Twoje dane - Twoja sprawa 2026/2027: co szkoła dostaje i co musi zrobić
czytaj więcej
Pracownik restauracji kręci krótki film promocyjny na TikToka. Film idzie do sieci, a potem do restauracji odzywa się klient: w kadrze widać jego imię, nazwisko, telefon, adres i… kod do klatki schodowej. Pracownik tego nie zauważył. Restauracja tłumaczyła potem, że dane mignęły na terminalu prawdopodobnie tylko przez ułamek sekundy.
Tak może wyglądać naruszenie RODO przez pracownika: bez hakera, bez wycieku bazy, w zwykły dzień pracy. W tym wpisie opisuję cztery takie sprawy z biuletynów Urzędu Ochrony Danych Osobowych (UODO). Każda skończyła się upomnieniem, a nie karą pieniężną. Na końcu znajdziesz to, co z nich wynika dla Twojej firmy, szkoły albo urzędu.
Spis treści
Upomnienie UODO: naruszenie stwierdzone, ale bez kary pieniężnej
Upomnienie to jeden ze środków, które RODO daje Prezesowi UODO (art. 58 ust. 2 lit. b RODO). Urząd wydaje decyzję, w której stwierdza, że przepisy złamano, ale nie każe płacić. Według motywu 148 RODO (motywy to wstęp do rozporządzenia, który wyjaśnia, jak czytać przepisy) upomnienie może zastąpić karę m.in. wtedy, gdy naruszenie jest niewielkie.
Upomnienie nie kosztuje ani złotówki, ale nie znika. Gdy urząd w kolejnej sprawie decyduje o karze, bierze pod uwagę wcześniejsze naruszenia. Szerzej piszemy o tym we wpisie o zgodzie na wizerunek dziecka i upomnieniu UODO dla sali zabaw.
Sprawy, które skończyły się karą, zebraliśmy we wpisie Kary za naruszenie RODO w Polsce: 4 sprawy małych podmiotów. Tu są cztery decyzje UODO, w których urząd poprzestał na upomnieniu.
Film na TikToku z restauracji: dane klienta na terminalu
Klient zamówił jedzenie przez portal z dostawami. Pracownik restauracji nagrywał film promocyjny na TikToka i nie zauważył, że w kadrze widać terminal płatniczy z danymi klienta: imię i nazwisko, numer telefonu, adres dostawy z kodem pocztowym i kod dostępu do klatki schodowej (Biuletyn UODO, wydanie 5/2025, s. 19, sygn. DS.523.1470.2023).
Restauracja tłumaczyła to niedopatrzeniem i błędem pracownika: dane były widoczne prawdopodobnie bardzo krótko, a pokazanie ich nie było celem filmu. Usunęła nagranie od razu, gdy klient dał znać.
Prezes UODO uznał, że doszło do naruszenia RODO. Ponieważ film zniknął niezwłocznie, a dane klienta nie były już przetwarzane, skończyło się upomnieniem.
Ułamek sekundy w kadrze wystarczy, żeby dane klienta trafiły do internetu. Każde nagranie z miejsca pracy ktoś powinien obejrzeć przed publikacją, klatka po klatce w miejscach, gdzie widać ekran, dokument albo tablicę.
Zwolnienie lekarskie a RODO: spółka ujawniła L4 osobom trzecim
Pracownik był na zwolnieniu lekarskim. Spółka przekazała osobom trzecim informację, że jest na zwolnieniu, i przybliżoną treść tego zwolnienia. Tłumaczyła to potrzebą wyjaśnienia kontrahentom, dlaczego kontakt z nim jest utrudniony. Do tego pisała do niego na prywatny numer telefonu, choć miała jego służbowy telefon i służbowy e-mail (Biuletyn UODO, wydanie 9/2023, s. 17-18).
Biuletyn nie wskazuje, kto w spółce przekazał te informacje. Ta sprawa pokazuje drugą stronę tematu: tu pracownik jest osobą, której dane ujawniono, a odpowiada za to i tak pracodawca.
Prezes UODO upomniał spółkę za dwie rzeczy:
- prywatny numer bez podstawy prawnej (art. 6 ust. 1 RODO). Spółka wyjaśniała, że korespondencja z tym numerem mogła iść omyłkowo, ale postępowanie nie wykazało, żeby pracownik dobrowolnie udostępnił go do celów służbowych;
- ujawnienie danych o zdrowiu (art. 9 ust. 1 RODO). Według urzędu już sama informacja, że ktoś jest na zwolnieniu lekarskim, to dane o jego zdrowiu.
