RODO ma zastosowanie do każdej struktury zbierającej dane osobowe, bez progu wielkości. SYAGA CONSULTING pomaga sformalizować rejestr czynności przetwarzania, uregulować Twoich podwykonawców, odpowiadać na kwestionariusze RODO Twoich klientów i ubezpieczycieli oraz przeprowadzić ocenę skutków, gdy jest to konieczne.
RODO obowiązuje od 2018 roku, ale pozostaje w dużej mierze niesformalizowane w MŚP
Gdy tylko struktura zbiera dane osobowe (klienci, pracownicy, potencjalni klienci), jest objęta obowiązkiem. Istnieje ograniczony wyjątek dla struktur poniżej 250 pracowników, których przetwarzanie ma charakter okazjonalny, ale nie obejmuje on regularnej działalności handlowej.
Wiele MŚP nigdy nie sformalizowało swojego rejestru, albo napisało go raz, a potem nigdy nie zaktualizowało, mimo że ich przetwarzania, podwykonawcy i narzędzia się zmieniły.
Klient, bank lub ubezpieczyciel cyber coraz częściej prosi swoich dostawców o wypełnienie kwestionariusza dotyczącego ochrony danych (art. 28): podwykonawstwo, szyfrowanie, MFA, kopie zapasowe, logowanie zdarzeń, plan reagowania na incydenty.
Napisanie rejestru, uregulowanie podwykonawców czy przygotowanie oceny skutków wymaga skrzyżowanej ekspertyzy prawnej i technicznej, której niewiele MŚP ma wewnętrznie.
Ustrukturyzowana metoda, dopasowana do wielkości i rzeczywistego kontekstu Twojej struktury
Rozmowa z kierownictwem lub osobą odpowiedzialną za RODO. Identyfikacja przetwarzań danych osobowych (klienci, pracownicy, potencjalni klienci, dostawcy), narzędzi wykorzystywanych i już istniejących podwykonawców.
Opracowanie rejestru czynności przetwarzania: cele, podstawy prawne, kategorie danych i osób, których dane dotyczą, odbiorcy, okresy przechowywania, środki bezpieczeństwa.
Przegląd lub opracowanie klauzul powierzenia przetwarzania (art. 28) z Twoimi dostawcami, oraz przygotowanie odpowiedzi na kwestionariusze RODO przesyłane przez Twoich klientów lub ubezpieczycieli (środki techniczne i organizacyjne).
Przekazanie dokumentów i prezentacja kierownictwu. Jeśli Twoje przetwarzanie mieści się w jednym z przypadków przewidzianych w art. 35(3) RODO (profilowanie ze skutkiem prawnym, dane wrażliwe na dużą skalę, systematyczne monitorowanie miejsca publicznego), przeprowadzana lub ustalana jest z Tobą ocena skutków (DPIA).
Dokumenty dopasowane do Twojej rzeczywistej struktury, nie generyczne szablony
Kompletny rejestr zgodny z artykułem 30 RODO.
Uregulowanie umowne Twoich dostawców w rozumieniu artykułu 28.
Przeprowadzana wyłącznie wtedy, gdy nakazuje to artykuł 35(3) RODO, lub tytułem ostrożności na życzenie.
Przygotowanie odpowiedzi na kwestionariusze przesyłane przez Twoich klientów, banki lub ubezpieczycieli cyber.
Stan faktyczny środków wymaganych przez artykuł 32 RODO.
Dokumenty przekazywane są w formatach gotowych do bezpośredniego wykorzystania.
RODO (Rozporządzenie (UE) 2016/679) strukturyzuje podejście RGPD-Express
Obowiązek prowadzenia rejestru, po stronie administratora i po stronie podmiotu przetwarzającego. Zwolnienie przewidziane w ust. 30.5 dla struktur poniżej 250 pracowników dotyczy tylko przetwarzań okazjonalnych.
Umowne uregulowanie każdego podmiotu przetwarzającego dane na Twoje zlecenie: wystarczające gwarancje, obowiązkowe klauzule, dalsze powierzenie dozwolone za uprzednią pisemną zgodą.
Środki techniczne i organizacyjne odpowiednie do ryzyka: pseudonimizacja, szyfrowanie, środki gwarantujące poufność i dostępność, procedura regularnego testowania i oceny.
