Ochrona danych osobowych

Praktycznie tak — RODO stosuje każdy podmiot, który przetwarza dane osobowe, niezależnie od wielkości. Jeśli masz klientów, pracowników, współpracowników, użytkowników strony czy newslettera, to przetwarzasz dane osobowe i podlegasz RODO. Nie ma progu wielkości firmy ani wyłączenia „bo jesteśmy mali" — obowiązki różnią się skalą, ale nie samym faktem, że dotyczą.

Zakres obowiązków zależy od tego, jakie dane i w jakim celu przetwarzasz. Inaczej wygląda to w jednoosobowej działalności prowadzącej newsletter, inaczej w firmie zatrudniającej pracowników i korzystającej z monitoringu, a jeszcze inaczej tam, gdzie przetwarza się dane szczególnych kategorii (np. dane o zdrowiu) albo prowadzi profilowanie na dużą skalę. Część obowiązków — jak rejestr czynności czy wyznaczenie inspektora — jest uzależniona właśnie od tych okoliczności.

Pomagamy ustalić, które obowiązki realnie Cię dotyczą, i wdrożyć je w rozsądnym zakresie — bez przeregulowania małej firmy i bez luk w większej organizacji. Punktem wyjścia jest zwykle krótki audyt, po którym wiesz, co jest pilne, a co może poczekać.

RODO przewiduje administracyjne kary pieniężne do 20 mln euro albo — dla przedsiębiorstwa — do 4% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. To górne pułapy dla najpoważniejszych naruszeń; w praktyce wysokość kary zależy m.in. od charakteru naruszenia, liczby poszkodowanych, winy i współpracy z organem.

W Polsce 2025 rok był rekordowy: Prezes UODO nałożył kary na łączną kwotę ponad 64 mln zł, w tym jedne z najwyższych w historii — m.in. na Bank ING (ok. 18,4 mln zł, w związku z nieprawidłowym przetwarzaniem danych z dokumentów tożsamości) oraz McDonald's Polska (ok. 16,9 mln zł, po ujawnieniu danych pracowników wskutek m.in. braków w analizie ryzyka, zabezpieczeniach i nadzorze nad procesorem). To kwoty kar nałożonych — niekoniecznie prawomocnych i wyegzekwowanych: najwyższą z nich (27,1 mln zł, dane PESEL, Poczta Polska) sąd uchylił, ale wyrok jest nieprawomocny i kwestionowany przez UODO. Widać jednak wyraźny zwrot ku wyższym, odstraszającym karom za naruszenia systemowe. Ryzyko finansowe i wizerunkowe jest realne.

Poza samą karą dochodzą koszty: obsługa incydentu, zawiadomienia, roszczenia osób poszkodowanych i utrata zaufania klientów. Dlatego opłaca się inwestować w zgodność, zanim pojawi się problem. Pomagamy ograniczyć ryzyko od strony organizacyjnej i dokumentacyjnej, a gdy dojdzie do postępowania — reprezentujemy firmę przed Prezesem UODO.

NIS2 to unijna dyrektywa o cyberbezpieczeństwie, którą Polska wdrożyła nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Nowela weszła w życie 3 kwietnia 2026 r., ale obowiązki wchodzą etapami: podmioty objęte systemem powinny wdrożyć wymogi (m.in. system zarządzania bezpieczeństwem informacji, szacowanie ryzyka, zgłaszanie i obsługę incydentów) do 3 kwietnia 2027 r., a obowiązkowe audyty i realne kary uruchamiają się od 3 kwietnia 2028 r. Katalog podmiotów objętych systemem rozszerzył się przy tym z ok. 400 do ok. 38 tys. (z czego większość to podmioty publiczne).

NIS2 obejmuje podmioty „kluczowe" i „ważne" we wskazanych sektorach (m.in. energia, transport, ochrona zdrowia, infrastruktura cyfrowa, produkcja, dostawcy usług ICT) — często także średnie firmy, które wcześniej nie miały obowiązków w tym obszarze. Dla podmiotów objętych ustawą cyberbezpieczeństwo przestało być wyłącznie sprawą działu IT: stało się obowiązkiem kierownika podmiotu, z wymogami zarządzania ryzykiem, bezpieczeństwem łańcucha dostaw i zgłaszaniem incydentów. Kary są zróżnicowane zależnie od kategorii podmiotu i w najpoważniejszych przypadkach mogą sięgnąć nawet 100 mln zł.

Ochrona danych i cyberbezpieczeństwo mocno się tu przenikają — ten sam incydent bywa jednocześnie naruszeniem ochrony danych (RODO) i incydentem podlegającym zgłoszeniu na gruncie KSC/NIS2, choć oba reżimy mają różne progi, terminy i adresatów zgłoszenia. Pomagamy ustalić, czy i w jakim zakresie NIS2 dotyczy Twojej firmy, oraz wdrożyć wymogi spójnie z RODO i — gdzie ma to zastosowanie — z DORA. Więcej o obszarze zgodności znajdziesz na stronie compliance i ESG.

