Kara za naruszenie RODO – ile wynosi i kto ją nakłada?

Naruszenie przepisów dotyczących ochrony danych osobowych może mieć poważne konsekwencje zarówno dla przedsiębiorcy, jak i innego podmiotu odpowiedzialnego za przetwarzanie danych. Najwięcej uwagi przyciągają wysokie kary RODO, jednak administracyjna kara pieniężna jest tylko jednym z możliwych następstw nieprzestrzegania przepisów.

Jakie są kary za naruszenie RODO?

RODO przewiduje różne środki, które organ nadzorczy może zastosować w zależności od okoliczności konkretnej sprawy. Przy ustalaniu, jakie sankcje RODO będą odpowiednie, bierze się pod uwagę takie czynniki jak m.in.:

• charakter i waga naruszenia
• czas jego trwania
• liczba osób, których dotyczy
• rozmiar poniesionej szkody
• kategorie danych
• wcześniejsze naruszenia
• działania podjęte w celu ograniczenia negatywnych skutków.

Dlatego naruszenie RODO kara nie oznacza automatycznie nałożenia maksymalnej sankcji finansowej. RODO przewiduje przede wszystkim administracyjne kary pieniężne, ale organ nadzorczy dysponuje także innymi środkami naprawczymi. W zależności od sytuacji może m.in. udzielić upomnienia, nakazać dostosowanie operacji przetwarzania do przepisów, ograniczyć lub zakazać przetwarzania albo nakazać usunięcie danych.

Jeżeli zostanie nałożona grzywna RODO – precyzyjniej: administracyjna kara pieniężna – jej wysokość nie jest ustalana według jednego taryfikatora. Każdy przypadek powinien być oceniany indywidualnie W praktyce kara za naruszenie RODO może więc być bardzo różna w zależności od skali i charakteru nieprawidłowości.

Ile wynosi maksymalna kara za naruszenie RODO?

RODO przewiduje dwa podstawowe poziomy maksymalnych administracyjnych kar pieniężnych.

1. W przypadku określonych naruszeń obowiązków administratora i podmiotu przetwarzającego kara może wynosić do 10 mln euro, a w przypadku przedsiębiorstwa – do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
2. W przypadku poważniejszej kategorii naruszeń, dotyczących m.in. podstawowych zasad przetwarzania danych, warunków zgody czy praw osób, których dane dotyczą, maksymalna kara za naruszenie RODO może wynosić do 20 mln euro, a w przypadku przedsiębiorstwa – do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym również tutaj zastosowanie ma kwota wyższa.

Odpowiedź na pytanie naruszenie RODO ile wynosi kara zależy zatem od rodzaju naruszonego obowiązku i okoliczności sprawy. Wskazane kwoty stanowią maksymalne poziomy sankcji, a nie automatyczne kary nakładane za każde uchybienie. Właśnie dlatego kary finansowe RODO dla firm mogą różnić się o bardzo duże kwoty.

Kto może nałożyć karę za naruszenie RODO?

W Polsce organem nadzorczym właściwym w sprawach ochrony danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych. To Prezes UODO może prowadzić odpowiednie postępowanie administracyjne, ocenić stwierdzone nieprawidłowości i w drodze decyzji zastosować przewidziane prawem środki, w tym nałożyć administracyjną karę pieniężną.

UODO może uzyskać informacje o nieprawidłowościach na różne sposoby, m.in. w związku ze skargą osoby, zgłoszeniem naruszenia ochrony danych czy prowadzonymi czynnościami kontrolnymi. W toku sprawy może zostać przeprowadzona również kontrola UODO, a jej ustalenia mogą mieć znaczenie dla dalszego postępowania. 

Za co grozi kara z RODO?

Kara może zostać nałożona za naruszenie konkretnych obowiązków wynikających z przepisów o ochronie danych osobowych. Nie chodzi więc wyłącznie o spektakularny wyciek danych z systemu informatycznego. Podstawą odpowiedzialności może być przykładowo przetwarzanie danych bez odpowiedniej podstawy prawnej, naruszenie zasad dotyczących zgody, niewłaściwe zabezpieczenie danych, naruszenie praw osób, których dane dotyczą, niedopełnienie określonych obowiązków związanych z naruszeniem ochrony danych czy niezgodne z prawem przekazywanie danych do państw trzecich.

