Wezwanie z UODO - termin, odpowiedź i kara za brak współpracy

Masz przed sobą wezwanie z UODO? Zanim przeczytasz resztę, zapisz dwie daty: dzień, w którym list do Ciebie dotarł, i termin, który wyznaczył urząd. Od nich zależy, ile masz czasu.

Samo wezwanie nie jest karą. Urząd pyta, bo chce ocenić sprawę, a osobną karę może nałożyć już za to, że na wezwanie nie odpowiesz. Prezes Urzędu Ochrony Danych Osobowych (UODO) nałożył 18 941 zł na restauratora, który przez ponad 3 lata nie udzielił mu żadnych wyjaśnień. Z tego wpisu dowiesz się, skąd biorą się takie wezwania, jak liczyć termin, jak urząd wylicza karę za brak współpracy i jak napisać odpowiedź.

Dlaczego dostałeś wezwanie z UODO?

Urząd nie rozsyła wezwań na chybił trafił. Zwykle stoi za nimi jedna z trzech spraw.

Skarga do UODO od klienta albo pracownika

Każdy, czyje dane przetwarzasz, może złożyć skargę do Prezesa UODO, jeśli uważa, że robisz to niezgodnie z RODO (art. 77 RODO). Co do zasady za skargę nie płaci, bo urząd działa na rzecz osoby, której dane dotyczą, bezpłatnie (art. 57 ust. 3 RODO).

Wezwanie po skardze nie znaczy, że urząd przyznał skarżącemu rację. Pyta właśnie po to, żeby sprawę ocenić. Skarga może dotyczyć np. wniosku o kopię danych, na który firma nie odpowiedziała. Takie terminy opisujemy we wpisie Art. 15 RODO w sklepie: wniosek klienta o kopię danych, termin i kary.

Twoje zgłoszenie naruszenia ochrony danych

Jeśli sam zgłosiłeś urzędowi naruszenie (art. 33 RODO), na przykład zgubiony laptop z danymi klientów, urząd może dopytać o to, co podałeś w zgłoszeniu: co się stało, kogo dotyczy i co zrobiłeś, żeby ograniczyć skutki. Kiedy zgłoszenie jest obowiązkowe, gdy dane wyciekną u dostawcy, piszemy we wpisie Wyciek danych medycznych - kary, odszkodowania i zgłoszenie do UODO przy wycieku u dostawcy.

Kontrola UODO

Kontrolę prowadzi Prezes UODO według planu kontroli, na podstawie informacji, które do niego dotarły, albo w ramach monitorowania, jak firmy stosują RODO (art. 78 ustawy o ochronie danych osobowych). W jej trakcie kontrolujący może zażądać od Ciebie wyjaśnień na piśmie albo ustnie (art. 84 ust. 1 pkt 4 tej ustawy).

Przykład, jakie dowody pokazać przy kontroli w sprawie haseł, znajdziesz we wpisie Polityka haseł w firmie: podstawa prawna, zasady z Biuletynu UODO i dowody na kontrolę.

Ile masz czasu na odpowiedź na wezwanie z UODO?

Tyle, ile wpisano w wezwaniu. RODO nie wyznacza jednego terminu dla wszystkich spraw. Restaurator dostał w pierwszym wezwaniu 7 dni od doręczenia.

Postępowanie przed Prezesem UODO toczy się według Kodeksu postępowania administracyjnego, jeśli ustawa o ochronie danych osobowych nie mówi inaczej (art. 7 ust. 1 tej ustawy). Według kodeksu termin liczysz od dnia po doręczeniu (art. 57 § 1 Kodeksu postępowania administracyjnego). Gdy ostatni dzień wypada w sobotę albo w dzień wolny od pracy, termin mija następnego dnia, który nie jest ani sobotą, ani dniem wolnym (art. 57 § 4).

Termin dotrzymasz, jeśli przed jego upływem nadasz odpowiedź w polskiej placówce pocztowej operatora wyznaczonego (dziś jest nim Poczta Polska) albo wyślesz ją na adres do doręczeń elektronicznych urzędu (usługa e-Doręczenia, elektroniczny odpowiednik listu poleconego) i dostaniesz dowód otrzymania (art. 57 § 5 tego kodeksu). Potwierdzenie nadania zachowaj.

