Rok 2026 zaczął się od głośnej decyzji UODO — niemal milion złotych kary nałożonej na Pocztę Polską za problem, który wielu właścicieli firm bagatelizuje lub w ogóle nie bierze pod uwagę: inspektor ochrony danych pełnił jednocześnie kierownicze stanowisko związane z przetwarzaniem danych osobowych. Kilka tygodni wcześniej Wojewódzki Sąd Administracyjny uchylił inną decyzję wobec tej samej spółki — rekordową karę 27 mln złotych za wybory kopertowe z 2020 roku.
Te dwie sprawy trafiły na pierwsze strony gazet, bo dotyczą dużej spółki skarbu państwa. Jednak lekcje, które z nich płyną, są bardzo konkretne i dotyczą każdej firmy — nawet tej zatrudniającej pięć osób. Sprawdzamy, co UODO karał w ostatnich miesiącach, ile to kosztowało i co właściciel MŚP powinien sprawdzić w swoich procedurach.
Pierwsza kara 2026: IOD z konfliktem interesów — 978 tys. zł
26 stycznia 2026 roku Prezes UODO nałożył na Pocztę Polską karę w wysokości 978 tys. złotych za naruszenie art. 38 ust. 6 RODO. Przepis ten mówi wprost: inspektor ochrony danych nie może zajmować stanowiska, które powodowałoby konflikt interesów.
W tym przypadku ta sama osoba była jednocześnie IOD i zajmowała kierownicze stanowisko odpowiedzialne m.in. za bezpieczeństwo informacji niejawnych. UODO podkreślił, że „niedopuszczalne jest związanie IOD poleceniami mocodawcy i skoncentrowanie obu funkcji”. Poczta Polska zapowiedziała zaskarżenie decyzji do sądu administracyjnego. Spółka wskazała przy tym, że naruszenie dotyczyło poprzedniego zarządu — po zmianach organizacyjnych IOD jest już niezależną komórką podległą bezpośrednio zarządowi.
Co to oznacza dla MŚP?
Obowiązek wyznaczenia IOD nie dotyczy każdej firmy. RODO wymaga go przede wszystkim od:
- organów i podmiotów publicznych,
- podmiotów, których główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę (np. operatorzy platform analitycznych),
- podmiotów przetwarzających szczególne kategorie danych (zdrowie, wyznanie, dane biometryczne) na dużą skalę.
Większość małych firm — sklep, zakład usługowy, biuro rachunkowe — formalnie nie musi wyznaczać IOD. Jednak wiele z nich robi to dobrowolnie lub jest do tego zmuszonych przez kontrakty z większymi partnerami. Jeśli Twoja firma wyznaczyła IOD, sprawdź, czy ta osoba może swobodnie wykonywać swoje obowiązki — czy nie jest jednocześnie szefem IT, menedżerem marketingu lub osobą odpowiedzialną za obsługę klienta. Jeśli tak jest, masz problem taki sam jak Poczta Polska.
Kara 27 mln zł i jej uchylenie — czego uczy ta saga?
Kilka dni przed decyzją w sprawie IOD, w marcu 2026 roku, Wojewódzki Sąd Administracyjny w Warszawie uchylił inną karę nałożoną na Pocztę Polską przez UODO — rekordowe 27,1 mln złotych za przetwarzanie danych z rejestru PESEL bez podstawy prawnej przy organizacji wyborów kopertowych w 2020 roku (decyzja UODO z 17 marca 2025 r., DKN.5131.1.2025).
Sąd uznał, że spółka działała na podstawie decyzji Prezesa Rady Ministrów i nie mogła jej odmówić. To rozstrzygnięcie jest dla prawników interesującym precedensem — ale dla właściciela firmy ważniejsza jest inna obserwacja: postępowanie w tej sprawie trwało pięć lat. Od wyborów kopertowych w 2020 roku do uchylenia kary przez WSA w 2026 roku.
Pięć lat postępowania administracyjnego i sądowego, konieczność prawnej obrony, ryzyko wykonania decyzji o wielomilionowej karze — to realne koszty, nawet gdy firma ostatecznie wygrywa. W przypadku MŚP już sama perspektywa takiego postępowania może być poważnym zagrożeniem dla płynności finansowej.
