RGPD-Express
Ustrukturyzuj swoją zgodność z RODO
Kluczowe artykuły RODO
RODO (Rozporządzenie (UE) 2016/679) strukturyzuje podejście RGPD-Express
Art. 30 - Rejestr czynności przetwarzania
Obowiązek prowadzenia rejestru, po stronie administratora i po stronie podmiotu przetwarzającego. Zwolnienie przewidziane w ust. 30.5 dla struktur poniżej 250 pracowników dotyczy tylko przetwarzań okazjonalnych.
Art. 28 - Podmiot przetwarzający
Umowne uregulowanie każdego podmiotu przetwarzającego dane na Twoje zlecenie: wystarczające gwarancje, obowiązkowe klauzule, dalsze powierzenie dozwolone za uprzednią pisemną zgodą.
Art. 32 - Bezpieczeństwo przetwarzania
Środki techniczne i organizacyjne odpowiednie do ryzyka: pseudonimizacja, szyfrowanie, środki gwarantujące poufność i dostępność, procedura regularnego testowania i oceny.
Art. 35 - Ocena skutków (DPIA)
Obowiązkowa wyłącznie, gdy przetwarzanie może powodować wysokie ryzyko: systematyczna ocena ze skutkiem prawnym, dane wrażliwe na dużą skalę, lub systematyczne monitorowanie miejsca dostępnego publicznie.
Monitoring regulacyjny - źródła oficjalne
To, co naprawdę mówi przepis, przetłumaczone na prosty język. Każdy punkt odsyła do tekstu oficjalnego.
Czym właściwie jest RODO?
To europejski tekst regulujący zbieranie i wykorzystywanie danych osobowych (klienci, pracownicy, potencjalni klienci...). Został przyjęty 27 kwietnia 2016 i opublikowany w Dzienniku Urzędowym Unii Europejskiej 4 maja 2016.
Od kiedy obowiązuje
Rozporządzenie weszło w życie dwadzieścia dni po jego publikacji, ale jest faktycznie stosowane dopiero od 25 maja 2018. To ta data liczy się dla Twoich konkretnych obowiązków.
Rejestr czynności przetwarzania: dokument podstawowy
Musisz prowadzić listę tego, co robisz z danymi osobowymi: po co, z kim, jak długo je przechowujesz, jak je chronisz. Wyjątek istnieje dla struktur poniżej 250 pracowników, ale tylko jeśli przetwarzanie ma charakter okazjonalny, regularna działalność handlowa z niego nie korzysta.
Czy trzeba wyznaczyć inspektora ochrony danych (IOD)?
Jest to obowiązkowe tylko w trzech konkretnych sytuacjach: jesteś podmiotem publicznym, lub Twoja główna działalność polega na regularnym i na dużą skalę monitorowaniu osób, lub na przetwarzaniu na dużą skalę danych wrażliwych. Poza tymi przypadkami wyznaczenie IOD pozostaje dobrowolne.
W przypadku wycieku danych: 72 godziny na powiadomienie organu
Jeśli dane osobowe zostały utracone, skradzione lub ujawnione, musisz poinformować o tym organ ochrony danych najpóźniej w ciągu 72 godzin od uzyskania o tym wiedzy, chyba że ryzyko dla osób jest znikome. Musisz też zachować pisemny ślad każdego incydentu.
Jeśli ryzyko jest wysokie, Twoi klienci lub pracownicy też muszą zostać poinformowani
Gdy wyciek danych stwarza wysokie ryzyko dla osób, których dane dotyczą, musisz poinformować ich bezpośrednio, jasnym i prostym językiem. Możesz być zwolniony z tego obowiązku, jeśli dane były zaszyfrowane lub jeśli już zneutralizowałeś ryzyko.
Sankcje w skrócie
W przypadku naruszenia grzywna może sięgnąć do 10 milionów euro (lub 2% światowego obrotu przedsiębiorstwa) za najczęstsze naruszenia oraz do 20 milionów euro (lub 4% światowego obrotu) za najpoważniejsze naruszenia praw osób, zawsze stosowana jest wyższa kwota. Rzeczywista kwota zależy od powagi naruszenia, umyślnego lub nieumyślnego charakteru naruszenia i współpracy z organem.
Kogo dotyczy RODO?
