Kara czy upomnienie? Pięć kroków, którymi organy mają dochodzić do decyzji

Większość rozmów o karach z RODO, które prowadzę z klientami, zaczyna się od pytania o kwotę. Ile może kosztować spóźniona odpowiedź na żądanie dostępu, ile wyciek, ile brak umowy powierzenia. Tymczasem w praktyce organów nadzorczych o wiele więcej zależy od pytania wcześniejszego: czy w danej sprawie w ogóle zapadnie kara, czy wystarczy upomnienie albo nakaz. Europejska Rada Ochrony Danych (EROD) przyjęła 17 września 2026 r. wytyczne 04/2026, które opisują dojście do tej decyzji krok po kroku. Dokument liczy 39 stron, zawiera 14 przykładów i do 13 listopada 2026 r. jest przedmiotem konsultacji publicznych. Przeczytałem go w całości i uważam, że zasługuje na uwagę nie tylko prawników, lecz także każdego, kto w organizacji odpowiada za zgodność.

Co się zmienia i dlaczego teraz

Dotąd organy opierały się w tej kwestii na wytycznych Grupy Roboczej Art. 29 z 2017 r. (WP253), które EROD przejęła po wejściu RODO w życie. Od tego czasu Trybunał Sprawiedliwości UE wydał kilka orzeczeń, które zasadniczo uporządkowały reguły odpowiedzialności, przede wszystkim wyroki z 5 grudnia 2023 r. w sprawach Deutsche Wohnen (C-807/21) i Nacionalinis visuomenės sveikatos centras (C-683/21). Nowe wytyczne mają zastąpić WP253 i uzupełnić wytyczne 04/2022 o obliczaniu wysokości kar. Podział pracy jest więc prosty: wytyczne z 2022 r. odpowiadają na pytanie „ile”, a tegoroczne na pytanie „czy”.

Rada proponuje metodę złożoną z pięciu kroków. Trzy pierwsze to warunki prawne, bez których kary nałożyć nie można, dwa ostatnie to ocena, czy kara jest właściwą reakcją:

• czy stwierdzone naruszenie w ogóle podlega karze na podstawie art. 83 ust. 4–6 RODO albo prawa krajowego,
• czy podmiot objęty postępowaniem jest adresatem naruszonego przepisu, czyli czy przepis ten nakłada obowiązek na administratora, podmiot przetwarzający, czy na oba te podmioty,
• czy naruszenie zostało popełnione umyślnie albo z zaniedbania,
• czy okoliczności z art. 83 ust. 2 RODO wskazują na naruszenie mniejszej wagi,
• czy kara byłaby w tej konkretnej sprawie skuteczna, proporcjonalna i odstraszająca.

Zaniedbanie przy bardzo niskim progu

Najwięcej praktycznych konsekwencji ma w mojej ocenie krok trzeci. Wina jest warunkiem nałożenia kary, ale wytyczne, za Trybunałem, ustawiają próg zaniedbania bardzo nisko. Wystarczy, że administrator nie mógł nie wiedzieć o bezprawnym charakterze swojego działania. Nie musi przy tym zdawać sobie sprawy, że narusza konkretny przepis RODO. EROD przywołuje opinię rzecznika generalnego, według którego trudno w ogóle wyobrazić sobie sytuację, w której ten element nie byłby spełniony. Dobra wiara może zadziałać tylko w wyjątkowych okolicznościach, przy błędzie, którego nie dało się uniknąć mimo należytej staranności. Jedno zdanie z pkt 50 warto zapamiętać: jeżeli w danej kwestii istnieją wytyczne EROD, błąd prawny zawsze uznaje się za możliwy do uniknięcia, a więc co najmniej za zaniedbanie.