Obowiązkowa wyłącznie, gdy przetwarzanie może powodować wysokie ryzyko: systematyczna ocena ze skutkiem prawnym, dane wrażliwe na dużą skalę, lub systematyczne monitorowanie miejsca dostępnego publicznie.
Każda struktura ma inny zakres przetwarzań: cena jest ustalana po ustaleniu zakresu
Mikro/MŚP, prosty zakres przetwarzań
MŚP z kilkoma podwykonawcami i powracającymi kwestionariuszami
Struktura z wrażliwymi przetwarzaniami lub regulacją sektorową
To, co naprawdę mówi przepis, przetłumaczone na prosty język. Każdy punkt odsyła do tekstu oficjalnego.
To europejski tekst regulujący zbieranie i wykorzystywanie danych osobowych (klienci, pracownicy, potencjalni klienci...). Został przyjęty 27 kwietnia 2016 i opublikowany w Dzienniku Urzędowym Unii Europejskiej 4 maja 2016.
Rozporządzenie weszło w życie dwadzieścia dni po jego publikacji, ale jest faktycznie stosowane dopiero od 25 maja 2018. To ta data liczy się dla Twoich konkretnych obowiązków.
Musisz prowadzić listę tego, co robisz z danymi osobowymi: po co, z kim, jak długo je przechowujesz, jak je chronisz. Wyjątek istnieje dla struktur poniżej 250 pracowników, ale tylko jeśli przetwarzanie ma charakter okazjonalny, regularna działalność handlowa z niego nie korzysta.
Jest to obowiązkowe tylko w trzech konkretnych sytuacjach: jesteś podmiotem publicznym, lub Twoja główna działalność polega na regularnym i na dużą skalę monitorowaniu osób, lub na przetwarzaniu na dużą skalę danych wrażliwych. Poza tymi przypadkami wyznaczenie IOD pozostaje dobrowolne.
Jeśli dane osobowe zostały utracone, skradzione lub ujawnione, musisz poinformować o tym organ ochrony danych najpóźniej w ciągu 72 godzin od uzyskania o tym wiedzy, chyba że ryzyko dla osób jest znikome. Musisz też zachować pisemny ślad każdego incydentu.
Gdy wyciek danych stwarza wysokie ryzyko dla osób, których dane dotyczą, musisz poinformować ich bezpośrednio, jasnym i prostym językiem. Możesz być zwolniony z tego obowiązku, jeśli dane były zaszyfrowane lub jeśli już zneutralizowałeś ryzyko.
W przypadku naruszenia grzywna może sięgnąć do 10 milionów euro (lub 2% światowego obrotu przedsiębiorstwa) za najczęstsze naruszenia oraz do 20 milionów euro (lub 4% światowego obrotu) za najpoważniejsze naruszenia praw osób, zawsze stosowana jest wyższa kwota. Rzeczywista kwota zależy od powagi naruszenia, dobrej wiary i współpracy z organem.
Pytanie, które słyszymy najczęściej: "Czy to naprawdę dotyczy mnie, małej firmy?" Krótka odpowiedź, poparta źródłami: tak, niemal zawsze.
RODO ma zastosowanie od chwili, gdy organizacja przetwarza, choćby częściowo w sposób zautomatyzowany lub w ustrukturyzowanym zbiorze, informację dotyczącą osoby zidentyfikowanej lub możliwej do zidentyfikowania: imię i nazwisko, e-mail, telefon, adres IP, dane lokalizacyjne...
Konkretnie obejmuje to bazę klientów, listy płac pracowników, otrzymane CV, kamerę monitoringu wizyjnego, newsletter, CRM lub pliki cookie służące do pomiaru odwiedzalności.
RODO nie ma zastosowania w czterech konkretnych przypadkach:
RODO ma zastosowanie, gdy Twoja firma posiada siedzibę w Unii Europejskiej lub gdy kierujesz działania do osób znajdujących się na jej terenie: oferując im towary lub usługi (nawet bezpłatne) albo śledząc ich zachowanie (profilowanie, pliki cookie śledzące).
