REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

I co z tymi karami…? Czyli pierwsze pół roku stosowania RODO

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Lubasz i Wspólnicy
Kancelaria Radców Prawnych
I co z tymi karami…? Czyli pierwsze pół roku stosowania RODO
I co z tymi karami…? Czyli pierwsze pół roku stosowania RODO

REKLAMA

REKLAMA

25 maja 2018 roku większość podmiotów przetwarzających dane osobowe drżało z obawy przed stosowanie przepisów RODO. Strach spowodowany był przede wszystkim bardzo wysokimi sankcjami finansowymi za naruszenia związane z przetwarzaniem danych osobowych, które mogą sięgać nawet 20 000 000 euro (tudzież 4% wartości rocznego światowego obrotu przedsiębiorstwa). Dziś większość podmiotów przetwarzających zaczyna pytać o to „co właściwie z tymi karami”, czy jakiekolwiek decyzje zostały już wydane przez Organ, czy kary są wysokie i przede wszystkim za jakie naruszenia są orzekane?

W okresie 6 miesięcy od początku stosowania RODO do Prezesa Urzędu Ochrony Danych Osobowych (dalej: PUODO) wpłynęło łącznie 3 700 skarg (dla porównania, w całym roku 2017 wpłynęło ich 2 950); 1 800 zgłoszeń obejmowało naruszenia ochrony danych osobowych, o których mowa w treści art. 33 RODO. Zdarzyło się także kilkanaście przypadków podjęcia przez PUODO działań z urzędu (za sprawą donosów). Przez pierwsze miesiące stosowania RODO Organ jednak nie sięgnął po finansowe instrumenty karania. Można przypuszczać, iż było to poniekąd spowodowane okresem przejściowym, który zakończył się we wrześniu. Od tego momentu Organ przestał stosować taryfę ulgową i rozpoczął szeroko zakrojone działania kontrolne.

REKLAMA

REKLAMA

Wracając jednak do wysokości kar finansowych, zwrócić należy uwagę na to, że o ile górne progi kar są jednolite dla wszystkich państw członkowskich Unii Europejskiej, to ich rzeczywista wysokość w danym państwie będzie zależna od regulacji krajowych organów ochrony danych osobowych. W polskiej ustawie z dnia 10 maja 2018 r. - o ochronie danych osobowych (Dz. U. 1000.2018) ustalono stosunkowo niski limit kar za naruszenie zasad ochrony danych osobowych, w przypadku tzw. podmiotów publicznych. Limit ten wynosi tylko 100 000 zł, co dla PUODO może stanowić punkt odniesienia przy nakładaniu kar na inne podmioty prywatne. Trudno bowiem wyobrazić sobie, że za podobne przekroczenia kary nakładane na obydwie kategorie administratorów byłyby znacząco różne.

W tym miejscu warto wskazać, iż istnieje szereg czynników, które mogą wpłynąć na wysokość nałożonej przez PUODO kary finansowej, np.:

  • umyślność/nieumyślność naruszenia,
  • stopień odpowiedzialności za naruszenie,
  • rodzaj działań podjętych w celu zminimalizowania szkody poniesionej prze podmiot, którego dane dotyczą,
  • współpraca z Organem w celu usunięcia naruszenia oraz złagodzenia jego skutków,
  • kategorie danych osobowych, których dotyczy naruszenie,
  • sposób, w jaki Organ dowiedział się o naruszeniu, tj. czy i w jakim zakresie naruszenie zostało zgłoszone przez administratora/podmiot przetwarzający dane osobowe.

Nie można jednak zapominać, że oprócz kar finansowych zastosowanie będą miały także, a być może - przede wszystkim - środki prawne o charakterze administracyjnym.

REKLAMA

Podmioty przetwarzające powinni zdawać sobie sprawę, że sankcje administracyjne mogą być dla nich zdecydowanie bardziej dotkliwe niż sankcje pieniężne. Kary administracyjne mogą mieć bowiem zdecydowanie większy wpływ na samo funkcjonowanie przedsiębiorstwa.

Dalszy ciąg materiału pod wideo

Spośród sankcji administracyjnych wskazanych w art. 58 RODO można wymienić takiej jak:

  • ostrzeżenia wydawane administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania;
  • udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania;
  • nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia;
  • nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów RODO, a w stosownych przypadkach wskazanie sposobu i terminu;
  • nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych;
  • wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania;
  • nakazanie na mocy art. 16, 17 i 18 sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie na mocy art. 17 ust. 2 i art. 19 powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono;
  • cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji udzielonej na mocy art. 42 lub 43, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane.

Polecamy: Kodeks pracy 2019. Praktyczny komentarz z przykładami + PDF

NOWOŚĆ na Infor.pl: Prenumerata elektroniczna Dziennika Gazety Prawnej KUP TERAZ!

Należy także pamiętać, że RODO dopuszcza możliwość łączenia sankcji administracyjnych oraz kar finansowych, tak aby nałożona kara opowiadała wadze naruszenia i jednocześnie miała niwelować przyszłe naruszenia.

