Kto jest organem nadzorczym RODO w Polsce?
W Polsce organem nadzorczym w rozumieniu RODO jest Prezes Urzędu Ochrony Danych Osobowych, czyli Prezes UODO. Nadzoruje on przestrzeganie przepisów o ochronie danych osobowych i reaguje, gdy sposób ich przetwarzania może naruszać prawa osób fizycznych. Do organu można zwrócić się między innymi ze skargą dotyczącą wykorzystania danych przez firmę, instytucję lub inną organizację.
RODO określa organ nadzorczy jako niezależny organ publiczny ustanowiony przez państwo członkowskie Unii Europejskiej. Każde państwo UE musi mieć co najmniej jeden taki organ. W Polsce tę funkcję pełni Prezes UODO, który działa w krajowym systemie ochrony danych, a w sprawach obejmujących kilka państw współpracuje z organami nadzorczymi z innych krajów.
Warto odróżnić Prezesa UODO jako organ od Urzędu Ochrony Danych Osobowych. Urząd zapewnia Prezesowi zaplecze organizacyjne i obsługuje jego działalność. W codziennym języku skrót „UODO” często oznacza zarówno urząd, jak i sam organ nadzorczy, jednak w ścisłym znaczeniu nie są to te same pojęcia.
RODO chroni osoby fizyczne w związku z przetwarzaniem ich danych osobowych. Prezes UODO nie jest jednak ogólnym rzecznikiem we wszystkich sprawach dotyczących prywatności ani sądem cywilnym rozstrzygającym każdy spór o dane. Bada zgodność przetwarzania z przepisami i może stosować środki przewidziane prawem, ale dochodzenie roszczeń, na przykład odszkodowania, może wymagać osobnego postępowania przed sądem.
Jakie zadania wykonuje Prezes UODO?
Do podstawowych zadań Prezesa UODO należy nadzorowanie przestrzegania RODO oraz krajowych przepisów o ochronie danych. Organ może rozpatrywać skargi, prowadzić postępowania i kontrole, przyjmować zgłoszenia naruszeń, żądać informacji i dokumentów, a następnie wydawać decyzje. Jego działalność obejmuje również opiniowanie projektów aktów prawnych oraz działania edukacyjne związane z ochroną danych.
Kontrola lub postępowanie pozwalają ustalić, jakie dane są przetwarzane, w jakim celu, na jakiej podstawie prawnej i z jakimi zabezpieczeniami. W przypadku strony internetowej może to dotyczyć na przykład danych zbieranych przez formularz kontaktowy, logów serwera, kont użytkowników czy informacji przechowywanych w kopiach zapasowych. Sam fakt korzystania z hostingu nie przesądza o naruszeniu, ale administrator powinien wiedzieć, jakie dane przetwarza i jak chroni dostęp do nich.
Prezes UODO może zakończyć sprawę bez stwierdzenia naruszenia albo, jeśli ustalenia to uzasadniają, zastosować środek naprawczy. W zależności od okoliczności może to być upomnienie, nakaz dostosowania przetwarzania do prawa lub administracyjna kara pieniężna. Kara nie jest automatycznym skutkiem skargi ani zgłoszenia incydentu. Organ ocenia fakty, charakter naruszenia i okoliczności sprawy, a decyzje Prezesa UODO mogą podlegać kontroli sądów administracyjnych.
Jak złożyć skargę do organu nadzorczego?
Osoba, która uważa, że przetwarzanie jej danych narusza RODO, może wnieść skargę do Prezesa UODO. Opis sprawy powinien umożliwiać ustalenie, kto przetwarza dane, jakiego działania lub zaniechania dotyczy skarga oraz na czym polega zarzucane naruszenie. Pomocne jest jasne przedstawienie kolejności zdarzeń i wskazanie, czego dotyczy problem, na przykład odmowy realizacji prawa do dostępu do danych albo dalszego wykorzystywania informacji mimo żądania ich usunięcia.
Skarga powinna opisywać konkretną sytuację związaną z przetwarzaniem danych, a nie tylko ogólną obawę o prywatność. Warto zachować korespondencję z administratorem, treść złożonych wniosków i odpowiedzi oraz inne materiały, które pomagają zrozumieć sprawę. Im czytelniej przedstawione są podmiot, zdarzenia i zarzut, tym łatwiej ocenić, czego dotyczy interwencja.
Skarga do Prezesa UODO jest odrębna od prawa do dochodzenia roszczeń przed sądem. Organ może zbadać, czy przetwarzanie jest zgodne z RODO, i zastosować środki nadzorcze, ale nie zastępuje sądu w każdym sporze cywilnym. Jeśli osoba domaga się odszkodowania, samo złożenie skargi nie oznacza, że roszczenie zostanie rozstrzygnięte w postępowaniu przed organem nadzorczym.
Czym różni się skarga od zgłoszenia naruszenia?