CNIL podaje dwa wymowne przykłady: francuska firma eksportująca wyłącznie do Maroka nadal podlega RODO, gdy przetwarza dane osób znajdujących się w UE; chiński sklep internetowy dostarczający towary do Francji również musi go przestrzegać.
Administrator danych: podmiot, który decyduje, dlaczego i jak wykorzystywane są dane (Twoja firma, gmina, stowarzyszenie). Zazwyczaj to Ty.
Podmiot przetwarzający: usługodawca, który przetwarza te dane na Twoje polecenie (dostawca hostingu, oprogramowanie kadrowo-płacowe, agencja marketingowa...). On również ma własne obowiązki, odrębne od Twoich.
Firmy prywatne
od mikroprzedsiębiorstwa po duży koncern, już od pierwszej bazy klientów lub pierwszej listy płac
Sektor publiczny
gminy, samorządy, administracja, placówki ochrony zdrowia
Stowarzyszenia, rzemieślnicy, niezależni
wolne zawody, kupcy, startupy: brak zwolnienia związanego ze statusem
Bez prawniczego żargonu: 7 najczęstszych pytań, prosta odpowiedź i oficjalny tekst stojący za każdą odpowiedzią.
Kliknij pytanie, aby zobaczyć odpowiedź i jej źródło.
Nie. Zgoda to tylko jedna z sześciu podstaw prawnych. RODO (artykuł 6) dopuszcza również przetwarzanie, gdy jest ono niezbędne do wykonania umowy, wypełnienia obowiązku prawnego, ochrony żywotnych interesów, realizacji zadania w interesie publicznym lub prawnie uzasadnionego interesu Twojej firmy (na przykład zarządzania relacją z już istniejącym klientem), o ile prawa danej osoby nie przeważają.
To zależy, do kogo piszesz:
W każdym przypadku: identyfikowalny nadawca i łatwy w użyciu link do rezygnacji z subskrypcji.
Zasadniczo tak, zwłaszcza jeśli dane nie są już do niczego potrzebne, jeśli osoba wycofuje zgodę lub sprzeciwia się przetwarzaniu bez uzasadnionej podstawy prawnej z Twojej strony. Możesz jednak odmówić, jeśli musisz zachować te dane z powodu obowiązku prawnego, na przykład fakturę przechowywaną 10 lat na potrzeby księgowości, lub w celu obrony przed roszczeniami.
1 miesiąc od otrzymania żądania. Termin ten można przedłużyć o 2 miesiące, jeśli żądanie jest złożone lub otrzymujesz ich wiele, ale musisz poinformować osobę o tym przedłużeniu w ciągu pierwszego miesiąca.
Tak, ale nie bez zachowania ostrożności. Trzy możliwe przypadki: kraj korzysta z oficjalnej decyzji Komisji Europejskiej stwierdzającej odpowiedni poziom ochrony; w przeciwnym razie dostawca musi zapewnić odpowiednie gwarancje (najczęściej standardowe klauzule umowne); lub, jedynie w wyjątkowych przypadkach, zastosowanie ma konkretne odstępstwo (wyraźna zgoda, wykonanie umowy...).
Tak. Większość plików cookie (spersonalizowana reklama, przyciski sieci społecznościowych...) wymaga wcześniejszej, swobodnie wyrażonej zgody odwiedzającego, równie łatwej do wycofania, jak do udzielenia. Zaakceptowanie regulaminu nie stanowi ważnej zgody. Niektóre techniczne pliki cookie (koszyk zakupowy, uwierzytelnianie, preferencje językowe) są zwolnione z tego obowiązku.
CNIL zwykle zaczyna od kontroli (na miejscu lub online), a następnie wzywa do doprowadzenia do zgodności z przepisami w wyznaczonym terminie. Sankcje finansowe istnieją, ale pozostają proporcjonalne do wielkości podmiotu: CNIL nakładała na przykład na małe firmy kary od 2000 do 20 000 euro za uchybienia dotyczące bezpieczeństwa, plików cookie lub prawa dostępu, czyli znacznie poniżej maksymalnych pułapów (do 20 milionów euro lub 4% światowego obrotu za najpoważniejsze naruszenia).