Nieodebrany list z UODO też się liczy

Nieodebrany list nie chroni Cię przed terminem. Poczta przechowuje go przez 14 dni, a ostatniego dnia tego okresu uznaje się go za doręczony, choć nikt go nie otworzył (art. 44 § 4 Kodeksu postępowania administracyjnego). Od następnego dnia biegnie termin z wezwania. Tak urząd potraktował trzy kolejne pisma do restauratora.

Art. 31 RODO: współpraca z urzędem to obowiązek

Art. 31 RODO każe współpracować z urzędem na jego żądanie dwóm stronom. Pierwsza to administrator, czyli firma, która decyduje, po co i jak przetwarza dane. Druga to podmiot przetwarzający, czyli firma, która robi to na jej zlecenie, na przykład biuro rachunkowe.

Art. 58 ust. 1 lit. a i e RODO daje urzędowi prawo żądać wszelkich informacji i dostępu do danych potrzebnych do sprawy.

Nie zdążysz? Napisz przed upływem terminu, co Cię zatrzymuje i kiedy odpowiesz. W decyzji o restauratorze urząd wprost odnotował, że nie poinformował on o żadnych przeszkodach.

Kara UODO za brak odpowiedzi - 18 941 zł dla restauratora

Sprawę opisuje decyzja Prezesa UODO z 23 czerwca 2025 r. (DKE.561.1.2025), a w zaokrągleniu do 18 tys. zł wspomina ją też Biuletyn UODO 7-8/2025. Zaczęło się od skargi osoby zatrudnionej przez restauratora. Urząd zapytał go o przetwarzanie jej odcisków palców i o informacje, które jej przekazał.

Pierwsze wezwanie z grudnia 2021 r. przedsiębiorca odebrał osobiście, ale nie odpowiedział. Nie zareagował też na dwa kolejne wezwania z 2024 r., w których urząd uprzedzał o karze, ani na zawiadomienie o wszczęciu postępowania w sprawie kary ze stycznia 2025 r.

Karę nałożono za samo nieudzielenie informacji, a nie za odciski palców. Czy przetwarzał je zgodnie z prawem, urząd nawet nie ocenił, bo nie dostał żadnych wyjaśnień. Za niedostarczenie informacji z art. 58 ust. 1 RODO grozi do 20 mln euro, a w przypadku firmy do 4% jej rocznego światowego obrotu z poprzedniego roku, jeśli ta kwota jest wyższa (art. 83 ust. 5 lit. e RODO).

Jak urząd wyliczył karę

Przy wszczęciu postępowania urząd poprosił o zeznanie PIT za 2023 r. i wynik finansowy za 2024 r. Gdy ich nie dostał, oszacował możliwości przedsiębiorcy sam (art. 101a ust. 2 ustawy o ochronie danych osobowych): na podstawie wpisu w Centralnej Ewidencji i Informacji o Działalności Gospodarczej, statusu czynnego podatnika VAT i informacji z internetu, że lokal jest otwarty 7 dni w tygodniu i organizuje przyjęcia okolicznościowe.

Wyszło 4 500 euro, czyli 0,02% maksymalnej kary. Kary z RODO są wyrażone w euro, a na złote przelicza się je po średnim kursie NBP z 28 stycznia danego roku (art. 103 tej ustawy). Przy kursie 4,2092 zł dało to 18 941 zł. W portalu orzeczeń UODO decyzja ma status nieprawomocnej (stan na 8 października 2026 r.).

Czy po wszczęciu postępowania o karę da się jej jeszcze uniknąć?

W wielu sprawach tak. Zastępca Prezesa UODO Jakub Groszkowski, mówiąc w Biuletynie UODO nr 3/2023 (maj 2023) o pismach urzędu, które zostają bez odpowiedzi, podał, że w 2022 r. urząd wszczął 34 postępowania w sprawie kary. W 22 z nich samo wszczęcie skłoniło podmioty, których dotyczyły, do współpracy, a urząd odstąpił od kary i poprzestał na upomnieniu.

