Kara za naruszenie RODO w małej firmie, wspólnocie i urzędzie: za co, ile i jak jej uniknąć

Prowadzisz małą firmę, gabinet albo zarządzasz wspólnotą i myślisz, że Urząd Ochrony Danych Osobowych (UODO) interesuje się tylko bankami i wielkimi sieciami? W Biuletynie UODO nr 7-8/2025 prezes urzędu wymienia kary: blisko 17 mln zł dla sieci restauracji i ponad 18 mln zł dla banku. W tym samym wyliczeniu są przedsiębiorca z gastronomii (18 tys. zł) i przychodnia (32 tys. zł).

Kara za naruszenie RODO spada więc także na mniejszych. Rozbieram tu 4 takie sprawy: kto dostał karę, jaki przepis złamał i który dokument albo procedura mogły go przed tym ochronić.

Czy kary UODO dotyczą też małych firm?

Tak, bo przepisy nie mają progu wielkości. Art. 101 ustawy o ochronie danych osobowych pozwala ukarać podmiot, który musi przestrzegać RODO. Dla jednostek sektora finansów publicznych (np. urzędów, gmin, jednostek budżetowych) jest art. 102 z niższym limitem, ale kara też jest możliwa.

Urząd nie karze jednak na wyścigi. W 2025 r. Prezes UODO wydał ponad 2 tys. decyzji, a wśród nich 20 decyzji z 32 karami. Sam urząd liczy to jako nieco ponad 1,5% spraw zakończonych decyzją.

Sprawy opisane niżej w jednym miejscu:

Kto i ile	Złamany obowiązek
Wspólnota mieszkaniowa, 5 tys. zł	Zgłoszenie naruszenia (art. 33 RODO)
Przychodnia, 32 tys. zł	Analiza ryzyka i zabezpieczenia (art. 24, 25, 32 RODO)
Powiatowy inspektor nadzoru budowlanego, 25 tys. zł	Wyznaczenie inspektora (art. 37 RODO)
Dwie instytucje miejskie z Kutna, 15 i 20 tys. zł	Zabezpieczenia i sprawdzenie dostawcy (art. 24, 25, 28, 32 RODO)
Spółka zmieniająca im program kadrowo-płacowy, ponad 24 tys. zł	Zabezpieczenia (art. 28, 32 RODO)

Są też inne przykłady z sektora prywatnego. Biuletyn UODO nr 11/2024 wymienia wspólników spółki cywilnej (9,8 tys. zł). O przedsiębiorcy z gastronomii, który nie odpowiadał na wezwania urzędu, piszemy we wpisie Wezwanie z UODO - termin, odpowiedź i kara za brak współpracy.

Wspólnota mieszkaniowa i RODO: 5 tys. zł za niezgłoszone naruszenie

Zawiadomienie o rozliczeniu opłat trafiło do osoby nieuprawnionej. Było w nim imię i nazwisko członka wspólnoty, adres, numer lokalu, kwoty, odczyty liczników i numer rachunku. Błędne udostępnienie miało związek z pracą spółki administrującej nieruchomością, ale administratorem danych była wspólnota, czyli to ona decydowała o celach i sposobach przetwarzania.

Kara nie była za samo pismo, tylko za to, że wspólnota nie zgłosiła naruszenia do urzędu. Art. 33 ust. 1 RODO każe zrobić to bez zbędnej zwłoki, w miarę możliwości najpóźniej w 72 godziny od stwierdzenia naruszenia. Wyjątek: gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osoby, której dane dotyczą.

Wspólnota tłumaczyła, że to „dane zwykłe” i tylko jeden jej członek. Biuletyn UODO nr 4/2026 odpowiada: liczy się poziom ryzyka dla tej osoby, a incydentu nie trzeba zgłaszać tylko wtedy, gdy można wykluczyć naruszenie jej praw i wolności.