Na dłużej zatrzymał mnie przykład czwarty, bo dotyczy opinii prawnych, z którymi stykam się na co dzień. Opinia zewnętrznego prawnika, która dopuszcza przetwarzanie wbrew przeważającym poglądom doktryny, nie zwalnia spółki z odpowiedzialności. Skoro sama opinia wskazuje na stanowisko przeciwne, spółka wiedziała, że działa na granicy prawa. Tak samo oceniono wewnętrzną analizę prawną sprzeczną ze znanym stanowiskiem organu. Najdalej idzie wariant trzeci: spółka powołuje się na zewnętrzną poradę, ale nie potrafi przedstawić organowi jej dokumentacji. Skoro organ nie może sprawdzić, czy doradca znał pełny stan faktyczny i poglądy przeciwne, argument nie ma żadnej wartości. Wytyczne zastrzegają przy tym, że nawet udokumentowanej porady nie należy przyjmować bezkrytycznie. W praktyce opinia prawna może mieć znaczenie w postępowaniu tylko wtedy, gdy jest pisemna, oparta na kompletnych faktach i uczciwie odnotowuje poglądy odmienne, a jej adresat może wykazać, że ją rozważył. Nawet wtedy nie przesądza o braku odpowiedzialności.

Naruszenie mniejszej wagi i to, co go nie łagodzi

Krok czwarty opiera się na motywie 148 RODO: przy naruszeniu mniejszej wagi organ może poprzestać na upomnieniu. Wytyczne nadają temu pojęciu wyraźny skutek. Jeżeli naruszenie jest mniejszej wagi, co do zasady kary się nie nakłada. Jeżeli nie jest, działa „silne domniemanie”, że kara zostanie nałożona. W praktyce kwalifikacja naruszenia ma więc zasadnicze znaczenie, choć ostateczną decyzję organ podejmuje dopiero w piątym kroku. Sama kwalifikacja zależy od czynników z art. 83 ust. 2 RODO: charakteru, wagi i czasu trwania naruszenia, liczby osób, kategorii danych, wcześniejszych naruszeń, działań naprawczych i współpracy z organem.

Uderzyło mnie, jak wiele okoliczności, które administratorzy chętnie przedstawiają jako łagodzące, wytyczne uznają za neutralne. Zgłoszenie naruszenia ochrony danych na podstawie art. 33 RODO jest obowiązkiem, więc nie przemawia na korzyść zgłaszającego. Zwykła współpraca z organem wynika z art. 31 RODO i także niczego nie łagodzi; liczy się dopiero współpraca wykraczająca poza obowiązek, która realnie ograniczyła skutki dla osób. Brak wcześniejszych naruszeń nie jest okolicznością łagodzącą, bo zgodność z RODO jest normą. Wdrożone środki techniczne i organizacyjne działają na korzyść administratora tylko wyjątkowo, gdy wykraczają ponad to, czego wymagają przepisy. Liczy się natomiast czas: działania naprawcze podjęte spontanicznie, zanim administrator dowiedział się o postępowaniu, ważą więcej niż te same działania podjęte później.

W drugą stronę działa powtarzalność. Dwa przykłady w wytycznych opisują podobną historię: odosobnione uchybienia przy realizacji żądań kończą się upomnieniem, ale gdy organ dowiaduje się o kolejnych podobnych przypadkach, uznaje, że ma do czynienia z wzorcem, a nie z wyjątkiem, i nakłada karę. Wcześniejsze naruszenie może mieć znaczenie nawet wtedy, gdy dotyczyło innej materii, zwłaszcza jeżeli zostało popełnione w ten sam sposób. EROD podaje tu przykład naruszeń wynikających z ignorowania rad inspektora ochrony danych. Dla IOD to cenny argument: udokumentowana, a niewykonana rekomendacja może kiedyś stać się okolicznością obciążającą dla organizacji.

Wrzesień pokazał tę logikę w praktyce

Dobrą ilustracją jest wrześniowa decyzja włoskiego organu nadzorczego wobec banku BBVA, opisana w sekcji z orzeczeniami i decyzjami. Kara przekroczyła 5 mln euro, choć sprawa dotyczyła jednego klienta, a organ sam ocenił wagę naruszenia jako niską. Obciążająco zadziałała wcześniejsza decyzja wobec tego samego administratora, wydana w innej sprawie, ale z tego samego obszaru obsługi praw osób. Decyzję wydano na podstawie dotychczasowych wytycznych, a jej rozumowanie dobrze oddaje to, co EROD zapisała teraz wprost.