Restaurator też miał tę szansę. W zawiadomieniu o wszczęciu postępowania urząd pouczył go, że złożenie wyjaśnień nadal może złagodzić karę albo doprowadzić do odstąpienia od niej. Nie skorzystał.

Współpraca liczy się w każdej sprawie, nie tylko przy milczeniu. Stopień współpracy z urzędem to jedna z okoliczności, które Prezes UODO bierze pod uwagę, decydując o karze i jej wysokości (art. 83 ust. 2 lit. f RODO).

O co urząd pyta w wezwaniu i jakie dokumenty przygotować?

Pytania dotyczą konkretnej sprawy. Restauratora urząd pytał, czy, od kiedy, na jakiej podstawie prawnej i w jakim celu przetwarza dane, i prosił o kopię informacji przekazanej osobie. Żeby odpowiedzieć na takie pytania, zwykle sięgasz po te same dokumenty:

Rejestr naruszeń musisz prowadzić dla naruszeń, które się zdarzyły. Jeśli nie było żadnego, pusty rejestr to dobra praktyka, a nie obowiązek.

Dokument przygotowany dopiero po wezwaniu nie pokaże, jak było w firmie wtedy, gdy wydarzyła się sprawa, o którą pyta urząd. Dlatego lepiej mieć komplet, zanim przyjdzie pierwsze pismo.

Kiedy zbierać podpisy pracowników, żeby upoważnienia miały właściwe daty, opisujemy we wpisie Upoważnienie do przetwarzania danych osobowych: co podpisać i kiedy.

Jeśli coś uzupełniasz już po wezwaniu, nie wpisuj na dokumencie wcześniejszej daty. Napisz wprost, że powstał po wezwaniu, i pokaż, co już poprawiłeś, bo decydując o karze i jej wysokości, urząd bierze pod uwagę, jak współpracujesz przy usuwaniu nieprawidłowości (art. 83 ust. 2 lit. f RODO).

Jak napisać odpowiedź na wezwanie z UODO?

Pełnomocnictwo dajesz na piśmie, a pełnomocnik dołącza do akt oryginał albo urzędowo poświadczony odpis (art. 32 i 33 Kodeksu postępowania administracyjnego). Zwykle płacisz od niego 17 zł opłaty skarbowej.

Jeśli masz inspektora ochrony danych, współpraca z urzędem i kontakt z nim należą do jego zadań (art. 39 ust. 1 lit. d i e RODO). Pomoże zebrać fakty i dokumenty, ale odpowiedź podpisuje firma albo jej pełnomocnik. Gdy sprawa zmierza do kary, pełnomocnikiem lepiej zrobić kogoś innego niż inspektora: inspektor ma współpracować z urzędem, a pełnomocnik broni stanowiska firmy.

Czego nie pisać w odpowiedzi

• Ogólnika „przetwarzamy dane zgodnie z RODO”. Urząd pyta o fakty, a takie zdanie nie odpowiada na żadne z jego pytań.
• Samej oceny, że skarga jest bezpodstawna. Napisz, dlaczego tak uważasz, i pokaż to dokumentami.
• Danych osób, których sprawa nie dotyczy. Wysyłasz to, o co urząd prosi, a nie całą bazę klientów „na wszelki wypadek” (zasada minimalizacji danych, art. 5 ust. 1 lit. c RODO).

Najczęstsze pytania o wezwanie z UODO

Co zrobić dziś z wezwaniem z UODO?

Zapisz termin, ustal, kto podpisze, i sprawdź, które dokumenty z listy wyżej masz, a których brakuje. Jeśli nie zdążysz z całością, wyślij w terminie to, co już wiesz, i napisz, kiedy uzupełnisz resztę.

Brakujące dokumenty przygotujemy w ramach usługi Dokumentacja RODO, a stałym kontaktem z urzędem może się zająć Inspektor Ochrony Danych. Napisz albo zadzwoń, jeśli chcesz to omówić.