Pismo z UODO: jak odpowiedzieć i kara za brak odpowiedzi

W skrzynce leży awizo, a jako nadawca widnieje Urząd Ochrony Danych Osobowych. Albo list jest już na biurku: kilka pytań, znak sprawy i termin. Pismo z UODO to jeszcze nie kara. Ale to też nie list, który można odłożyć na później.

Prezes UODO nałożył 18 941 zł kary na restauratora, który przez ponad 3 lata nie odpowiadał na pisma urzędu. Kara nie dotyczyła sprawy, o którą urząd pytał, tylko samego milczenia. Wyjaśniam, skąd biorą się takie pisma, ile masz czasu na odpowiedź, o co urząd pyta i jak tę odpowiedź przygotować.

Skąd w firmie bierze się pismo z UODO?

Urząd pisze do firmy zwykle z jednego z trzech powodów. Każdy kończy się tak samo: pytaniami, na które musisz odpowiedzieć.

Skarga do UODO od klienta albo pracownika

Każda osoba, której dane przetwarzasz, może złożyć skargę do Prezesa UODO, jeśli uważa, że przetwarzając jej dane, naruszasz RODO (art. 77 RODO). Dla niej to zwykle nic nie kosztuje, bo urząd wykonuje swoje zadania na rzecz osoby, której dane dotyczą, bezpłatnie. Opłatę może pobrać albo odmówić działania tylko przy żądaniach oczywiście nieuzasadnionych lub nadmiernych (art. 57 ust. 3 i 4 RODO).

Skarżyć się może klient czy pacjent, ale też Twój pracownik. Tak zaczęła się sprawa restauracji: osoba zatrudniona przez przedsiębiorcę złożyła skargę na nieprawidłowości w przetwarzaniu jej danych. W pytaniach do przedsiębiorcy urząd wymienił między innymi jej odciski palców, a w decyzji zapisał, że przedsiębiorca prawdopodobnie je przetwarzał.

Zgłoszone naruszenie ochrony danych

Jeśli zgłosiłeś urzędowi naruszenie ochrony danych osobowych (art. 33 RODO), na przykład wysłanie maila z danymi do niewłaściwej osoby, urząd może dopytać o szczegóły. Ma do tego prawo, bo art. 58 ust. 1 lit. a RODO pozwala mu żądać wszelkich informacji potrzebnych do wykonania jego zadań.

Kiedy po wycieku u dostawcy programu do faktur trzeba złożyć zgłoszenie, a kiedy wystarczy wpis do rejestru naruszeń, opisaliśmy we wpisie Zgłoszenie naruszenia do UODO po wycieku z programu do faktur.

Kontrola UODO

Trzecia droga to kontrola. Prezes UODO prowadzi ją według planu kontroli, na podstawie informacji, które do niego dotarły, albo w ramach monitorowania, jak firmy stosują RODO (art. 78 ustawy o ochronie danych osobowych). Przeprowadza ją upoważniony pracownik urzędu (art. 79 tej ustawy).

Termin z pisma i obowiązek współpracy z urzędem (art. 31 RODO)

Termin na odpowiedź podaje urząd w piśmie. RODO nie wyznacza jednego terminu dla wszystkich spraw. W sprawie restauracji pierwsze wezwanie dawało 7 dni od doręczenia.

Obowiązek odpowiedzi wynika z dwóch przepisów. Art. 31 RODO mówi, że administrator (Ty jako firma, która decyduje o danych) i podmiot przetwarzający (firma, która przetwarza dane na Twoje zlecenie, np. biuro rachunkowe) współpracują z organem nadzorczym na jego żądanie. Art. 58 ust. 1 RODO daje urzędowi prawo żądać informacji i dostępu do danych osobowych.

Kto nie dostarcza informacji, których urząd żąda na podstawie art. 58 ust. 1, ryzykuje karę do 20 mln euro, a w przypadku firmy do 4% jej rocznego światowego obrotu z poprzedniego roku obrotowego, jeśli ta kwota jest wyższa (art. 83 ust. 5 lit. e RODO). Właśnie na tej podstawie ukarano restauratora: za naruszenie art. 58 ust. 1 lit. a i e, a nie samego art. 31. Za naruszenie art. 31 grozi niższa kara, do 10 mln euro albo 2% obrotu (art. 83 ust. 4 lit. a RODO).