Ile UODO karał w 2025 roku?
Firma doradcza Grant Thornton opublikowała w lutym 2026 roku raport analizujący decyzje UODO z roku poprzedniego. Wynika z niego, że w 2025 roku Prezes UODO wydał 16 opublikowanych decyzji nakładających kary administracyjne na 18 podmiotów, a łączna wartość tych kar wyniosła 64 333 171,25 zł.
Liczba ta może wydawać się wysoka, ale warto ją zestawić z kontekstem: zdecydowana większość tej kwoty to efekt nielicznych, bardzo wysokich decyzji wobec dużych podmiotów. Dla MŚP bardziej miarodajne jest pytanie o typowy zakres kar — a tu dane z oficjalnych decyzji UODO wskazują, że dla mniejszych podmiotów kwoty kształtują się znacznie skromniej, choć wciąż mogą być dotkliwe: kilkanaście do kilkudziesięciu tysięcy złotych.
Planowane kontrole UODO na 2026 rok obejmują m.in. placówki medyczne (monitoring wizyjny, CCTV) oraz platformy dostawcze online (bezpieczeństwo danych osobowych kierowców i klientów). Jeśli Twoja firma należy do którejś z tych kategorii, warto sprawdzić dokumentację już teraz, nie czekając na kontrolę.
Najczęstsze powody kar — co UODO karał w praktyce
Analizując opublikowane decyzje UODO z ostatnich lat, można wyróżnić kilka powtarzających się typów naruszeń:
1. Zbyt szeroki zakres upublicznionych danych. Administrator opublikował dane osobowe (np. na swojej stronie, w ogłoszeniu, w liście do klientów) zawierające więcej informacji niż było to konieczne do osiągnięcia celu. Prawidłowa zasada to minimalizacja danych — publikujesz tylko to, co jest niezbędne.
2. Brak zgłoszenia naruszenia bezpieczeństwa danych w terminie. RODO nakłada obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin od jego wykrycia, jeśli istnieje ryzyko dla praw i wolności osób. Firmy, które nie zgłaszają naruszeń lub robią to z dużym opóźnieniem (często dlatego, że „nie były pewne, czy to naruszenie”), narażają się na dodatkowe postępowanie.
3. Brak niezależności IOD. Opisana wyżej sprawa Poczty Polskiej to przykład, ale podobne sytuacje zdarzają się w mniejszych firmach, gdzie IOD jest „nominowany” spośród pracowników bez zapewnienia mu niezależności.
4. Niewystarczające środki bezpieczeństwa technicznego. Brak szyfrowania, brak polityki haseł, brak kontroli dostępu do danych — to naruszenia, które UODO wykrywa szczególnie podczas kontroli następczych, po zgłoszeniu incydentu.
5 rzeczy, które warto sprawdzić w swojej firmie
Każdy z opisanych typów naruszeń przekłada się na konkretne działanie, które MŚP może podjąć bez angażowania zewnętrznych prawników na pełen etat.
1. Sprawdź, kto pełni IOD — i czy może to robić niezależnie
Jeśli Twoja firma wyznaczyła IOD: upewnij się, że ta osoba nie sprawuje jednocześnie funkcji, które stawiają ją po obu stronach — nie może być jednocześnie osobą odpowiedzialną za przetwarzanie danych i kontrolerem tego przetwarzania. Jeśli IOD jest zewnętrzny (kancelaria prawna, firma doradcza), sprawdź, czy umowa gwarantuje im dostęp do informacji i niezależność w raportowaniu naruszeń.
Kodeks podpowiada nam tu przepis art. 38 ust. 6 RODO, który mówi dosłownie: „Inspektor ochrony danych może wykonywać inne zadania i obowiązki. Administrator lub podmiot przetwarzający zapewniają, by takie zadania i obowiązki nie powodowały konfliktu interesów.” To zdanie bywa w firmach czytane opacznie — jako „może robić inne rzeczy, więc jest ok, że jest też szefem IT”. Tymczasem chodzi o coś odwrotnego: może robić inne rzeczy, ale tylko jeśli te inne rzeczy nie powodują konfliktu. Rola kierownicza z uprawnieniami decyzyjnymi wobec danych osobowych zawsze ten konflikt powoduje.