Według decyzji DKN.5131.16.2025 to kara w wysokości 4 852 zł, a biuletyn zaokrągla ją do 5 tys. zł. Pomogło to, że wspólnota przetwarza dane lokalnie, na małą skalę i niezarobkowo. Na upomnieniu się jednak nie skończyło: naruszenie trwało blisko 3 lata, a brak jakichkolwiek działań do dnia decyzji podniósł kwotę o 10%.

Jak liczyć te godziny i czego nie pisać w formularzu, wyjaśniamy we wpisie Zgłoszenie naruszenia do UODO po wycieku u dostawcy: od kiedy liczyć 72 godziny.

Analiza ryzyka RODO w przychodni: 32 tys. zł po kradzieży auta lekarza

Lekarz jeździł na wizyty domowe prywatnym samochodem. Auto skradziono, a w środku była niezabezpieczona dokumentacja ośmiorga pacjentów: nazwiska, adresy, numery PESEL i dane o zdrowiu. Placówka sama zgłosiła to do UODO, a urząd sprawdził wtedy jej procedury.

Karę nałożono za niekompletną analizę ryzyka, a nie za samą utratę danych. Tak pisze sam urząd. Decyzja DKN.5131.17.2022 wskazuje art. 24 ust. 1, art. 25 ust. 1 i art. 32 ust. 1 i 2 RODO, a w konsekwencji zasady poufności i rozliczalności z art. 5. To kara w wysokości 32 832 zł, biuletyn podaje 32 tys. zł.

Administrator bezpieczeństwa informacji tej placówki już w 2017 r. ostrzegał przed przewożeniem niezabezpieczonych dokumentów i radził odwozić je do placówki tego samego dnia. Zalecenie nie stało się procedurą, a konkretne zasady transportu dopisano dopiero po kradzieży.

Prezes UODO podaje w biuletynie przykład zabezpieczenia: teczka na dokumentację z szyfrowanym zamkiem. Co jeszcze, poza karą, grozi placówce po wycieku, znajdziesz we wpisie Wyciek danych medycznych - kary, odszkodowania i zgłoszenie do UODO przy wycieku u dostawcy.

Brak inspektora ochrony danych w powiatowym urzędzie: kara 25 tys. zł

Sprawa zaczęła się od wiadomości osoby prywatnej, że Powiatowy Inspektor Nadzoru Budowlanego w Częstochowie nie ma inspektora ochrony danych (IOD). Inspektorat twierdził, że ma. Przedstawił akta dwóch osób: zaświadczenie ze szkolenia, upoważnienie, zarządzenie o polityce bezpieczeństwa i zakres czynności wykonywanych na podstawie ustnego polecenia.

Dla UODO to nie było skuteczne wyznaczenie inspektora. Akt albo umowa muszą bez wątpliwości wskazywać konkretną osobę i jej obowiązki, a forma pisemna jest ważna jako dowód. Skutek to naruszenie art. 37 ust. 1 lit. a i ust. 7 RODO i kara UODO: 25 tys. zł.

Kogo obowiązek IOD dotyczy na pewno?

Jednostek sektora finansów publicznych, instytutów badawczych i NBP, bez względu na ich wielkość. Po wyznaczeniu masz 14 dni na zawiadomienie Prezesa UODO i musisz opublikować dane kontaktowe inspektora (art. 9 i 10 ustawy o ochronie danych osobowych, art. 37 ust. 7 RODO).

Prywatna mała firma zwykle tego obowiązku nie ma. Powstaje on wtedy, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób albo przetwarzaniu szczególnych kategorii danych lub danych o wyrokach i naruszeniach prawa, w obu przypadkach na dużą skalę. Granice rozbieramy we wpisie Art. 37 RODO i obowiązek powołania IOD: szkoła, gabinet, spółka komunalna. Jeśli inspektor jest Ci potrzebny, tę funkcję może przejąć Inspektor Ochrony Danych z Kancelarii KZ.

