Raport

poprzedni

następny

W tematyce: Administracja publiczna

Podgląd Podgląd

Kto płaci za brak ochrony danych osobowych? Analiza administracyjnych kar pieniężnych nałożonych przez Prezesa UODO w 2025 r.

Autor: Grant Thornton

Data publikacji: 24/02/2026

Link źródłowy: kliknij tutaj

Informacja prasowa: kliknij tutaj

Skopiuj link do raportu

Pobierz raport w PDF

Streszczenie

Raport Grant Thornton analizuje administracyjne kary pieniężne nałożone przez Prezesa Urzędu Ochrony Danych Osobowych (UODO) w 2025 r., które łącznie wyniosły około 64 mln zł. Eksperci wskazują, że zakończył się okres ulg związanych z wdrażaniem RODO, a organy nadzorcze konsekwentnie egzekwują obowiązki ochrony danych. Najpoważniejsze sankcje dotyczą spółek kapitałowych, które odpowiadają za niemal całość kar finansowych, co wynika ze skali ich działalności i złożoności procesów przetwarzania danych.

W 2025 r. najczęściej stwierdzane naruszenia dotyczyły niewłaściwego zabezpieczenia danych (ponad 60% przypadków) oraz braku dokumentacji potwierdzającej zgodność przetwarzania z RODO. Wysokie kary nakładano także za przetwarzanie danych bez odpowiedniej podstawy prawnej lub nadmierne gromadzenie informacji, szczególnie danych wrażliwych i o wysokim ryzyku, takich jak numery PESEL czy kopie dokumentów tożsamości. Przykładem jest kara nałożona na ING Bank Śląski za bezpodstawne masowe skanowanie dokumentów klientów.

Prezes UODO przywiązuje dużą wagę do umyślnego naruszania przepisów, które skutkuje zdecydowanie wyższymi sankcjami niż wykroczenia nieumyślne. Kluczowa jest skuteczność, proporcjonalność i odstraszający charakter kar. Raport podkreśla znaczenie stałego monitorowania zgodności działań z RODO, zaangażowania Inspektora Ochrony Danych i realnego stosowania procedur ochrony danych. Firmy powinny postrzegać ochronę danych jako integralną część swojej działalności, co pozwoli ograniczyć ryzyko finansowe i utratę reputacji.

Wnioski

1. Prezes UODO w 2025 roku skoncentrował się na minimalizacji nadmiarowego przetwarzania danych osobowych, zwłaszcza w kontekście weryfikacji podstaw prawnych oraz ograniczenia zakresu przetwarzanych danych do absolutnie niezbędnych, ze szczególnym uwzględnieniem danych o wysokim ryzyku, takich jak dane wrażliwe i identyfikacyjne.

2. Niezależność Inspektora Ochrony Danych (IOD) jest kluczowym elementem skutecznego funkcjonowania systemu ochrony danych; jej brak, w szczególności łączenie funkcji IOD z rolami decyzyjnymi lub kierowniczymi, prowadzi do występowania konfliktów interesów, co skutkuje sankcjami ze strony organu nadzorczego.

3. Administracyjne kary pieniężne nakładane przez Prezesa UODO są uzależnione od kompleksowej oceny okoliczności naruszenia, w tym jego charakteru, stopnia winy, podjętych działań naprawczych oraz zastosowanych środków zabezpieczających, a same sankcje muszą być skuteczne, proporcjonalne i odstraszające.

4. Wiele naruszeń wynika z niedostatecznego wdrażania praktycznych środków technicznych i organizacyjnych, co skutkuje brakiem skutecznych mechanizmów zapobiegania incydentom oraz niewystarczającą dokumentacją potwierdzającą prawidłowe stosowanie przepisów RODO, co podkreśla konieczność stałego monitoringu i audytów.

5. Umyślne naruszenia przepisów RODO są karane znacznie surowiej niż błędy nieumyślne, co wskazuje na rosnącą wagę świadomego podejścia do ochrony danych i odpowiedzialności administratorów za świadome ignorowanie obowiązków prawnych.

6. Efektywność ochrony danych osobowych w organizacji wymaga ciągłego podnoszenia świadomości pracowników oraz angażowania Inspektora Ochrony Danych w procesy przetwarzania danych na wszystkich etapach, co pozwala na wczesne identyfikowanie ryzyk i przeciwdziałanie naruszeniom.

Główne rekomendacje

1. Należy systematycznie weryfikować prawne podstawy przetwarzania danych osobowych oraz ograniczać zakres gromadzonych informacji wyłącznie do niezbędnych dla realizacji celów biznesowych, ze szczególnym uwzględnieniem danych wrażliwych i o wysokim ryzyku naruszenia praw osób, co pozwoli uniknąć nadmiarowego przetwarzania.

2. Wdrożenie i ciągłe doskonalenie adekwatnych technicznych oraz organizacyjnych środków zabezpieczających dane osobowe jest kluczowe; należy regularnie testować i aktualizować systemy ochrony danych, aby zapobiegać incydentom wynikającym z nieprawidłowej konfiguracji czy wykorzystania przestarzałych technologii.

3. Zapewnienie faktycznej skuteczności polityk i procedur ochrony danych wymaga realnego stosowania ich w codziennej działalności firmy, popartego regularnymi audytami, szkoleniami oraz mechanizmami podnoszącymi świadomość pracowników na wszystkich szczeblach organizacji.

4. Włączenie Inspektora Ochrony Danych (IOD) we wszystkie procesy przetwarzania danych, wraz z zapewnieniem mu odpowiedniej niezależności i umocowania w strukturze organizacyjnej, umożliwia efektywny nadzór nad przestrzeganiem RODO i skuteczne zarządzanie ryzykiem naruszeń.

5. W przypadku wystąpienia incydentów dotyczących naruszenia ochrony danych osobowych, należy niezwłocznie zgłaszać je organowi nadzorczemu oraz podejmować natychmiastowe działania minimalizujące skutki naruszenia, co jest istotnym czynnikiem łagodzącym potencjalne sankcje i ogranicza ryzyko dalszych szkód.

6. Konieczne jest ustanowienie przejrzystych i kompletnych umów powierzenia przetwarzania danych z podmiotami zewnętrznymi, wraz z systematycznym monitorowaniem ich zgodności z wymogami RODO, aby zapewnić właściwy nadzór nad przekazywaniem danych i uniknąć naruszeń wynikających z zaniedbań po stronie procesorów.