewnątrz

W sprawie dwóch instytucji miejskich w Kutnie zgubiono pendrive bez szyfrowania z danymi osobowymi około 1500 osób. Prezes UODO ukarał te instytucje kwotami 15 tys. zł i 20 tys. zł, m.in. za niewdrożenie odpowiednich środków technicznych i organizacyjnych. Karę ponad 24 tys. zł dostała też spółka, która obsługiwała te instytucje przy zmianie programu kadrowo-płacowego (Biuletyn UODO, wydanie 11/2024, s. 5).

Jeden zgubiony nośnik, trzy kary, w tym dla firmy z zewnątrz. Szyfrowanie RODO wymienia wprost jako jedno z zabezpieczeń, które administrator i firma przetwarzająca dane na jego zlecenie stosują w stosownych przypadkach (art. 32 ust. 1 lit. a). Zaszyfrowany pendrive też można zgubić… ale ten, kto go znajdzie, nie przeczyta danych.

Od czego zależą kary UODO i jaka jest maksymalna kara RODO?

Najwyższe kary za naruszenie RODO to 20 mln euro albo 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, jeśli ta kwota jest wyższa (art. 83 ust. 5 RODO). Za część naruszeń, np. brak inspektora czy niezgłoszenie naruszenia, górna granica to 10 mln euro albo 2% obrotu (art. 83 ust. 4).

Jednostkom sektora finansów publicznych, czyli m.in. urzędom, polska ustawa obniża górną granicę do 100 tys. zł (art. 102 ust. 1 ustawy o ochronie danych osobowych).

Kto ma limit 100 tys. zł, kto 10 tys. zł (np. samorządowy dom kultury), a kto żadnego (np. szkoła niepubliczna czy szpital działający jako spółka), rozpisujemy we wpisie Kara UODO dla szkoły, szpitala i biblioteki: kto ma limit 100 tys. zł, a kto 10 tys. zł.

W konkretnej sprawie urząd bierze pod uwagę m.in. wagę i czas trwania naruszenia, to, co administrator zrobił, żeby ograniczyć szkodę, i jak współpracował z UODO (art. 83 ust. 2). Prezes UODO napisał w biuletynie, że wysokość kar ustala się w proporcji do rocznego obrotu, a znaczenie ma też zachowanie po incydencie (wydanie 11/2024). Mała firma dostaje więc mniejszą kwotę… ale ją dostaje.

Nie każde naruszenie kończy się karą. Cztery sprawy, w których urząd poprzestał na upomnieniu, a wszystko zaczęło się od zwykłej czynności przy pracy, opisujemy we wpisie Naruszenie RODO przez pracownika: 4 upomnienia UODO bez kary pieniężnej.

Co łączy te 4 kary za naruszenie RODO i co sprawdzić u siebie?

W trzech sprawach na czterech zawiodło to, co powinno działać na co dzień. Ocena ryzyka nie uwzględniła kradzieży dokumentacji wożonej na wizyty domowe, wspólnota zbagatelizowała naruszenie, a pendrive nie był zaszyfrowany. Czwarta sprawa, brak inspektora, to obowiązek formalny: wyznaczyć osobę, podać jej dane i zawiadomić urząd.

Dokumenty RODO same nie chronią przed karą. Chroni to, co z nich wynika w praktyce. Na podstawie tych spraw sprawdź u siebie:

Jeśli przy którymś punkcie nie masz pewności, zobacz, jak przygotowujemy dokumentację RODO pod konkretną firmę, razem z analizą ryzyka i procedurą naruszeń.

Najczęstsze pytania o kary za RODO w Polsce

Naruszenie już się zdarzyło: pomoc przy kontroli UODO

Gdy masz już pismo z urzędu albo za sobą naruszenie, sprawdź, jak pomagamy przy kontroli UODO i obsłudze incydentów. Lepiej jednak, żeby analiza ryzyka, procedura naruszeń i szyfrowanie zadziałały, zanim ktoś ukradnie auto albo zgubi pendrive.