Czy polska ustawa o ochronie danych osobowych nadal obowiązuje?
Tak, ustawa o ochronie danych osobowych z 10 maja 2018 r. nadal obowiązuje. Została ogłoszona 24 maja 2018 r. i weszła w życie dzień później, 25 maja 2018 r., razem z rozpoczęciem stosowania RODO. Jej tekst był następnie nowelizowany, dlatego przy analizie konkretnej sprawy trzeba brać pod uwagę aktualne brzmienie przepisów.
Ustawa nie zastąpiła unijnego rozporządzenia i nie jest odrębnym, konkurencyjnym wobec niego systemem. RODO, czyli rozporządzenie UE 2016/679, stosuje się bezpośrednio w Polsce. Ustawa krajowa uzupełnia je w obszarach, w których przepisy unijne pozostawiają państwom członkowskim możliwość ustanowienia własnych zasad. Reguluje także krajowe procedury i kompetencje organu nadzorczego.
Dlatego stwierdzenie, że „obowiązuje tylko RODO”, jest nieprecyzyjne. W praktyce oba akty należy czytać łącznie, a w niektórych branżach uwzględniać również przepisy szczególne. Obowiązki organizacji mogą wynikać jednocześnie z RODO, polskiej ustawy oraz regulacji dotyczących na przykład zatrudnienia, zdrowia lub usług finansowych.
Jak RODO, ustawa krajowa i przepisy branżowe się uzupełniają?
RODO określa podstawowe reguły przetwarzania danych osobowych w Unii Europejskiej. Należą do nich zasady zgodności z prawem, rzetelności i przejrzystości, ograniczenia celu, minimalizacji danych, prawidłowości, ograniczenia czasu przechowywania oraz integralności i poufności. Administrator musi nie tylko stosować te zasady, ale także umieć wykazać, że robi to w praktyce.
Polska ustawa uzupełnia unijne ramy między innymi przez określenie organizacji i kompetencji Prezesa Urzędu Ochrony Danych Osobowych, zasad prowadzenia postępowań i kontroli oraz krajowych kwestii związanych ze stosowaniem RODO. Opisuje również ramy administracyjnych kar pieniężnych. Właśnie w tych obszarach jej znaczenie jest szczególnie widoczne.
Trzeci poziom stanowią przepisy sektorowe. Mogą one określać dodatkowe warunki przetwarzania, na przykład dokumentacji pracowniczej, informacji o zdrowiu czy danych wykorzystywanych w usługach finansowych. Firma działająca w kilku branżach powinna więc sprawdzić nie tylko ogólne zasady RODO, lecz także regulacje odnoszące się do konkretnych procesów.
Co uznaje się za dane osobowe i przetwarzanie?
Dane osobowe to informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Mogą to być oczywiste identyfikatory, takie jak imię i nazwisko, ale również informacje, które w połączeniu z innymi danymi pozwalają ustalić, kogo dotyczą. W środowisku internetowym znaczenie mogą mieć na przykład identyfikatory użytkownika lub informacje o jego aktywności, jeśli da się je powiązać z konkretną osobą.
Przetwarzanie obejmuje szeroki zakres działań, nie tylko zbieranie danych. Należą do niego między innymi ich utrwalanie, przechowywanie, porządkowanie, wykorzystywanie, udostępnianie i usuwanie. W efekcie obowiązki mogą dotyczyć zarówno organizacji prowadzącej własną bazę klientów, jak i podmiotu korzystającego z narzędzi analitycznych czy usług hostingowych.
Pierwszym krokiem do oceny obowiązków jest ustalenie, czy informacje dotyczą osób fizycznych oraz kto decyduje o celach i sposobach ich wykorzystywania. Administrator określa cele i sposoby przetwarzania, natomiast podmiot przetwarzający działa na jego rzecz, zwykle na podstawie umowy powierzenia. Przekazanie danych dostawcy nie zwalnia administratora z odpowiedzialności za zgodność operacji z przepisami.
Jakie obowiązki i prawa wynikają z przepisów?
