Jakie kary grożą za brak zgodności z RODO?

„20 milionów euro” to liczba, która pojawia się w każdym artykule o RODO i często budzi więcej strachu niż zrozumienia. Prawda jest mniej dramatyczna, ale też mniej beztroska, niż mogłoby się wydawać. Wyjaśniamy, jak naprawdę działa system kar, jakie inne konsekwencje mogą Cię spotkać i co realnie wpływa na ryzyko dla Twojej firmy.

Maksymalne stawki kar

RODO przewiduje dwa progi administracyjnych kar pieniężnych. Zgodnie z art. 83 ust. 4 za naruszenia mniejszej wagi, na przykład dotyczące obowiązków administratora, wyznaczenia IOD czy bezpieczeństwa przetwarzania, kara może wynieść do 10 mln euro albo do 2% rocznego światowego obrotu. Zgodnie z art. 83 ust. 5 za poważniejsze naruszenia, takie jak złamanie podstawowych zasad przetwarzania, brak podstawy prawnej czy naruszenie praw osób, kara może sięgać 20 mln euro albo 4% obrotu. W obu przypadkach stosuje się wyższą z dwóch wartości.

W praktyce większość kar nakładanych na polskie firmy jest znacznie niższa niż te maksymalne progi. Nie zmienia to faktu, że nawet kilkadziesiąt tysięcy złotych potrafi być bolesnym ciosem dla małej czy średniej firmy.

Kara pieniężna to nie jedyna możliwość

Wiele osób zakłada, że skoro nie dostaną milionowej kary, to nie mają się czego obawiać. Tymczasem art. 58 ust. 2 RODO daje UODO cały katalog środków naprawczych, które mogą być stosowane zamiast kary albo razem z nią:

• ostrzeżenie, gdy planowane przetwarzanie może naruszać przepisy,
• upomnienie, gdy do naruszenia już doszło,
• nakaz dostosowania operacji przetwarzania do przepisów w określony sposób i terminie,
• nakaz spełnienia żądania osoby, której dane dotyczą,
• nakaz zawiadomienia osób o naruszeniu ochrony ich danych,
• czasowe lub ostateczne ograniczenie, a nawet zakaz przetwarzania.

Zakaz przetwarzania danych może być dla firmy znacznie poważniejszy niż kara, bo w skrajnym przypadku zatrzymuje działalność, która na tych danych się opiera. Publikowanie decyzji UODO bywa też problemem wizerunkowym, szczególnie w branżach opartych na zaufaniu.

Jak jest z podmiotami publicznymi

Polskie przepisy wprowadzają odrębne, niższe limity kar dla części podmiotów publicznych. Zgodnie z ustawą o ochronie danych osobowych kara dla jednostek sektora finansów publicznych może wynieść do 100 tys. zł, a dla instytucji kultury do 10 tys. zł. To nie znaczy, że podmioty publiczne mogą czuć się bezpiecznie, bo środki naprawcze z art. 58 stosuje się wobec nich w pełnym zakresie. Nie zwalnia ich to również z innych form odpowiedzialności.

Co realnie wpływa na wysokość kary

Wysokość kary nie jest ustalana automatycznie. Art. 83 ust. 2 RODO wymienia czynniki, które organ musi uwzględnić w każdej sprawie. Najważniejsze z nich to:

• charakter, waga i czas trwania naruszenia,
• czy naruszenie było umyślne, czy wynikało z zaniedbania,
• liczba poszkodowanych osób i skala wyrządzonej szkody,
• kategorie danych, których naruszenie dotyczy (dane o zdrowiu traktowane są surowiej niż dane kontaktowe),
• działania podjęte w celu zminimalizowania szkody po wykryciu naruszenia,
• wcześniejsze naruszenia tego samego administratora,
• stopień współpracy z organem nadzorczym podczas postępowania,
• sposób, w jaki organ dowiedział się o naruszeniu, w tym czy administrator sam je zgłosił.