Odpowiedzialność może dotyczyć zarówno podmiotu występującego jako administrator danych osobowych, jak i – w zakresie obowiązków, które RODO nakłada bezpośrednio na taki podmiot – podmiot przetwarzający.

Czy osoba fizyczna może dostać karę za naruszenie RODO?

Tak, ale zależy to od tego, w jakim charakterze działa dana osoba i czy jej działania podlegają RODO. RODO nie stosuje się do przetwarzania danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. Jeżeli jednak osoba fizyczna prowadzi działalność gospodarczą lub zawodową i w jej ramach występuje jako administrator albo podmiot przetwarzający, może podlegać obowiązkom wynikającym z RODO.

Niezależnie od administracyjnej kary pieniężnej naruszenie przepisów dotyczących danych może powodować również inną odpowiedzialność prawna. Osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, może m. in. w określonych sytuacjach dochodzić odszkodowania. Odszkodowanie za naruszenie RODO należy jednak odróżnić od administracyjnej kary pieniężnej – są to dwa różne mechanizmy prawne.

W jakim terminie należy zgłosić naruszenie RODO?

Jeżeli doszło do naruszenia ochrony danych osobowych, administrator danych osobowych powinien w pierwszej kolejności ocenić ryzyko dla praw i wolności osób fizycznych. Jeżeli naruszenie podlega obowiązkowi zgłoszenia organowi nadzorczemu, administrator powinien dokonać zgłoszenie naruszenia bez zbędnej zwłoki – w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Nie każde zdarzenie musi jednak zostać zgłoszone Prezesowi UODO. Obowiązek ten nie powstaje, jeżeli jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Każde naruszenie ochrony danych powinno zostać odpowiednio przeanalizowane pod kątem jego charakteru, skutków oraz obowiązków wynikających z RODO. W takiej sytuacji warto skorzystać z pomocy kancelarii prawnej, która może ocenić ryzyko związane z naruszeniem i wskazać, jakie działania należy podjąć. Profesjonalne wsparcie może być szczególnie istotne przy ustalaniu, czy konieczne jest zgłoszenie naruszenia Prezesowi UODO oraz zawiadomienie osób, których dane dotyczą.

FAQ – najczęściej zadawane pytania

Czy małe firmy mogą otrzymać karę za naruszenie RODO?

Tak. RODO nie wprowadza ogólnego zwolnienia z odpowiedzialności dla mikro- i małych przedsiębiorców. Wielkość przedsiębiorstwa oraz jego sytuacja mogą mieć znaczenie przy ustalaniu odpowiedniej wysokości sankcji, ale niewielka firma również może otrzymać administracyjną karę pieniężną za naruszenie przepisów.

Jak uniknąć kary za naruszenie RODO?

Nie istnieje rozwiązanie gwarantujące, że przedsiębiorca nigdy nie zostanie ukarany. Jak uniknąć kary za naruszenie RODO? Podstawą jest zgodne z prawem przetwarzanie danych osobowych, stosowanie odpowiednich zabezpieczeń technicznych i organizacyjnych, przestrzeganie praw osób, dokumentowanie wymaganych działań oraz szybkie i prawidłowe reagowanie na incydenty. Znaczenie może mieć również współpraca z organem nadzorczym i podjęcie działań ograniczających skutki stwierdzonego naruszenia.

Czy naruszenie RODO jest przestępstwem?

Nie każde naruszenie RODO jest przestępstwem. Administracyjne naruszenie przepisów o ochronie danych może prowadzić m.in. do zastosowania środków naprawczych lub kary pieniężnej przez Prezesa UODO. Niezależnie od tego określone zachowania związane z bezprawnym przetwarzaniem danych mogą wypełniać znamiona czynów zabronionych przewidzianych w polskich przepisach, dlatego odpowiedzialność administracyjną należy odróżnić od odpowiedzialności karnej.