RODO to nie formalność. Kara UODO pokazuje, dlaczego zabezpieczenia muszą działać w praktyce

RODO to nie formalność. Kara UODO pokazuje, dlaczego zabezpieczenia muszą działać w praktyce

Prezes UODO nałożył karę w wysokości 11 594 zł na administratora prowadzącego kancelarię podatkową. Sprawa zaczęła się od przejęcia służbowej skrzynki e-mail pracownika, na której znajdowały się dane osobowe ponad stu osób, w tym klientów, pracowników klientów oraz dzieci zgłoszonych do ubezpieczenia zdrowotnego. Decyzja jest nieprawomocna, ale jej uzasadnienie dobrze pokazuje, jak organ patrzy dziś na obowiązki administratorów danych osobowych.

Najważniejszy wniosek nie sprowadza się do samego incydentu. UODO podkreślił, że odpowiedzialność administratora nie zależy wyłącznie od tego, czy uda się udowodnić faktyczne pobranie danych przez osobę nieuprawnioną. Już sam nieuprawniony dostęp do skrzynki, w której były przetwarzane dane osobowe, może oznaczać naruszenie ochrony danych. Brak dowodu na skopiowanie danych nie wystarcza więc, aby uznać, że problemu nie było.

Organ zwrócił uwagę przede wszystkim na brak wcześniejszej analizy ryzyka, brak odrębnych regulacji dotyczących ochrony danych osobowych oraz brak regularnego testowania i oceniania skuteczności zabezpieczeń. Administrator powoływał się m.in. na działania dostawcy hostingu, ale UODO przypomniał, że odpowiedzialność za dobór i weryfikację środków bezpieczeństwa spoczywa na administratorze. Dostawca usług technicznych może wspierać ochronę danych, lecz nie zastępuje administratora w realizacji jego obowiązków wynikających z RODO.

Ta sprawa dobrze pokazuje, dlaczego warto traktować RODO nie jako zbiór dokumentów „na wypadek kontroli”, ale jako system zarządzania ryzykiem. Analiza ryzyka, procedury bezpieczeństwa, polityka haseł, szkolenia pracowników, kontrola dostępu, możliwość analizy logów, audyty i regularne testowanie zabezpieczeń mają znaczenie nie tylko formalne. W praktyce pozwalają szybciej wykryć incydent, ustalić jego skalę, ograniczyć skutki oraz wykazać przed organem, że administrator działał z należytą starannością.

---

Warto też zauważyć, że po incydencie administrator wdrożył część brakujących rozwiązań, m.in. przeprowadził analizę ryzyka, przyjął polityki i procedury oraz wykonał audyt infrastruktury IT. Działania naprawcze są ważne, ale nie zawsze wystarczą, jeśli organ stwierdzi, że obowiązki powinny być realizowane wcześniej. RODO wymaga bowiem podejścia uprzedzającego: zabezpieczenia mają być dobrane przed wystąpieniem naruszenia, a następnie regularnie sprawdzane i aktualizowane.

Dla firm wniosek jest praktyczny. Poczta elektroniczna pozostaje jednym z najbardziej wrażliwych obszarów przetwarzania danych, zwłaszcza gdy trafiają do niej dokumenty kadrowe, podatkowe, finansowe lub identyfikacyjne. Dlatego administrator powinien wiedzieć, jakie dane są przetwarzane w skrzynkach e-mail, kto ma do nich dostęp, jak zabezpieczone są konta, czy stosowane są silne hasła i uwierzytelnianie wieloskładnikowe, czy dostępne są logi oraz czy procedury bezpieczeństwa rzeczywiście działają.

RODO nie eliminuje wszystkich incydentów. Pozwala jednak ograniczyć ryzyko i przygotować organizację na sytuację, w której do incydentu dojdzie. Właśnie dlatego stosowanie RODO i realnych zabezpieczeń jest inwestycją w bezpieczeństwo organizacji, a nie wyłącznie kosztem regulacyjnym. W razie kontroli liczy się nie tylko to, co administrator deklaruje, ale przede wszystkim to, czy potrafi wykazać, że ryzyka zostały rozpoznane, zabezpieczenia dobrane świadomie, a ich skuteczność regularnie weryfikowana.

Źródło: komunikat UODO z 6 lipca 2026 r. oraz decyzja DKN.5131.34.2023.