RODO nie narodziło się w 2018 roku i od tamtej pory się nie zatrzymało. Oto, w kolejności, co już się wydarzyło (i co nadal pozostaje obowiązującą zasadą) oraz co jest wciąż przedmiotem dyskusji w Brukseli - z oficjalnym tekstem potwierdzającym każdy etap.
Parlament Europejski i Rada przyjmują rozporządzenie (UE) 2016/679, czyli RODO. źródło EUR-Lex ↗
Tekst zostaje opublikowany w Dzienniku Urzędowym Unii Europejskiej (Dz.U. L 119, strony 1-88). źródło EUR-Lex ↗
Rozporządzenie "wchodzi w życie dwudziestego dnia po jego publikacji" (art. 99). Istnieje więc już prawnie, ale jego rzeczywiste stosowanie wobec przedsiębiorstw zostaje jeszcze odroczone o dwa lata - to czas na przygotowanie się. źródło CNIL, art. 99 ↗
Od tej daty wszystkie organizacje przetwarzające dane osobowe mieszkańców Europy muszą być rzeczywiście zgodne z przepisami, a nie tylko "na papierze". To jest data, którą trzeba zapamiętać. źródło CNIL, art. 99 ↗
Ustawa nr 2018-493 dostosowuje prawo francuskie do RODO i transponuje dyrektywę "policja-wymiar sprawiedliwości" (2016/680), opierając się na ustawie "Informatique et Libertés" z 1978 roku. źródło Légifrance ↗
Rozporządzenie nr 2018-1125 kończy proces dostosowywania ustawy "Informatique et Libertés" do RODO i dyrektywy 2016/680. źródło Légifrance ↗
Dwa lata po rozpoczęciu stosowania Komisja publikuje swój pierwszy raport: RODO osiąga swoje cele, ale konieczne są usprawnienia (harmonizacja między krajami, współpraca między organami). źródło EUR-Lex (COM 2020) ↗
Trybunał Sprawiedliwości Unii Europejskiej unieważnia "Privacy Shield", który regulował przekazywanie danych do Stanów Zjednoczonych: amerykańskie gwarancje dotyczące dostępu organów publicznych do danych zostają uznane za niewystarczające. źródło EUR-Lex ↗
Wchodzą w życie nowe wzory klauzul regulujących przekazywanie danych poza UE, z 15-miesięcznym okresem przejściowym na zastąpienie już podpisanych umów. źródło EUR-Lex (2021/914) ↗
Komisja przyjmuje decyzję o adekwatności "EU-US Data Privacy Framework", która zastępuje unieważniony w 2020 roku Privacy Shield i ponownie zabezpiecza przekazywanie danych do certyfikowanych firm amerykańskich. źródło EUR-Lex (2023/1795) ↗
Wyraźny wzrost liczby sankcji wobec dużych firm technologicznych, ale rozbieżności między organami krajowymi się utrzymują. Komisja zaleca lepsze wsparcie dla MŚP. źródło EUR-Lex (COM 2024) ↗
Komisja proponuje, w swoim pakiecie uproszczeń jednolitego rynku, rozszerzenie do 750 pracowników (zamiast 250) zwolnienia z pełnego prowadzenia rejestru czynności przetwarzania (art. 30), ograniczonego do przetwarzań "wysokiego ryzyka". To propozycja, jeszcze nieobowiązujący przepis. źródło Komisja Europejska ↗
Rada i Parlament Europejski osiągają polityczne porozumienie w sprawie dodatkowych zasad proceduralnych mających zharmonizować sposób współpracy krajowych organów nadzorczych podczas dochodzeń transgranicznych. Formalne przyjęcie i publikacja w Dzienniku Urzędowym pozostają do potwierdzenia. źródło Komisja Europejska ↗
Kalendarz opracowany na podstawie oficjalnych źródeł (EUR-Lex, CNIL, Légifrance, Komisja Europejska), sprawdzonych 18 lipca 2026 roku. Dwa ostatnie etapy to propozycje lub porozumienia polityczne będące w toku - zaktualizujemy je, gdy tylko zostaną formalnie przyjęte i opublikowane w Dzienniku Urzędowym. Jest to synteza edukacyjna i nie stanowi porady prawnej.
