Pismo z UODO u pracodawcy: o co pyta urząd i jak odpowiedzieć

Otwierasz kopertę z Urzędu Ochrony Danych Osobowych. W środku znak sprawy, kilka pytań o dane jednego z Twoich pracowników i termin na odpowiedź. Pismo z UODO to jeszcze nie kara. Ale jeśli nikt na nie nie odpowie, kara może przyjść za samo milczenie.

Tak skończyła się sprawa przedsiębiorcy prowadzącego restaurację. Pracownica złożyła skargę, a urząd zapytał go między innymi o pobieranie jej odcisków palców. Przedsiębiorca przez ponad 3 lata nie odpowiedział i dostał 18 941 zł kary. Za samo milczenie. Poniżej znajdziesz, skąd takie pismo trafia do pracodawcy, ile masz czasu, o co urząd pyta i jak przygotować odpowiedź.

Skąd pracodawca dostaje pismo z UODO?

Najczęściej z jednego z trzech powodów. Przy skardze i zgłoszonym naruszeniu takie pismo to zwykle pytania urzędu o szczegóły sprawy (art. 58 ust. 1 lit. a RODO). Kontrola wygląda inaczej.

Skarga do UODO od pracownika, byłego pracownika albo kandydata

Skargę do UODO może złożyć każdy, kto uważa, że przetwarzając jego dane, naruszasz RODO (art. 77 RODO). Skarżący zwykle za nią nie płaci, bo urząd wykonuje swoje zadania wobec osoby, której dane dotyczą, bezpłatnie (art. 57 ust. 3 RODO).

Pracodawca przetwarza sporo danych, które mogą stać się powodem skargi: akta osobowe, listy płac, nagrania z monitoringu, CV kandydatów. W sprawie restauracji urząd pytał o odciski palców osoby, której dane przedsiębiorca miał w związku z jej zatrudnieniem.

Zgłoszone przez Ciebie naruszenie danych

Lista płac wysłana mailem do niewłaściwej osoby albo zgubiony pendrive z aktami to naruszenie ochrony danych. Zgłaszasz je urzędowi bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od jego stwierdzenia, chyba że jest mało prawdopodobne, by stworzyło ryzyko dla pracowników (art. 33 ust. 1 RODO). Zgłoszenie po 72 godzinach musi wyjaśniać, skąd opóźnienie. Po zgłoszeniu urząd może dopytać o szczegóły, bo art. 58 ust. 1 lit. a RODO pozwala mu żądać wszelkich informacji potrzebnych do sprawy. O tym, jak nie dopuścić do takiej wpadki w kadrach, piszemy we wpisie Przesyłanie danych osobowych mailem a RODO - dokumenty pracowników.

Kontrola UODO

Prezes UODO kontroluje firmy według planu kontroli, na podstawie informacji, które do niego dotarły, albo w ramach monitorowania, jak firmy stosują RODO (art. 78 ustawy o ochronie danych osobowych). Kontrolę przeprowadza upoważniony pracownik urzędu (art. 79 tej ustawy), który przychodzi do firmy i okazuje imienne upoważnienie z legitymacją służbową (art. 81 ust. 1).

Ile czasu masz na odpowiedź i czy musisz odpowiedzieć?

Termin wyznacza urząd w piśmie. Nie ma jednego terminu dla wszystkich spraw: restaurator miał 7 dni od doręczenia pierwszego wezwania.

Odpowiedzieć musisz. Art. 31 RODO zobowiązuje administratora, czyli pracodawcę decydującego o danych pracowników, do współpracy z urzędem na jego żądanie. Art. 58 ust. 1 lit. a i e RODO daje urzędowi prawo żądać informacji i dostępu do danych.

Za niedostarczenie informacji, których urząd żąda na podstawie art. 58 ust. 1, grozi kara do 20 mln euro, a dla przedsiębiorstwa do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, jeśli ta kwota jest wyższa (art. 83 ust. 5 lit. e RODO). Za naruszenie samego art. 31 górna granica jest niższa: 10 mln euro albo 2% obrotu (art. 83 ust. 4 lit. a RODO).

Nieodebrany list też się liczy. Jeśli nie odbierzesz go mimo dwóch awiz, uznaje się go za doręczony z upływem ostatniego dnia 14-dniowego okresu, przez który poczta przechowuje list (art. 44 § 1 i 4 Kodeksu postępowania administracyjnego). Termin z pisma liczysz od następnego dnia (art. 57 § 1 tego kodeksu).

UODO kara za milczenie: 18 941 zł dla restauratora

Historię opisuje decyzja Prezesa UODO z 23 czerwca 2025 r. (DKE.561.1.2025). Prezes UODO wspomniał o niej we wstępie do Biuletynu UODO 7-8/2025, gdzie kwota jest zaokrąglona do 18 tysięcy złotych.

W grudniu 2021 r. urząd zapytał przedsiębiorcę o dwie rzeczy. Czy, od kiedy, na jakiej podstawie prawnej i w jakim celu przetwarza odciski palców pracownicy. I czy przekazał jej informacje wymagane przez art. 13 RODO, a jeśli tak, to kiedy, jak i o jakiej treści (z kopią tej informacji).

Według potwierdzenia odbioru pismo odebrał sam przedsiębiorca. Urzędowi odpisał tylko inny mężczyzna: że to on przypadkiem odebrał list, a adresat jest za granicą. Urząd uznał, że to nie zwalnia z odpowiedzi, bo przedsiębiorca mógł ustanowić pełnomocnika.

