Kary RODO: wysokość, kryteria z art. 83 i czego uczą decyzje Prezesa UODO

Zarząd pyta osobę odpowiedzialną za zgodność, ile firma realnie zapłaci, jeśli wyciek z ubiegłego tygodnia skończy się postępowaniem przed Prezesem UODO. Odpowiedź „do 20 milionów euro” nikogo nie uspokaja i niewiele mówi, bo to górna granica, a nie stawka. Kwotę w konkretnej sprawie organ wylicza według metodyki, którą da się prześledzić w uzasadnieniach decyzji.

Kary RODO zależą od kategorii naruszenia, jego powagi, wielkości firmy oraz jej zachowania przed incydentem i po nim. Na dwa z tych czynników firma ma wpływ zawczasu: na poziom zabezpieczeń, czyli codzienną pracę zespołu odpowiedzialnego za cyberbezpieczeństwo, i na sposób reagowania na naruszenie. Trzy decyzje Prezesa UODO z lat 2024–2026 pokazują, jak te czynniki przekładają się na konkretne kwoty.

Jak wysokie mogą być kary RODO?

Kary RODO sięgają 10 000 000 EUR albo 2% całkowitego rocznego światowego obrotu przedsiębiorstwa za naruszenia z art. 83 ust. 4 RODO oraz 20 000 000 EUR albo 4% obrotu za naruszenia z art. 83 ust. 5 i 6, przy czym stosuje się kwotę wyższą. Obrót liczy się z poprzedniego roku obrotowego.

Granicę liczoną od obrotu Prezes UODO nazywa „dynamiczną maksymalną kwotą kary”. W decyzji DKN.5131.4.2025 z 2 stycznia 2026 r. przekroczyła ona statyczne 10 000 000 EUR, więc to ona wyznaczyła pułap. Kwoty w euro przelicza się na złote po średnim kursie NBP z 28 stycznia każdego roku (art. 103 ustawy o ochronie danych osobowych).

Stan prawny na 23 września 2026 r.: art. 83 RODO obowiązuje w brzmieniu z 2016 r., a art. 101–103 i 105 ustawy o ochronie danych osobowych w brzmieniu tekstu jednolitego z 2019 r., którego nowelizacje z 2026 r. nie zmieniły. Ogólne zestawienie skutków naruszenia RODO, w tym odszkodowań i odpowiedzialności karnej, zawiera nasz przewodnik po RODO.

Za jakie naruszenia grozi niższy, a za jakie wyższy pułap kary?

Niższy pułap dotyczy obowiązków organizacyjnych i technicznych, wyższy — podstawowych zasad, praw osób i transferów danych. Art. 83 ust. 4 lit. a obejmuje obowiązki administratora i podmiotu przetwarzającego z art. 8, 11, 25–39, 42 i 43: między innymi ochronę danych w fazie projektowania, umowy powierzenia, rejestr czynności przetwarzania, bezpieczeństwo przetwarzania, zgłaszanie naruszeń i pozycję inspektora ochrony danych.

Art. 83 ust. 5 obejmuje zasady przetwarzania i warunki zgody (art. 5, 6, 7 i 9), prawa osób, których dane dotyczą (art. 12–22), przekazywanie danych do państw trzecich (art. 44–49) oraz nieprzestrzeganie nakazów organu. Ust. 6 powtarza wyższą granicę dla niewykonania nakazu z art. 58 ust. 2.

Granica między kategoriami bywa cieńsza, niż sugeruje lista. W decyzji DKN.5131.5.2025 Prezes UODO zakwalifikował brak zabezpieczeń z art. 25, 28 i 32 do art. 83 ust. 4, ale ich skutek, naruszenie zasady poufności i rozliczalności z art. 5, do art. 83 ust. 5. Gdy kilka przepisów naruszono w ramach tych samych lub powiązanych operacji, łączna kara nie przekracza kary za najpoważniejsze naruszenie (art. 83 ust. 3).