Nieszyfrowany pendrive: dwie kary dla instytucji z Kutna i trzecia dla ich dostawcy

Miejski ośrodek pomocy społecznej i miejski ośrodek sportu i rekreacji w Kutnie zmieniały program kadrowo-płacowy. Dane zgrano na pendrive bez szyfrowania. Nośnika nie wyczyszczono po pracy, choć przewidywała to procedura spółki robiącej przeniesienie, a jej pracownik zgubił go w innym mieście.

Znalazca dał ogłoszenie w lokalnych mediach, a gdy to nie pomogło, otworzył pendrive'a i skontaktował się z instytucjami. Dopiero tak dowiedziały się o sprawie i zgłosiły ją do UODO. Na nośniku były dane około 1500 osób, m.in. numery PESEL, numery rachunków i dane o zarobkach.

Jeden nośnik, trzy kary: 15 i 20 tys. zł dla instytucji oraz ponad 24 tys. zł dla spółki. Dostawca dostał wyższą karę niż każda z instytucji. Jeśli obsługujesz cudze dane jako firma zewnętrzna, kara może więc przyjść wprost do Ciebie.

Instytucje odpowiedziały za art. 24, 25 i 32 RODO, a także art. 28, bo nie sprawdziły, czy dostawca daje wystarczające gwarancje (decyzja DKN.5131.35.2021). Procedury miały wszystkie trzy podmioty, ale dla samej zmiany systemu w tych instytucjach nie było analizy ryzyka. Urząd ustalił, że z taką analizą do naruszenia by nie doszło.

Od czego zależy wysokość kary RODO w małej firmie?

Kara za naruszenie RODO ma górne limity, które brzmią groźnie: do 10 mln euro albo, u przedsiębiorcy, 2% rocznego światowego obrotu, jeśli to więcej (obowiązki administratora), i do 20 mln euro albo 4% (podstawowe zasady). Tak stanowi art. 83 ust. 4 i 5 RODO. Jednostki sektora finansów publicznych objęte art. 102 ustawy o ochronie danych osobowych mają limit 100 tys. zł, a państwowe i samorządowe instytucje kultury 10 tys. zł.

W sprawach wspólnoty i przychodni od limitów z RODO jest daleko: kara wspólnoty to 0,01155% możliwego maksimum, a przychodni 0,039%. Jednostki publiczne są bliżej limitu 100 tys. zł: inspektorat dostał 25% limitu, a instytucje z Kutna 15% i 20%.

Dla podmiotów spoza art. 102 sposób liczenia urząd opisuje w decyzjach, opierając się na wytycznych 04/2022 Europejskiej Rady Ochrony Danych:

Mały obrót obniża kwotę, ale kary nie kasuje. Spółce obsługującej instytucje z Kutna urząd przyjął 0,4% kwoty wyjściowej (czyli kwoty ustalonej za samą powagę naruszenia, przed korektą do obrotu), a i tak wyszło ponad 24 tys. zł. Znaczenie ma też to, jak zachowasz się po incydencie i czy współpracujesz z urzędem.

Dane o obrocie musisz przekazać w 30 dni od żądania. Jeśli tego nie zrobisz, Prezes UODO ustali podstawę szacunkowo (art. 101a ustawy o ochronie danych osobowych).

Które dokumenty i procedury chroniłyby przed tymi karami?

Sam segregator nie wystarczy. Przychodnia miała audyty, instytucje z Kutna procedury, a powiatowy inspektor akta i zakres czynności. Sprawdź więc nie to, czy dokument istnieje, tylko czy działa w tej konkretnej sytuacji:

Jeśli czegoś z tej listy brakuje, przygotujemy to w ramach usługi Dokumentacja RODO.

Najczęstsze pytania o karę za naruszenie RODO

Pamiętaj: w żadnej z tych spraw kara za naruszenie RODO nie spadła za sam pech. Powodem był obowiązek, który nie zadziałał. Przejdź listę wyżej i odhacz, co u Ciebie działa, a jeśli masz wątpliwość, napisz albo zadzwoń.