Skarga osoby i zgłoszenie naruszenia przez administratora to dwa różne sposoby, w jakie informacja o problemie może trafić do organu. Skarga służy ochronie praw osoby, która uważa, że jej dane są przetwarzane niezgodnie z przepisami. Zgłoszenie naruszenia dotyczy natomiast obowiązku administratora w określonych sytuacjach związanych z bezpieczeństwem danych.
Administratorzy mają obowiązki niezależnie od tego, czy ktoś złożył skargę. Powinni oceniać ryzyko związane z przetwarzaniem, stosować odpowiednie zabezpieczenia i zgłaszać organowi określone naruszenia ochrony danych. W przypadku usług internetowych znaczenie mogą mieć między innymi kontrola dostępu do panelu administracyjnego, aktualizacje oprogramowania, kopie zapasowe oraz procedury reagowania na incydenty.
Zgłoszenie incydentu przez administratora nie przesądza samo w sobie o nałożeniu kary. Organ może sprawdzić, co się wydarzyło, jakie dane i osoby były objęte naruszeniem oraz jak administrator zareagował. Postępowanie może rozpocząć się także od skargi, kontroli albo innych informacji o możliwym naruszeniu. Po zebraniu materiału Prezes UODO ocenia, czy doszło do naruszenia i jaka reakcja jest uzasadniona.
Co pokazują dane o działalności UODO?
Dane za 2025 r. wskazują na wyraźny wzrost liczby spraw trafiających do organu. Prezes UODO otrzymał 12 827 skarg indywidualnych, wobec 8 056 w 2024 r., co oznacza wzrost o 61%. W tym samym czasie zgłoszono 22 435 naruszeń ochrony danych, o 51% więcej niż rok wcześniej. Statystyki pokazują większe obciążenie organu, ale nie dowodzą, że każda skarga jest zasadna ani że wzrost zgłoszeń wynika wyłącznie z pogorszenia poziomu ochrony danych.
W 2025 r. Prezes UODO wydał 2 092 decyzje administracyjne, w tym 2 020 w indywidualnych sprawach skargowych. Nałożono 32 administracyjne kary pieniężne na 23 podmioty, w 20 sprawach. Ich łączna wysokość wyniosła 64 436 940,25 zł. Wzrost łącznej wartości kar jest istotnym trendem, ale nie oznacza, że każda skarga lub każde zgłoszenie kończy się sankcją finansową. Organ może zastosować inne środki albo nie stwierdzić naruszenia.
Prezes UODO zaopiniował w 2025 r. 981 aktów prawnych, wobec 779 rok wcześniej. Opiniowanie pozwala uwzględniać ochronę danych już podczas tworzenia regulacji, a nie dopiero po wystąpieniu problemów przy ich stosowaniu. Działalność organu obejmuje więc nie tylko reagowanie na skargi i incydenty, ale także wpływanie na rozwiązania prawne oraz podnoszenie świadomości o obowiązkach związanych z danymi.
Jak działa nadzór w sprawach obejmujących kilka państw?
Jeśli przetwarzanie danych obejmuje więcej niż jedno państwo UE, sprawa może wymagać współpracy kilku organów nadzorczych. RODO przewiduje mechanizm, który ma ułatwiać spójne stosowanie przepisów w różnych krajach. W zależności od sytuacji znaczenie ma organ wiodący oraz organy zainteresowane, które uzgadniają stanowiska w sprawie.
Dla organizacji działającej w kilku państwach oznacza to, że sprawa dotycząca danych nie zawsze ogranicza się do kontaktu z jednym krajowym organem. W Polsce zasadniczą rolę pełni Prezes UODO, ale przy przetwarzaniu transgranicznym postępowanie może obejmować uzgodnienia europejskie. Niezależnie od skali działalności administrator powinien znać swoje obowiązki, ograniczać ryzyko i reagować na incydenty zgodnie z przepisami.
Najważniejsze rozróżnienie jest proste: organem nadzorczym w Polsce jest Prezes UODO, Urząd obsługuje jego działalność, a dostępne środki zależą od ustaleń konkretnej sprawy. Skarga może doprowadzić do zbadania przetwarzania, lecz nie oznacza automatycznie kary. Administratorzy powinni zaś dbać o bezpieczeństwo danych i realizować obowiązki także wtedy, gdy nikt nie złożył skargi.
Wykorzystane materiały
- https://uodo.gov.pl/pl/138/4555
- https://uodo.gov.pl/file/7930
- https://nowybiuletyn.uodo.gov.pl/dwa-lata-walki-o-swiadomosc-ochrony-danych-z-prezesem-uodo-miroslawem-wroblewskim-rozmawia-karol-witowski/?pdf=1601
- https://cyberdefence24.pl/pelne-rece-roboty-w-uodo-rekordowy-wzrost-naruszen-i-kar