Najczęściej firmy dostają kary nie za spektakularne włamania, tylko za proste braki proceduralne — brak obowiązku informacyjnego, niedopasowane umowy z podmiotami przetwarzającymi, nieistniejące polityki retencji. To nie jest akademicka dyskusja: te błędy kosztują pieniądze i reputację. W praktyce oznacza to, że mapowanie przetwarzania i udokumentowane procedury działają jako amortyzator ryzyka.
943 470 zł — tyle wyniosła kara nałożona za to, że administrator nie poinformował około 6 mln osób o przetwarzaniu ich danych.
Za co firmy najczęściej dostają kary
— brak obowiązku informacyjnego: nieprzekazanie klauzul informacyjnych osobom, których dane dotyczą;
— niedopasowane umowy z podmiotami przetwarzającymi (umowa powierzenia brak lub niezgodna z RODO);
— brak polityki retencji i dowodów usunięcia danych po zakończeniu celu; — nieudokumentowane procedury reakcji na naruszenie (brak powiadomień w terminie 72 godzin).
— słaba identyfikacja ról: kto jest administratorem, kto podmiotem przetwarzającym, czy wyznaczono Inspektora ochrony danych (IOD) tam, gdzie to potrzebne.
Co to oznacza w praktyce
Mała firma w Warszawie, klient z mojej praktyki redakcyjnej, miała proste systemy: CRM, faktury, monitoring. Kiedy potencjalny partner zażądał pokazania zgodności RODO, właściciel otworzył check‑listę i pokazał uporządkowane umowy powierzenia, politykę retencji i dokumentację zgód — kontrakt został podpisany, postępowania administracyjnego uniknięto. To nie była magia, tylko rutyna: mapowanie przetwarzania + dowód, że dane są usuwane po 24 miesiącach.
W praktyce oznacza to przygotowanie trzech rzeczy: katalogu procesów przetwarzania (kto — jakie dane — dlaczego), wzorców umów powierzenia i polityki retencji z terminami, oraz procedury zgłaszania naruszeń.
Jak udokumentować zgodność i uniknąć kar
1. Mapowanie przetwarzania — opisz procesy, kategorie danych i podstawy prawne (np. zgoda, umowa, prawnie uzasadniony interes). Terminy: administrator danych, podmiot przetwarzający, podstawa prawna przetwarzania.
2. Umowy powierzenia — sprawdź, czy zawierają obowiązki techniczne i organizacyjne, warunki przekazywania poza EOG, mechanizmy audytu. 3. Polityka retencji — ustal okresy przechowywania, kryteria usunięcia i procedurę pseudonimizacji. Pojęcia: polityka retencji, pseudonimizacja, usunięcie danych.
4. Dokumentacja zgód i klauzul informacyjnych — obowiązek informacyjny nie znika, gdy dane pochodzą z rejestrów publicznych.
5. Procedury na wypadek naruszenia — kto powiadamia, jakie dane zbiera się na etapie reakcji, wzory powiadomień dla osób i organu nadzorczego.
Najczęstsze błędy praktyczne i jak ich unikać
— Zakładanie, że "zgoda w formularzu" rozwiązuje wszystko. Sam dokument to za mało; potrzebny jest dowód właściwego udzielenia i wycofania zgody.
— Przypisywanie odpowiedzialności bez formalnej umowy. Problem zaczyna się, gdy dostawca chowa się za twierdzeniem „nie przetwarzamy danych”, a kontrola wykazuje inaczej. — Brak ewidencji usunięć. Nawet jeżeli usuniesz dane technicznie, brak zapisu o tej operacji wygląda jak brak retencji.
W sporze dowodowym nagranie z kamery może zadecydować o wyniku, ale tylko jeśli zachowasz metadane i łańcuch przetwarzania. Przykład praktyczny opisałem przy okazji czy zdjęcia z monitoringu mogą być dowodem w sądzie.
W tekście używam kilku terminów, które znać: ocena skutków dla ochrony danych (DPIA) — analiza ryzyka przy wysokim prawdopodobieństwie naruszeń; naruszenie ochrony danych — incydent prowadzący do ujawnienia, utraty lub nieautoryzowanego dostępu; umowa powierzenia — dokument określający obowiązki podmiotu przetwarzającego.
Największe ryzyko pojawia się wtedy, gdy procedury istnieją tylko w głowie właściciela firmy albo jako nieaktualny dokument na firmowym dysku. Sam przepis to nie wszystko — liczysz się z ekonomiczną i reputacyjną konsekwencją.
Gdy zgłosić sprawę do prawnika: kiedy musisz przygotować politykę retencji obejmującą przekazywanie danych międzynarodowe, gdy umowa z podmiotem przetwarzającym jest niejasna, albo gdy planujesz profilowanie klientów na podstawie big data.
Albo wdrożysz minimum procedur teraz, albo licz się z karą i utratą zaufania.
Te artykuły mogą Cię zainteresować
Zdjęcia z monitoringu mogą być dowodem w sądzie — praktyczne wskazówki dotyczące warunków, które nadają nagraniom wartość dowodową.
Prawo autorskie w Polsce - dlaczego jest nagminnie łamane na stronach internetowych — jak dokumentacja i szybka reakcja wpływają na skuteczność roszczeń.