Kopia dowodu osobistego pracownika: okazanie zamiast ksero
czytaj więcej
Wyobraź sobie: pracownik staje w drzwiach blady jak ściana i mówi, że chyba zgubił pendrive'a z listą płac. Pierwsza myśl: kto za to zapłaci? Kara za naruszenie RODO trafi do Ciebie, jeśli okaże się, że firma nie pomyślała o takiej sytuacji wcześniej albo przemilczała ją po fakcie.
Z komunikatów i Biuletynu Urzędu Ochrony Danych Osobowych (UODO) z lat 2024-2026 wybrałam sprawy, w których widać, za co urząd karze: zgubiony nośnik, dokumenty w skradzionym aucie, pismo, które trafiło do niewłaściwej osoby, i inspektor wyznaczony tylko ustnie. Dowiesz się, ile to kosztowało, co poszło nie tak i co wprowadzić u siebie, zanim Twój pracownik stanie w tych drzwiach.
Spis treści
UODO karze pracodawcę za słabą analizę ryzyka i niezgłoszone naruszenie, nie za sam błąd pracownika
Liczy się to, czego firma nie przygotowała przed wpadką albo nie zrobiła po niej. Kara za naruszenie RODO w sprawie skradzionego auta spadła, jak napisał sam urząd, za niekompletną analizę ryzyka, „a nie za utratę danych”.
Jeśli zajmujesz się BHP, ten mechanizm już znasz. Analiza ryzyka dla danych działa jak ocena ryzyka zawodowego: zapisujesz, co realnie może się wydarzyć przy danej czynności, i co z tym robisz. Tylko zamiast upadku z drabiny masz dziurawą kieszeń, złodzieja samochodów i pomyłkę przy wysyłce.
Nie każda z tych spraw dotyczy firmy, są tu też urzędy i wspólnota mieszkaniowa. Obowiązek zabezpieczenia danych i zgłaszania naruszeń jest jednak ten sam, a za dane swoich pracowników odpowiada pracodawca jako ich administrator.
Pracownik zgubił pendrive bez szyfrowania: 15 i 20 tys. zł w Kutnie
Dwie instytucje miejskie w Kutnie, ośrodek pomocy społecznej i ośrodek sportu, zmieniały program kadrowo-płacowy. Pracownik ośrodka przekazał dane pracownikowi spółki, która miała je przenieść. Trafiły na pendrive bez szyfrowania, a po skopiowaniu na laptop nikt go nie wyczyścił, chociaż przewidywała to procedura spółki.
Pracownik spółki zgubił pendrive'a w innym mieście. Instytucje dowiedziały się o tym od osoby, która go znalazła: najpierw dała ogłoszenie w lokalnych mediach, a potem otworzyła nośnik i po nazwach katalogów trafiła do właścicieli. Na nośniku były dane około 1500 osób, m.in. numery PESEL, rachunki bankowe i zarobki.
Prezes UODO ustalił, że wszystkie trzy podmioty miały procedury, ale nikt nie zrobił analizy ryzyka dla samej zmiany systemu i nikt nie sprawdził, czy zasady spółki wystarczą. Ośrodki dostały kary 15 i 20 tys. zł, chociaż pendrive zgubił cudzy pracownik. Spółka dostała ponad 24 tys. zł (Biuletyn UODO 11/2024), a jej pracownik, który zgubił nośnik, dostał od spółki naganę.
U Ciebie będzie to przekazanie danych pracowników biuru rachunkowemu albo firmie wdrażającej nowy program. To osobna operacja z własnymi ryzykami i ktoś w Twojej firmie powinien je sprawdzić, nawet gdy wykonawca pokazuje piękną procedurę.
