Kary za naruszenia RODO według jednej metody. EROD przyjęła nowe wytyczne

Decyzja o karze za naruszenie ochrony danych ma być odtąd oparta na jasno określonej sekwencji ocen, a nie wyłącznie na analizie samego uchybienia. Europejska Rada Ochrony Danych uporządkowała także relacje między RODO a aktem o usługach cyfrowych. Dla firm i instytucji oznacza to dokładniejsze sprawdzanie odpowiedzialności, winy oraz skutków naruszenia.

Pięć etapów przed nałożeniem administracyjnej kary

Podczas 123. posiedzenia plenarnego Europejska Rada Ochrony Danych przyjęła wytyczne dotyczące łączenia administracyjnych kar pieniężnych z innymi środkami naprawczymi przewidzianymi w RODO. Polskę reprezentowała Maria Owczarek, dyrektorka Departamentu Współpracy Międzynarodowej Urzędu Ochrony Danych Osobowych.

Nowa metodologia porządkuje sposób podejmowania decyzji przez krajowe organy ochrony danych. Zanim kara zostanie nałożona, organ powinien przejść przez pięć etapów:

1. Sprawdzić, czy dane naruszenie może być ukarane finansowo na podstawie RODO albo przepisów krajowych.
2. Ustalić, kto ponosi odpowiedzialność – administrator danych czy podmiot przetwarzający.
3. Ocenić, czy naruszenie było umyślne, czy nieumyślne. Wina jest warunkiem nałożenia administracyjnej kary pieniężnej.
4. Zbadać okoliczności obciążające i łagodzące. Przy drobnych naruszeniach możliwe jest poprzestanie na upomnieniu, natomiast przy poważniejszych uchybieniach istnieje silne domniemanie zasadności kary.
5. Ocenić, czy kara będzie skuteczna, proporcjonalna i odstraszająca. W uzasadnionych przypadkach organ może odstąpić od standardowego podejścia.

Taki schemat ma znaczenie także dla podmiotów, które otrzymają decyzję organu nadzorczego. Sama wysokość kary nie będzie jedynym elementem oceny. Znaczenie będą miały między innymi charakter naruszenia, stopień winy oraz to, czy zastosowanie sankcji rzeczywiście odpowiada okolicznościom sprawy.

„Nowe wytyczne EROD stanowią ważny krok w kierunku dalszego ujednolicenia sposobu, w jaki organy ochrony danych podejmują decyzje o nałożeniu administracyjnej kary pieniężnej”.

Tak oceniła dokument Jelena Virant Burnik, wiceprzewodnicząca EROD. Dodała, że wytyczne mają zapewnić większą jasność i spójne stosowanie RODO w całej Europie.

Upomnienie, zakaz i cofnięcie certyfikacji w jednym katalogu

Dokument opisuje nie tylko kary pieniężne. EROD wyjaśnia również zakres oraz wzajemne relacje innych środków, którymi dysponują krajowe organy ochrony danych. W katalogu znajdują się:

• ostrzeżenia,
• upomnienia,
• nakazy,
• ograniczenia przetwarzania, w tym zakazy,
• cofnięcie certyfikacji.

Wytyczne zawierają 14 przykładów pokazujących, jak organ może analizować konkretną sprawę i dobierać środek naprawczy. W niektórych przypadkach może się okazać, że właściwe będzie zastosowanie kilku instrumentów jednocześnie, a w innych – że wystarczy środek łagodniejszy niż kara finansowa.

Dokument nie jest jeszcze całkowicie zamknięty. Do 13 listopada 2026 roku trwają konsultacje publiczne. Zainteresowane podmioty mogą przekazywać uwagi, które zostaną uwzględnione przy dalszych pracach nad wytycznymi.

EROD porządkuje także relacje między DSA a RODO

Podczas tego samego posiedzenia przyjęto ostateczną wersję wytycznych dotyczących zależności między aktem o usługach cyfrowych a ogólnym rozporządzeniem o ochronie danych. Dokument został przygotowany po zakończeniu konsultacji publicznych.

Chodzi przede wszystkim o sytuacje, w których przepisy DSA odnoszą się do przetwarzania danych osobowych przez dostawców usług pośrednich oraz posługują się pojęciami zdefiniowanymi w RODO. Ujednolicenie interpretacji ma pomóc organom i przedsiębiorcom stosować oba akty prawne bez rozbieżności.

Nowe wytyczne dotyczące kar zastępują wcześniejsze zalecenia Grupy Roboczej Art. 29 w sprawie nakładania administracyjnych kar pieniężnych. Uzupełniają jednocześnie odrębne zasady odnoszące się do obliczania wysokości sankcji. Rozdzielenie tych dwóch kwestii oznacza, że osobno oceniana będzie zasadność nałożenia kary, a osobno jej kwota.

na podstawie: Urząd Ochrony Danych Osobowych.