Wyznaczenie inspektora ochrony danych jest obowiązkowe w trzech przypadkach: gdy przetwarzania dokonuje organ lub podmiot publiczny (z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości); gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę; oraz gdy główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych kategorii (np. o zdrowiu) lub danych o wyrokach. Przesłanki ocenia się odrębnie dla administratora i dla podmiotu przetwarzającego. Poza tymi przypadkami wyznaczenie IOD jest dobrowolne — ale często warto rozważyć je również wtedy.

Inspektor musi mieć fachową wiedzę, działać niezależnie i bez konfliktu interesów oraz podlegać bezpośrednio najwyższemu kierownictwu. W praktyce trudno tę rolę połączyć z funkcją decydującą o celach i sposobach przetwarzania (np. członka zarządu czy szefa IT), bo prowadziłoby to do „kontrolowania samego siebie".

Dlatego wiele firm powierza tę funkcję na zewnątrz. Oferujemy outsourcing inspektora ochrony danych albo wsparcie Twojego wewnętrznego IOD — łączymy niezależność, doświadczenie i dostępność bez kosztów kolejnego etatu. Dopełniamy też formalności: IOD to konkretna osoba fizyczna, a jej dane kontaktowe publikuje się i zgłasza Prezesowi UODO drogą elektroniczną w ciągu 14 dni od powołania (a także przy zmianie i odwołaniu). Pomagamy również ocenić, czy w Twoim przypadku wyznaczenie inspektora jest obowiązkowe, czy jedynie zalecane.

Ocena skutków dla ochrony danych (DPIA) to analiza ryzyka, którą trzeba przeprowadzić, zanim rozpocznie się przetwarzanie mogące powodować wysokie ryzyko dla praw i wolności osób (art. 35 RODO). Ma odpowiedzieć na pytania: jakie dane i po co przetwarzamy, jakie są zagrożenia i jak je ograniczamy do akceptowalnego poziomu.

DPIA jest obowiązkowa m.in. przy systematycznym profilowaniu ze skutkami prawnymi, przetwarzaniu na dużą skalę danych szczególnych kategorii oraz systematycznym monitorowaniu miejsc dostępnych publicznie. Prezes UODO publikuje też wykaz operacji, dla których ocena jest wymagana. Jeżeli mimo zastosowanych środków ryzyko pozostaje wysokie, przed rozpoczęciem przetwarzania konieczna bywa konsultacja z organem nadzorczym.

Coraz częściej DPIA łączy się z oceną skutków dla praw podstawowych (FRIA) wymaganą na gruncie AI Act — gdy wysokie ryzyko wiąże się z użyciem systemu sztucznej inteligencji. Pomagamy przeprowadzić ocenę, dobrać środki ograniczające ryzyko i udokumentować cały proces tak, aby był możliwy do wykazania podczas kontroli.

Najważniejsze są pierwsze godziny. Naruszenie, które może powodować ryzyko dla praw lub wolności osób (gdy takie ryzyko „nie jest mało prawdopodobne"), trzeba zgłosić Prezesowi UODO bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia; przy przetwarzaniu transgranicznym dochodzi ustalenie organu wiodącego. Gdy ryzyko dla osób jest wysokie, zawiadamia się dodatkowo same osoby, których dane dotyczą — chyba że zachodzi jeden z wyjątków z art. 34 (np. dane były zaszyfrowane albo zamiast indywidualnych zawiadomień zastosowano komunikat publiczny). Każde naruszenie — nawet niezgłaszane — należy odnotować w wewnętrznym rejestrze.

W praktyce liczy się wcześniejsze przygotowanie: procedura reagowania, jasny podział ról i wiedza, jak ocenić wagę naruszenia. Pod presją czasu łatwo o błąd — spóźnione albo niepotrzebne zgłoszenie, brak dokumentacji, chaotyczna komunikacja z klientami. Ten sam incydent może być jednocześnie zdarzeniem podlegającym zgłoszeniu na gruncie NIS2/KSC, dlatego procedury warto mieć spójne.

Wspieramy firmy zarówno przed incydentem (procedury, testy, szkolenia), jak i w jego trakcie: pomagamy ocenić, czy i co zgłosić, przygotować zgłoszenie i zawiadomienia oraz prowadzić komunikację. Gdy sprawa przechodzi w postępowanie — reprezentujemy firmę przed Prezesem UODO.