Ile może zapłacić urząd albo inna jednostka publiczna?

Jednostka sektora finansów publicznych zapłaci najwyżej 100 000 zł albo 10 000 zł, zależnie od rodzaju jednostki. Art. 83 ust. 7 RODO pozwala państwom członkowskim zdecydować, czy i w jakim zakresie karać organy i podmioty publiczne. Polska zrobiła to w art. 102 ustawy o ochronie danych osobowych.

Do 100 000 zł Prezes UODO może nałożyć na jednostki sektora finansów publicznych z art. 9 pkt 1–12 i 14 ustawy o finansach publicznych, instytut badawczy i Narodowy Bank Polski. Do 10 000 zł — na jednostki z art. 9 pkt 13 tej ustawy. Obie kary nakłada się na podstawie i na warunkach art. 83 RODO, więc metodyka wyliczenia jest ta sama, zmienia się tylko pułap.

Pozostałe podmioty, w tym firmy prywatne, karze się na zasadach ogólnych (art. 101 ustawy). Art. 101a dodaje obowiązek, o którym łatwo zapomnieć w toku postępowania: na żądanie Prezesa UODO trzeba w 30 dni dostarczyć dane potrzebne do ustalenia podstawy wymiaru kary. Jeśli firma ich nie dostarczy, organ ustala podstawę szacunkowo, uwzględniając wielkość podmiotu, specyfikę działalności i ogólnie dostępne dane finansowe.

Od czego zależy wysokość kary według art. 83 ust. 2?

Wysokość kary zależy od jedenastu okoliczności wymienionych w art. 83 ust. 2 lit. a–k RODO, które organ ocenia w każdej sprawie osobno. Są wśród nich charakter, waga i czas trwania naruszenia, umyślność, działania minimalizujące szkodę, środki z art. 25 i 32, wcześniejsze naruszenia, współpraca z organem, kategorie danych i sposób, w jaki organ dowiedział się o naruszeniu.

W uzasadnieniach decyzji Prezes UODO dzieli te okoliczności na dwie grupy. Na „powagę” naruszenia składają się lit. a, b i g, czyli strona przedmiotowa: co się stało, czy celowo i jakich danych dotyczyło. Pozostałe okoliczności dotyczą sprawcy i jego zachowania przed naruszeniem, w trakcie i po nim, i działają jako obciążające albo łagodzące.

Nad wszystkim stoi art. 83 ust. 1: kara ma być w każdym indywidualnym przypadku skuteczna, proporcjonalna i odstraszająca. Ten wymóg wraca na końcu wyliczenia jako osobny test.

Jak organ liczy karę krok po kroku według wytycznych EROD 04/2022?

Organ liczy karę w pięciu krokach opisanych w wytycznych EROD 04/2022 w sprawie obliczania administracyjnych kar pieniężnych, przyjętych po konsultacjach 24 maja 2023 r. (wersja 2.1). Kroki są następujące:

1. Ustalenie operacji przetwarzania i ocena, czy zastosować art. 83 ust. 3 (kilka naruszeń w powiązanych operacjach).
2. Wyznaczenie kwoty wyjściowej: kategoria naruszenia, powaga w okolicznościach sprawy i obrót przedsiębiorstwa.
3. Uwzględnienie okoliczności obciążających i łagodzących.
4. Sprawdzenie pułapów z art. 83 ust. 4–6.
5. Ocena, czy kwota jest skuteczna, proporcjonalna i odstraszająca, z ewentualną korektą w granicach pułapu.

Kluczowy jest krok drugi. Przy niskim poziomie powagi kwota wyjściowa mieści się między 0 a 10% pułapu kary pieniężnej, przy średnim między 10 a 20%, przy wysokim między 20 a 100%. Dla mniejszych przedsiębiorstw wytyczne pozwalają tę kwotę obniżyć: przy wielkości obrotu do 2 mln euro do 0,2–0,4% wyliczonej kwoty, przy obrocie od 2 do 10 mln euro do 0,3–2%, a od 10 do 50 mln euro do 1,5–10%.

