Ustawa RODO — poradnik praktyczny 2026

Data ostatniej aktualizacji: 10 czerwca 2026
Stan prawny: Czerwiec 2026 (z uwzględnieniem nowelizacji z maja 2025 oraz wytycznych EROD z marca 2026)

Spis treści

1. Czym jest RODO i kogo obowiązuje w 2026 roku
2. Najważniejsze zmiany w RODO — stan na czerwiec 2026
3. Prawa osób, których dane dotyczą — co musisz wiedzieć
4. Obowiązki administratora danych — lista kontrolna
5. Kary za naruszenie RODO — realia 2025–2026
6. RODO a nowe technologie — AI, IoT i cloud computing
7. Jak wdrożyć RODO w organizacji krok po kroku
8. Częste pytania

Czym jest RODO i kogo obowiązuje w 2026 roku

RODO, czyli Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, obowiązuje bezpośrednio we wszystkich państwach członkowskich Unii Europejskiej od 25 maja 2018 roku. W polskim porządku prawnym zostało uzupełnione ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych, której ostatnia istotna nowelizacja weszła w życie 1 czerwca 2025 roku (Dz.U. 2025 poz. 621).

Kogo obowiązuje RODO

Wbrew powszechnemu przekonaniu, RODO nie dotyczy wyłącznie dużych korporacji. Rozporządzenie ma zastosowanie do każdego podmiotu — niezależnie od jego wielkości, formy prawnej czy sektora działalności — który przetwarza dane osobowe osób fizycznych znajdujących się na terytorium Unii Europejskiej. Co istotne, od maja 2025 roku obowiązek ten został rozszerzony na mocy wytycznych Europejskiej Rady Ochrony Danych (EROD) z marca 2026 roku także na firmy spoza UE, które oferują towary lub usługi osobom w Unii, nawet jeśli nie pobierają od nich bezpośredniej opłaty — dotyczy to m.in. dostawców darmowych aplikacji mobilnych i serwisów internetowych utrzymywanych z reklam.

Podstawowe definicje — ABC administratora

Zrozumienie kluczowych pojęć stanowi fundament skutecznego wdrożenia RODO. Administratorem danych jest każdy podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. W praktyce oznacza to, że jeśli Twoja firma decyduje, jakie dane zbiera, w jakim celu to robi i jak je wykorzystuje — jesteś administratorem i ponosisz pełną odpowiedzialność prawną. Podmiot przetwarzający to odrębna kategoria — to firma, która przetwarza dane w imieniu i na polecenie administratora. Typowym przykładem jest dostawca usług hostingowych, biuro rachunkowe prowadzące kadry i płace, czy zewnętrzna agencja marketingowa wysyłająca newslettery.

Inspektor ochrony danych (IOD) to rola, którą RODO nakazuje powołać w określonych sytuacjach — m.in. gdy główna działalność administratora polega na monitorowaniu osób na dużą skalę (systemy CCTV w galeriach handlowych, monitoring pracowników w dużych zakładach) lub przetwarzaniu na dużą skalę szczególnych kategorii danych (dane medyczne, biometryczne, genetyczne). Od czerwca 2025 roku polski ustawodawca rozszerzył obowiązek powołania IOD na wszystkie podmioty wykonujące działalność leczniczą oraz placówki oświatowe publiczne i niepubliczne, niezależnie od ich wielkości. W pozostałych przypadkach powołanie IOD jest dobrowolne, choć Prezes Urzędu Ochrony Danych Osobowych (PUODO) w swoim rocznym raporcie za 2025 rok wyraźnie rekomenduje takie rozwiązanie jako dobrą praktykę minimalizującą ryzyko naruszeń.

Zakres terytorialny — efekt eksterytorialny

RODO chroni dane osobowe wszystkich osób fizycznych przebywających na terytorium Europejskiego Obszaru Gospodarczego, niezależnie od ich obywatelstwa. Oznacza to, że polski sklep internetowy sprzedający produkty do Niemiec, francuska firma consultingowa obsługująca klientów w Warszawie, czy amerykański dostawca SaaS oferujący aplikację do zarządzania projektami, z której korzystają polskie zespoły — wszyscy podlegają RODO. W 2025 roku PUODO wydał dwie przełomowe decyzje nakładające kary na podmioty z Singapuru i ze Zjednoczonych Emiratów Arabskich za naruszenia dotyczące danych polskich obywateli, co potwierdza realną egzekwowalność przepisów poza granicami UE.