Praktyczny test: wyobraź sobie, że Twój IOD wykrył, że dział, którym kieruje, przetwarza dane bez właściwej podstawy prawnej. Czy ma swobodę, żeby to zaraportować do zarządu? Czy może mu to być politycznie trudne? Jeśli pytanie nie ma oczywistej odpowiedzi, masz sygnał do przeglądu.
Jeśli Twoja firma nie musi wyznaczać IOD zgodnie z RODO — nie wyznaczaj go tylko „dla spokoju”, jeśli nie możesz zapewnić mu odpowiednich warunków do działania. Formalny IOD bez faktycznej niezależności daje poczucie bezpieczeństwa, którego nie ma.
2. Miej gotowy schemat na naruszenie danych
Nie zastanawiaj się nad procedurą, gdy już dojdzie do incydentu — bo wtedy masz 72 godziny. Przygotuj wcześniej prostą notatkę: co robisz gdy wykrywasz naruszenie, kto w firmie o tym decyduje, kiedy informujesz UODO, kiedy informujesz osoby, których dane dotyczą. Nie musi to być 50-stronicowy dokument — wystarczy jednostronicowa ściąga dostępna dla każdego pracownika, który może jako pierwszy natknąć się na problem (helpdesk, recepcja, dział IT).
Ważna uwaga praktyczna dotycząca kwalifikacji zdarzeń: obowiązek zgłoszenia nie zależy od tego, czy naruszenie było zawinione ani od tego, czy ktoś faktycznie ucierpiał. Zależy od oceny ryzyka dla praw i wolności osób. Jeśli dane wyciekły, ale zaszyfrowane — ryzyko może być niskie i zgłoszenie nie jest obowiązkowe. Jeśli pracownik omyłkowo wysłał listę klientów z numerami PESEL do złego odbiorcy — ryzyko jest wysokie i masz 72 godziny.
Kolejna pułapka: część firm zgłasza naruszenia „na wszelki wypadek” każde zdarzenie, żeby być po bezpiecznej stronie. To nie jest właściwe podejście — RODO wymaga oceny ryzyka przed zgłoszeniem, a zbyt wiele bezzasadnych zgłoszeń utrudnia kontakt z urzędem i może budzić wątpliwości co do jakości procesu zarządzania danymi. Schemat oceny ryzyka (nawet prosty: ryzyko niskie/średnie/wysokie + decyzja) powinien być częścią procedury incydentu.
3. Przejrzyj, co publikujesz i komu udostępniasz dane
Zasada minimalizacji danych to jeden z fundamentów RODO, ale też jeden z najłatwiejszych do zaniedbania w praktyce. Przyjrzyj się listom mailingowym, dokumentom udostępnianym klientom i partnerom, ogłoszeniom o pracę, formularzom na stronie. Czy naprawdę potrzebujesz każdego pola, które zbierasz? Czy udostępniasz dane osobowe tylko tym, którzy muszą je zobaczyć?
Szczególnie warto przejrzeć arkusze Excel, które „krążą” w firmie między działami — to jeden z najczęstszych wektorów niezamierzonego ujawnienia danych.
4. Zadbaj o podstawy techniczne bezpieczeństwa
UODO nie wymaga od firm wydania setek tysięcy złotych na systemy bezpieczeństwa. Wymaga jednak adekwatnych środków — proporcjonalnych do ryzyka i skali przetwarzania. W praktyce dla MŚP oznacza to:
- szyfrowanie dysków na laptopach firmowych i nośnikach przenośnych,
- silne, unikalne hasła i uwierzytelnianie dwuskładnikowe do narzędzi z dostępem do danych klientów,
- kontrola, kto ma dostęp do jakich systemów (zasada minimalnych uprawnień),
- regularne kopie zapasowe z testowaniem przywracania.
Jeśli korzystasz z narzędzi AI do przetwarzania danych klientów — sprawdź, jakie dane trafiają do zewnętrznego modelu i na jakiej podstawie prawnej. To jeden z obszarów, w którym RODO i AI Act zaczynają się nakładać, co opisywaliśmy szerzej w artykule o regulaminie korzystania z AI w firmie.
