RODO i GDPR to **dokładnie to samo** — RODO to polski skrót (Rozporządzenie o Ochronie Danych Osobowych), GDPR to angielska nazwa (General Data Protection Regulation). Pełna nazwa: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. Stosowane od **25 maja 2018**. Reguluje przetwarzanie danych osobowych obywateli UE bez względu na lokalizację administratora — firma z USA przetwarzająca dane Polaków musi stosować RODO. W polskim prawie RODO uzupełnia ustawa o ochronie danych osobowych z 10 maja 2018.

Dwa progi kar (artykuł 83 RODO): (1) do 10 mln EUR lub 2% rocznego światowego obrotu (większa wartość) — za uchybienia administracyjne (np. brak wpisu do rejestru, niewłaściwe powołanie IOD), (2) do 20 mln EUR lub 4% rocznego obrotu — za naruszenia podstawowych zasad i praw osób (zgoda, integralność danych, przekazywanie poza UE). Najwyższe kary RODO 2018-2025: Meta 1,2 mld EUR (2023, transfer do USA), Amazon 746 mln EUR (2021), Instagram 405 mln EUR (2022), TikTok 345 mln EUR (2023). W Polsce UODO nakłada zwykle 50-200 tys. PLN dla średnich firm; rekordowa kara 2,8 mln PLN dla mBanku (2022). Oprócz kar finansowych: nakaz wstrzymania przetwarzania, ban na transfer danych, roszczenia osób (do 6 lat).

7 zasad (Artykuł 5 RODO): (1) Zgodność z prawem, rzetelność, przejrzystość — jasna podstawa prawna, jasna komunikacja z osobą, (2) Ograniczenie celu — dane zbierane w określonym celu, nie przetwarzane do innych celów bez nowej podstawy, (3) Minimalizacja danych — tylko niezbędne dane, (4) Prawidłowość — dane aktualne i poprawne, (5) Ograniczenie przechowywania — przechowywane tylko tak długo, jak potrzebne, (6) Integralność i poufność — odpowiednie zabezpieczenia techniczne (szyfrowanie, pseudonimizacja, kontrola dostępu) i organizacyjne, (7) Rozliczalność — administrator musi być w stanie WYKAZAĆ zgodność (dokumentacja, rejestr czynności, polityki, DPIA).

8 praw (Rozdział III RODO): (1) prawo dostępu (art. 15) — żądanie kopii danych, (2) prawo do sprostowania (art. 16), (3) prawo do usunięcia / 'bycia zapomnianym' (art. 17), (4) prawo do ograniczenia przetwarzania (art. 18), (5) prawo do przenoszenia danych (art. 20) — w formacie umożliwiającym transfer, (6) prawo do sprzeciwu (art. 21) — szczególnie wobec marketingu, (7) prawo do niepodlegania automatycznym decyzjom / profilowaniu (art. 22), (8) prawo do wniesienia skargi do organu nadzorczego (UODO w PL). Administrator ma 1 miesiąc na odpowiedź (art. 12), z możliwością przedłużenia o 2 miesiące.

IOD (Inspektor Ochrony Danych) / DPO (Data Protection Officer) jest obowiązkowy gdy (Art. 37 RODO): (1) administrator jest organem publicznym, (2) główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę (banki, telekomy, wydawcy serwisów), (3) główna działalność obejmuje przetwarzanie szczególnych kategorii danych (medyczne, biometryczne, sądowe). Zadania IOD: doradztwo, monitoring zgodności, kontakt z UODO i osobami, wsparcie DPIA. IOD musi być niezależny — nie może być w konflikcie interesów (np. CIO może być IOD pod warunkami, ale dyrektor marketingu nie). Wynagrodzenie senior IOD w PL: 12-25 tys. PLN/mies.

Procedura RODO (Art. 33-34): (1) wykrycie i triaż — czy to faktyczne naruszenie? Czy obejmuje dane osobowe? (2) Klasyfikacja ryzyka — jakie ryzyko dla osób (kradzież tożsamości, szkoda finansowa, dyskryminacja)? (3) Zgłoszenie do UODO w **72 godzin** od wykrycia (jeśli ryzyko jest wyższe niż 'niskie'); jeśli nie zdążysz w 72h, dodaj uzasadnienie opóźnienia, (4) Powiadomienie osób BEZ ZBĘDNEJ ZWŁOKI — jeśli ryzyko jest 'wysokie' (kradzież dokumentów, ujawnienie haseł, dane medyczne); wyjątki: jeśli dane były szyfrowane lub firma już zminimalizowała ryzyko, (5) Dokumentacja — rejestr naruszeń (ZAWSZE wymagany, nawet gdy zgłoszenie do UODO niepotrzebne), (6) Działania naprawcze i ulepszenia. Niezgłoszenie wycieku w terminie = osobna kara.

Trzy największe regulacje ochrony danych: (1) **RODO/GDPR** (UE) — najszerszy zakres, applies do wszystkich firm przetwarzających dane Europejczyków, kary do 20 mln EUR / 4% obrotu, prawa osób bardzo silne (right to be forgotten, prawo dostępu), (2) **HIPAA** (USA) — tylko sektor zdrowia, dane medyczne (PHI), kary do 1,5 mln USD/rok per kategoria, węższe prawa pacjentów, (3) **CCPA/CPRA** (Kalifornia) — wszystkie firmy ale tylko mieszkańcy Kalifornii spełniający progi (25 mln USD revenue / 100k konsumentów), kary 2.5-7.5k USD per naruszenie + odszkodowania ($100-750/incydent). Dla firm globalnych — RODO ustanawia wzorzec; spełnienie RODO zazwyczaj zadowala większość innych regulacji. Brazylia LGPD i Indie DPDP są wzorowane na RODO.