Najważniejsze zmiany w RODO — stan na czerwiec 2026

RODO nie jest martwym dokumentem. Przepisy ewoluują — zarówno poprzez formalne nowelizacje na poziomie unijnym, jak i poprzez krajowe akty prawne, wytyczne organów nadzorczych oraz orzecznictwa Trybunału Sprawiedliwości UE.

Nowelizacja polskiej ustawy sektorowej z maja 2025 roku

Najistotniejszą zmianą dla polskich przedsiębiorców jest ustawa z dnia 9 maja 2025 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz.U. 2025 poz. 621), która wprowadziła następujące modyfikacje:

Obowiązkowy IOD w sektorze zdrowia i edukacji. Jak już wspomniano, od 1 czerwca 2025 roku każda placówka medyczna (w tym indywidualne praktyki lekarskie zatrudniające powyżej 5 osób) oraz każda szkoła i przedszkole muszą wyznaczyć inspektora ochrony danych i zgłosić go do PUODO. Niedopełnienie tego obowiązku skutkuje administracyjną karą pieniężną do 500 000 zł.

Uproszczona procedura zgłaszania naruszeń. Nowelizacja wprowadziła elektroniczny formularz zgłaszania naruszeń ochrony danych przez platformę ePUAP, z obowiązkowym terminem 72 godzin od wykrycia incydentu. Formularz został zaprojektowany tak, aby prowadzić zgłaszającego krok po kroku — od klasyfikacji rodzaju naruszenia (poufność, integralność, dostępność), przez szacowanie ryzyka dla osób, których dane dotyczą, aż po opis wdrożonych środków zaradczych.

Nowe kategorie danych wrażliwych. Do katalogu szczególnych kategorii danych z art. 9 RODO polski ustawodawca dodał dane dotyczące orientacji psychoseksualnej oraz dane neurobiometryczne (wzorce fal mózgowych, profile reakcji psychofizjologicznych), wychodząc naprzeciw wyzwaniom związanym z rosnącą popularnością urządzeń neurointerfejsowych i aplikacji monitorujących stan psychiczny.

Wytyczne EROD z marca 2026 — zgoda jako podstawa przetwarzania

Europejska Rada Ochrony Danych opublikowała w marcu 2026 roku długo oczekiwane, kompleksowe wytyczne nr 1/2026 dotyczące zgody jako podstawy przetwarzania danych w kontekście nowych technologii. Kluczowe wnioski:

1. Cookie walls są jednoznacznie zakazane. Praktyka uzależniania dostępu do treści od wyrażenia zgody na śledzenie (tzw. "zgoda albo ściana") została uznana za niedopuszczalną. Jeśli użytkownik odmawia zgody na marketingowe pliki cookie, musi otrzymać dostęp do tej samej treści, być może za rozsądną, proporcjonalną opłatą alternatywną.

2. Zgoda nie może być domyślna ani "ukryta". Mechanizm "zgadzam się" nie może być zaznaczony domyślnie. Każdy checkbox, suwak czy przełącznik musi być w pozycji wyłączonej przy pierwszym kontakcie użytkownika z serwisem.

3. Granularność zgody. Od 2026 roku EROD wymaga, aby użytkownik mógł wyrazić odrębną zgodę na każdy cel przetwarzania — osobno na analitykę, osobno na marketing, osobno na personalizację treści. Zbiorcze zgody typu "Wyrażam zgodę na przetwarzanie danych w celach marketingowych i analitycznych" nie spełniają już standardu dobrowolności.

