Jakie kary pieniężne nałożono na polskie firmy w ciągu 6 lat od wprowadzenia RODO? Lista kar RODO w Polsce

W Polsce, od momentu wejścia w życie przepisów RODO, nałożono na polskie firmy 74 kary na łączną kwotę ponad 3,5 miliona euro. Jak dokładnie wygląda rejestr kar RODO w naszym kraju po sześciu latach od wprowadzenia przepisów? Zobaczcie w naszym zestawieniu.

25 maja minęło 6 lata od wprowadzenia ogólnego rozporządzenia UE o ochronie danych (RODO). Lista kar pieniężnych w związku z RODO, w Polsce i w całej Unii Europejskiej, jest naprawdę spora. Od tego czasu opublikowano łącznie we wszystkich krajach ponad 2,2 tys. decyzji wydanych przez organy administracyjne właściwe danemu państwu. Suma tych kar wynosi około 4,48 mld euro, a do tej pory największą grzywnę w wysokości 1,2 mld euro nałożono na Meta Platforms Ireland Limited. Przyjrzyjmy się jak rejestr kar RODO wygląda w Polsce.

Jak przebiega procedura nakładania kar RODO?

Kary za nieprzestrzeganie, złamanie lub naruszenie przepisów RODO nakładane są w Polsce przez UODO (Urząd Ochrony Danych Osobowych) w drodze decyzji administracyjnej. Każda ze spraw rozpatrywana jest indywidualnie, z uwzględnieniem okoliczności popełnionego czynu.

Kontrole, które prowadzą do nałożenia kar finansowych lub środków naprawczych, są zwykle realizowane zgodnie z rocznymi planami kontroli lub poza nimi. Często jednak są inicjowane w wyniku toczącego się ogólnego postępowania administracyjnego, które rozpoczyna się na skutek skargi złożonej przez osobę fizyczną lub zgłoszenia naruszenia.

Procedura zazwyczaj zaczyna się od formalnego zawiadomienia odpowiedniego podmiotu o wszczęciu postępowania w jego sprawie. W trakcie postępowania UODO kontaktuje się z administratorem lub procesorem w celu uzyskania niezbędnych informacji.

Podmiot podlegający kontroli ma możliwość przedstawienia swojego stanowiska dotyczącego stanu faktycznego i prawnego sprawy przed wydaniem przez UODO ostatecznej decyzji. Tylko część spraw kończy się nałożeniem kar finansowych, a UODO coraz częściej stosuje środki naprawcze w formie upomnienia.

Od każdej decyzji UODO można się odwołać do sądu administracyjnego. Należy tylko pamiętać, że od momentu uprawomocnienia się orzeczenia, obowiązuje 14-dniowy termin spłaty. Organizacja może również złożyć wniosek o odroczenie płatności bądź rozłożenie jej na raty.

Przeczytaj również: Dokumentacja wymagana przez RODO. Czy masz wszystkie obowiązkowe dokumenty?

Jakie są kary za nieprzestrzeganie RODO i od czego są zależne?

Przepisy RODO przewidują dwie kategorie kar finansowych, które zależne są od rodzaju przewinienia. UODO może nałożyć karę w wysokości:

• • do 10 lub 20 mln euro,
  • do 2 lub 4% całkowitego rocznego obrotu firmy z poprzedniego roku.

Prezes UODO może również zdecydować, iż kara nie będzie miała charakteru finansowego.

Wysokość kary zależna jest od takich czynników jak:

• • charakter i waga czynu,
  • czas trwania naruszenia,
  • liczba poszkodowanych osób i rozmiar poniesionej przez nich szkody,
  • kategorie danych osobowych, których dotyczyło naruszenie przepisów RODO,
  • rodzaj działań podjętych w celu zminimalizowania szkody,
  • stopień odpowiedzialności administratora danych lub podmiotu przetwarzającego dane (z uwzględnieniem wdrożonych przez nich środków technicznych i organizacyjnych),
  • stopień współpracy z organem nadzorczym,
  • sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, a w szczególności czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosił naruszenie.

Pełna treść rozporządzenia RODO znajduje się pod tym odnośnikiem.

Tendencje do nakładania kar polskiego organu nadzorczego UODO

W Polsce sankcje za naruszenie RODO dotyczą szerokiego zakresu sektorów, obejmując w szczególności branże finansową, ubezpieczeniową, telekomunikacyjną oraz podmioty sektora publicznego. Można zauważyć tendencję nakładania przez UODO kar finansowych za niewystarczające środki techniczne i organizacyjne chroniące dane oraz za niedopełnienie obowiązku zgłaszania naruszeń danych.

Na przykład, w kwietniu 2024 roku prezes UODO ogłosił nałożenie znaczącej kary na jednej z największych polskich banków – Santander, w wysokości 1 440 000 zł (około 334 884 000 euro) za niezgłoszenie incydentu. Przedsiębiorcy powinni więc nie tylko stale analizować swoje zabezpieczenia, ale również procedury dotyczące zgłaszania naruszeń danych osobowych.