EROD zastrzega, że wyliczenie kary „nie jest zwykłym ćwiczeniem matematycznym”, a o kwocie przesądzają okoliczności sprawy.

Najważniejsze:

• Pułap kary to 2% albo 4% obrotu (albo 10 lub 20 mln euro), a dla jednostek z art. 102 ustawy 100 000 zł albo 10 000 zł.
• Kwota wyjściowa zależy od powagi naruszenia: 0–10%, 10–20% albo 20–100% pułapu kary pieniężnej.
• Okoliczności łagodzące działają procentowo: w decyzji DKN.5131.5.2025 obniżyły kwotę kary pieniężnej o 30%.

Jak wygląda wyliczenie kary w prawdziwej decyzji Prezesa UODO?

Wyliczenie widać krok po kroku w decyzji DKN.5131.5.2025 z 25 maja 2026 r., w której na starostę nałożono karę 21 000 zł. Postępowanie zaczęło się od zgłoszenia naruszenia: w styczniu 2023 r. z bagażnika samochodu skradziono służbowy laptop pracownika podmiotu przetwarzającego, który obsługiwał dane dla starostwa. Dysk laptopa nie był zaszyfrowany.

Stan na 23 września 2026 r.: decyzje DKN.5131.5.2025, DKN.5131.1.2024 i DKN.5131.4.2025 są w portalu orzeczeń UODO oznaczone jako nieprawomocne.

Prezes UODO stwierdził, że starosta nie wdrożył środków opartych na analizie ryzyka dla komputerów przenośnych, nie zapewnił regularnego testowania ich skuteczności i nie sprawdził, czy podmiot przetwarzający daje wystarczające gwarancje. Naruszenie oceniono jako wysokie co do powagi, więc kwota wyjściowa musiała mieścić się między 20 000 a 100 000 zł. Organ przyjął 30 000 zł, czyli 30% pułapu z art. 102 ust. 1.

Okoliczności obciążających organ nie znalazł. Jako łagodzącą uznał działania podjęte w celu podniesienia bezpieczeństwa przetwarzania i obniżył kwotę kary pieniężnej o 30%, do 21 000 zł. Test skuteczności, proporcjonalności i odstraszającego charakteru nie wymagał dalszej korekty. W tej samej decyzji podmiot przetwarzający dostał osobną karę pieniężną 12 500 zł, obniżoną o 50% za usunięcie stanu naruszenia, za naruszenie art. 32 ust. 1 i 2 w związku z art. 28 ust. 3 lit. c i f. Art. 32 ust. 1 lit. a RODO wymienia szyfrowanie jako przykład środka bezpieczeństwa, a w decyzji brak tej kontroli na urządzeniu przenośnym nie jest opisany jako pech, tylko jako skutek niewdrożenia środków opartych na analizie ryzyka.

Dlaczego duża firma płaci miliony nawet za naruszenie o niskiej powadze?

Duża firma płaci miliony, bo procent z kroku drugiego liczy się od pułapu kary pieniężnej wyznaczonego przez jej obrót, a nie od 10 lub 20 mln euro. W decyzji DKN.5131.1.2024 z 20 sierpnia 2024 r. bank dostał karę 4 053 173 zł za niezawiadomienie klientów o naruszeniu (art. 34 ust. 1 i 2 RODO). Pracownik podmiotu przetwarzającego wysłał dokumenty bankowe klientów do innego banku, a wśród danych były numery PESEL i serie dowodów osobistych.