Administrator powinien dla każdego procesu określić jego cel i podstawę prawną, zakres wykorzystywanych danych, odbiorców oraz okres przechowywania. Musi też dobrać zabezpieczenia do ryzyka, ograniczyć dostęp do informacji i prowadzić dokumentację wymaganą w danej sytuacji. W zależności od skali oraz rodzaju działalności mogą być potrzebne między innymi rejestr czynności przetwarzania, ocena skutków dla ochrony danych lub wyznaczenie inspektora ochrony danych.
Osoby, których dane są przetwarzane, mogą korzystać z praw przewidzianych w RODO. Zależnie od okoliczności mogą zażądać dostępu do danych, ich sprostowania lub usunięcia, a także ograniczenia przetwarzania. W określonych przypadkach przysługuje im prawo do przenoszenia danych albo wniesienia sprzeciwu. Organizacja powinna mieć procedurę, która pozwala sprawnie rozpoznać takie żądanie i udzielić odpowiedzi w wymaganym terminie.
Osobnej uwagi wymagają zewnętrzne usługi, takie jak hosting, obsługa kadr czy narzędzia analityczne. Trzeba ustalić role stron, zakres dostępu do danych i warunki ich przetwarzania. Jeżeli dane są przekazywane poza Europejski Obszar Gospodarczy, należy dodatkowo ocenić podstawę transferu i wymagane zabezpieczenia.
Co zrobić w razie naruszenia i jakie uprawnienia ma UODO?
Po stwierdzeniu naruszenia ochrony danych administrator powinien ocenić, jakie ryzyko może ono powodować dla praw i wolności osób. Jeżeli naruszenie może prowadzić do takiego ryzyka, co do zasady trzeba zgłosić je organowi nadzorczemu w ciągu 72 godzin od stwierdzenia. Gdy ryzyko dla osób jest wysokie, należy również zawiadomić osoby, których dane dotyczą. Ważne jest szybkie zabezpieczenie informacji o zdarzeniu oraz udokumentowanie podjętych działań i decyzji.
Prezes UODO może prowadzić postępowania, kontrolować przestrzeganie przepisów oraz stosować środki naprawcze, takie jak upomnienie lub nakaz. Może również nałożyć administracyjną karę pieniężną. Nie oznacza to jednak, że każda pomyłka automatycznie kończy się karą. Ocena zależy od okoliczności, w tym wagi i czasu trwania naruszenia, stopnia odpowiedzialności, działań naprawczych oraz współpracy z organem.
Skala pracy urzędu pokazuje, dlaczego sprawne procedury mają znaczenie. Według sprawozdania UODO za 2025 r. urząd otrzymał 12 827 skarg indywidualnych, czyli o 61% więcej niż w 2024 r., kiedy odnotowano 8 056 skarg. Administratorzy zgłosili w 2025 r. 22 435 naruszeń, wobec 14 842 rok wcześniej, co oznacza wzrost o 51%. W 2025 r. nałożono 32 kary o łącznej wysokości około 64,4 mln zł, a w 2024 r. było to 27 kar na około 13,9 mln zł. Dane te pokazują skalę działań nadzorczych, ale nie oznaczają, że każde zgłoszone naruszenie prowadzi do sankcji.
Jak sprawdzić, czy organizacja działa zgodnie z przepisami?
Ocena zgodności powinna zaczynać się od uporządkowania procesów: ustalenia, jakie dane są wykorzystywane, w jakim celu i na jakiej podstawie prawnej. Następnie warto określić odbiorców, czas przechowywania, osoby mające dostęp oraz zabezpieczenia ograniczające ryzyko. Należy też sprawdzić, czy umowy z dostawcami prawidłowo opisują role i zasady przetwarzania.
Przydatne są regularne przeglądy dokumentacji, procedur obsługi żądań osób oraz sposobu reagowania na incydenty. Organizacja powinna wiedzieć, kto podejmuje decyzje po wykryciu naruszenia, jak ocenia jego skutki i gdzie dokumentuje przebieg działań. Ustawa z 2018 r. obowiązuje, ale codzienne obowiązki wynikają przede wszystkim z łącznego stosowania RODO, przepisów krajowych i regulacji branżowych.
Bibliografia
- https://uodo.gov.pl/pl/138/4555
- https://eli.gov.pl/eli/DU/2018/1000/ogl
- https://orka.sejm.gov.pl/proc8.nsf/ustawy/2410_u.htm
- https://uodo.gov.pl/file/7930