Przekazanie danych poza Europejski Obszar Gospodarczy jest dopuszczalne tylko na jednej z podstaw przewidzianych w RODO. Najprostsza sytuacja to państwo objęte decyzją Komisji Europejskiej stwierdzającą odpowiedni poziom ochrony (adekwatność). Dla USA taką podstawą jest EU–US Data Privacy Framework — ale korzysta z niego wyłącznie odbiorca certyfikowany w tym programie.

Status ram transatlantyckich jest przy tym niepewny. We wrześniu 2025 r. Sąd UE utrzymał decyzję o adekwatności DPF, ale rozstrzygnięcie zaskarżono do Trybunału Sprawiedliwości UE (sprawa Latombe, C-703/25 P, w toku), a organizacje zajmujące się prywatnością zapowiedziały kolejne skargi. DPF obejmuje przy tym wyłącznie odbiorców aktualnie certyfikowanych w programie. Obecnie DPF obowiązuje, lecz rozsądnie jest mieć „plan B" na wypadek jego podważenia — podobnie jak stało się z wcześniejszymi mechanizmami (Safe Harbour, Privacy Shield).

Gdy odbiorca nie korzysta z decyzji adekwatnościowej, stosuje się przede wszystkim standardowe klauzule umowne (SCC) — które jednak same nie wystarczą: wymagają udokumentowanej oceny skutków transferu (TIA), często dodatkowych zabezpieczeń i bieżącego monitorowania. Pomagamy dobrać właściwą podstawę, przygotować SCC i ocenę transferu oraz uporządkować przepływy danych do dostawców chmury i narzędzi spoza UE.

Oba reżimy stosuje się równolegle i się uzupełniają. Jeśli system sztucznej inteligencji przetwarza dane osobowe, obowiązki RODO (podstawa przetwarzania, informowanie, prawa osób — w tym art. 22 dotyczący decyzji podejmowanych wyłącznie automatycznie — oraz DPIA) obowiązują niezależnie od AI Act. Terminy AI Act dla systemów wysokiego ryzyka zostały przy tym przesunięte nowelizacją (tzw. Omnibus): obowiązki dla samodzielnych systemów z Załącznika III stosuje się od 2 grudnia 2027 r., a dla AI wbudowanej w produkty z Załącznika I — od 2 sierpnia 2028 r. Od 2 sierpnia 2026 r. zaczynają obowiązywać jedynie wymogi przejrzystości (art. 50), np. informowanie, że użytkownik ma do czynienia z AI lub treścią wygenerowaną przez AI.

Zakres Twoich obowiązków zależy od roli (dostawca czy podmiot stosujący system) oraz od poziomu ryzyka danego zastosowania. Ocena skutków dla praw podstawowych (FRIA) na gruncie AI Act nie jest obowiązkiem powszechnym — dotyczy określonych podmiotów (m.in. podmiotów publicznych i prywatnych świadczących usługi publiczne oraz niektórych zastosowań, jak ocena zdolności kredytowej czy ubezpieczenia na życie i zdrowotne) i uzupełnia, a nie zastępuje, ocenę skutków dla ochrony danych (DPIA) wymaganą przez RODO.

Europejska Rada Ochrony Danych podkreśla, że anonimowości modelu AI nie można zakładać z góry — wymaga to indywidualnej oceny ryzyka identyfikacji osób i „wydobycia" danych z modelu. Pomagamy poukładać korzystanie z AI zgodnie z oboma reżimami: ustalić role i ryzyko, przygotować podstawy przetwarzania, ocenić decyzje automatyczne (art. 22), przeprowadzić DPIA (i FRIA tam, gdzie jest wymagana) oraz opisać zasady korzystania z narzędzi AI przez pracowników — tak, by wdrożyć AI bezpiecznie, a nie rezygnować z niego ze strachu przed przepisami.

Tak, ale w granicach prawa i zasady proporcjonalności. Kodeks pracy dopuszcza monitoring (m.in. wizyjny, poczty elektronicznej czy inne formy) tylko w określonych celach — jak zapewnienie bezpieczeństwa, ochrona mienia czy kontrola organizacji pracy — i pod warunkiem uprzedniego poinformowania pracowników oraz wprowadzenia zasad do dokumentacji wewnętrznej. Monitoring nie może naruszać godności i dóbr osobistych ani obejmować pomieszczeń, w których byłoby to nadmierne.

Dane biometryczne są danymi szczególnej kategorii wtedy, gdy są przetwarzane w celu jednoznacznej identyfikacji osoby (np. odcisk palca czy geometria twarzy używane do rozpoznawania) — samo zdjęcie pracownika nie jest automatycznie „danymi biometrycznymi". Kodeks pracy dopuszcza pobieranie danych biometrycznych od pracownika w wąskim zakresie — co do zasady, gdy jest to niezbędne z uwagi na kontrolę dostępu do szczególnie ważnych informacji lub pomieszczeń. Dla danych szczególnej kategorii zgoda co do zasady musi wyjść od pracownika i nie może rodzić negatywnych skutków w razie odmowy, a w relacji podległości bywa nieskuteczna — dlatego „wejściówka odciskiem palca dla wszystkich" najczęściej jest nadmiarowa.

