RODO w firmie w 2026 roku – najczęstsze błędy

RODO w firmie w praktyce wciąż generuje problemy — nawet siedem lat po wejściu rozporządzenia w życie. Urząd Ochrony Danych Osobowych rokrocznie nakłada kary, których można by uniknąć, gdyby przedsiębiorcy rozumieli kilka podstawowych zasad. W 2026 roku lista najczęstszych uchybień nie zmieniła się dramatycznie, ale kontekst już tak: coraz więcej firm przetwarza dane w chmurze, korzysta z zewnętrznych systemów AI i zatrudnia pracowników zdalnych — a każdy z tych obszarów tworzy nowe punkty ryzyka. Poniżej opisujemy błędy, które faktycznie kończą się postępowaniami i finansowymi sankcjami.

Brak aktualnej dokumentacji RODO i przetwarzania danych

Dokumentacja jest pierwszą rzeczą, którą kontrolerzy UODO weryfikują podczas inspekcji. Zaskakująco wielu przedsiębiorców traktuje ją jako jednorazowy projekt — robi się ją raz, odkłada do szuflady i zapomina. Tymczasem rejestr czynności przetwarzania (RCP) powinien odzwierciedlać aktualny stan operacji firmy, a nie sytuację sprzed czterech lat.

Rejestr czynności przetwarzania — co musi zawierać w 2026 roku

Rejestr czynności przetwarzania prowadzi administrator danych i musi on obejmować wszystkie operacje, w których firma uczestniczy jako administrator lub podmiot przetwarzający. Typowe błędy to brakujące wpisy dotyczące nowych systemów wdrożonych po pierwotnym audycie, błędnie przypisane podstawy prawne przetwarzania albo nieaktualne okresy retencji danych.

Szczególny problem w 2026 roku stanowią wpisy dotyczące przetwarzania z użyciem narzędzi AI. Jeśli firma korzysta z asystentów opartych na dużych modelach językowych do obsługi klientów, a w konwersacjach pojawiają się dane osobowe — takie przetwarzanie powinno znaleźć odzwierciedlenie w RCP. Wiele firm tego nie odnotowuje, zakładając, że kwestię reguluje dostawca oprogramowania.

Umowy powierzenia przetwarzania — gdzie najczęściej brakuje podpisów

Umowy powierzenia przetwarzania danych (UPP) to drugi obszar o wysokim wskaźniku uchybień. Firma, która wysyła dane klientów do biura rachunkowego, agencji marketingowej, dostawcy systemu CRM albo zewnętrznego call center, musi mieć podpisaną UPP z każdym z tych podmiotów.

Problemy, które najczęściej identyfikujemy przy przeglądach dokumentacji:

• Brak UPP z dostawcą oprogramowania chmurowego, mimo że system przetwarza dane klientów firmy
• Nieaktualne umowy, które nie uwzględniają zmian w zakresie usług lub nowych kategorii danych
• Umowy podpisane z podmiotem zależnym, ale nie z podmiotem dominującym, który faktycznie przetwarza dane
• Brak klauzul dotyczących podprzetwarzania — dostawca korzysta z podwykonawców, a firma o tym nie wie
• UPP podpisane tylko w jedną stronę albo bez wskazania konkretnych celów i środków przetwarzania

Samo istnienie umowy nie wystarczy — jej treść musi odpowiadać wymogom art. 28 RODO. Zdarzają się przypadki, gdzie przedsiębiorca pokazuje kontrolerom „umowę”, która jest w istocie ogólnymi warunkami świadczenia usług z jednym akapitem o ochronie danych.

Nieprawidłowe klauzule informacyjne i zgody na przetwarzanie

Obowiązek informacyjny z art. 13 i 14 RODO sprawia firmom trudności głównie dlatego, że jest traktowany jako formalność, a nie jako rzeczywiste narzędzie transparentności. Klauzule kopiuje się z internetu, wkleja do stopki formularza i zapomina. Efekt: treści są albo niepełne, albo niezrozumiałe dla przeciętnego odbiorcy, albo — co zdarza się częściej niż można sądzić — w ogóle nie docierają do osoby, której dane dotyczą.