Liczba, która budzi strach - "20 milionów euro" - krąży wszędzie, ale nie mówi, jak to naprawdę działa. Oto, w oparciu o oficjalne źródła, kto nakłada sankcje, w jaki sposób i w jakiej rzeczywistej wysokości.
lub do 2% światowego rocznego obrotu firmy (obowiązuje kwota wyższa z tych dwóch).
Próg dotyczący naruszeń "powszechnych": rejestr czynności przetwarzania, bezpieczeństwo danych, obowiązki podmiotu przetwarzającego, brak oceny skutków dla ochrony danych...
lub do 4% światowego rocznego obrotu (podobnie, obowiązuje kwota wyższa z tych dwóch).
Próg dotyczący najpoważniejszych naruszeń: brak podstawy prawnej, naruszenie praw osób, nielegalne przekazywanie danych poza UE...
To nie "ogólna" CNIL nakłada sankcje, lecz odrębny, niezależny organ: formation restreinte (izba ograniczona), złożony z 5 członków i przewodniczącego innego niż prezes CNIL. To wyłącznie on prowadzi postępowania i wymierza sankcje. Najważniejsze decyzje są podawane do publicznej wiadomości.
Artykuł 83 RODO zobowiązuje CNIL do uwzględnienia kilku kryteriów przed ustaleniem kary, w szczególności:
| Data | Podmiot | Kwota | Powód |
|---|---|---|---|
| 21.01.2019 | Google LLC | 50 mln € | Brak przejrzystości, brak ważnej zgody na spersonalizowaną reklamę |
| 07.12.2020 | Amazon Europe Core | 35 mln € | Pliki cookie umieszczone bez wcześniejszej zgody |
| 31.12.2021 | Google LLC / Google Ireland | 150 mln € | Odrzucenie plików cookie trudniejsze niż ich akceptacja |
| 31.12.2021 | Facebook Ireland (Meta) | 60 mln € | Ten sam powód: zbyt utrudnione odrzucenie plików cookie |
| 17.10.2022 | Clearview AI | 20 mln € | Rozpoznawanie twarzy bez podstawy prawnej, odmowa współpracy |
| 10.11.2022 | Discord Inc. | 800 000 € | Nadmierne przechowywanie danych, niewystarczające bezpieczeństwo i informowanie |
| 15.06.2023 | Criteo | 40 mln € | Naruszenia dotyczące zgody na pliki cookie i praw osób |
CNIL nakłada sankcje również na małe i średnie podmioty, ale w kwotach nieporównywalnych z międzynarodowymi koncernami. Tylko w decyzjach z grudnia 2025 roku znajdziemy na przykład: 5000 € dla spółki zarządzającej hotelem (niezgodny monitoring wizyjny), 7000 € i 5000 € dla dwóch wydawców prasowych (nieważne pliki cookie), 10 000 € dla spółki cargo lotniczego (nielegalny monitoring wizyjny) czy 20 000 € dla uczelni (niezgodność z celami przetwarzania). Na drugim końcu skali spółka z sektora usługowego została ukarana w tym samym miesiącu kwotą 3,5 mln € za kumulację poważnych naruszeń (bezpieczeństwo, przejrzystość, pliki cookie). Kwota podąża za wagą naruszenia i wielkością podmiotu, a nie odwrotnie.
W Europie każdy kraj ma własne organy. Oto, dla 30 krajów Europejskiego Obszaru Gospodarczego, organ ochrony danych osobowych (Twój punkt kontaktowy w sprawach RODO) oraz krajowy organ ds. cyberbezpieczeństwa. Każda nazwa prowadzi do oficjalnej strony.
Źródła: oficjalne strony organów oraz lista członków EDPB (edpb.europa.eu), sprawdzone 18 lipca 2026 roku. Potwierdzone organy ochrony danych: 30/30. Potwierdzone organy ds. cyberbezpieczeństwa: 28/30. Oznaczenia "à confirmer" (do potwierdzenia) wskazują na oficjalne źródło jeszcze niepotwierdzone.
Napisz do nas, aby ustalić wstępny zakres i otrzymać spersonalizowaną wycenę, bez zobowiązań.
Bezpłatnie: Państwa wynik i odstępstwa. Szczegółowy raport i poświadczenie: 499 € netto, wyłącznie jeśli Państwo o tym zdecydują.
contact@syaga.eu