Decyzja wykonawcza Komisji Europejskiej z lutego 2026 — klauzule standardowe dla transferów do USA

Po latach negocjacji i okresie niepewności prawnej po unieważnieniu Tarczy Prywatności (Privacy Shield), w lutym 2026 roku Komisja Europejska przyjęła nowy zestaw standardowych klauzul umownych (SCC) dedykowanych transferom danych osobowych do Stanów Zjednoczonych. Klauzule uwzględniają postanowienia amerykańskiego Executive Order 14086 i wymagają od importera danych w USA przeprowadzenia szczegółowej oceny, czy lokalne prawo nie uniemożliwia wypełnienia zobowiązań wynikających z SCC. Dla polskich firm korzystających z amerykańskich usług chmurowych (AWS, Google Cloud, Microsoft Azure, Salesforce) oznacza to konieczność aktualizacji umów powierzenia i rejestru transferów do 1 lipca 2027 roku.

Prawa osób, których dane dotyczą — co musisz wiedzieć

RODO przyznaje osobom fizycznym katalog jedenastu praw, które administrator musi respektować, a których realizacja powinna być możliwie prosta i zrozumiała. W praktyce biznesowej najczęściej aktywowanymi uprawnieniami są prawo dostępu do danych, prawo do usunięcia danych (prawo do bycia zapomnianym) oraz prawo do sprzeciwu wobec marketingu bezpośredniego.

Prawo dostępu do danych (art. 15)

Każda osoba ma prawo uzyskać od administratora potwierdzenie, czy przetwarzane są jej dane osobowe, a jeśli tak — otrzymać ich kopię oraz szczegółowe informacje o celach przetwarzania, kategoriach danych, odbiorcach, okresie retencji, a także o prawie do sprostowania, usunięcia lub ograniczenia przetwarzania. W 2025 roku PUODO ukarał dużą sieć handlową kwotą 1,2 mln zł za wielomiesięczną zwłokę w udostępnieniu danych klientowi — organ podkreślił, że standardowy termin 30 dni na realizację żądania nie jest "okresem orientacyjnym", lecz bezwzględnym obowiązkiem ustawowym, którego przekroczenie wymaga wyczerpującego uzasadnienia i poinformowania o tym wnioskodawcy.

Prawo do usunięcia danych (art. 17) — prawo do bycia zapomnianym

Prawo to nie ma charakteru absolutnego — przysługuje w enumeratywnie wyliczonych przypadkach, m.in. gdy dane nie są już niezbędne do celów, w których zostały zebrane, gdy osoba cofnęła zgodę i nie ma innej podstawy prawnej przetwarzania, gdy wniosła skuteczny sprzeciw lub gdy dane były przetwarzane niezgodnie z prawem. Administrator ma obowiązek nie tylko usunąć dane z własnych systemów, ale także — w zakresie rozsądnie możliwym — poinformować innych administratorów, którym dane zostały ujawnione, o żądaniu usunięcia.

Prawo do przenoszenia danych (art. 20) — nowy wymiar w 2026 roku

Prawo to, umożliwiające otrzymanie własnych danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego (CSV, JSON, XML) i ich bezpośrednie przesłanie innemu administratorowi, nabiera szczególnego znaczenia w związku z unijnym rozporządzeniem Data Act (akt w sprawie danych), którego część przepisów weszła w życie we wrześniu 2025 roku. Organizacje muszą zapewnić techniczną interoperacyjność — nie wystarczy wyeksportować plik Excela; dane muszą być dostępne poprzez API, jeśli administrator przetwarza je na dużą skalę. Firmy takie jak KluczeSoft oferują narzędzia automatyzujące obsługę żądań tego typu — od weryfikacji tożsamości wnioskodawcy po wygenerowanie i dostarczenie pakietów danych zgodnych z wymogami EROD.

Prawo do sprzeciwu wobec marketingu bezpośredniego

To jedno z najczęściej egzekwowanych uprawnień. Jeśli organizacja prowadzi działania marketingu bezpośredniego (newsletter, telemarketing, reklama behawioralna) w oparciu o uzasadniony interes administratora, osoba może w dowolnym momencie wnieść sprzeciw — i od tego momentu przetwarzanie danych w tym celu staje się niedopuszczalne. Sprzeciw musi być rozpatrzony natychmiast, bez zbędnej zwłoki, a osoba powinna być wyraźnie poinformowana o tym prawie najpóźniej przy pierwszym kontakcie.