Zgubiony pendrive w prywatnej firmie: prawie 240 tys. zł
W firmie gastronomicznej z Kolbuszowej pracownik zgubił pendrive'a z niezaszyfrowanymi plikami: dane innego pracownika, w tym PESEL, numer paszportu i zarobki. Firma sama to zgłosiła i współpracowała z urzędem, co według komunikatu UODO obniżyło karę. Na jej wysokość wpłynęły też duże obroty.
Błąd siedział w analizie ryzyka: firma założyła, że nośnik można ukraść albo zniszczyć, ale nie że można go po prostu zgubić. O tym, jak szyfrować pliki, pracownicy dowiadywali się z filmu instruktażowego. Urząd uznał, że to za mało i że w ten sposób firma przerzuca odpowiedzialność na ludzi.
Czy szyfrowanie pendrive to obowiązek?
Przepisu „szyfruj każdy pendrive” nie ma. Art. 32 RODO wymienia szyfrowanie wśród środków, które dobierasz do ryzyka. Po tych dwóch sprawach nie liczyłabym jednak na to, że nieszyfrowany pendrive z kadrami i płacami przejdzie przed urzędem.
Dokumenty służbowe w samochodzie: ponad 32 tys. zł dla przychodni
Lekarz pracujący dla niepublicznego zakładu opieki zdrowotnej (ZOZ) w Pyskowicach pojechał na wizytę domową, a jego samochód został skradziony. W środku leżała niezabezpieczona dokumentacja ośmiorga pacjentów: PESEL, adresy, dane o zdrowiu. ZOZ sam to zgłosił, a UODO sprawdził jego procedury.
Problem zaczął się dużo wcześniej. Już w 2017 r. administrator bezpieczeństwa informacji ostrzegał, że przewożenie takiej dokumentacji jest ryzykowne i że powinna wracać do placówki tego samego dnia, a nie zostawać u lekarza „na noc”. Zalecenia nie stały się procedurą, a prywatnych aut nie traktowano jako miejsca przetwarzania danych. Kara wyniosła ponad 32 tys. zł (Biuletyn UODO 7-8/2025).
Szkolenie, zakaz zostawiania dokumentów w prywatnym aucie i teczki z zamkiem szyfrowym pojawiły się dopiero po kradzieży.
Auto, którym pracownik wozi dokumenty, ma się znaleźć w Twojej analizie ryzyka, także gdy jest prywatne. U Ciebie to może być handlowiec z umowami, kadrowa, która zabiera teczki do domu, albo specjalista BHP z listami obecności po szkoleniu na budowie.
Pismo u niewłaściwej osoby i niezgłoszone naruszenie: prawie 5 tys. zł
Zawiadomienie o rozliczeniu opłat jednego członka wspólnoty mieszkaniowej trafiło do osoby nieuprawnionej z tej samej wspólnoty. W piśmie było imię i nazwisko, adres, numer lokalu, kwoty, odczyty liczników i numer rachunku.
Spółka administrująca twierdziła, że przesyłki były zaadresowane prawidłowo, a właściciele i tak mają wgląd w dokumenty. Wspólnota nie zgłosiła sprawy do UODO, bo jej zdaniem chodziło o „dane zwykłe” i tylko jednego członka. Urząd uznał jednak, że dane dostała osoba nieuprawniona. Wspólnota dostała prawie 5 tys. zł kary za to, że nie zgłosiła naruszenia (decyzja DKN.5131.16.2025, w komunikacie i Biuletynie UODO 4/2026 zaokrąglone do 5 tys. zł).
Przełóż to na kadry: PIT albo lista płac, które pójdą do złej osoby, to ten sam schemat. „To tylko jedna osoba” nie zwalnia z oceny ryzyka. Możesz nie zgłaszać tylko wtedy, gdy ryzyko dla tej osoby jest mało prawdopodobne, a UODO czyta to ostro: chodzi o sytuację, w której naruszenia jej praw „w ogóle się nie urzeczywistnią”.
Co pracownik musi wiedzieć, żeby firma zdążyła w 72 godziny?
