Milczenie wobec UODO kosztuje. 31 507 zł kary za brak wyjaśnień
Wiele osób myśli, że kara od Urzędu Ochrony Danych Osobowych grozi dopiero wtedy, gdy wycieknie baza klientów albo ktoś udowodni rażące naruszenie RODO. Najnowsza decyzja Prezesa UODO pokazuje coś innego. Można zapłacić karę, zanim urząd w ogóle rozstrzygnie, czy dane były przetwarzane prawidłowo. Wystarczy przestać odpowiadać na pytania.
Co się wydarzyło
Prezes UODO Mirosław Wróblewski nałożył karę pieniężną w wysokości 31 507 zł na przedsiębiorcę z Krakowa. Ukarany był administratorem danych osobowych przetwarzanych w dwóch serwisach internetowych: lexspace.pl oraz adwokatura.info. Komunikat o decyzji urząd opublikował 30 września 2026 r.
Oba portale przetwarzały dane prawników, w tym adwokatów i radców prawnych, a także osób szukających porady prawnej. Do urzędu dotarły informacje o możliwych nieprawidłowościach w działaniu tych serwisów. Jedną z nich był brak danych kontaktowych administratora na stronach, przez co ludzie nie mieli jak skorzystać ze swoich praw, na przykład zażądać usunięcia danych.
Warto podkreślić, że kara nie dotyczy (przynajmniej na razie) tych nieprawidłowości. Chodzi o coś prostszego: brak wyczerpujących odpowiedzi na pytania organu nadzorczego.
Najpierw współpraca, potem cisza
Według komunikatu UODO administrator na początku podjął współpracę z urzędem w postępowaniu dotyczącym przetwarzania danych w tych serwisach. Później jednak nie przekazał informacji, których urząd potrzebował do rozstrzygnięcia sprawy.
Urząd kilkukrotnie wzywał go do uzupełnienia wyjaśnień i próbował się z nim skontaktować telefonicznie oraz mailowo. Przedsiębiorca był też uprzedzony, że nieprzekazanie potrzebnych informacji może skończyć się administracyjną karą pieniężną. Mimo to wyjaśnień nie uzupełnił.
UODO ocenił, że bierna, a wręcz lekceważąca postawa wobec organu i postępowania uniemożliwiła obiektywne, wnikliwe i wszechstronne rozpatrzenie sprawy. Dlatego nałożenie kary uznano za konieczne.
RODO wymaga od administratora współpracy z organem nadzorczym. Jeśli UODO o coś pyta, odpowiedź - pełna i w terminie - jest obowiązkiem, a nie uprzejmością. Za samo milczenie można dostać karę, zanim urząd zajmie się właściwą sprawą.
Dlaczego to dotyczy także Twojej strony
Sprawa wygląda na niszową, bo chodzi o portale prawnicze. W praktyce ten sam mechanizm może dotknąć każdego, kto prowadzi sklep, bloga firmowego czy stronę z formularzem kontaktowym. Postępowanie w UODO często zaczyna się od skargi jednej osoby: klienta, który nie dostał odpowiedzi na żądanie usunięcia danych, albo użytkownika, który nie znalazł na stronie informacji, kto przetwarza jego dane.
Wtedy do administratora trafia pismo z pytaniami. I tu zaczyna się największe ryzyko dla małych firm. Pismo leży nieotwarte w skrzynce, trafia na stary adres e-mail, właściciel uznaje, że „to nic poważnego”, albo odpowiada zdawkowo. Decyzja w sprawie lexspace.pl i adwokatura.info pokazuje, że urząd traktuje to poważnie i jest gotów ukarać już za sam brak odpowiedzi.
Druga lekcja dotyczy samych stron. Brak danych kontaktowych administratora był jednym z sygnałów, które zwróciły uwagę urzędu. Jeśli użytkownik nie wie, kto odpowiada za jego dane, nie może skorzystać ze swoich praw. To prosta rzecz do naprawienia, a w wielu serwisach wciąż jej brakuje.
Jak przygotować się na pismo z UODO
Nie musisz mieć działu prawnego, żeby nie popełnić błędu, który popełnił ukarany przedsiębiorca. Wystarczy kilka prostych zasad:
- Podaj na stronie, kto jest administratorem. Pełna nazwa firmy, adres i działający e-mail do spraw danych osobowych powinny być w polityce prywatności i łatwe do znalezienia.
- Pilnuj adresów do korespondencji. Sprawdź, czy adres w rejestrze firmy, w polityce prywatności i w skrzynce na platformach elektronicznych jest aktualny i ktoś go regularnie czyta.
- Wyznacz osobę odpowiedzialną. Nawet w jednoosobowej firmie warto wiedzieć, kto zajmuje się pismami z urzędów i kto ma dostęp do dokumentacji.
- Odpowiadaj w terminie i w całości. Jeśli czegoś nie wiesz albo potrzebujesz więcej czasu, napisz o tym i poproś o przedłużenie terminu. Cisza jest najgorszą opcją.
- Miej dokumentację pod ręką. Opis tego, jakie dane zbierasz, w jakim celu, komu je przekazujesz i jakich narzędzi używasz na stronie, bardzo przyspiesza przygotowanie odpowiedzi.
- Obsługuj żądania użytkowników. Prośby o dostęp do danych albo ich usunięcie trzeba rozpatrzyć i odpowiedzieć. Nieobsłużone żądanie to częsty początek skargi.
Narzędzia na stronie też trzeba umieć opisać
Gdy urząd pyta o przetwarzanie danych w serwisie internetowym, bardzo często chodzi także o to, co dzieje się w przeglądarce użytkownika: jakie pliki cookie są zapisywane, jakie skrypty analityczne i reklamowe się uruchamiają i czy dzieje się to przed zgodą, czy po niej. Właściciel strony powinien umieć na to odpowiedzieć bez zgadywania.
Narzędzia, które nie są niezbędne do działania strony, takie jak analityka, piksele reklamowe czy remarketing, wymagają zgody użytkownika. Zgodnie z Prawem komunikacji elektronicznej (obowiązującym od 10 listopada 2024 r.) i RODO nie mogą startować, zanim użytkownik ją wyrazi. Jeśli nie masz pewności, co naprawdę ładuje się na Twojej stronie, zacznij od przeglądu.
Od czego zacząć
Najprościej zrobić krótki audyt: sprawdzić politykę prywatności i dane kontaktowe administratora, przejrzeć skrzynki, na które mogą przychodzić pisma, i zobaczyć, jakie narzędzia uruchamiają się na stronie. Ten ostatni krok możesz wykonać w kilka minut w darmowym narzędziu Skaner zgody, które pokazuje, czy pliki cookie i skrypty śledzące ładują się przed zgodą. Dzięki temu, jeśli kiedykolwiek dostaniesz pytania z UODO, będziesz w stanie odpowiedzieć konkretnie i na czas.
Źródło: UODO
UODOkary RODOwspółpraca z organempolityka prywatności