Obowiązki administratora danych — lista kontrolna

Poniższa lista kontrolna stanowi praktyczne minimum, które każda organizacja przetwarzająca dane osobowe powinna wdrożyć. Zaniedbanie choćby jednego z tych elementów może prowadzić nie tylko do sankcji finansowych, ale też do utraty zaufania klientów, co w środowisku konkurencyjnym roku 2026 przekłada się na realne straty biznesowe.

1. Rejestr czynności przetwarzania

Każdy administrator zatrudniający powyżej 250 osób ma bezwzględny obowiązek prowadzenia rejestru czynności przetwarzania (RCP). Mniejsze podmioty są zwolnione z tego obowiązku, chyba że przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych. W praktyce — mając na uwadze stanowisko PUODO wyrażone w decyzji z września 2025 roku (sygn. DKN.5131.12.2025) — rekomenduje się prowadzenie RCP niezależnie od wielkości organizacji. Organ uznał, że każda firma prowadząca sklep internetowy przetwarza dane w sposób niesporadyczny, a zatem obowiązek prowadzenia rejestru dotyczy także jednoosobowych działalności gospodarczych w e-commerce.

2. Polityka prywatności i obowiązek informacyjny

Obowiązek informacyjny (art. 13 i 14 RODO) wymaga przekazania osobie, której dane dotyczą, wyczerpujących informacji o tym, kto przetwarza jej dane, dlaczego, jak długo, komu je przekazuje i jakie prawa jej przysługują. Informacje muszą być podane w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Warstwowe klauzule informacyjne (tzw. layered notices) — z krótkim podsumowaniem na górze i możliwością rozwinięcia szczegółów — stały się w 2025 roku rekomendowanym standardem EROD.

3. Analiza ryzyka i ocena skutków dla ochrony danych (DPIA)

DPIA (Data Protection Impact Assessment) jest obowiązkowa, gdy rodzaj przetwarzania — w szczególności z użyciem nowych technologii — może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. EROD w wytycznych z 2024 roku (zaktualizowanych w marcu 2026) wskazuje, że DPIA należy przeprowadzić m.in. dla systemów sztucznej inteligencji podejmujących zautomatyzowane decyzje wywołujące skutki prawne, monitorowania pracowników w czasie rzeczywistym, przetwarzania danych biometrycznych oraz wszelkich operacji na danych dzieci na dużą skalę.

4. Zabezpieczenia techniczne i organizacyjne

Artykuł 32 RODO nakazuje wdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku. Do absolutnego minimum w 2026 roku należą: szyfrowanie danych w spoczynku (AES-256) i podczas transmisji (TLS 1.3), uwierzytelnianie wieloskładnikowe, regularne testy penetracyjne, systemy wykrywania i zapobiegania włamaniom (IDS/IPS), procedura zarządzania incydentami bezpieczeństwa oraz regularne audyty bezpieczeństwa — przynajmniej raz na 12 miesięcy.

5. Umowy powierzenia przetwarzania danych

Każdy podmiot zewnętrzny, który przetwarza dane w imieniu administratora, musi mieć podpisaną umowę powierzenia spełniającą wszystkie wymogi art. 28 RODO. Umowa musi wskazywać przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób oraz obowiązki i prawa administratora. Brak takiej umowy z dostawcą usługi chmurowej czy firmą księgową stanowi samodzielną podstawę do nałożenia kary.

6. Procedury obsługi praw osób, których dane dotyczą

Organizacja musi posiadać udokumentowane, przetestowane procedury obsługi żądań — od weryfikacji tożsamości wnioskodawcy, przez wewnętrzną ścieżkę eskalacji, po techniczną realizację. Systemy IT powinny umożliwiać wyszukiwanie, ekstrakcję i usunięcie danych konkretnej osoby we wszystkich repozytoriach — od głównej bazy produkcyjnej po kopie zapasowe i logi aplikacyjne.