Zgłaszasz bez zbędnej zwłoki, w miarę możliwości najpóźniej w 72 godziny od stwierdzenia, a do spóźnionego zgłoszenia dołączasz wyjaśnienie przyczyn (art. 33 RODO). Według wytycznych Europejskiej Rady Ochrony Danych (EROD) przy zgubionym pendrivie z niezaszyfrowanymi danymi o naruszeniu wiesz w chwili, gdy orientujesz się, że nośnik zginął. Te same wytyczne każą mieć wewnętrzną procedurę, dzięki której wykryte naruszenie idzie w górę, do osoby, która może podjąć decyzję.
Pracownik nie ocenia, czy to poważne. Pracownik mówi od razu. Firma nie oceni ryzyka sprawy, o której nie wie, a w Kutnie instytucje usłyszały o zgubie dopiero od znalazcy. Dlatego każdy w firmie powinien znać te cztery kroki:
1
Mów tego samego dnia
Zginął pendrive, zniknęły dokumenty, pismo poszło do złej osoby: informujesz wskazaną osobę od razu, także gdy wciąż masz nadzieję, że się znajdzie.
2
Podaj fakty
Co zginęło albo dokąd poszło, kiedy to się stało, czyje dane tam były i mniej więcej ilu osób dotyczą.
3
Nie czekaj do poniedziałku
Weekend wlicza się w 72 godziny, a szukanie po domu przez kilka dni tylko zabiera czas na decyzję.
4
Dalej decyduje firma
Osoba odpowiedzialna ocenia ryzyko, a potem zgłasza naruszenie do UODO albo zapisuje w rejestrze, dlaczego go nie zgłasza.
Weekend liczy się do 72 godzin, bo tak stanowi art. 3 ust. 3 unijnego rozporządzenia 1182/71 o liczeniu terminów. Formularz i rejestr opisaliśmy we wpisie Zgłoszenie naruszenia RODO krok po kroku. Także naruszenie, którego nie zgłaszasz, dokumentujesz razem z oceną ryzyka.
Brak inspektora ochrony danych: 25 tys. zł dla urzędu, a typowa firma zwykle IOD mieć nie musi
Tu nikt niczego nie zgubił. Powiatowy Inspektor Nadzoru Budowlanego w Częstochowie dostał 25 tys. zł za niewyznaczenie inspektora ochrony danych, czyli IOD (o sprawie wspomina też Biuletyn UODO 11/2024). Pokazywał zaświadczenie ze szkolenia i powoływał się na ustne polecenie, ale dla UODO ustne polecenie nie jest skutecznym wyznaczeniem.
Jednostka publiczna IOD mieć musi. Typowy pracodawca zwykle nie, bo same dane pracowników i lista płac takiego obowiązku nie tworzą. Trzy przesłanki znajdziesz we wpisie Inspektor danych osobowych w firmie: kiedy pracodawca musi go powołać. Jeśli musisz go mieć, wyznacz go na piśmie, opublikuj jego dane kontaktowe i zawiadom UODO.
Co wprowadzić, żeby zgubiony pendrive nie skończył się karą UODO?
Te sprawy układają się w pięć rzeczy do zrobienia. Każdą trzeba zapisać i sprawdzać, bo w Kutnie i Pyskowicach same procedury i zalecenia nikogo nie uchroniły.
- edit_note
Analiza ryzyka z życia
Wpisz konkretne sytuacje: zgubienie nośnika, kradzież auta, pismo do złej osoby, przekazanie danych firmie zewnętrznej. Sama „kradzież” to za mało, co pokazała Kolbuszowa.
- directions_car
Zasady wynoszenia dokumentów i nośników
Kto, co i po co wynosi, w czym to przewozi i kiedy wraca do firmy. Nic nie zostaje w aucie, a papiery jadą w zamykanej teczce.
- lock
Szyfrowanie już przy wydaniu nośnika
Firma wydaje pendrive'y już zaszyfrowane, więc pracownik nie musi tego umieć. Po przeniesieniu danych nośnik jest czyszczony.