Nieodebrany list z UODO też jest doręczony

Listu z urzędu nie da się przeczekać. Jeśli go nie odbierzesz mimo dwóch awiz, uznaje się go za doręczony z upływem 14 dni od pierwszej próby doręczenia (art. 44 Kodeksu postępowania administracyjnego). Od tego dnia liczy się termin, choć pisma nawet nie otworzyłeś.

Gdy Ciebie nie ma, list może odebrać za Ciebie dorosły domownik, sąsiad albo dozorca, jeśli zobowiąże się go oddać (art. 43 tego kodeksu). Pismo może też przyjść elektronicznie: urząd doręcza je na adres do e-Doręczeń, jeśli masz go wpisanego do bazy adresów elektronicznych (art. 39 i 39¹ tego kodeksu).

Uważaj tylko na maile, które udają pismo z urzędu. W październiku 2026 r. UODO ostrzegł przed kampanią, w której oszuści pod jego szyldem wyłudzają dane kamer. Jak ją rozpoznać, opisaliśmy we wpisie Fałszywe wezwanie UODO o monitoring - co zrobić, gdy firma ma kamery.

Kara za brak odpowiedzi na pismo z UODO: 18 941 zł dla restauracji

Całą historię opisuje decyzja Prezesa UODO z 23 czerwca 2025 r. (DKE.561.1.2025). Krótko wspomniał o niej też Prezes UODO we wstępie do Biuletynu UODO 7-8/2025, tam w zaokrągleniu: 18 tysięcy złotych dla przedsiębiorcy z branży gastronomicznej.

Pierwsze pismo przyszło w grudniu 2021 r. i według potwierdzenia odbioru odebrał je sam przedsiębiorca. Urząd pytał, czy, od kiedy, na jakiej podstawie prawnej i w jakim celu przedsiębiorca przetwarza odciski palców skarżącej oraz czy przekazał jej informacje wymagane przez art. 13 RODO.

W 2024 r. urząd wysłał dwa kolejne pisma z ostrzeżeniem, że brak wyczerpującej odpowiedzi może skończyć się karą. Przedsiębiorca ich nie odebrał, więc uznano je za doręczone. Urząd próbował też kontaktu telefonicznego, ale przedsiębiorca nie odpowiedział na żadne z pism.

Na pierwsze pismo odpisał urzędowi tylko inny mężczyzna (urząd przypuszczał, że domownik): że to on przypadkiem odebrał list, a adresat jest za granicą. Urząd mu nie uwierzył, bo potwierdzenie odbioru wskazywało przedsiębiorcę, a nikt nie przedstawił dowodu, że było inaczej. Pobyt za granicą też nie zwalniał z odpowiedzi, bo przedsiębiorca mógł ustanowić pełnomocnika.

Kara nie była za odciski palców, tylko za milczenie. Czy ich przetwarzanie było zgodne z prawem, urząd nie mógł nawet ocenić, bo nie dostał żadnych informacji. W decyzji napisał wprost, że przedsiębiorca był i nadal jest zobowiązany odpowiedzieć.

Nawet w ostatniej chwili odpowiedź mogła coś zmienić. W piśmie o wszczęciu postępowania w sprawie kary urząd pouczył przedsiębiorcę, że złożenie wyjaśnień może złagodzić karę albo doprowadzić do odstąpienia od niej. Poprosił też o zeznanie PIT za 2023 r. i wynik finansowy za 2024 r., żeby dopasować karę do możliwości firmy. Bez tych danych oszacował ją sam, na podstawie informacji z rejestrów publicznych i internetu.

Wyszło 4 500 euro, czyli 0,02% maksymalnej kary. Urząd uzasadnił, że ma to być kara dolegliwa, ale możliwa do zapłacenia bez zagrożenia dla działalności. W portalu orzeczeń UODO decyzja ma status nieprawomocnej (stan na 7 października 2026 r.).