Pytanie, które słyszymy najczęściej: "Czy to naprawdę dotyczy mnie, małej firmy?" Krótka odpowiedź, poparta źródłami: tak, niemal zawsze.
Prawdziwy wyzwalacz: przetwarzanie danych osobowych
RODO ma zastosowanie od chwili, gdy organizacja przetwarza, choćby częściowo w sposób zautomatyzowany lub w ustrukturyzowanym zbiorze, informację dotyczącą osoby zidentyfikowanej lub możliwej do zidentyfikowania: imię i nazwisko, e-mail, telefon, adres IP, dane lokalizacyjne...
Konkretnie obejmuje to bazę klientów, listy płac pracowników, otrzymane CV, kamerę monitoringu wizyjnego, newsletter, CRM lub pliki cookie służące do pomiaru odwiedzalności.
Rzadkie wyjątki
RODO nie ma zastosowania w czterech konkretnych przypadkach:
- ściśle osobiste lub domowe wykorzystanie (na przykład Twoja prywatna książka adresowa)
- działania wykraczające poza zakres prawa Unii Europejskiej
- działania państw członkowskich w ramach wspólnej polityki zagranicznej
- przetwarzanie przez organy w celu zapobiegania przestępstwom (odrębny reżim)
Bez znaczenia, gdzie masz siedzibę
RODO ma zastosowanie, gdy Twoja firma posiada siedzibę w Unii Europejskiej lub gdy kierujesz działania do osób znajdujących się na jej terenie: oferując im towary lub usługi (nawet bezpłatne) albo śledząc ich zachowanie (profilowanie, pliki cookie śledzące).
CNIL podaje dwa wymowne przykłady: francuska firma eksportująca wyłącznie do Maroka nadal podlega RODO, gdy przetwarza dane osób znajdujących się w UE; chiński sklep internetowy dostarczający towary do Francji również musi go przestrzegać.
Dwie możliwe role, dwa poziomy obowiązków
Administrator danych: podmiot, który decyduje, dlaczego i jak wykorzystywane są dane (Twoja firma, gmina, stowarzyszenie). Zazwyczaj to Ty.
Podmiot przetwarzający: usługodawca, który przetwarza te dane na Twoje polecenie (dostawca hostingu, oprogramowanie kadrowo-płacowe, agencja marketingowa...). On również ma własne obowiązki, odrębne od Twoich.
Firmy prywatne
od mikroprzedsiębiorstwa po duży koncern, już od pierwszej bazy klientów lub pierwszej listy płac
Sektor publiczny
gminy, samorządy, administracja, placówki ochrony zdrowia
Stowarzyszenia, rzemieślnicy, niezależni
wolne zawody, kupcy, startupy: brak zwolnienia związanego ze statusem
Pytania, które naprawdę zadaje sobie przedsiębiorca
Bez prawniczego żargonu: 7 najczęstszych pytań, prosta odpowiedź i oficjalny tekst stojący za każdą odpowiedzią.
Kliknij pytanie, aby zobaczyć odpowiedź i jej źródło.
Nie. Zgoda to tylko jedna z sześciu podstaw prawnych. RODO (artykuł 6) dopuszcza również przetwarzanie, gdy jest ono niezbędne do wykonania umowy, wypełnienia obowiązku prawnego, ochrony żywotnych interesów, realizacji zadania w interesie publicznym lub prawnie uzasadnionego interesu Twojej firmy (na przykład zarządzania relacją z już istniejącym klientem), o ile prawa danej osoby nie przeważają.
To zależy, do kogo piszesz:
- Osoby prywatne (B2C): wymagana jest wcześniejsza zgoda (pole do zaznaczenia, nigdy domyślnie zaznaczone), z wyjątkiem ponownego zaproponowania podobnego produktu już istniejącemu klientowi.
- Firmy (B2B): możliwe bez wcześniejszej zgody, jeśli wiadomość dotyczy ich działalności, pod warunkiem poinformowania odbiorcy i pozostawienia mu prostego sposobu rezygnacji.
W każdym przypadku: identyfikowalny nadawca i łatwy w użyciu link do rezygnacji z subskrypcji.
