EDPB: pięć kroków od naruszenia RODO do kary. Wytyczne 04/2026 w konsultacjach

Europejska Rada Ochrony Danych przyjęła 17 września 2026 r. wytyczne 04/2026 w sprawie stosowania uprawnienia do nakładania administracyjnych kar pieniężnych w relacji do innych uprawnień naprawczych z RODO. To wersja 1.0, skierowana do konsultacji publicznych. Uwagi można przesyłać do 13 listopada 2026 r.

Dokument jest adresowany do organów nadzorczych, w Polsce do Prezesa UODO. Dla funkcji compliance jest jednak cenniejszy niż kolejny poradnik dla administratorów. Pokazuje, jak organ będzie rozumował, zanim zdecyduje o karze, i jakie dowody po stronie administratora mają w tym rozumowaniu wagę.

Co się zmienia

Nowe wytyczne zastępują wytyczne Grupy Roboczej Art. 29 w sprawie stosowania i ustalania administracyjnych kar pieniężnych (WP253). Uzupełniają przyjęte wcześniej wytyczne 04/2022 dotyczące obliczania wysokości kary. Podział jest prosty: wytyczne z 2022 r. mówią, ile; wytyczne 04/2026 mówią, czy w ogóle.

EDPB omawia wszystkie środki z art. 58 ust. 2 RODO: ostrzeżenia, upomnienia, nakazy, ograniczenia przetwarzania z zakazem włącznie, cofnięcie certyfikacji oraz kary pieniężne. Dokument zawiera 14 praktycznych przykładów. Według komunikatu EDPB celem jest dalsze ujednolicenie tego, jak organy decydują o karze samodzielnej lub łączonej z innymi środkami.

Pięć kroków organu

Kroki 1 do 3 to przesłanki prawne. Organ sprawdza, czy dane naruszenie w ogóle podlega karze pieniężnej na podstawie RODO lub prawa krajowego. Następnie ustala, czy podmiot objęty postępowaniem może zostać ukarany, co zależy od tego, kto jest adresatem naruszonego przepisu: administrator czy podmiot przetwarzający. Trzeci krok to wina, czyli umyślność lub niedbalstwo.

Kroki 4 i 5 to ocena celowości. Organ bada czynniki z art. 83 ust. 2 lit. a do k RODO, aby ustalić, czy naruszenie jest drobne w rozumieniu motywu 148. Jeżeli tak, co do zasady kary nie nakłada i może poprzestać na upomnieniu. Jeżeli naruszenie nie jest drobne, EDPB przyjmuje silne domniemanie nałożenia kary. W piątym kroku organ ocenia, czy kara byłaby skuteczna, proporcjonalna i odstraszająca, i może odejść od reguły ogólnej, jeśli uzasadniają to okoliczności sprawy.

Wina: próg jest niski

Najbardziej praktyczna część dotyczy niedbalstwa. EDPB, powołując się na wyroki TSUE w sprawach C-807/21 Deutsche Wohnen i C-683/21, przyjmuje, że wystarczy, iż adresat nie mógł nie wiedzieć o bezprawnym charakterze swojego zachowania. Nie jest potrzebna świadomość naruszenia konkretnego przepisu RODO.

Dobra wiara działa tylko wyjątkowo, gdy błędu prawnego nie dało się uniknąć mimo należytej staranności. Wytyczne wprost stwierdzają, że jeśli w danej kwestii istnieją wytyczne EDPB, błąd zawsze uznaje się za możliwy do uniknięcia, a więc co najmniej za niedbalstwo. Przykład 2 dotyczy ubezpieczyciela, który przekazywał dane ubezpieczonych biegłym bez podstawy prawnej, powołując się na dawną praktykę krajową. Organ uznał to za niedbalstwo.

Rejestr przeczytanych i wdrożonych wytycznych EDPB przestaje być biurokracją. Staje się materiałem dowodowym.

Co działa na korzyść, a co nie

Środki z art. 24, 25 i 32 RODO organ zbada przy stopniu odpowiedzialności z art. 83 ust. 2 lit. d. Ich istnienie nie jest jednak automatycznie okolicznością łagodzącą; EDPB uznaje je za taką tylko wyjątkowo, gdy administrator zrobił więcej, niż wymagają przepisy. Organ ma przy tym uwzględniać dokumentację: kiedy wdrożono środki, jak działały, czy był kontakt z inspektorem ochrony danych.

Zwykła współpraca z organem wynika z art. 31 RODO i sama w sobie nie łagodzi. Łagodzić może dopiero współpraca, która realnie ograniczyła skutki dla osób, których dane dotyczą. Podobnie z samozgłoszeniem: zgłoszenie naruszenia ochrony danych z art. 33 jest neutralne, bo to obowiązek. Okolicznością łagodzącą może być natomiast zgłoszenie z własnej inicjatywy naruszenia, którego zgłaszać nie trzeba, zanim organ dowie się o nim inaczej.

Wśród przykładów naruszeń drobnych jest MŚP, które nie odpowiedziało na żądanie dostępu, bo trafiło ono do folderu spam, oraz MŚP, którego piksel śledzący przekazywał przez dwa lata zahaszowane dane kontaktowe około 50 000 użytkowników. W obu sprawach skończyło się upomnieniem, ale w drugiej organ wytknął brak systematycznych procedur wykrywania takich zmian.

Co zrobić w tym kwartale

• Przejrzeć rejestr wytycznych EDPB i sprawdzić, które z nich dotyczą procesów firmy i czy wdrożenie jest udokumentowane z datą.
• Uzupełnić procedurę obsługi naruszeń o decyzję, czy zgłosić z własnej inicjatywy naruszenie inne niż naruszenie ochrony danych, wraz z uzasadnieniem.
• Zweryfikować, czy dla narzędzi zewnętrznych (piksele, SDK, wtyczki) istnieje okresowy przegląd konfiguracji, a nie tylko jednorazowa ocena.
• Sprawdzić, czy kanały przyjmowania żądań osób, których dane dotyczą, są monitorowane, łącznie z filtrami antyspamowymi.
• Rozważyć złożenie uwag w konsultacjach do 13 listopada 2026 r., samodzielnie lub przez organizację branżową.