Dodatkowo, UODO coraz częściej nakłada sankcje za brak współpracy z organem. Dlatego też firmy nie powinny ignorować żadnej korespondencji od UODO.

Kary RODO w Polsce – zestawienie

Poniższa tabela to zestawienie wszystkich kar i grzywien (wraz z decyzjami) nałożonych przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ogólnego rozporządzenia o ochronie danych (RODO).

Lista prezentuje stan na 25 maja 2024 roku.

Źródło danych: https://www.enforcementtracker.com/

Najwyższa i najniższa kara z tytułu naruszenia RODO w Polsce

Po upływie sześciu lat od wprowadzenia RODO na polskie firmy nałożono 74 kary na łączną kwotę 3 567 509 euro. Średnia kara w naszym kraju wynosi 52 246 euro.

Do tej pory najwyższą karę (w 2022 roku) w wysokości 4 911 732 zł (około 1 114 741 euro) nałożono na Fortum Marketing and Sales Polska S.A. – spółkę zajmująca się sprzedażą energii elektrycznej i paliwa gazowego. Grzywna ta przebiła głośną karę 660 000 euro zastosowaną wobec Morele.net w pierwszym roku obowiązywania RODO.

Spółka Fortum Marketing and Sales Polska została ukarana za niezastosowanie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych oraz za brak weryfikacji podmiotu przetwarzającego. Jak czytamy w raporcie GDPR Enforcement Tracker Report 2024 tło wydarzenia prezentowało się następująco:

„Naruszenie danych dotyczyło kopiowania bazy danych klientów przez nieuprawnione osoby trzecie. Do naruszenia danych doszło, gdy podmiot przetwarzający, PIKA, wprowadzał zmiany w środowisku teleinformatycznym [podmiot ten również został ukarany grzywną w wysokości 250 000 zł – wyjaśnienie nasze]. Ponieważ serwer, na którym wdrożono bazę danych, nie posiadał odpowiedniej konfiguracji zapewniającej bezpieczeństwo danych przesyłanych z nowego serwera do innych komponentów teleinformatycznych, osoby nieuprawnione skopiowały bazę danych klientów Fortum. Administrator dowiedział się o zdarzeniu nie od procesora, a od dwóch niezależnych internautów, którzy powiadomili go o posiadaniu nieuprawnionego dostępu do bazy danych.

UODO stwierdził, że Fortum nie przeprowadzało audytów, w tym inspekcji, mających na celu sprawdzenie, czy PIKA prawidłowo wywiązała się z obowiązków wynikających z RODO. Przetwarzający działał niezgodnie z ogólnie uznanymi normami ISO, a jednocześnie działał niezgodnie z postanowieniami własnej „Polityki Bezpieczeństwa”, która odwołuje się do tych standardów.

Dodatkowo UODO stwierdził, że zastosowane przez Fortum środki techniczne i organizacyjne jedynie w bardzo ograniczonym zakresie spełniają wymogi określone w art. 32 RODO. Fortum nie narzucało własnej umowy z podmiotem przetwarzającym, nie stosowało własnej praktyki wprowadzania zmian w środowisku IT w oparciu o wewnętrzne regulacje oraz nie przeprowadzało audytu podmiotu przetwarzającego w zakresie jego działań, w celu usprawnienia funkcjonowania usługi.”

Z kolei dwie najniższe przyznane grzywny to kara w wysokości 210 euro nałożona w 2024 roku na Stowarzyszenie „Maraton” z siedzibą w Gorlicach oraz 321 euro nałożona w 2023 roku na Wspólnotę Mieszkaniową (UODO nie podaje dokładnie jaka to wspólnota).

Warto zaznaczyć, że środki z kar administracyjnych stanowią dochód budżetu państwa, a nie Urzędu Ochrony Danych Osobowych.

Podsumowanie – kary z tytułu RODO dotyczą wszystkich

Prezes UODO nakłada kary niezależne od wielkości, branży czy specyfiki danej organizacji. Jeśli jakiś podmiot przetwarza dane osobowe, to nie ma żadnego znaczenia czy działa on w zakresie administracji publicznej, jest jednoosobową działalnością czy też zalicza się do firm zatrudniających po kilka tysięcy osób. Dlatego, aby uniknąć kar finansowych, każde przedsiębiorstwo powinno stosować się do obowiązujących przepisów. Tym bardziej, że wysokości kar bywają naprawdę spore, a pojedyncza może wynosić nawet 20 milionów euro…

Szukasz rozwiązań dla swojej organizacji w zakresie RODO i ochrony danych osobowych? Napisz do nas na [email protected] lub sprawdź, jak możemy Cię wesprzeć.

A może chcesz wzmocnić kompetencje pracowników w tym obszarze? Przygotujemy szkolenie dopasowane do potrzeb Twojej firmy. Przykładowe szkolenia znajdziesz w tym miejscu.