Konkretne uchybienia obejmują brak wskazania okresu przechowywania danych (lub podanie ogólnikowego „tak długo, jak to konieczne”), pominięcie informacji o prawach przysługujących osobie, brak danych kontaktowych Inspektora Ochrony Danych tam, gdzie został powołany, oraz nieudzielanie klauzuli przy pozyskiwaniu danych pośrednio — np. od agencji rekrutacyjnych czy przy zakupie baz B2B.

Zgody jako podstawa przetwarzania — kiedy są wymagane i jak je zbierać

Zgoda jest jedną z sześciu podstaw przetwarzania danych, ale firmy często stosują ją bezrefleksyjnie jako domyślne wyjście — nawet tam, gdzie istnieje lepsza, pewniejsza podstawa prawna, jak uzasadniony interes administratora albo wykonanie umowy. To błąd, bo zgoda rodzi dodatkowe obowiązki: musi być dobrowolna, konkretna, świadoma i jednoznaczna, a osoba musi mieć realną możliwość jej wycofania.

Problematyczne praktyki obserwowane w 2026 roku to wciąż popularne checkboxy domyślnie zaznaczone, łączenie zgody na przetwarzanie danych z akceptacją regulaminu, brak mechanizmu umożliwiającego wycofanie zgody równie łatwo jak jej wyrażenie oraz zbieranie jednej zbiorczej zgody na kilka niezależnych celów przetwarzania.

Naruszenia bezpieczeństwa danych i obowiązki zgłoszeniowe

Ochrona prawna danych nie sprowadza się do papierów — wymaga realnych środków technicznych i organizacyjnych. Firmy, które doświadczają naruszeń bezpieczeństwa, często popełniają dwa błędy naraz: nie mają wdrożonej procedury reagowania i nie wiedzą, kiedy zgłoszenie do UODO jest obowiązkowe.

Art. 33 RODO nakłada na administratora obowiązek zgłoszenia naruszenia do organu nadzorczego w ciągu 72 godzin od jego stwierdzenia — o ile naruszenie może powodować ryzyko dla praw i wolności osób. To krótki termin, szczególnie że 72 godziny biegną od momentu „stwierdzenia”, nie od momentu faktycznego wystąpienia incydentu.

Typowy scenariusz: pracownik gubi służbowy laptop z niezaszyfrowanym dyskiem. Firma dowiaduje się o zdarzeniu po kilku dniach, bo pracownik zwlekał z poinformowaniem przełożonego. Do tego czasu termin na zgłoszenie może być już przekroczony. Gdyby firma miała wdrożoną wewnętrzną procedurę obsługi incydentów, moment „stwierdzenia” można by precyzyjnie ustalić i dochować terminu.

Inne częste uchybienie to zaniżanie oceny ryzyka po naruszeniu. Wyciek adresów e-mail może wydawać się błahy, ale jeśli e-maile były powiązane z danymi zdrowotnymi, np. w przychodni, ryzyko dla osób jest wysokie i wymaga nie tylko zgłoszenia do UODO, ale również powiadomienia osób, których dane dotyczą.

Błędy przy zatrudnianiu pracowników i przetwarzaniu danych kadrowych

Pracodawca przetwarza szczególnie wrażliwe kategorie danych: numer PESEL, dane o stanie zdrowia, informacje o wynagrodzeniu, dane biometryczne przy kontroli dostępu. Każda z tych kategorii rodzi obowiązki wykraczające poza standardowe RODO.

Monitoring pracowników — granice dopuszczalnego przetwarzania

Monitoring miejsca pracy to obszar, w którym przekroczenia są notorycznie częste. Pracodawca ma prawo stosować monitoring wizyjny i monitorować pocztę służbową, ale tylko po spełnieniu konkretnych warunków: poinformowaniu pracowników z co najmniej dwutygodniowym wyprzedzeniem, ograniczeniu zakresu monitoringu do tego, co niezbędne, i określeniu maksymalnego okresu przechowywania nagrań (nie dłużej niż 3 miesiące, chyba że materiał jest dowodem w postępowaniu).