Temat możliwości nakładania kar administracyjnych oraz sankcji finansowych jest na tyle istotny, iż pochyliła się nad nim Grupa Robocza art. 29, która w swoich wytycznych (Wytyczne Grupy Roboczej Art. 29 z dnia 3 października 2017 r. - w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia nr 2016/679) wskazała na konieczność przestrzegania zasady równoważnych kar, mających być odzwierciedleniem podobnego stopnia ochrony danych osobowych we wszystkich państwach członkowskich i które nie będą skutkowały zbyt dużymi rozbieżnościami w polityce karania, hamującymi swobodny przepływ danych osobowych wewnątrz Unii. Grupa Robocza wskazała także, że organ nadzorczy będzie miał obowiązek dokonać najwłaściwszego sposobu wdrożenia działań regulacyjnych, spośród wszystkich dostępnych środków naprawczych. Natomiast fakt ich nakładania będzie podlegał kontroli sądowej.

Mimo, że PUODO nie nałożył jeszcze kar finansowych, to inne europejskie organy nadzorcze poczyniły już w tej kwestii „postępy”.

  • Pierwsza kara w wysokości 250 000 Euro została nałożona we Francji.

    Kara została nałożona przez francuski odpowiednik PUODO - Commission Nationale de l’Informatique et des Libertés (CNIL), na sklep Optical Center zajmujący się sprzedażą okularów przeciwsłonecznych. Kara była wynikiem kontroli, która wykazała brak odpowiednich zabezpieczeń strony internetowej umożliwiającej zakup produktów. Dane klientów sklepu znajdujące się na fakturach (imię i nazwisko, miejsce zamieszkania, dane dot. zdrowia, numer ubezpieczenia zdrowotnego) i były dostępne dla każdego użytkownika wpisującego odpowiedni adres URL w pasku przeglądarki.

  • W Austrii została nałożona kara wysokości 4 800 Euro na podmiot prywatny, który w sposób nieprawidłowy stosował monitoring wizyjny (objęcie monitoringiem zbyt szerokiego obszaru chodnika publicznego oraz brak prawidłowego oznaczenia monitoringu).

  • Karę 400 000 Euro nałożył portugalski organ nadzorczy - Comissão Nacional de Protecção de Dados (CNPD), na Centrum Szpitalne Barreiro-Montijo.

    Kara została wymierzona za nieprawidłowości dotyczące dostępu do systemu zarządzania danymi medycznymi pacjentów. Dostęp do danych pacjentów posiadali także członkowie z personelu niemedycznego (socjalnego). W nieprawidłowy sposób działał także system uwierzytelniania, który pozwalał każdemu lekarzowi o dowolnej specjalizacji uzyskać dostęp do danych pacjentów z różnych ośrodków szpitalnych. Zarzuty CNPD były o tyle poważne, że organ zarzucał szpitalowi świadome działania oraz brak wprowadzenia organizacyjnych i technicznych środków bezpieczeństwa.

  • Karę finansową (co prawda jeszcze na kanwie wcześniejszych przepisów) w wysokości 500 000 funtów nałożył także brytyjski organ – Information Commissioner’s Office (ICO) na amerykańską firmę Equifax, specjalizującą się w analizie kredytowej i doradztwie finansowym. Podstawą decyzji stał się wyciek danych osobowych blisko 150 milionów klientów firmy, który spowodowany był nieprawidłową ochroną systemów informatycznych.

    W najbliższym czasie możemy się spodziewać kolejnej decyzji ICO, albowiem Organ pod groźbą nałożenia kary finansowej zawezwał kanadyjską spółkę AggregateIQ Data Service Ltd do zaprzestania naruszeń. ICO zarzuca spółce przetwarzanie danych osobowych Brytyjczyków bez podstawy prawnej.

Zapisz się na newsletter
Chcesz uniknąć błędów? Być na czasie z najnowszymi zmianami w podatkach? Zapisz się na nasz newsletter i otrzymuj rzetelne informacje prosto na swoją skrzynkę.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Księgowość
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
KSeF pomoże uszczelnić budżet. MF liczy na 18,7 mld zł wpływów w 2026 roku

Dzięki zmianom w podatkach i uszczelnieniu systemu za pomocą KSeF, Polska może w 2026 roku zyskać nawet 18,7 mld zł. Wśród planowanych działań są m.in. podwyżki CIT dla banków, wyższe stawki VAT i akcyzy oraz ograniczenie liczby osób nielegalnie zatrudnionych w budownictwie.

Samochód osobowy w firmie - zmiany w limitach od 1 stycznia 2026 r. Co z samochodami zakupionymi do końca 2025 roku?

Zmiany w prawie podatkowym potrafią zaskakiwać. Szczególnie wtedy, gdy istotne przepisy wprowadzane są niejako „tylnymi drzwiami”. Tym razem mamy do czynienia z modyfikacją, która znacząco wpłynie na sposób rozliczania kosztów związanych z nabyciem samochodów osobowych.