Za co najczęściej grożą konsekwencje

• brak odpowiedniej podstawy prawnej przetwarzania danych,
• niewystarczające zabezpieczenia techniczne i organizacyjne, które prowadzą do wycieku,
• niezgłoszenie naruszenia ochrony danych do UODO w ciągu 72 godzin od jego stwierdzenia, gdy zgłoszenie było wymagane,
• brak umowy powierzenia przetwarzania z podmiotem zewnętrznym, na przykład dostawcą systemu czy biurem rachunkowym,
• niedopełnienie obowiązku informacyjnego wobec osób, których dane dotyczą,
• ignorowanie żądań osób, na przykład o dostęp do danych czy ich usunięcie,
• brak współpracy z UODO podczas postępowania,
• niewyznaczenie IOD, gdy jest to obowiązkowe.

Skąd UODO dowiaduje się o naruszeniach

Postępowanie nie zaczyna się od losowej kontroli. Najczęściej inicjuje je skarga osoby, której dane dotyczą (art. 77 RODO), zgłoszenie naruszenia ochrony danych przez samego administratora, informacja z mediów albo wynik kontroli sektorowej, które UODO prowadzi w wybranych branżach. Dlatego sam fakt, że firma jest mała lub mało znana, nie chroni jej przed postępowaniem. Wystarczy jeden niezadowolony klient albo były pracownik.

Roszczenia osób poszkodowanych

Kary administracyjne to tylko jedna ścieżka. Art. 82 RODO daje każdej osobie, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia, prawo do odszkodowania od administratora lub podmiotu przetwarzającego. Takie roszczenie można dochodzić przed sądem niezależnie od postępowania przed UODO. W praktyce oznacza to, że po wycieku danych firma może mierzyć się jednocześnie z postępowaniem urzędowym i z pozwami klientów.

Kto jest szczególnie narażony na kontrolę

UODO nie kontroluje losowo. W praktyce priorytetowo traktowane są podmioty przetwarzające dane wrażliwe na dużą skalę, takie jak placówki medyczne, instytucje finansowe czy firmy z rozbudowanym monitoringiem wizyjnym, a także te, wobec których wpłynęła skarga lub zgłoszenie naruszenia.

Jak realnie ograniczyć ryzyko

Najskuteczniejszym sposobem nie jest liczenie na to, że kontrola ominie akurat Twoją firmę, tylko rzetelne wdrożenie wymaganej dokumentacji i procedur, zanim będzie to konieczne w trybie awaryjnym. W praktyce oznacza to kilka konkretnych kroków:

• uporządkuj rejestr czynności przetwarzania, tak aby odzwierciedlał faktyczne procesy,
• sprawdź podstawy prawne i klauzule informacyjne dla każdego procesu,
• zawrzyj lub zaktualizuj umowy powierzenia z dostawcami,
• przeszkol pracowników i nadaj upoważnienia do przetwarzania danych,
• wprowadź prostą, znaną zespołowi procedurę reagowania na naruszenia, wraz z rejestrem incydentów,
• zadbaj o podstawowe zabezpieczenia: aktualizacje, kopie zapasowe, kontrolę dostępu, szyfrowanie nośników,
• rozważ stałe wsparcie inspektora, który będzie pilnował tych spraw na bieżąco.

Jeśli nie wiesz, w jakim punkcie jest Twoja firma, najlepiej zacząć od audytu. Raport pokaże konkretne braki i kolejność ich naprawiania, dzięki czemu nie musisz zgadywać, od czego zacząć.

Czy za pierwsze naruszenie od razu grozi kara pieniężna?

Niekoniecznie. UODO ma do dyspozycji także ostrzeżenie, upomnienie czy nakaz dostosowania przetwarzania do przepisów, i wybiera środek odpowiednio do sytuacji. Im lepiej firma jest przygotowana i im sprawniej reaguje, tym większa szansa na łagodniejsze rozstrzygnięcie.

Czy kara może dotknąć małą firmę?

Tak. Przepisy dotyczą każdego administratora danych, niezależnie od wielkości. Organ ma uwzględniać proporcjonalność, ale to nie znaczy, że małe firmy są wyłączone spod odpowiedzialności.

W jakim terminie trzeba zgłosić wyciek danych?

Zgodnie z art. 33 RODO zgłoszenie do UODO należy złożyć bez zbędnej zwłoki, jeśli to możliwe w ciągu 72 godzin od stwierdzenia naruszenia, o ile naruszenie może skutkować ryzykiem dla praw lub wolności osób. Gdy ryzyko jest niskie, zgłoszenie nie jest wymagane, ale naruszenie i tak trzeba udokumentować w wewnętrznym rejestrze.