Naruszenia dotyczą głównie monitorowania toalet i pomieszczeń socjalnych (bezwzględnie zakazane), stosowania ukrytego monitoringu bez podstawy prawnej, przechowywania nagrań przez rok i dłużej oraz monitorowania aktywności na służbowych komputerach bez poinformowania pracowników o zasadach takiego nadzoru.

Dane wrażliwe pracowników — szczegółowe wymagania

Przetwarzanie danych biometrycznych do kontroli dostępu (odcisk palca, skan twarzy) stanowi przetwarzanie szczególnych kategorii danych z art. 9 RODO. Pracodawca potrzebuje wyraźnej, dobrowolnej zgody pracownika — a „dobrowolna” oznacza, że pracownik może odmówić bez negatywnych konsekwencji dla zatrudnienia. W praktyce wiele firm instaluje systemy biometryczne i zakłada, że samo podpisanie dokumentu przez pracownika wystarcza. Nie wystarcza, jeśli odmowa skutkuje brakiem dostępu do miejsca pracy.

Dane o nieobecnościach z powodu choroby przetwarzane przez dział HR to kolejne źródło problemów. Sama informacja o długości nieobecności nie jest daną wrażliwą, ale już diagnoza czy rodzaj schorzenia — tak. Zbieranie szczegółowych danych medycznych „na wszelki wypadek” to naruszenie zasady minimalizacji danych.

Przekazywanie danych osobowych poza Europejski Obszar Gospodarczy

W 2026 roku wiele firm przetwarza dane w systemach chmurowych, których serwery fizycznie lub prawnie podlegają jurysdykcji państw spoza EOG — przede wszystkim Stanów Zjednoczonych. Transfer danych do państw trzecich wymaga zastosowania odpowiedniego mechanizmu prawnego.

Standardowe Klauzule Umowne (SCC) zaktualizowane przez Komisję Europejską w 2021 roku pozostają najczęściej stosowanym instrumentem, ale ich podpisanie to nie koniec obowiązków. Administrator musi przeprowadzić ocenę Transfer Impact Assessment (TIA) — sprawdzić, czy prawo kraju odbiorcy nie podważa skuteczności klauzul. Wiele polskich firm tego nie robi, poprzestając na zaznaczeniu checkboxa w panelu dostawcy SaaS.

Praktyczne kroki, które należy podjąć przy każdym transferze poza EOG:

• Ustalić, gdzie fizycznie i prawnie przetwarzane są dane — sam fakt, że interfejs aplikacji jest po polsku, nic nie przesądza
• Zidentyfikować mechanizm transferu: SCC, decyzja adekwatności, wiążące reguły korporacyjne lub derogacja z art. 49 RODO
• Przeprowadzić TIA i udokumentować wyniki — sam wynik „ryzyko akceptowalne” musi mieć uzasadnienie
• Zaktualizować rejestr czynności przetwarzania o informację o transferze
• Upewnić się, że klauzula informacyjna wobec osób, których dane dotyczą, wspomina o transferze

Zaniedbania w tym obszarze generują jedne z wyższych kar nakładanych przez UODO i europejskie organy nadzorcze — sprawy dotyczące nielegalnych transferów do USA zakończone sankcjami rzędu kilkudziesięciu milionów euro budują orzecznictwo, do którego polskie organy się odwołują.

Budowanie rzetelnej kultury ochrony danych osobowych w firmie wymaga regularnych przeglądów dokumentacji, testowania procedur incydentowych i szkolenia pracowników — nie jako jednorazowej akcji, ale jako powtarzalnego procesu. Firmy, które traktują RODO jako projekt do „odhaczenia”, regularnie trafiają na wokandę UODO. Те, które rozumieją je jako ciągły obowiązek operacyjny, rzadko mają problem z wykazaniem zgodności podczas kontroli.

Redakcja

Zespół redakcyjny portalu ForumPoland.pl, odpowiedzialny za tworzenie i opracowywanie treści o charakterze informacyjnym, poradnikowym oraz publicystycznym. Autor zbiorowy skupiający twórców i współpracowników serwisu, którzy przygotowują artykuły o aktualnych tematach społecznych, gospodarczych i codziennych zagadnieniach.