Kary za naruszenie RODO — realia 2025–2026

System sankcji RODO opiera się na dwóch progach maksymalnych kar administracyjnych: do 10 000 000 euro lub do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa (w zależności od tego, która kwota jest wyższa) za naruszenia o mniejszym ciężarze gatunkowym (m.in. brak RCP, brak DPIA, brak powołania IOD), oraz do 20 000 000 euro lub do 4% obrotu za naruszenia podstawowych zasad przetwarzania, praw osób, których dane dotyczą, oraz zasad transferowania danych do państw trzecich.

Statystyki PUODO za 2025 rok — twarde dane

Zgodnie z opublikowanym w styczniu 2026 roku sprawozdaniem rocznym PUODO, w 2025 roku organ wydał łącznie 387 decyzji administracyjnych nakładających kary pieniężne na łączną sumę 53,2 mln zł. Dla porównania, w 2024 roku było to 294 decyzje na 41,7 mln zł. Trend jest jednoznacznie rosnący — zarówno pod względem liczby postępowań, jak i średniej wysokości kary (137 tys. zł w 2025 r. wobec 142 tys. zł w 2024 r.; mediana wzrosła z 18 tys. zł do 24 tys. zł, co potwierdza intensyfikację działań wobec mniejszych podmiotów).

Przełomowe decyzje 2025 roku — studia przypadków

PUODO w swoim komunikacie z marca 2026 roku zapowiedział priorytetowe traktowanie w bieżącym roku naruszeń związanych ze sztuczną inteligencją, transferami danych do państw trzecich (w szczególności USA i Chin) oraz przetwarzaniem danych dzieci w środowisku cyfrowym — organy nadzoru, w tym polski PUODO, planują zintensyfikować kontrole w sektorze ed-tech i platform streamingowych popularnych wśród nieletnich. Warto odnotować, że w maju 2026 roku weszły w życie przepisy rozporządzenia UE 2025/322 ujednolicające procedury transgraniczne, co ma przyspieszyć współpracę między organami nadzorczymi i umożliwić szybsze, bardziej skoordynowane postępowania przeciwko dużym platformom technologicznym.

RODO a nowe technologie — AI, IoT i cloud computing

Rok 2026 przynosi intensyfikację interakcji między przepisami o ochronie danych a dynamicznie rozwijającymi się technologiami. Rozporządzenie UE w sprawie sztucznej inteligencji (AI Act), które zaczęło obowiązywać w pełnym zakresie 2 sierpnia 2025 roku, tworzy wraz z RODO dwufilarowy system regulacji technologii w Europie.

Sztuczna inteligencja a RODO

AI Act klasyfikuje systemy AI według poziomu ryzyka, a RODO dostarcza ram dla przetwarzania danych osobowych przez te systemy. Praktyczne implikacje dla polskich firm w 2026 roku:

• Każdy system AI, który podejmuje decyzje wywołujące skutki prawne wobec jednostek (np. scoring kredytowy, automatyczna selekcja kandydatów do pracy), musi spełniać wymogi art. 22 RODO — osoba ma prawo do interwencji ludzkiej, wyrażenia własnego stanowiska i zakwestionowania decyzji.

• Dane wykorzystywane do trenowania modeli muszą mieć odpowiednią podstawę prawną. Używanie danych klientów do trenowania modeli AI wymaga ich wyraźnej, odrębnej zgody — nie wystarczy ogólna zgoda marketingowa ani uzasadniony interes administratora, chyba że można wykazać, że interes ten przeważa nad prawami jednostki, co w świetle wytycznych EROD z 2026 roku jest niezwykle trudne.

• Systemy AI wysokiego ryzyka (m.in. rekrutacyjne, medyczne, ubezpieczeniowe) bezwzględnie wymagają DPIA — oceny skutków dla ochrony danych.

Internet Rzeczy i urządzenia konsumenckie

Inteligentne urządzenia domowe — asystenci głosowi, inteligentne liczniki energii, sprzęt AGD podłączony do sieci — generują bezprecedensową ilość danych osobowych. W marcu 2026 roku EROD wydała szczegółowe wytyczne dla producentów IoT, które nakładają następujące obowiązki: minimalizacja danych — urządzenie powinno zbierać tylko te dane, które są absolutnie niezbędne do jego funkcjonowania; transparentność — użytkownik musi być jednoznacznie poinformowany, jakie dane są zbierane, kiedy i w jakim celu, przy użyciu interfejsu dostosowanego do ograniczeń urządzeń o małych ekranach lub bezekranowych; oraz lokalne przetwarzanie — w miarę możliwości technicznych dane powinny być przetwarzane na urządzeniu (edge computing), a nie przesyłane do chmury bez wyraźnej potrzeby.

