Europejska Rada Ochrony Danych (EDPB) opublikowała projekt wytycznych, który może zmienić sposób egzekwowania RODO w praktyce. Zgodnie ze streszczeniem projektu, propozycja ustanawia domniemanie EDPB dotyczące grzywien za naruszenia RODO w przypadku naruszeń innych niż drobne, wraz z celowo niskim progiem ustalania niedbalstwa. Mówiąc prościej, organy regulacyjne wychodziłyby z założenia, że poważne naruszenie zasługuje na grzywnę, a firmy ponosiłyby większy ciężar wykazania, dlaczego tak nie powinno być.

Materiał źródłowy dostępny dla tej historii ogranicza się do streszczenia, dlatego ten artykuł ogranicza się do tego, co ów dokument stwierdza, i wyjaśnia prawdopodobne implikacje w ogólnych kategoriach.

Co proponuje projekt wytycznych EDPB

Sedno projektu to zmiana domyślnego podejścia. Do tej pory organy nadzorcze dysponowały szeregiem środków naprawczych na mocy RODO, od upomnień i nakazów dostosowania się do przepisów po administracyjne kary pieniężne. Projekt wytycznych proponuje, aby w przypadku naruszeń innych niż drobne grzywna była oczekiwanym rezultatem, a nie jedną z wielu opcji.

W streszczeniu wyróżniają się dwa elementy:

  • Domniemanie na rzecz grzywien w przypadku naruszeń innych niż drobne.
  • Celowo niski próg niedbalstwa, co ma znaczenie, ponieważ wina jest kluczowym warunkiem nałożenia grzywny.

Streszczenie wskazuje również, że organizacje będą musiały wykazać solidne środki, aby udowodnić, że działały z należytą starannością. Projekt jest propozycją, a nie ostatecznymi wytycznymi, więc szczegóły mogą się zmienić po konsultacjach.

Dlaczego niski próg niedbalstwa zmienia egzekwowanie

Grzywny na mocy RODO zasadniczo zależą od tego, czy naruszenie było umyślne czy wynikające z niedbalstwa. Jeśli udowodnienie niedbalstwa jest trudne, organy regulacyjne mogą wahać się przed nałożeniem grzywny lub sprawy mogą utknąć w sporze o to, co firma wiedziała lub powinna była wiedzieć.

Niski próg zmienia tę dynamikę. Jeśli firma nie podjęła kroków, jakie podjęłaby rozsądnie ostrożna organizacja, niedbalstwo można ustalić bez większego dodatkowego dochodzenia. W połączeniu z domniemaniem grzywien utrudniłoby to organizacji argumentowanie, że naruszenie było po prostu pechem lub uczciwym przeoczeniem.

To wpisuje się w szerszy dążenie do spójności. EDPB wprowadziła już pięcioetapowe podejście do obliczania grzywien, które omówiliśmy w naszym wyjaśnieniu pięcioetapowej metody naliczania grzywien RODO według EDPB. Ta metoda dotyczy tego, jaka powinna być wysokość grzywny. Nowy projekt odnosi się do wcześniejszego pytania, czy grzywna powinna zostać nałożona w ogóle. Aby uzyskać informacje na temat progów grzywien i roli winy, zobacz nasz przewodnik po grzywnach i karach RODO w 2026 roku.

Co to oznacza dla Ciebie

Dla zwykłych ludzi praktyczny skutek byłby pośredni, ale istotny. Prawa do prywatności na papierze mają znaczenie tylko wtedy, gdy ich ignorowanie pociąga za sobą konsekwencje. Jeśli grzywny staną się oczekiwaną reakcją na poważne naruszenia, firmy zyskają silniejszy finansowy powód, aby:

  • Zbierać mniej danych osobowych już na początku.
  • Zabezpieczać przechowywane dane i dokumentować, w jaki sposób.
  • Terminowo odpowiadać na wnioski o dostęp, usunięcie i sprzeciw.
  • Szkolić personel i weryfikować dostawców, którzy przetwarzają dane klientów.

Nie oznacza to, że każda skarga zakończy się karą, i nie gwarantuje szybszych wyników dla osób fizycznych. Oczekuje się, że drobne naruszenia będą traktowane inaczej, a wytyczne są wciąż w formie projektu. Jednak kierunek zmian zmierza ku egzekwowaniu, które ma realną wagę.

Organizacje tymczasem prawdopodobnie skupią się na dowodach. W ramach tego podejścia możliwość okazania dokumentacji, ocen ryzyka i szybkich działań naprawczych może być różnicą między grzywną a łagodniejszą reakcją.

Jak korzystać ze swoich praw wynikających z RODO już dziś

Nie musisz czekać na sfinalizowanie wytycznych. Jeśli jesteś w UE lub EOG albo firma przetwarza Twoje dane na mocy RODO, możesz już teraz działać:

  1. Poproś o dostęp. Wyślij wniosek o dostęp do danych, aby dowiedzieć się, jakie informacje firma przechowuje na Twój temat i jak je wykorzystuje.
  2. Zażądaj usunięcia. Jeśli dane nie są już potrzebne lub wycofujesz zgodę, poproś firmę o ich usunięcie.
  3. Sprzeciw się przetwarzaniu. Możesz sprzeciwić się niektórym zastosowaniom, w tym marketingowi bezpośredniemu.
  4. Prowadź dokumentację. Zachowaj kopie swoich wniosków i odpowiedzi, wraz z datami.
  5. Eskaluj w przypadku ignorowania. Jeśli firma nie odpowiada prawidłowo, możesz złożyć skargę do krajowego organu ochrony danych.

Udokumentowana, dobrze uzasadniona skarga to rodzaj dowodu, na podstawie którego organy regulacyjne mogą działać, a silniejsze stanowisko w zakresie egzekwowania uczyniłoby takie skargi bardziej doniosłymi.

Najważniejsze wnioski

Domniemanie grzywien EDPB, gdyby zostało przyjęte w proponowanym kształcie, uczyniłoby kary normalną reakcją na naruszenia inne niż drobne i ułatwiłoby ustalenie niedbalstwa. To wywiera presję na firmy, by starannie obchodziły się z danymi osobowymi, i nadaje prawom jednostek więcej praktycznej mocy.

Korzystaj z praw, które już masz: poproś o dostęp, zażądaj usunięcia i sprzeciw się, gdy to właściwe. Aby zrozumieć, jak oblicza się kary, gdy grzywna jest już na stole, przeczytaj nasze wyjaśnienia dotyczące pięcioetapowej metody naliczania grzywien EDPB i progów kar RODO.