Zasadniczo tak, zwłaszcza jeśli dane nie są już do niczego potrzebne, jeśli osoba wycofuje zgodę lub sprzeciwia się przetwarzaniu bez uzasadnionej podstawy prawnej z Twojej strony. Możesz jednak odmówić, jeśli musisz zachować te dane z powodu obowiązku prawnego, na przykład fakturę przechowywaną 10 lat na potrzeby księgowości, lub w celu obrony przed roszczeniami.
1 miesiąc od otrzymania żądania. Termin ten można przedłużyć o 2 miesiące, jeśli żądanie jest złożone lub otrzymujesz ich wiele, ale musisz poinformować osobę o tym przedłużeniu w ciągu pierwszego miesiąca.
Tak, ale nie bez zachowania ostrożności. Trzy możliwe przypadki: kraj korzysta z oficjalnej decyzji Komisji Europejskiej stwierdzającej odpowiedni poziom ochrony; w przeciwnym razie dostawca musi zapewnić odpowiednie gwarancje (najczęściej standardowe klauzule umowne); lub, jedynie w wyjątkowych przypadkach, zastosowanie ma konkretne odstępstwo (wyraźna zgoda, wykonanie umowy...).
Tak. Większość plików cookie (spersonalizowana reklama, przyciski sieci społecznościowych...) wymaga wcześniejszej, swobodnie wyrażonej zgody odwiedzającego, równie łatwej do wycofania, jak do udzielenia. Zaakceptowanie regulaminu nie stanowi ważnej zgody. Niektóre techniczne pliki cookie (koszyk zakupowy, uwierzytelnianie, preferencje językowe) są zwolnione z tego obowiązku.
CNIL zwykle zaczyna od kontroli (na miejscu lub online), a następnie wzywa do doprowadzenia do zgodności z przepisami w wyznaczonym terminie. Sankcje finansowe istnieją, ale pozostają proporcjonalne do wielkości podmiotu: CNIL nakładała na przykład na małe firmy kary od 2000 do 20 000 euro za uchybienia dotyczące bezpieczeństwa, plików cookie lub prawa dostępu, czyli znacznie poniżej maksymalnych pułapów (do 20 milionów euro lub 4% światowego obrotu za najpoważniejsze naruszenia).
Kalendarz RODO w skrócie
RODO nie narodziło się w 2018 roku i od tamtej pory się nie zatrzymało. Oto, w kolejności, co już się wydarzyło (i co nadal pozostaje obowiązującą zasadą) oraz co jest wciąż przedmiotem dyskusji w Brukseli - z oficjalnym tekstem potwierdzającym każdy etap.
Już obowiązuje dzisiaj
- RODO ma pełne zastosowanie od 25 maja 2018 roku - to jest data, która liczy się dla Twoich obowiązków.
- Francuska ustawa "Informatique et Libertés" została odpowiednio zaktualizowana (2018).
- Nowe standardowe klauzule umowne dotyczące przekazywania danych poza UE obowiązują od końca 2022 roku.
- Ramy przekazywania danych do Stanów Zjednoczonych (Data Privacy Framework) obowiązują od lipca 2023 roku.
Wciąż w dyskusji, jeszcze nieobowiązkowe
- Uproszczenie rejestru czynności przetwarzania (art. 30) dla podmiotów zatrudniających mniej niż 750 pracowników, zaproponowane przez Komisję w maju 2025 roku - jeszcze nieobowiązujący przepis.
- Rozporządzenie harmonizujące procedury między krajowymi organami nadzorczymi w dochodzeniach transgranicznych - porozumienie polityczne z czerwca 2025 roku, formalne przyjęcie na dziś niepotwierdzone.
- Nie polegaj na tych zapowiedziach, aby odkładać dostosowanie do przepisów: fundament z 2018 roku pozostaje zasadą, dopóki nic nie zostanie opublikowane w Dzienniku Urzędowym.