W 2024 r. przyszły dwa kolejne pisma z ostrzeżeniem, że brak wyczerpującej odpowiedzi może skończyć się karą. Przedsiębiorca ich nie odebrał, więc uznano je za doręczone. Nie pomogły też telefony z urzędu.

Urząd nie ocenił nawet, czy pobieranie odcisków palców było zgodne z prawem, bo nie dostał żadnych wyjaśnień. W piśmie o wszczęciu postępowania w sprawie kary pouczył jeszcze, że wyjaśnienia mogą karę złagodzić albo doprowadzić do odstąpienia od niej. Bez odpowiedzi i bez danych finansowych oszacował ją sam: 4 500 euro, czyli 18 941 zł. Według portalu orzeczeń UODO decyzja jest nieprawomocna.

O co UODO pyta pracodawcę i jakie dokumenty przygotować?

Pytania dotyczą konkretnej sprawy, tak jak w restauracji: podstawa prawna, cel i okres przetwarzania danych oraz informacja przekazana pracownikowi. Na takie pytania najłatwiej odpowiedzieć dokumentami. U pracodawcy zwykle chodzi o cztery rodzaje.

Upoważnienia do przetwarzania danych

Kadrowa, kierownik czy księgowa przetwarzają dane pracowników tylko z Twojego upoważnienia (art. 29 RODO). Przy danych szczególnych, takich jak dane biometryczne pracownika, Kodeks pracy wymaga wprost pisemnego upoważnienia wydanego przez pracodawcę (art. 22¹b § 3 Kodeksu pracy).

Jeśli masz czytnik linii papilarnych, przygotuj się na pytanie o podstawę. Kodeks pracy pozwala oprzeć się na zgodzie pracownika tylko wtedy, gdy z własnej inicjatywy przekazuje takie dane (art. 22¹b § 1). Bez zgody odciski palców są dopuszczalne, gdy są niezbędne do kontroli dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, albo do pomieszczeń wymagających szczególnej ochrony (art. 22¹b § 2).

Klauzule informacyjne tam, gdzie zbierasz dane

Informacje z art. 13 RODO przekazujesz kandydatowi przy rekrutacji, pracownikowi przy zatrudnieniu i za każdym razem, gdy zaczynasz zbierać nowe dane, np. przy wprowadzeniu czytnika. O kopię takiej informacji urząd pytał restauratora.

Rejestr naruszeń

Dokumentujesz w nim każde naruszenie ochrony danych, także to, którego nie zgłaszałeś urzędowi (art. 33 ust. 5 RODO). Gdy naruszeń nie było, pusty rejestr nie jest obowiązkiem, ale dobrze go mieć gotowego.

Umowy powierzenia

Jeśli kadry i płace prowadzi za Ciebie biuro rachunkowe albo dane pracowników trzymasz w programie kadrowym w chmurze zewnętrznej firmy, potrzebujesz z tą firmą umowy powierzenia (art. 28 ust. 3 RODO).

Brakujących dokumentów nie warto pisać w pośpiechu, w terminie z pisma. Lepiej mieć komplet wcześniej. Przygotujemy go w ramach dokumentacji RODO dla firmy, a o tym, jak uczyć zespół zasad ochrony danych, przeczytasz we wpisie Szkolenie RODO obok BHP: jak często i jak dokumentować skuteczność.

Jak przygotować odpowiedź na pismo z UODO?

Odpowiada pracodawca jako administrator danych. Podpisuje ktoś, kto może działać w imieniu firmy: w jednoosobowej działalności właściciel, w spółce osoby uprawnione do jej reprezentowania. Odpowiedź może przygotować kadrowa albo inspektor ochrony danych, ale podpisują ją oni dopiero z pełnomocnictwem.

Pełnomocnictwo dajesz na piśmie, a pełnomocnik dołącza do akt oryginał albo urzędowo poświadczony odpis (art. 33 Kodeksu postępowania administracyjnego). Zwykle trzeba od niego zapłacić 17 zł opłaty skarbowej.

Czego nie robić w odpowiedzi

• Nie zbywaj urzędu jednym zdaniem w rodzaju „przetwarzamy dane zgodnie z RODO”. Restauratora urząd ostrzegał właśnie przed brakiem wyczerpującej odpowiedzi.
• Nie ograniczaj się do stwierdzenia, że skarga pracownika jest bezpodstawna. Nawet jeśli tak jest, urząd musi to ocenić na podstawie faktów, które mu dasz.
• Nie milcz, gdy coś Cię blokuje. Restauratorowi urząd wytknął, że nie poinformował o żadnych przeszkodach. Wyjazd za granicę nie był wymówką, bo mógł ustanowić pełnomocnika.

Najczęstsze pytania o pismo z UODO u pracodawcy

Odpowiedź w terminie, nawet niepełna, zamiast ciszy

Pamiętaj: urząd karze za milczenie, nawet gdy sprawy, o którą pytał, nie zdążył jeszcze ocenić. Krótka odpowiedź w terminie z zapowiedzią uzupełnienia jest lepsza niż idealna, która nie przyszła wcale.

Jeśli pismo z UODO zbiegło się z kontrolą w Twojej firmie albo chcesz uporządkować dokumenty, zanim ktokolwiek o nie zapyta, zobacz, jak pomagamy przy kontroli w firmie. Napisz albo zadzwoń.