5. Zaktualizuj Rejestr Czynności Przetwarzania
Rejestr Czynności Przetwarzania (RCP) to obowiązek wynikający z art. 30 RODO dla większości firm przetwarzających dane w sposób inny niż okazjonalny. Wiele małych firm albo go nie ma, albo ma wersję sprzed kilku lat, która nie uwzględnia nowych narzędzi (CRM, chatbot, narzędzia AI, nowy formularz na stronie).
Aktualizacja rejestru to dobry punkt wyjścia do przeglądu — bo zmusza do odpowiedzi na pytanie: jakie dane zbieramy, w jakim celu, przez jak długo, kto ma do nich dostęp, czy jest umowa powierzenia z dostawcą.
W 2026 roku szczególnie warto sprawdzić wpisy w rejestrze dotyczące narzędzi AI. Jeśli używasz chatbota do obsługi klientów, narzędzia do generowania tekstów marketingowych lub systemu analitycznego z elementami uczenia maszynowego — każde z tych narzędzi może przetwarzać dane osobowe Twoich klientów. Czy to jest opisane w RCP? Czy jest podpisana umowa powierzenia z dostawcą? Czy klienci są o tym poinformowani w polityce prywatności?
UODO zwraca na to uwagę coraz częściej. Nie dlatego, że jest wrogi nowym technologiom — ale dlatego, że RODO wymaga, żeby przetwarzanie danych było przejrzyste i miało podstawę prawną, niezależnie od tego, jakie narzędzia się do tego używa.
Jedną z częstszych pułapek są też umowy powierzenia przetwarzania danych. Jeśli zlecasz np. obsługę kadr zewnętrznej firmie, korzystasz z zewnętrznego CRM lub przechowujesz dane klientów w chmurze obcego dostawcy — każda z tych relacji wymaga podpisania stosownej umowy (DPA, ang. Data Processing Agreement). Brak takiej umowy to formalne naruszenie RODO, nawet jeśli żadne dane nie wyciekły.
Co planuje UODO w najbliższych miesiącach
Z planu kontroli UODO na 2026 rok wynika, że urząd skupia się na dwóch głównych kategoriach podmiotów: placówkach medycznych korzystających z monitoringu wizyjnego (CCTV) oraz platformach e-commerce i dostawczych przetwarzających dane na dużą skalę. Jeśli Twoja firma prowadzi klinikę, gabinet lekarski, restaurację z dowozem przez własną aplikację lub sklep internetowy z dużą bazą klientów — sprawdź dokumentację RODO dotyczącą tych obszarów, zanim UODO zrobi to za Ciebie.
Październik 2026 to też czas, gdy zaczyna działać pełen zakres przepisów AI Act, z nadzorem KRiBSI (Komitetu ds. Regulacji i Bezpieczeństwa Systemów Informatycznych). Dla wielu firm oznacza to kolejną warstwę compliance powiązaną z ochroną danych — więcej o tym w naszym artykule o AI Act i co MŚP musi mieć gotowe do 28 października.
Podsumowanie
Decyzje UODO z 2026 roku — kara prawie 1 mln zł za konflikt interesów IOD, uchylenie rekordu 27 mln zł, plan kontroli skupiony na konkretnych branżach — to sygnał, że urząd jest aktywny i coraz sprawniej egzekwuje przepisy. Z danych Grant Thornton za rok 2025 wynika, że mowa łącznie o 64 mln zł kar wobec 18 podmiotów. To nie są abstrakcyjne statystyki.
Dla właściciela MŚP kluczowe są trzy wnioski: IOD musi być niezależny (jeśli go masz), naruszenie danych trzeba zgłosić w 72 godziny, a zbieranie i upublicznianie danych wymaga zasady minimalizacji. Reszta to konsekwencja tych trzech reguł. Dodatkowym sygnałem do działania jest fakt, że UODO planuje w 2026 roku kontrole w sektorze medycznym i platformach dostawczych — jeśli Twoja firma należy do jednej z tych kategorii, termin na porządki z dokumentacją jest już teraz.
Jeśli nie wiesz, od czego zacząć przegląd RODO w swojej firmie albo szukasz kogoś, kto spojrzy na Wasze narzędzia cyfrowe pod kątem zgodności z przepisami o danych osobowych — chętnie podpowiemy.