- notifications_active
Jedna osoba do zgłoszeń
Każdy wie, do kogo dzwoni i że ma to zrobić tego samego dnia. Kto boi się reakcji szefa, ten będzie szukał pendrive'a w domu przez tydzień.
- fact_check
Sprawdzanie, czy to działa
Art. 32 RODO wymaga regularnego testowania zabezpieczeń, a w Kolbuszowej tego zabrakło. Sprawdź wyrywkowo nośnik, teczkę i rejestr naruszeń.
Do tego dochodzą papiery i szkolenie, które w Pyskowicach przyszło dopiero po fakcie. Co podpisać przy zatrudnieniu, znajdziesz we wpisie Dokumenty RODO dla pracownika: podpisy pierwszego dnia, a jak to udokumentować, w tekście Szkolenie RODO obok BHP: jak często i jak dokumentować skuteczność.
Najczęstsze pytania o karę za naruszenie RODO
Czy pracownik płaci karę za naruszenie RODO?+
Nie. Administracyjną karę pieniężną dostaje administrator danych albo firma, która przetwarza dane w jego imieniu (art. 83 RODO), czyli zwykle Ty, a nie pracownik. Odpowiedzialność pracownika wobec firmy to osobna sprawa z Kodeksu pracy: przy winie nieumyślnej odszkodowanie nie przekroczy trzech pensji (art. 119), a pracownik nie odpowiada w zakresie, w jakim pracodawca sam przyczynił się do szkody (art. 117). Brak procedury może więc działać przeciw Tobie.
Jaka jest maksymalna kara za naruszenie RODO?+
Maksymalna kara za naruszenie RODO zależy od tego, jaki obowiązek złamano. Za zabezpieczenia i zgłaszanie naruszeń do 10 mln euro albo 2% światowego rocznego obrotu firmy, jeśli ta kwota jest wyższa (art. 83 ust. 4 RODO). Za naruszenie podstawowych zasad do 20 mln euro albo 4% obrotu (art. 83 ust. 5 RODO). Jednostki sektora finansów publicznych mają znacznie niższe limity (art. 102 ustawy o ochronie danych osobowych).
Czy każdy zgubiony pendrive trzeba zgłosić do UODO?+
Nie każdy, ale każdy z danymi osobowymi trzeba ocenić i wpisać do rejestru naruszeń. Zgubiony pendrive z niezaszyfrowanymi danymi osobowymi wytyczne EROD każą zgłosić. Przy pendrivie zaszyfrowanym dobrym algorytmem, gdy klucz nie wyciekł, a dane masz w kopii zapasowej, zgłoszenie może nie być potrzebne.
Czy mała firma też może dostać karę od UODO?+
Tak, RODO nie wyłącza małych firm z kar. Przedsiębiorca z gastronomii, który według decyzji UODO działa na niewielką skalę, dostał prawie 19 tys. zł kary za to, że nie odpowiadał na wezwania urzędu w sprawie skargi osoby, którą zatrudniał (komunikat UODO). Karę dostała też wspólnota z tego wpisu, choć nie jest przedsiębiorstwem. Wysokość kary zależy od obrotu, ale też od tego, jak firma zachowała się po incydencie i czy współpracowała z urzędem (Biuletyn UODO 11/2024).
Pamiętaj: pendrive może zgubić każdy, auto mogą ukraść każdemu, a pismo może trafić do niewłaściwej osoby. UODO zapyta, czy przewidziałeś to wcześniej i co zrobiłeś w ciągu następnych 72 godzin.
W Lejdis BHP prowadzimy szkolenia dla pracodawców i osób kierujących pracownikami, a procedury ochrony danych przygotowujemy w Lejdis Prawo w ramach dokumentacji RODO. Napisz do nas, jeśli chcesz uporządkować to u siebie.