Pomagamy zaprojektować monitoring i ewentualną biometrię tak, aby realizowały cel przy najmniejszej ingerencji: dobór środka, podstawa prawna, klauzule informacyjne, zapisy w regulaminach i okresy przechowywania. Dzięki temu ograniczasz ryzyko sporów z pracownikami i zastrzeżeń ze strony Prezesa UODO.

Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna — a firma musi umieć wykazać, że ją uzyskała. W praktyce oznacza to oddzielne, niezaznaczone domyślnie okienka, jasny opis celu i możliwość równie łatwego wycofania zgody jak jej udzielenia. Zgody „wymuszone" (np. dostęp do treści dopiero po akceptacji marketingu) zwykle są wadliwe.

Cookies i podobne technologie to dodatkowa warstwa: obok RODO stosuje się tu zasady z ustawy Prawo komunikacji elektronicznej (PKE), a organy oczekują realnego wyboru — „zaakceptuj" i „odrzuć" na równych prawach, bez ukrytych zgód. Reguły mogą się zmienić: w ramach pakietu Digital Omnibus (projekt Komisji z 19 listopada 2025 r. — odrębny od przyjętej już nowelizacji samego AI Act i wciąż nieprzyjęty) zaproponowano m.in. przeniesienie zasad cookies do RODO oraz minimalny okres, przez który nie wolno ponownie pytać o zgodę po jej odrzuceniu. Do czasu przyjęcia obowiązują dotychczasowe zasady.

Porządkujemy zgody i cookies od strony prawnej i wdrożeniowej: treść zgód i klauzul, konfiguracja banera i kategorii cookies, rejestrowanie zgód oraz spójność z politykami prywatności. Dzięki temu marketing działa, a firma jest w stanie wykazać zgodność podczas kontroli.

Administrator to podmiot, który decyduje o celach i sposobach przetwarzania danych (np. Twoja firma wobec danych własnych klientów i pracowników). Podmiot przetwarzający (procesor) przetwarza dane w imieniu administratora i według jego poleceń — to najczęściej dostawcy usług: hostingu, chmury, systemów kadrowych, marketingu czy księgowości. Ta sama firma bywa administratorem w jednych procesach i procesorem w innych.

To, jaka umowa jest potrzebna, zależy od roli dostawcy — dlatego najpierw ją ustalamy. Jeżeli dostawca działa jako podmiot przetwarzający (na Twoje polecenie), RODO wymaga umowy powierzenia (art. 28), określającej m.in. zakres, cel, czas i sposób przetwarzania oraz obowiązki procesora w zakresie bezpieczeństwa i podpowierzenia. Jeżeli natomiast dostawca sam decyduje o celach przetwarzania, jest odrębnym albo współadministratorem — wówczas właściwe są inne ustalenia (np. umowa o współadministrowaniu). Sam „regulamin usługi" zwykle nie wystarcza, a błędna kwalifikacja roli to jeden z częstszych braków wychwytywanych przy audytach.

Pomagamy poprawnie zakwalifikować role w każdym procesie, przygotować i wynegocjować umowy powierzenia oraz ocenić dostawców pod kątem bezpieczeństwa i lokalizacji danych. To szczególnie ważne przy korzystaniu z narzędzi chmurowych i dostawców spoza UE, gdzie łączy się to z kwestią transferów.

Zaczynamy od krótkiego audytu: ustalamy, jakie dane i w jakich procesach przetwarzasz, na jakiej podstawie, komu je powierzasz i gdzie są największe luki oraz ryzyka. Efektem jest czytelna mapa stanu zgodności wraz z priorytetami — co jest pilne (np. brak umów powierzenia, wadliwe zgody, brak procedury na incydent), a co można rozłożyć w czasie.

Na tej podstawie proponujemy plan z zakresem, kosztem i harmonogramem, a potem przechodzimy do wdrożenia: polityki i procedury, rejestry, klauzule informacyjne, umowy powierzenia, procedura reagowania na incydenty i — w razie potrzeby — DPIA. Możemy też przejąć funkcję inspektora ochrony danych albo wspierać Twojego IOD na bieżąco.

Model współpracy dopasowujemy do skali firmy: od jednorazowego wdrożenia, przez stałe doradztwo, po pełny outsourcing funkcji IOD. Pierwszą rozmowę i wstępną ocenę sytuacji możesz umówić przez formularz kontaktowy. Jeśli szukasz szerszego wsparcia prawnego dla firmy, zobacz też outsourcing usług prawnych.