Drugą ilustrację dają decyzje Prezesa UODO ogłoszone na przełomie września i października, w których kary nałożono za nieudzielenie organowi informacji i niewykonanie wcześniejszego nakazu. Wytyczne traktują niewykonanie środka naprawczego jako okoliczność obciążającą albo jako odrębne naruszenie, podlegające karze na podstawie art. 83 ust. 5 lit. e lub art. 83 ust. 6 RODO. Zastrzegają przy tym, że to samo zachowanie nie może zostać ukarane dwukrotnie.

Kiedy organ może nie zrobić nic

Krok piąty zostawia organom margines w obu kierunkach. Naruszenie mniejszej wagi może wyjątkowo skończyć się karą, a naruszenie poważniejsze upomnieniem, na przykład gdy kara byłaby nieproporcjonalnym obciążeniem dla osoby fizycznej albo prawnej. Wytyczne idą jednak dalej, w ślad za wyrokiem Trybunału z 26 września 2024 r. w sprawie Land Hessen (C-768/21): organ nie musi stosować żadnego środka naprawczego, jeżeli administrator, gdy tylko dowiedział się o naruszeniu, sam je zakończył i zapobiegł jego powtórzeniu. Przykłady 11–13 pokazują, jak to wygląda: kasa oszczędnościowa, która ukarała dyscyplinarnie pracownika przeglądającego dane klienta i zobowiązała się przejrzeć oraz wydłużyć okres przechowywania logów dostępu, albo administrator, który po przypadkowym wysłaniu kopii prawa jazdy pokrył koszt wymiany dokumentu i zlecił zewnętrzny przegląd zabezpieczeń.

Na marginesie przypomnę polską specyfikę. Wytyczne stosuje się do podmiotów publicznych w zakresie, w jakim prawo krajowe pozwala je karać. W Polsce art. 102 ustawy o ochronie danych osobowych dopuszcza kary dla jednostek sektora finansów publicznych, ale ogranicza je do 100 000 zł, a dla instytucji kultury do 10 000 zł. Granice takich wyłączeń nie są jednak dowolne. Rzecznik generalny w opinii z 10 września 2026 r. w belgijskiej sprawie C-458/25 zaproponował, by Trybunał uznał, że art. 83 ust. 7 RODO stoi na przeszkodzie przepisom krajowym, które zwalniają z kar osobę prawną prawa prywatnego prowadzącą oświatę niepubliczną i otrzymującą na ten cel subwencje ze środków publicznych.

Co bym z tym zrobił

Wytyczne adresowane są do organów, ale czytam je przede wszystkim jako instrukcję dla administratorów. Jeżeli o karze w dużej mierze przesądza to, czy naruszenie zostanie uznane za incydentalne, czy za systemowe, to najlepszą inwestycją są procedury, które pozwalają wykazać incydentalność. Chodzi o rejestr żądań osób, z którego widać terminy i sposób załatwienia, o spójną obsługę sprzeciwu i usunięcia danych we wszystkich systemach, a nie tylko w tym, przez który żądanie wpłynęło, oraz o udokumentowane decyzje w sprawach spornych, łącznie z opiniami, na których je oparto. Warto też upewnić się, że naprawa zaczyna się od momentu wykrycia problemu, a nie od pisma z urzędu, bo wytyczne wyraźnie ten moment różnicują.

Dokument jest dopiero projektem poddanym konsultacjom, a EROD zapowiada jego regularne przeglądy. Spodziewam się, że ostateczna wersja zachowa konstrukcję pięciu kroków, bo opiera się ona na orzecznictwie Trybunału, a nie na nowej koncepcji Rady. Tym bardziej warto już teraz spojrzeć na własne procedury oczami organu, który przechodzi przez tę listę.

Artykuł ukazał się w newsletterze AURACO (nr 9, październik 2026). Autor: Łukasz Onysyk.