Cloud computing — nowe klauzule umowne

Wspomniana już decyzja Komisji Europejskiej z lutego 2026 roku wprowadzająca nowe SCC dla transferów do USA ma bezpośrednie przełożenie na korzystanie z chmury obliczeniowej. Każda polska organizacja wykorzystująca usługi amerykańskich dostawców chmury musi do 1 lipca 2027 roku zaktualizować umowy powierzenia o nowe klauzule oraz przeprowadzić ocenę skutków transferu (Transfer Impact Assessment — TIA), dokumentując, czy amerykańskie prawo nie uniemożliwia realizacji zobowiązań wynikających z SCC. Narzędzia do automatyzacji zarządzania zgodnością mogą znacząco przyspieszyć ten proces i zmniejszyć rozmiar wymaganych prac.

Jak wdrożyć RODO w organizacji krok po kroku

Poniższy proces został opracowany z uwzględnieniem najnowszych wytycznych PUODO i EROD na 2026 rok. Traktuj go jako mapę drogową — nie zastąpi ona indywidualnej analizy prawnej, ale pomoże uporządkować działania.

Krok 1 — Audyt stanu obecnego (4–6 tygodni)

Rozpocznij od pełnej inwentaryzacji procesów przetwarzania danych w organizacji. Zidentyfikuj, jakie dane są zbierane, skąd pochodzą, gdzie są przechowywane (systemy lokalne, chmura, urządzenia mobilne, kopie zapasowe), komu są przekazywane i na jakiej podstawie prawnej. Efektem tego kroku powinien być kompletny rejestr czynności przetwarzania.

Zmapuj przepływy danych — od punktu ich pozyskania (formularz na stronie, umowa, monitoring wizyjny, aplikacja mobilna), przez systemy pośredniczące (CRM, ERP, narzędzia marketing automation), aż do miejsc docelowych i odbiorców zewnętrznych.

Krok 2 — Analiza luk i ryzyka (2–4 tygodnie)

Porównaj stan faktyczny z wymaganiami RODO. Zidentyfikuj obszary niezgodności — brakujące umowy powierzenia, niekompletne klauzule informacyjne, niewystarczające zabezpieczenia techniczne. Dla procesów wysokiego ryzyka przeprowadź pełną ocenę skutków dla ochrony danych (DPIA). W tym samym kroku zweryfikuj podstawy prawne przetwarzania i upewnij się, że dla każdej operacji na danych istnieje ważna podstawa z art. 6 RODO.

Krok 3 — Plan wdrożeniowy i priorytetyzacja (1–2 tygodnie)

Na podstawie analizy luk stwórz plan działania z jasno określonymi priorytetami. Najpierw usuń te niezgodności, które narażają organizację na najwyższe ryzyko prawne i finansowe — np. brak podstawy prawnej dla kluczowych operacji, transfer danych do państw trzecich bez odpowiednich zabezpieczeń, przetwarzanie danych wrażliwych bez zgody.

Krok 4 — Wdrożenie środków technicznych i organizacyjnych (6–12 tygodni)

Wdróż polityki i procedury: politykę ochrony danych, politykę bezpieczeństwa informacji, procedurę zarządzania incydentami, procedurę obsługi żądań podmiotów danych, politykę czystego biurka i czystego ekranu. Zadbaj o techniczne środki bezpieczeństwa — szyfrowanie, pseudonimizację, kontrolę dostępu opartą na rolach (RBAC), logowanie zdarzeń, systemy backupu i disaster recovery.

Krok 5 — Szkolenia personelu (ciągły)

Zainwestuj w regularne, praktyczne szkolenia dla wszystkich pracowników — od zarządu po personel operacyjny. PUODO wielokrotnie podkreślał, że czynnik ludzki odpowiada za ponad 60% naruszeń ochrony danych. Szkolenia powinny kończyć się testem potwierdzającym zrozumienie materiału i być powtarzane co najmniej raz na 12 miesięcy.

