Krótko o tym jak obywatel wyręcza Prezesa UODO z kontroli i dlaczego (nie) muszę się tym martwić.
Pisaliśmy już na blogu o umowach powierzenia i o kontroli ze strony partnerów biznesowych. Teraz pora na temat, który dotyka coraz większej liczby firm: skargi do Prezesa UODO.
To właściwie nie jest już wezbrana rzeka, to nawet nie jest już wzburzone morze — to po prostu skargowe tsunami. Według sprawozdania Prezesa UODO za 2025 r. (opublikowanego 1 września 2026 r.) do Urzędu wpłynęło 12 827 skarg — o 61% więcej niż rok wcześniej — oraz 22 435 zgłoszeń naruszeń. Zdumiewająca bywa też jakość tych skarg i ich przedmiot. Spora część spraw, z którymi trafiają do nas klienci, to potrzeba wsparcia w postępowaniu przed Prezesem UODO; kiedy analizujemy stan faktyczny, większość z nich okazuje się pokłosiem wcześniejszego zbagatelizowania wniosku osoby dopominającej się o swoje prawa. Skargę do Prezesa UODO można złożyć bez żadnego warunku wstępnego (art. 77 RODO). Jest jednak jedna praktyczna reguła, którą Urząd komunikuje wprost: jeżeli skarga dotyczy niezrealizowanego prawa — dostępu, usunięcia, sprzeciwu — Prezes UODO nakaże jego spełnienie tylko wtedy, gdy osoba najpierw zwróciła się z żądaniem do administratora. Czyli większość skarg, z którymi trafiają do nas klienci, zaczyna się od zignorowanego albo źle obsłużonego wniosku. W związku z tym pierwsza i jakże kluczowa sprawa — nie oczekujmy, że brak odpowiedzi albo zwodzenie wnioskodawcy doprowadzi do czegoś dobrego. Po drugie pamiętajmy, że po ośmiu latach stosowania RODO wszyscy jesteśmy coraz bardziej świadomi, jeśli chodzi o nasze prawo do prywatności. Po trzecie — brak odpowiedzi na wezwanie Urzędu to osobne naruszenie; część kar dla małych podmiotów zapadła właśnie za brak współpracy z organem.
Drugie dno skarg właścicieli danych. (Nie) o ochronę danych tu chodzi.
Z analizy stanu faktycznego spraw wielokrotnie widzieliśmy, że tak naprawdę nie o ochronę danych tu chodzi. Chodzi po prostu o chęć wzięcia zwyczajnego rewanżu na kontrahencie czy pracodawcy, z którym nam się nie ułożyło. Tak czy inaczej nic się nie zmienia, bo właściciel danych ma prawo do realizacji swoich praw, a organ nadzorczy nie analizuje czy korzystanie
z tych praw nastąpiło na skutek perturbacji biznesowych czy nie. Wydaje się, że co sprytniejszy kontrahent czy pracownik potrafi bardzo szybko połączyć tzw. kropki i znaleźć rozwiązanie. Stąd kiedy wszystko zawodzi- sięga po opcję atomową jak skarga do UODO.
Z pozoru każdy wniosek właściciela danych wydaje się prosty do obsługi. Dane osobowe muszą przecież właściwie wejść, właściwie w organizacji być zabezpieczone podczas przetwarzania
i właściwie z organizacji wyjść. Jeśli trzymamy się tej zasady wszystko inne staje się proste
(w tym rozpatrzenie wspomnianego wniosku). Żeby jednak mieć pomysł na działanie w tym zakresie, musimy mieć jakąkolwiek instrukcję postępowania, procedurę, schemat działania
w organizacji. Większość naszych klientów marudzi na procedury, które muszą wdrożyć — między innymi dlatego dajemy je w postaci gotowych pakietów dokumentów dobranych do rodzaju działalności, zamiast kazać pisać je od zera. Sterta dokumentacji, trzeba podpisać, zapoznać pracowników itd. Kiedy jednak po czasie zapytaliśmy tych bardziej doświadczonych w kontaktach z Urzędem Ochrony Danych Osobowych o sens tych dokumentów, otrzymaliśmy odpowiedź, że to właśnie to stopniowe, nieskomplikowane budowanie świadomości w organizacji ograniczyło do minimum ryzyko naruszeń czy kar.
Wpisana na stałe rozliczalność z RODO powoduje, że powinniśmy mieć procedurę realizacji wniosków podmiotów danych czy współpracy z organem nadzorczym i to nie po to żeby na nią marudzić, narzekać i patrzeć z daleka. Wręcz odwrotnie. Chodzi o to by ją stosować. Ponadto trzeba zabezpieczyć firmę w innych aspektach takich jak prowadzenie szkoleń — choćby godzinna konsultacja RODO online wystarczy, by przejść z zespołem procedurę wniosków — posiadanie ramowej polityki bezpieczeństwa, prowadzenie rejestru czynności przetwarzania czy posiadanie odpowiednich klauzul informacyjnych o przetwarzaniu danych osobowych. Dlaczego? Bo zwyczajnie Prezes Urzędu Ochrony Danych Osobowych o to zapyta, kiedy będzie konkretną skargę rozpatrywał.
Sukces zaczyna się od małych rzeczy, a przetwarzanie danych to także ryzyko biznesowe.
Sukces zawsze wykluwa się powoli. Prowadząc biznes bez jakiejkolwiek chociażby wiedzy
o ochronie danych osobowych jest wyjściem w Tatry w trampkach do kostek. Można- tylko po co. Większa ilość klientów, większa ilość pracowników, rosnąca ilość transakcji to naturalnie większe ryzyko praktycznie wszystkiego. Dlatego starajmy się zadbać także o ochronę danych zwłaszcza, jeśli nie wymaga to od nas przesadnie dużych wydatków. Zaczynajmy powoli, wdrażajmy procedury, instrukcje, prowadźmy szkolenia na tyle na ile pozwala nam na to czas i budżet firmy. Czasy, kiedy ochronę danych można było po prostu omijać, żeby nie powiedzieć dosadniej „olewać” dawno minęły. Ochrona danych to nie jest wiedza tajemna i coś co może zatrzymać nasz biznes. Miejmy jednak świadomość, że obecnie RODO jest kolejnym wagonikiem doczepionym do lokomotywy o nazwie moja/nasza firma. Skuteczne stosowanie przepisów RODO, nie ma na celu hamować naszego biznesu, a minimalizować ryzyko jego prowadzenia. Na horyzoncie są kolejne zmiany: unijne rozporządzenie proceduralne 2025/2518, które od 2 kwietnia 2027 r. ujednolici postępowania w sprawach transgranicznych (ze standardem 15 miesięcy na rozstrzygnięcie), oraz negocjowany pakiet Digital Omnibus. Karuzela o nazwie ochrona danych osobowych zaczyna więc kręcić się coraz szybciej.
Autor: Jacek Andrzejewski
Przeczytaj też: analiza ryzyka RODO w małej firmie — skąd bierze się obowiązek, czym różni się od oceny skutków (DPIA) i jak ją przeprowadzić krok po kroku.