Rezerwa finansowa w firmie to nie luksus - to konieczność. Jak wyliczyć i budować rezerwę na nagłe sytuacje

Wielu właścicieli firm mówi: „Nie mam z czego odkładać, wszystko idzie na bieżące wydatki.” Inni: „Jak będą wolne środki, to coś odłożę.” Problem w tym, że te wolne środki rzadko kiedy się pojawiają. Albo jeśli już są – szybko znikają. A potem przychodzi miesiąc bez wpłat od klientów, niespodziewany wydatek albo gorszy sezon. I nagle z dnia na dzień zaczyna brakować nie tylko pieniędzy, ale też spokoju, decyzyjności, kontroli. To nie pech. To brak bufora.

100 dni do KSeF – co się zmieni już od lutego 2026 roku?

Już od 1 lutego 2026 r. duże firmy będą wystawiać wyłącznie e‑faktury w KSeF, a wszyscy podatnicy będą je odbierać elektronicznie. Od kwietnia obowiązek rozszerzy się na pozostałych przedsiębiorców, wprowadzając jednolity, ustandaryzowany obieg faktur i koniec papierowych dokumentów.

REKLAMA

Skarbówka potwierdza: darowizny od rodzeństwa zwolnione z podatku nawet przy wspólności majątkowej

Dyrektor Krajowej Informacji Skarbowej potwierdził, że darowizny pieniężne od rodzeństwa są zwolnione z podatku, nawet jeśli darczyńcy mają wspólność majątkową. Kluczowe jest jedynie terminowe zgłoszenie darowizny i udokumentowanie przelewu. To dobra wiadomość dla wszystkich, którzy otrzymują wsparcie finansowe od bliskich.

Nowa opłata cukrowa uderzy w małe firmy? Minister ostrzega przed katastrofą dla MŚP

Minister Agnieszka Majewska, Rzecznik MŚP, ostrzega przed skutkami nowelizacji „podatku cukrowego”. Zwraca uwagę, że projekt zmian w ustawie o zdrowiu publicznym przygotowany przez Ministerstwo Finansów może nadmiernie obciążyć najmniejsze firmy. Nowe przepisy dotyczące opłaty cukrowej mają – wbrew intencjom resortu – rozszerzyć obowiązki sprawozdawcze i podatkowe także na mikro i małych przedsiębiorców.

Najważniejsze zmiany przepisów dla firm 2025/2026. Jakie nowe obowiązki i wyzwania dla biznesu?

Trzeci kwartał 2025 roku przyniósł przedsiębiorcom aż 13 istotnych zmian regulacyjnych. Powszechne oburzenie przedsiębiorców wzbudza jednak krótsze od obiecywanego 6-miesięcznego vacatio legis. Z jednej strony postępuje cyfryzacja i deregulacja procesów, z drugiej – rosną obciążenia fiskalne i kontrolne. Z najnowszego Barometru TMF Group obejmującego trzeci kwartał 2025 roku wynika, że równowaga między ułatwieniami a restrykcjami została zachwiana kosztem zmian wymagających dla prowadzenia biznesu.

Jak uwierzytelnić się w KSeF? Pieczęć elektroniczna to jedna z metod - zgłoszenie w ZAW-FA, API KSeF 2.0 lub przy użyciu Aplikacji Podatnika KSeF

Aby korzystać z Krajowego Systemu e-Faktur (KSeF), nie trzeba zakładać konta, ale konieczne jest potwierdzenie tożsamości i uprawnień. Jednym z bezpiecznych sposobów uwierzytelnienia – szczególnie dla spółek i innych podmiotów niebędących osobami fizycznymi – jest kwalifikowana pieczęć elektroniczna. Sprawdź, jak działa i jak jej użyć w KSeF.

REKLAMA

Faktury korygujące w KSeF: Jak powinny być wystawiane od lutego 2026 roku?

Pytanie dotyczy zawartości pliku xml, za pomocą którego będzie wczytywana do KSeF faktura korygująca. Czy w związku ze zmianą struktury logicznej FA(3) w przypadku faktur korygujących podstawę opodatkowania i podatek będzie niezbędne zawarcie w pliku xml wartości „przed korektą” i „po korekcie”? Jeżeli będzie możliwy import na podstawie samej różnicy faktury korygującej (co wynikałoby z zamieszczonego na stronie MF pliku FA_3_Przykład_3 (Przykładowe pliki dla struktury logicznej e-Faktury FA(3)), to czy ta możliwość obejmuje fakturę korygującą do faktury pierwotnej już wcześniej skorygowanej (ponowną korektę)?

Rezygnacja członka zarządu w spółce z o.o. – jak to zrobić prawidłowo (zasady, dokumentacja, odpowiedzialność)

W realiach obrotu gospodarczego zdarzają się sytuacje, w których członek zarządu spółki z ograniczoną odpowiedzialnością decyduje się na złożenie rezygnacji z pełnionej funkcji. Powody mogą być różne – osobiste, zdrowotne, biznesowe czy organizacyjne – ale decyzja ta zawsze powinna być świadoma i przemyślana, zwłaszcza z perspektywy konsekwencji prawnych i finansowych.

REKLAMA