Kara czy upomnienie? EROD opisuje pięć kroków, którymi organy mają decydować

Za podobne naruszenie RODO jedna firma może dostać upomnienie, a inna wysoką karę. Do tej pory sporo zależało od praktyki konkretnego organu ochrony danych. Europejska Rada Ochrony Danych (EROD, ang. EDPB) chce to uporządkować. Na posiedzeniu plenarnym, o którym poinformowała 21 września 2026 r., przyjęła wytyczne mówiące, kiedy organ powinien sięgnąć po karę pieniężną, a kiedy po inne środki.

Dwa dokumenty z jednego posiedzenia

EROD przyjęła dwa dokumenty:

• wytyczne o stosowaniu kar pieniężnych na tle innych uprawnień naprawczych - nowy dokument, który trafia teraz do konsultacji społecznych,
• ostateczną wersję wytycznych o relacji między aktem o usługach cyfrowych (DSA) a RODO - przyjętą po zakończonych już konsultacjach.

Zastępczyni przewodniczącej EROD Jelena Virant Burnik podkreśliła, że RODO znacznie wzmocniło uprawnienia organów, a kary są ważnym narzędziem egzekwowania przepisów. Celem wytycznych ma być większa przejrzystość i spójne stosowanie RODO w całej Europie.

Pięć kroków przed decyzją o karze

Najważniejsza część nowych wytycznych to pięciostopniowa metoda, którą organ ochrony danych, w Polsce Prezes UODO, ma przejść, zanim zdecyduje o karze:

1. Czy za to naruszenie w ogóle można nałożyć karę? Organ szuka podstawy bezpośrednio w RODO albo w prawie krajowym.
2. Czy można ukarać właśnie ten podmiot? To, czy odpowiada administrator, czy podmiot przetwarzający, zależy od tego, kogo wiąże naruszony przepis.
3. Czy naruszenie było zawinione? Organ ocenia, czy doszło do niego umyślnie, czy przez zaniedbanie. Wina jest warunkiem nałożenia kary.
4. Jakie są okoliczności obciążające i łagodzące? Jeśli naruszenie jest drobne, co do zasady kary nie będzie, a zamiast niej może pojawić się upomnienie. Jeśli nie jest drobne, istnieje silne domniemanie, że kara powinna zostać nałożona.
5. Czy kara będzie skuteczna, proporcjonalna i odstraszająca? Na tym etapie organ może też ocenić, czy w danej sprawie jest powód, by odejść od standardowego podejścia.

Nie tylko kary: cały wachlarz środków

Wytyczne porządkują też pozostałe uprawnienia naprawcze organów i wyjaśniają, do czego służą i jak się do siebie mają. Wśród nich są:

• ostrzeżenia,
• upomnienia,
• nakazy,
• ograniczenia, w tym zakazy przetwarzania,
• cofnięcie certyfikacji.

EROD dołączyła 14 praktycznych przykładów pokazujących, jak organ może ocenić konkretny przypadek i zdecydować, który środek zastosować, i czy w ogóle jakiś.

Nowe wytyczne zastąpią dawne wytyczne Grupy Roboczej Art. 29 dotyczące stosowania i ustalania kar. Uzupełnią też wcześniejsze wytyczne EROD o obliczaniu kar. Podział jest więc taki: nowy dokument mówi, czy nałożyć karę, a wcześniejszy, ile powinna wynosić.

Konsultacje do 13 listopada 2026 r.

Wytyczne o karach nie są jeszcze w wersji ostatecznej. EROD poddała je konsultacjom społecznym, które potrwają do 13 listopada 2026 r. W tym czasie firmy, organizacje i eksperci mogą zgłaszać uwagi. Treść może się więc jeszcze zmienić.

Konsultacje to dobra okazja nie tylko dla dużych korporacji. Swoje uwagi mogą przesłać także stowarzyszenia branżowe, izby gospodarcze czy organizacje zrzeszające małe firmy. Jeśli działasz w takiej organizacji, warto zasugerować, by zajęła stanowisko, zwłaszcza w sprawie tego, jak oceniać naruszenia drobne i jak odróżniać je od poważniejszych. To właśnie ta granica w praktyce zdecyduje, czy za podobny błąd skończy się na upomnieniu, czy na karze.

Inaczej jest z wytycznymi o DSA i RODO. Te przeszły już konsultacje i zostały przyjęte w wersji ostatecznej. Mają pomóc w spójnym stosowaniu obu aktów tam, gdzie przepisy DSA dotyczą przetwarzania danych osobowych przez dostawców usług pośrednich, czyli np. platformy internetowe, i odwołują się do pojęć z RODO.

Co to oznacza dla Twojej firmy

Wytyczne EROD są adresowane do organów, ale w praktyce pokazują firmom, jak będą oceniane. Kilka wniosków dla właściciela strony czy sklepu:

• Wina ma znaczenie. Organ ocenia, czy naruszenie było umyślne, czy wynikało z zaniedbania. Udokumentowane starania, by działać zgodnie z przepisami, pomagają w takiej ocenie.
• Liczą się okoliczności. Szybka reakcja na problem, współpraca z organem i usunięcie skutków naruszenia to typowe elementy, które mogą przemawiać na Twoją korzyść.
• „Drobne” nie znaczy „bezkarne” w każdym przypadku. Upomnienie jest przewidziane dla naprawdę drobnych naruszeń. Przy poważniejszych domniemanie przemawia za karą.
• Większa przewidywalność. Jeśli organy w całej UE będą stosować ten sam schemat, łatwiej będzie przewidzieć skutki podobnych naruszeń w różnych krajach.

Od czego zacząć porządki

Najlepszą ochroną przed karą jest to, żeby nie dać do niej powodu. W przypadku stron internetowych jednym z najczęściej spotykanych problemów są skrypty analityczne i reklamowe uruchamiane, zanim użytkownik wyrazi zgodę. Takie narzędzia wymagają zgody na podstawie Prawa komunikacji elektronicznej i RODO, a baner, który tylko informuje, nie wystarczy.

Sprawdź, co naprawdę ładuje się na Twojej stronie przed kliknięciem w baner. Możesz to zrobić w kilka minut w darmowym narzędziu Skaner zgody. A jeśli chcesz śledzić nowe wytyczne, warto zajrzeć na stronę EROD po zakończeniu konsultacji, gdy pojawi się wersja ostateczna.

Źródło: EDPB

ERODkary RODODSAwytyczneUODO