Spółka powoływała się też na potrzebę przeorganizowania pracy pozostałych pracowników. Urząd uznał, że żaden z tych powodów nie pozwala ujawniać danych o zdrowiu osobom trzecim (nie spełnia warunków z art. 9 ust. 2 RODO).
Klientowi wystarczy informacja, że pracownik jest nieobecny, i nazwisko osoby, która go zastępuje. Powód nieobecności zostaje w kadrach.
RODO w szkole: dyrektorka przypisała rodzicom autorstwo anonimu
Sąd rodzinny przekazał szkole anonimowe pismo o agresywnych zachowaniach uczniów w jednej z klas. Na zebraniu rodziców dyrektorka ogłosiła, kto jej zdaniem je napisał. Przypisała je rodzicom, którzy doprowadzili do zwołania zebrania w sprawie zachowania dzieci. Ci zaprzeczyli, a potem złożyli skargę do UODO (Biuletyn UODO, wydanie 9/2024, s. 20, sygn. DS.523.2738.2023).
Urząd ustalił, że szkoła po otrzymaniu pisma stała się administratorem danych osób w nim wymienionych, czyli tym, kto decyduje, po co i jak te dane są wykorzystywane, i kto za nie odpowiada. Mogła jednak użyć tych danych tylko w celu, w jakim zobowiązał ją sąd, czyli do przygotowania opinii o konkretnych dzieciach. Informowanie rodziców o anonimie, jego treści i przypisywanie komuś autorstwa naruszyło RODO (art. 6 ust. 1 w związku z art. 5 ust. 1 lit. a i b). Szkoła dostała upomnienie.
Dane z dokumentu wolno wykorzystać tylko do tego, po co ten dokument trafił do Ciebie. Dotyczy to pisma z sądu, ale też CV, reklamacji czy skargi klienta.
Ujawnienie danych osobowych w internecie: nazwisko w nazwie pliku
Na portalu prowadzonym przez starostę opublikowano informację o obradach powiatowej komisji skarg i wniosków. W załączniku była skarga obywatela z jego imieniem, nazwiskiem i adresem, a nazwisko było też w nazwie pliku. Starosta tłumaczył, że pracownik biura rady, który wstawiał dokumenty, był przekonany, że widzą je tylko radni powiatowi (Biuletyn UODO, wydanie 6/2025, s. 24, sygn. DS.523.4131.2024).
Po skardze obywatela dokument usunięto. Prezes UODO stwierdził, że starosta nie miał podstawy prawnej do publikacji tych danych (art. 6 ust. 1 RODO). Prawo do informacji publicznej ma granice, a jedną z nich jest prywatność osoby, która nie pełni funkcji publicznej. Za takie ujawnienie danych osobowych urząd uznał upomnienie za adekwatne do wagi naruszenia.
Anonimizacja obejmuje także nazwę pliku. Zanim dokument trafi na stronę, zapytaj: kto naprawdę może go zobaczyć? „Tylko radni” albo „tylko klienci po zalogowaniu” warto sprawdzić, a nie zakładać.
Art. 32 RODO: kto odpowiada za błąd pracownika
W żadnej z tych spraw upomnienie nie trafiło do konkretnej osoby: ani do pracownika restauracji, ani do pracownika biura rady, ani do dyrektorki. Dostał je administrator danych: restauracja, spółka, szkoła i starosta. W sprawie L4 biuletyn w ogóle nie wskazuje osoby, opisuje tylko działania spółki. Biuletyn UODO mówi o tym wprost:
Zdanie pochodzi z odpowiedzi urzędu w sprawie szkoleń RODO (Biuletyn UODO, wydanie 9/2023, s. 16). RODO każe administratorowi wdrożyć odpowiednie środki techniczne i organizacyjne (art. 32 ust. 1) i zadbać, żeby każda osoba z dostępem do danych przetwarzała je wyłącznie na jego polecenie (art. 32 ust. 4). Jak wygląda to w papierach, opisujemy we wpisie Upoważnienie do przetwarzania danych osobowych: pracownik odszedł bez podpisu.