Krok 6 — Monitoring, audyt i doskonalenie (ciągły)

Wdrożenie RODO nie jest jednorazowym projektem, lecz ciągłym procesem. Ustanów regularne audyty wewnętrzne, monitoruj zmiany w przepisach i wytycznych organów nadzorczych, aktualizuj dokumentację, testuj procedury reagowania na incydenty. Jeśli korzystasz z gotowych rozwiązań do zarządzania ochroną danych, upewnij się, że są one regularnie aktualizowane zgodnie z najnowszymi wymaganiami prawnymi. Narzędzia automatyzujące zgodność z RODO oferowane przez polskich dostawców, takich jak KluczeSoft, mogą znacząco uprościć ten proces, zapewniając bieżące monitorowanie zmian legislacyjnych i automatyczną aktualizację dokumentacji.

Częste pytania

1. Czy RODO dotyczy jednoosobowej działalności gospodarczej?

Tak, RODO w pełni dotyczy każdej jednoosobowej działalności gospodarczej, która przetwarza dane osobowe — klientów, kontrahentów, pracowników. Brak osobowości prawnej nie zwalnia z obowiązków administratora. PUODO w swojej decyzji z września 2025 roku wyraźnie stwierdził, że sklep internetowy prowadzony przez jednoosobową działalność ma pełny obowiązek prowadzenia RCP, posiadania polityki prywatności i umów powierzenia, ponieważ przetwarza dane stale i niesporadycznie.

2. Jakie dane są danymi osobowymi według RODO?

Danymi osobowymi są wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Obejmuje to nie tylko imię, nazwisko, PESEL, adres e-mail i numer telefonu, ale także adres IP, identyfikatory plików cookie, dane lokalizacyjne, identyfikatory urządzeń (IDFA, GAID), dane biometryczne (odcisk palca, wizerunek twarzy), a nawet czynniki specyficzne dla fizycznej, fizjologicznej, genetycznej, psychicznej, ekonomicznej, kulturowej lub społecznej tożsamości osoby.

3. Co grozi za niezgłoszenie naruszenia ochrony danych do PUODO?

Niezgłoszenie naruszenia w terminie 72 godzin od jego wykrycia stanowi samodzielną podstawę do nałożenia administracyjnej kary pieniężnej do 10 000 000 euro lub 2% rocznego światowego obrotu. W praktyce PUODO nakłada kary od kilkudziesięciu tysięcy do kilkuset tysięcy złotych za to uchybienie. W 2025 roku najniższa kara za niezgłoszenie naruszenia wyniosła 35 000 zł.

4. Czy muszę mieć Inspektora Ochrony Danych?

Obowiązek wyznaczenia IOD dotyczy organów i podmiotów publicznych, podmiotów, których główna działalność polega na monitorowaniu osób na dużą skalę, podmiotów przetwarzających na dużą skalę szczególne kategorie danych lub dane dotyczące wyroków skazujących, a od czerwca 2025 roku — wszystkich placówek medycznych i oświatowych. Jeśli nie należysz do tych kategorii, powołanie IOD jest dobrowolne, ale zdecydowanie zalecane jako dobra praktyka.

5. Jak długo można przechowywać dane osobowe?

Dane mogą być przechowywane wyłącznie przez okres niezbędny do realizacji celów, dla których zostały zebrane. Po ustaniu celu należy je usunąć lub zanonimizować. Wyjątkiem są sytuacje, gdy obowiązek dłuższego przechowywania wynika z przepisów prawa. Dla danych księgowych standardowy okres retencji wynosi 5 lat od końca roku podatkowego. Dla danych marketingowych — do momentu cofnięcia zgody lub skutecznego wnies

Sprawdź też

• RODO dla firm — obowiązki, kary i praktyczny przewodnik zgodności (2026)

Potrzebujesz licencji? Microsoft Office — sprawdź ofertę KluczeSoft.pl — legalne klucze, faktura VAT, dostawa e-mail.