Kary UODO dla małych firm: za co naprawdę karano

Maksymalna kara z RODO to 20 mln euro albo 4% światowego obrotu. Takie liczby trafiają do nagłówków, ale małej firmy nie dotyczą. Dotyczą jej za to decyzje, które Prezes UODO wydaje wobec jednoosobowych działalności, małych spółek i organizacji. Poniżej sześć takich spraw z portalu orzeczeń UODO. Kwoty, daty i status podajemy według pełnych tekstów decyzji. Nazwy podmiotów są w nich zanonimizowane.

1. Milczenie wobec UODO: dwie jednoosobowe firmy

Była pracownica restauracji złożyła skargę, że pracodawca przetwarza jej odciski palców. Prezes UODO wysłał przedsiębiorcy trzy wezwania do wyjaśnień, w grudniu 2021, kwietniu i maju 2024. Pierwsze odebrał osobiście, dwa kolejne wróciły nieodebrane i zostały uznane za doręczone. Na żadne nie odpowiedział. W decyzji DKE.561.1.2025 z 23 czerwca 2025 UODO nałożył na niego 18 941 zł kary. Okolicznościami łagodzącymi urząd niczego nie uznał.

Tak samo skończyła się sprawa przedsiębiorcy sprzedającego samochody, na którego klient poskarżył się, że firma niewłaściwie pozbyła się danych klientów. Nie odpowiedział na dwa wezwania, we wrześniu 2023 i czerwcu 2024. Decyzja DKE.561.9.2025 z 5 lutego 2026 nakłada 16 804 zł za naruszenie obowiązku współpracy z organem (art. 31 RODO). Obie decyzje portal oznacza jako nieprawomocne.

2. Żłobek, który stracił dane i przestał odpisywać

W czerwcu 2019 właścicielka niepublicznego żłobka i przedszkola sama zgłosiła do UODO, że straciła dostęp do danych około 200 osób: personelu, dzieci i opiekunów. Tu jeszcze wszystko szło zgodnie z przepisami. Potem urząd kilka razy prosił o treść zawiadomienia wysłanego do tych osób. Część pism nie została odebrana, a pismo odebrane osobiście pozostało bez odpowiedzi.

Decyzją DKE.561.2.2020 z 3 czerwca 2020 UODO nałożył 5 000 zł kary za uniemożliwianie dostępu do informacji potrzebnych w postępowaniu. Sama utrata danych nie była przedmiotem kary. Karę dostała za milczenie.

3. Ransomware, zainfekowana kopia i brak zgłoszenia

W maju 2020 ransomware zaszyfrował dane na trzech serwerach spółki świadczącej usługi ochrony osób i mienia. Chodziło o dane wszystkich pracowników i osób współpracujących, w tym PESEL i numery kont. Spółka miała procedurę cotygodniowych kopii zapasowych, ale kopia też została zainfekowana, a dostępu do danych spółka nie odzyskała.

Spółka uznała, że do naruszenia ochrony danych nie doszło, bo nastąpiło tylko „zablokowanie dostępu do danych”, więc nie zgłosiła go UODO ani nie zawiadomiła pracowników. Audytu bezpieczeństwa nie przeprowadziła, bo jak napisała, przekraczał jej możliwości finansowe. W decyzji DKN.5131.8.2021 z 31 maja 2023, prawomocnej, UODO uznał to za błąd i nałożył 47 160 zł kary, między innymi za brak zgłoszenia naruszenia (art. 33) i zawiadomienia osób (art. 34). Co robić, gdy ransomware uderzy w twoją firmę, opisujemy w poradniku o ransomware w małej firmie.

4. Wspólnota i 72 godziny

W kwietniu 2023 rozliczenie jednego mieszkańca z imieniem, nazwiskiem, adresem, odczytami liczników i numerem konta trafiło do niewłaściwej osoby. Wspólnota mieszkaniowa uznała, że zgłoszenie nie jest potrzebne, bo chodzi o jedną osobę i zwykłe dane. UODO pouczał ją dwukrotnie, w maju i lipcu 2023, a naruszenia i tak nie zgłoszono.

W decyzji DKN.5131.16.2025 z 7 kwietnia 2026, prawomocnej, UODO nałożył 4 852 zł kary za naruszenie art. 33 ust. 1 RODO. Urząd ocenił naruszenie jako niskiej wagi, a karę wyliczył według wytycznych Europejskiej Rady Ochrony Danych.

5. Laptop bez szyfrowania

14 maja 2023 w komunikacji miejskiej zginął laptop stowarzyszenia z danymi pracowników, dzieci, wolontariuszy i zleceniobiorców, w tym z numerami PESEL i danymi o zdrowiu. Wewnętrzne procedury wymagały szyfrowania dysków, ale ten laptop zaszyfrowany nie był.

Decyzja DKN.5131.9.2024 z 12 listopada 2024, prawomocna, nakłada 24 555 zł kary za niewłaściwe zabezpieczenie danych. Jako okoliczności łagodzące UODO uwzględnił dobrą współpracę i analizę ryzyka przeprowadzoną po incydencie. To jedyna z opisanych spraw, w której karano za sam incydent, i jednocześnie ta, w której podmiot współpracował z urzędem.

6. Jak UODO liczy karę

Okoliczności, które organ bierze pod uwagę, wymienia art. 83 ust. 2 RODO. Są wśród nich waga i czas trwania naruszenia, jego umyślność, działania minimalizujące szkodę, stopień współpracy z organem i to, czy administrator sam zgłosił naruszenie. W sprawach 1, 2 i 4 obciążała umyślność i brak reakcji na pisma, w sprawie 5 łagodziła współpraca.

Europejska Rada Ochrony Danych opisała w wytycznych 04/2022 metodę w pięciu krokach, od ustalenia naruszeń, przez kwotę wyjściową zależną od wagi naruszenia i obrotu, po ocenę, czy kara jest proporcjonalna i odstraszająca. Dlatego ten sam błąd kosztuje małą firmę mniej niż dużą, ale nadal kilka lub kilkadziesiąt tysięcy złotych.

7. Podsumowanie

W czterech z sześciu opisanych spraw źródłem kary nie był sam incydent, tylko reakcja na niego: nieodbieranie i nieodpowiadanie na pisma UODO albo decyzja, żeby naruszenia nie zgłaszać. Najtańsza ochrona przed karą to odpowiadać na korespondencję z urzędu i zgłaszać naruszenia, gdy wiążą się z ryzykiem dla ludzi, nawet jeśli dotyczą jednej osoby.