Tekst zostaje przyjęty
Parlament Europejski i Rada przyjmują rozporządzenie (UE) 2016/679, czyli RODO. źródło EUR-Lex ↗
Oficjalna publikacja
Tekst zostaje opublikowany w Dzienniku Urzędowym Unii Europejskiej (Dz.U. L 119, strony 1-88). źródło EUR-Lex ↗
Wejście w życie prawne
Rozporządzenie "wchodzi w życie dwudziestego dnia po jego publikacji" (art. 99). Istnieje więc już prawnie, ale jego rzeczywiste stosowanie wobec przedsiębiorstw zostaje jeszcze odroczone o dwa lata - to czas na przygotowanie się. źródło CNIL, art. 99 ↗
RODO ma pełne zastosowanie
Od tej daty wszystkie organizacje przetwarzające dane osobowe mieszkańców Europy muszą być rzeczywiście zgodne z przepisami, a nie tylko "na papierze". To jest data, którą trzeba zapamiętać. źródło CNIL, art. 99 ↗
Francuska ustawa zostaje zaktualizowana
Ustawa nr 2018-493 dostosowuje prawo francuskie do RODO i transponuje dyrektywę "policja-wymiar sprawiedliwości" (2016/680), opierając się na ustawie "Informatique et Libertés" z 1978 roku. źródło Légifrance ↗
Ustawa z 1978 roku zostaje całkowicie przeredagowana
Rozporządzenie nr 2018-1125 kończy proces dostosowywania ustawy "Informatique et Libertés" do RODO i dyrektywy 2016/680. źródło Légifrance ↗
1. bilans Komisji Europejskiej
Dwa lata po rozpoczęciu stosowania Komisja publikuje swój pierwszy raport: RODO osiąga swoje cele, ale konieczne są usprawnienia (harmonizacja między krajami, współpraca między organami). źródło EUR-Lex (COM 2020) ↗
Wyrok "Schrems II"
Trybunał Sprawiedliwości Unii Europejskiej unieważnia "Privacy Shield", który regulował przekazywanie danych do Stanów Zjednoczonych: amerykańskie gwarancje dotyczące dostępu organów publicznych do danych zostają uznane za niewystarczające. źródło EUR-Lex ↗
Nowe standardowe klauzule umowne
Wchodzą w życie nowe wzory klauzul regulujących przekazywanie danych poza UE, z 15-miesięcznym okresem przejściowym na zastąpienie już podpisanych umów. źródło EUR-Lex (2021/914) ↗
Nowe ramy UE - Stany Zjednoczone
Komisja przyjmuje decyzję o adekwatności "EU-US Data Privacy Framework", która zastępuje unieważniony w 2020 roku Privacy Shield i ponownie zabezpiecza przekazywanie danych do firm amerykańskich. źródło EUR-Lex (2023/1795) ↗
2. bilans Komisji Europejskiej
Wyraźny wzrost liczby sankcji wobec dużych firm technologicznych, ale rozbieżności między organami krajowymi się utrzymują. Komisja zaleca lepsze wsparcie dla MŚP. źródło EUR-Lex (COM 2024) ↗
Propozycja uproszczenia dla MŚP
Komisja proponuje, w swoim pakiecie uproszczeń jednolitego rynku, rozszerzenie do 750 pracowników (zamiast 250) zwolnienia z pełnego prowadzenia rejestru czynności przetwarzania (art. 30), ograniczonego do przetwarzań "wysokiego ryzyka". To propozycja, jeszcze nieobowiązujący przepis. źródło Komisja Europejska ↗
Porozumienie w sprawie wspólnych zasad proceduralnych
Rada i Parlament Europejski osiągają polityczne porozumienie w sprawie dodatkowych zasad proceduralnych mających zharmonizować sposób współpracy krajowych organów nadzorczych podczas dochodzeń transgranicznych. Formalne przyjęcie i publikacja w Dzienniku Urzędowym pozostają do potwierdzenia. źródło Komisja Europejska ↗
Kalendarz opracowany na podstawie oficjalnych źródeł (EUR-Lex, CNIL, Légifrance, Komisja Europejska), sprawdzonych 18 lipca 2026 roku. Dwa ostatnie etapy to propozycje lub porozumienia polityczne będące w toku. Jest to synteza edukacyjna i nie stanowi porady prawnej.
Sankcje RODO w skrócie
Liczba, która budzi strach - "20 milionów euro" - krąży wszędzie, ale nie mówi, jak to naprawdę działa. Oto, w oparciu o oficjalne źródła, kto nakłada sankcje, w jaki sposób i w jakiej rzeczywistej wysokości.
lub do 2% światowego rocznego obrotu firmy (obowiązuje kwota wyższa z tych dwóch).