O co urząd pyta w piśmie i jakie dokumenty przygotować?

Pytania zwykle dotyczą konkretnej sprawy, tak jak w restauracji: podstawa prawna, cel, okres przetwarzania i informacja przekazana osobie. Odpowiadasz na nie dokumentami, którymi wykazujesz, że stosujesz RODO. Urząd może poprosić o każdy z nich, bo art. 58 ust. 1 lit. a RODO obejmuje wszelkie informacje potrzebne do sprawy.

Jeśli któregoś z tych dokumentów brakuje, termin z pisma zwykle nie wystarczy, żeby przygotować go od zera. Dlatego lepiej mieć je wcześniej, a gotowy komplet przygotujemy w ramach dokumentacji RODO. O tym, dlaczego sama polityka na stronie nie wystarczy, piszemy we wpisie RODO to nie tylko polityka prywatności.

Jak przygotować odpowiedź na pismo z UODO?

Kto podpisuje odpowiedź

Odpowiada administrator danych, czyli Twoja firma. Podpisuje ktoś, kto może działać w jej imieniu: przy jednoosobowej działalności właściciel, w spółce osoby uprawnione do jej reprezentowania.

Możesz też działać przez pełnomocnika (art. 32 i art. 33 Kodeksu postępowania administracyjnego). Pełnomocnictwo dajesz na piśmie, a pełnomocnik dołącza oryginał albo urzędowo poświadczony odpis. Od pełnomocnictwa płacisz 17 zł opłaty skarbowej, choć są wyjątki, np. pełnomocnictwo dla małżonka, rodziców, dzieci albo rodzeństwa.

Jeśli masz inspektora ochrony danych, czyli osobę, która pilnuje w firmie przestrzegania RODO (nie każda firma musi go wyznaczyć, art. 37 RODO), do jego zadań należy współpraca z urzędem i bycie dla niego punktem kontaktowym (art. 39 ust. 1 lit. d i e RODO). Najlepiej, żeby to on przygotował odpowiedź. Podpisać ją w imieniu firmy może jednak dopiero z pełnomocnictwem, bo samo stanowisko inspektora go do tego nie upoważnia.

Co dołączyć do odpowiedzi

Podaj znak sprawy z pisma. Potem odpowiedz na każde pytanie po kolei, w tej samej kolejności co w piśmie. Do odpowiedzi dołącz dokumenty, o które urząd prosi, na przykład kopię klauzuli informacyjnej.

Restauratora urząd ostrzegał przed brakiem wyczerpującej odpowiedzi. Jedno zdanie „przetwarzamy dane zgodnie z RODO” wyczerpującą odpowiedzią nie jest.

Czego nie robić

• Nie zbywaj urzędu ogólnikiem ani samym stwierdzeniem, że skarga jest bezpodstawna. Nawet jeśli tak uważasz, urząd potrzebuje faktów, żeby to ocenić.
• Nie milcz, gdy nie zdążysz. Napisz przed upływem terminu, co Cię zatrzymuje i kiedy odpowiesz. Restauratorowi urząd wytknął właśnie to, że nie poinformował o żadnych przeszkodach.
• Nie licz, że sprawa ucichnie. Między pierwszym pismem a karą minęło 3,5 roku.

Najczęstsze pytania o pismo z UODO

Odpowiedź w terminie, nawet niepełna, zamiast ciszy

Pamiętaj: na pismo z UODO odpowiadasz w terminie, także wtedy, gdy uważasz skargę za bezpodstawną albo nie masz jeszcze wszystkich ustaleń. Wtedy piszesz, co już wiesz i kiedy uzupełnisz resztę.

Jeśli dostałeś pismo z UODO albo czeka Cię kontrola i nie wiesz, jak odpowiedzieć, napisz lub zadzwoń - pomożemy w ramach usługi kontrola UODO. A jeśli chcesz poukładać ochronę danych, zanim przyjdzie pierwsze pismo, przeczytaj, jak wygląda RODO w firmie.