Prezes UODO ocenił to naruszenie jako naruszenie o niskim poziomie powagi i przyjął kwotę wyjściową równą 2% dynamicznej maksymalnej kwoty kary pieniężnej. Organ nie obniżył tej kwoty, jak wytyczne pozwalają przy mniejszych firmach, bo przy wielkim podmiocie jego wielkość jest już odzwierciedlona w dynamicznej maksymalnej kwocie. Za obciążające uznał umyślność, bo bank podjął świadomą decyzję, by klientów nie zawiadamiać, a okoliczności łagodzących nie znalazł.

Podobny mechanizm działa w decyzji DKN.5131.4.2025 z 2 stycznia 2026 r. Spółka dostała karę 978 128 zł za to, że nie zapewniła niezależności inspektora ochrony danych i dopuściła do konfliktu interesów (art. 38 ust. 3 i 6). Organ ocenił powagę jako średnią i przyjął 10% pułapu kary pieniężnej jako kwotę wyjściową, a długi czas trwania naruszenia, ponad 6 lat od stosowania RODO, wpłynął na podwyższenie kary.

Czy kara pieniężna jest jedyną sankcją Prezesa UODO?

Kara pieniężna nie jest jedyną sankcją: Prezes UODO ma do dyspozycji uprawnienia naprawcze z art. 58 ust. 2 RODO, a karę nakłada oprócz nich albo zamiast nich. Organ może między innymi udzielić upomnienia, nakazać dostosowanie przetwarzania albo zawiadomienie osób o naruszeniu oraz ograniczyć lub zakazać przetwarzania.

Nakaz ma swoją cenę. Jego niewykonanie podlega wyższej granicy kary z art. 83 ust. 6, czyli do 20 000 000 EUR albo 4% obrotu, niezależnie od tego, czego dotyczyło pierwotne naruszenie. Firma, która dostała nakaz, powinna traktować termin jego wykonania jak termin płatności.

Gdzie trafiają pieniądze z kar i kiedy trzeba je zapłacić?

Pieniądze z kar trafiają do budżetu państwa, a od 3 kwietnia 2026 r. połowa wpływów z kar za naruszenie przepisów o bezpieczeństwie danych zasila Fundusz Cyberbezpieczeństwa. Taką zmianę art. 104 ustawy o ochronie danych osobowych wprowadziła nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252). Podział 50 na 50 dotyczy kar za naruszenie art. 5 ust. 1 lit. f, art. 25 ust. 1 i 2, art. 28 ust. 3 lit. c oraz art. 32 ust. 1 i 2 RODO.

Karę uiszcza się w terminie 14 dni od dnia upływu terminu na wniesienie skargi albo od dnia uprawomocnienia się orzeczenia sądu administracyjnego (art. 105 ust. 1 ustawy). Na wniosek ukaranego, ze względu na jego ważny interes, Prezes UODO może odroczyć termin albo rozłożyć karę na raty, z odsetkami od nieuiszczonej kwoty.

Które okoliczności z art. 83 ust. 2 firma może przygotować przed naruszeniem?

Firma może przygotować zawczasu przede wszystkim te okoliczności, które dotyczą jej zachowania: zabezpieczenia, reakcję na incydent, współpracę z organem i dane finansowe. Powagi naruszenia po fakcie zmienić się nie da, ale okoliczności łagodzące i brak obciążających zależą od decyzji podjętych wcześniej. Poniższa tabela łączy kryteria z art. 83 ust. 2 z tym, co organ sprawdzał w omawianych decyzjach.