Próg dotyczący naruszeń "powszechnych": rejestr czynności przetwarzania, bezpieczeństwo danych, obowiązki podmiotu przetwarzającego, brak oceny skutków dla ochrony danych...
lub do 4% światowego rocznego obrotu (podobnie, obowiązuje kwota wyższa z tych dwóch).
Próg dotyczący najpoważniejszych naruszeń: brak podstawy prawnej, naruszenie praw osób, nielegalne przekazywanie danych poza UE...
Kto decyduje? Formation restreinte CNIL
To nie "ogólna" CNIL nakłada sankcje, lecz odrębny, niezależny organ: formation restreinte (izba ograniczona), złożony z 5 członków i przewodniczącego innego niż prezes CNIL. To wyłącznie on prowadzi postępowania i wymierza sankcje. Najważniejsze decyzje są podawane do publicznej wiadomości.
Co wpływa na rzeczywistą wysokość kary
Artykuł 83 RODO zobowiązuje CNIL do uwzględnienia kilku kryteriów przed ustaleniem kary, w szczególności:
- wagę, charakter i czas trwania naruszenia
- umyślny charakter działania lub zwykłe niedbalstwo
- środki już podjęte w celu ograniczenia szkody
- współpracę z CNIL oraz wcześniejsze naruszenia
- kategorie danych, których dotyczy naruszenie
Przed karą: stopniowana reakcja (artykuł 58 RODO)
- Ostrzeżenie
- Upomnienie
- Wezwanie do usunięcia nieprawidłowości
- Nakaz dostosowania do przepisów
- Kara administracyjna (art. 83)
| Data | Podmiot | Kwota | Powód |
|---|---|---|---|
| 21.01.2019 | Google LLC | 50 mln € | Brak przejrzystości, brak ważnej zgody na spersonalizowaną reklamę |
| 07.12.2020 | Amazon Europe Core | 35 mln € | Pliki cookie umieszczone bez wcześniejszej zgody |
| 31.12.2021 | Google LLC / Google Ireland | 150 mln € | Odrzucenie plików cookie trudniejsze niż ich akceptacja |
| 31.12.2021 | Facebook Ireland (Meta) | 60 mln € | Ten sam powód: zbyt utrudnione odrzucenie plików cookie |
| 17.10.2022 | Clearview AI | 20 mln € | Rozpoznawanie twarzy bez podstawy prawnej, odmowa współpracy |
| 10.11.2022 | Discord Inc. | 800 000 € | Nadmierne przechowywanie danych, niewystarczające bezpieczeństwo i informowanie |
| 15.06.2023 | Criteo | 40 mln € | Naruszenia dotyczące zgody na pliki cookie i praw osób |
A dla mniejszego podmiotu? Proporcjonalne kwoty
CNIL nakłada sankcje również na małe i średnie podmioty, ale w kwotach nieporównywalnych z międzynarodowymi koncernami. Tylko w decyzjach z grudnia 2025 roku znajdziemy na przykład: 5000 € dla spółki zarządzającej hotelem (niezgodny monitoring wizyjny), 7000 € i 5000 € dla dwóch wydawców prasowych (nieważne pliki cookie), 10 000 € dla spółki cargo lotniczego (nielegalny monitoring wizyjny) czy 20 000 € dla uczelni (niezgodność z celami przetwarzania). Na drugim końcu skali spółka z sektora usługowego została ukarana w tym samym miesiącu kwotą 3,5 mln € za kumulację poważnych naruszeń (bezpieczeństwo, przejrzystość, pliki cookie). Kwota podąża za wagą naruszenia i wielkością podmiotu, a nie odwrotnie.
Twój organ nadzorczy, zależnie od kraju
W Europie każdy kraj ma własne organy. Oto, dla 30 krajów Europejskiego Obszaru Gospodarczego, organ ochrony danych osobowych (Twój punkt kontaktowy w sprawach RODO) oraz krajowy organ ds. cyberbezpieczeństwa. Każda nazwa prowadzi do oficjalnej strony.
Źródła: oficjalne strony organów oraz lista członków EDPB (edpb.europa.eu), sprawdzone 18 lipca 2026 roku. Potwierdzone organy ochrony danych: 30/30. Potwierdzone organy ds. cyberbezpieczeństwa: 28/30. Oznaczenia "à confirmer" (do potwierdzenia) wskazują na oficjalne źródło jeszcze niepotwierdzone.