Administracyjne kary pieniężne RODO to fundament egzekwowalności całego systemu ochrony danych osobowych – sankcje finansowe nakładane przez organ nadzorczy sięgają do 20 mln EUR lub 4% globalnego obrotu i muszą być skuteczne, proporcjonalne oraz odstraszające. Artykuł wyjaśnia dwa progi kar z art. 83 RODO, kilkanaście kryteriów decydujących o wysokości kary, cztery najczęstsze kategorie naruszeń, rekordowe kary w Polsce, odrębne limity dla sektora publicznego oraz tryb postępowania i możliwość zaskarżenia decyzji do sądu.
Dwa progi kar administracyjnych z art. 83 RODO – kiedy 10, a kiedy 20 mln EUR?
Artykuł 83 RODO przewiduje dwa odrębne progi maksymalne kar administracyjnych, przypisane do różnych kategorii naruszeń.
| Próg | Wysokość | Za jakie naruszenia |
|---|---|---|
| Niższy | Do 10 mln EUR lub 2% całkowitego rocznego światowego obrotu | Naruszenia obowiązków administratora i podmiotu przetwarzającego, certyfikacji oraz monitorowania |
| Wyższy | Do 20 mln EUR lub 4% całkowitego rocznego światowego obrotu | Naruszenia podstawowych zasad przetwarzania danych osobowych, zgody, praw osób, których dane dotyczą, oraz transferów do państw trzecich |
W obu przypadkach stosuje się wartość wyższą – co oznacza, że w przypadku przedsiębiorstwa próg procentowy może wielokrotnie przekraczać próg kwotowy.
Kryteria wymiaru kary – co organ nadzorczy bierze pod uwagę?
Organ nadzorczy nie ma pełnej dowolności w ustalaniu wysokości kary – jest związany kilkunastoma czynnikami, które muszą zostać uwzględnione w procesie decyzyjnym:
- Charakter i zakres naruszenia – waga naruszenia, liczba osób dotkniętych skutkami, czas trwania naruszenia oraz kategorie danych, których dotyczyło.
- Stopień odpowiedzialności administratora – kluczowe znaczenie ma to, czy naruszenie miało charakter umyślny, czy wynikało z zaniedbań organizacyjnych lub braku należytej staranności.
- Postawa po naruszeniu – stopień współpracy z organem nadzorczym, podjęte działania naprawcze oraz gotowość administratora do usunięcia skutków naruszenia i ograniczenia jego negatywnych konsekwencji.
Zasada proporcjonalności wymaga, by kara była realnie odczuwalna, lecz nie prowadziła do ekonomicznego unicestwienia podmiotu – dla dużych organizacji oznacza to uwzględnienie skali obrotu za rok ubiegły, dla małych podmiotów i osób fizycznych zaś ich rzeczywistej sytuacji majątkowej. Mechanizm procentowy (2% i 4% globalnego obrotu) ma zapobiec sytuacji, w której kara byłaby dla największych uczestników rynku jedynie kosztem operacyjnym wliczanym w biznesplan – bez realnego wpływu na przestrzeganie zasad przetwarzania danych osobowych.
Za co najczęściej nakładane są kary RODO?
Naruszenia prowadzące do kar administracyjnych powtarzają się niezależnie od branży i skali działalności organizacji. Cztery główne kategorie to:
- Brak odpowiednich zabezpieczeń technicznych i organizacyjnych – najczęściej ujawniany przez incydenty wycieku danych; organ ocenia adekwatność środków do ryzyka, nie ich formalną obecność w dokumentacji.
- Brak podstawy prawnej przetwarzania – niezgodne z prawem przetwarzanie danych, w tym stosowanie zgody jako podstawy tam, gdzie nie jest ona swobodna ani dobrowolna, lub przetwarzanie danych bez jakiejkolwiek podstawy prawnej.
- Naruszenie praw osób, których dane dotyczą – nieudzielenie wymaganych informacji, odmowa realizacji żądania usunięcia danych lub brak reakcji na wnioski w ustawowych terminach.
- Brak współpracy z UODO lub niepowołanie IOD – gdy powołanie Inspektora Ochrony Danych jest obowiązkowe, jego brak stanowi samodzielną podstawę do nałożenia kary administracyjnej.
Kara pieniężna jako ostateczność – środki naprawcze, postępowanie i odwołanie
Organy nadzorcze dysponują katalogiem kilkunastu środków naprawczych – kara pieniężna nie jest stosowana automatycznie. Przed nałożeniem kary finansowej organ może sięgnąć po ostrzeżenie, upomnienie lub tymczasowe ograniczenie przetwarzania. Kara pieniężna może być zastosowana obok innych środków lub zamiast nich, ale zawsze musi odpowiadać zasadom proporcjonalności, skuteczności i odstraszania. Oznacza to, że nie każde naruszenie przepisów o ochronie danych osobowych musi prowadzić do sankcji finansowej.
Kara nakładana jest w drodze decyzji administracyjnej, której uzasadnienie musi szczegółowo wyjaśniać trzy elementy: na czym polegało naruszenie, dlaczego kara pieniężna jest właściwym środkiem reakcji oraz w jaki sposób ustalono jej wysokość. Obowiązek rzetelnego uzasadnienia stanowi jedną z kluczowych gwarancji ochrony praw ukaranego podmiotu.
Podmiot, wobec którego nałożono karę, może zaskarżyć decyzję do sądu administracyjnego – kontrola obejmuje legalność i proporcjonalność działania organu. W szerszej perspektywie kary administracyjne należy traktować jako element systemu zarządzania ryzykiem prawnym: wymuszają przestrzeganie zasad ochrony danych osobowych i odejście od podejścia czysto formalnego, prowadząc do profesjonalizacji procesów i podniesienia świadomości ryzyk w strukturach zarządczych.
Wdrożenie skutecznego systemu ochrony danych, który minimalizuje ryzyko nałożenia kary, wymaga indywidualnej oceny procesów – warto powierzyć to praktykowi znającemu specyfikę danej branży.