Okoliczność	Co ocenia organ	Co przygotować zawczasu	Dowód w postępowaniu
Stopień odpowiedzialności, środki z art. 25 i 32 (lit. d)	czy zabezpieczenia wynikały z analizy ryzyka i były testowane	analiza ryzyka dla urządzeń przenośnych i dostawców, szyfrowanie dysków, plan testów	wyniki testów, raport z konfiguracji urządzeń
Minimalizacja szkody (lit. c)	co zrobiono dla osób, których dane dotyczą	procedura reagowania: blokada zdalna, zmiana haseł, informacja dla osób	dziennik działań z godzinami
Sposób, w jaki organ dowiedział się o naruszeniu (lit. h)	czy i kiedy naruszenie zgłoszono	procedura oceny naruszenia w 72 godziny (art. 33)	wpis w wewnętrznym rejestrze naruszeń, kopia zgłoszenia
Umyślność (lit. b)	czy zaniechanie było świadomą decyzją	udokumentowana ocena ryzyka przy decyzji o niezawiadomieniu osób (art. 34)	notatka z oceną, autorem i datą
Współpraca z organem (lit. f)	terminowość i kompletność odpowiedzi	jedna osoba kontaktowa, uporządkowana dokumentacja	korespondencja z datami
Inne okoliczności (lit. k)	działania naprawcze po incydencie	plan naprawczy z właścicielami i terminami	protokół wdrożenia zmian
Dane do wyliczenia kary (art. 101a ustawy)	podstawa wymiaru kary	sprawozdanie finansowe gotowe do przekazania	przekazanie danych w 30 dni

Wiersz o umyślności wynika wprost ze sprawy banku: decyzja o niezawiadomieniu klientów była świadoma, więc taka decyzja wymaga udokumentowanej oceny ryzyka, a nie intuicji jednej osoby.

Jak nFlo może pomóc ograniczyć ryzyko kary RODO?

nFlo pomaga przygotować okoliczności, które organ ocenia w postępowaniu, w ramach usługi Kompleksowy Przegląd i Doradztwo RODO/GDPR z obszaru „Ład, ryzyko i zgodność”. Usługa obejmuje inwentaryzację przetwarzania danych, przegląd umów powierzenia, ocenę środków technicznych, raport z analizy luk, priorytetyzowany plan naprawczy oraz szablony dokumentacji, w tym procedur postępowania z naruszeniami.

Najwięcej daje połączenie oceny środków technicznych z procedurą reagowania, bo w dwóch z trzech opisanych decyzji o karze przesądziły zabezpieczenia i reakcja na naruszenie. nFlo nie świadczy pomocy prawnej i nie reprezentuje firm w postępowaniu przed Prezesem UODO ani przed sądem. Jeśli chcesz sprawdzić, jak Twoja organizacja wypadłaby w takim postępowaniu, skontaktuj się z nami. Definicję samego rozporządzenia znajdziesz w haśle RODO w słowniku.

Co jeszcze warto wiedzieć o karach RODO?

Czy kara RODO może przekroczyć 20 mln euro?

Tak, przedsiębiorstwu: do 4% rocznego światowego obrotu, jeśli ta kwota przekracza 20 000 000 EUR (art. 83 ust. 5 RODO).

Czy za brak rejestru czynności przetwarzania grozi kara?

Tak. Art. 30 RODO mieści się w art. 83 ust. 4 lit. a: kara do 10 000 000 EUR albo do 2% obrotu.

Ile wynosi maksymalna kara RODO dla urzędu?

To zależy od rodzaju jednostki: do 100 000 zł dla jednostek sektora finansów publicznych z art. 9 pkt 1–12 i 14 ustawy o finansach publicznych, instytutów badawczych i NBP oraz do 10 000 zł dla jednostek z art. 9 pkt 13 (art. 102 ustawy o ochronie danych osobowych).

Kiedy trzeba zapłacić karę nałożoną przez Prezesa UODO?

W terminie 14 dni od upływu terminu na wniesienie skargi albo od uprawomocnienia się orzeczenia sądu administracyjnego (art. 105 ust. 1 ustawy). Prezes UODO może na wniosek odroczyć termin albo rozłożyć karę na raty.

Skąd wiadomo, jak Prezes UODO wyliczył karę?

Z uzasadnienia decyzji opublikowanej w portalu orzeczeń UODO. W nowszych decyzjach organ opisuje kolejne kroki według wytycznych EROD 04/2022, od kategorii naruszenia po test skuteczności kary.