Trzy z tych upomnień biuletyn opisuje jako naruszenie podstawy prawnej i zasad przetwarzania (art. 5, 6 i 9 RODO), a przy restauracji nie podaje przepisu. Żadnej z czterech spraw nie opisuje jako naruszenia art. 32. Ale art. 32 to osobny obowiązek. Za brak odpowiednich środków organizacyjnych urząd może nałożyć karę także wtedy, gdy nic nie wyciekło. Górna granica to 10 mln euro albo 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 83 ust. 4 lit. a RODO). Dla większości jednostek sektora finansów publicznych, w tym urzędów i szkół samorządowych, polska ustawa o ochronie danych osobowych obniża limit do 100 000 zł (art. 102 ust. 1), a dla instytucji kultury do 10 000 zł (art. 102 ust. 2).
Środki organizacyjne, które zatrzymałyby te cztery błędy
Na każdą z tych czynności da się napisać prostą zasadę i nauczyć jej osoby, które ją wykonują:
- videocam
Kadr przed publikacją
Zdjęcie albo film z miejsca pracy ogląda druga osoba i sprawdza ekrany, dokumenty i tablice w tle.
- call
Co mówimy o nieobecnym
Zespół zna jedno zdanie dla klienta: „pan Kowalski jest nieobecny, w tej sprawie pomoże pani Nowak”. Bez powodu nieobecności.
- description
Dokument tylko do swojego celu
Pismo z sądu, skarga czy CV służy temu, po co do Ciebie trafiło. Nie omawiasz go na forum.
- visibility_off
Anonimizacja z nazwą pliku
Przed wstawieniem na stronę sprawdzasz treść, załączniki i nazwę pliku, a także to, kto naprawdę zobaczy dokument.
Te zasady działają tylko wtedy, gdy ludzie je znają. UODO w Biuletynie 9/2023 (s. 16) pisze, że szkolenia z ochrony danych powinny obejmować wskazówki dla pracowników na konkretnych stanowiskach. Jak często szkolić i jak sprawdzić, czy szkolenie zadziałało, piszemy we wpisie Szkolenie RODO dla pracowników: częstotliwość, treść i skuteczność.
Najczęstsze pytania o naruszenie RODO przez pracownika
Kto odpowiada za naruszenie RODO przez pracownika?+
Przed UODO odpowiada administrator, czyli firma, szkoła albo urząd, w którym pracownik pracuje. We wszystkich czterech sprawach upomnienie dostał administrator, a nie osoba, która nagrała film, wstawiła plik albo zabrała głos na zebraniu. Pracownik może za to dostać karę porządkową (art. 108 Kodeksu pracy) albo odpowiadać materialnie za szkodę wyrządzoną pracodawcy (art. 114 Kodeksu pracy), a za umyślne przetwarzanie danych bez uprawnienia odpowiada także karnie (art. 107 ustawy o ochronie danych osobowych).
Czy upomnienie UODO to kara?+
Nie, to nie jest kara pieniężna, tylko środek naprawczy (art. 58 ust. 2 lit. b RODO): urząd w decyzji stwierdza naruszenie, ale nie każe płacić. Przy następnej sprawie urząd bierze pod uwagę wcześniejsze naruszenia, więc upomnienie może zaważyć na wysokości przyszłej kary (art. 83 ust. 2 lit. e RODO).
Kiedy UODO poprzestaje na upomnieniu?+
Motyw 148 RODO dopuszcza upomnienie zamiast kary, gdy naruszenie jest niewielkie albo kara byłaby nieproporcjonalnym obciążeniem dla osoby fizycznej. Urząd patrzy przy tym m.in. na wagę i czas trwania naruszenia oraz na to, co administrator zrobił, żeby ograniczyć szkodę. W sprawie restauracji wziął pod uwagę to, że film usunięto od razu, a przy staroście uznał upomnienie za adekwatne do wagi naruszenia.
Czy informacja, że pracownik jest na L4, to dane o zdrowiu?+
Tak. Prezes UODO uznał, że sam fakt przebywania na zwolnieniu lekarskim ujawnia informację o stanie zdrowia i o korzystaniu z opieki zdrowotnej. To szczególna kategoria danych z art. 9 RODO.
Szkolenie RODO pod konkretne stanowisko
Każda z tych spraw zaczęła się od zwykłej czynności: nagrania, tłumaczenia kontrahentom nieobecności pracownika, zebrania z rodzicami, wstawienia pliku na stronę. Dlatego nasze szkolenia RODO nie są jednym wykładem dla wszystkich. Nagranie ma osobne wersje dla właściciela oraz pracowników przy komputerze i bez komputera, a szkolenie na żywo dopasowujemy do branży i do tego, jak naprawdę pracujecie z danymi. Napisz do nas albo zadzwoń, dobierzemy formę do Twojego zespołu.
