Wytyczne EROD 04/2026: kiedy naruszenie RODO kończy się karą pieniężną
EROD opisuje pięć kroków, w których organy decydują, czy za naruszenie RODO nałożyć karę, czy udzielić upomnienia. Uwagi do 13 listopada 2026.
17 września 2026 r. Europejska Rada Ochrony Danych (EROD) przyjęła wytyczne 04/2026. Wskazują one krajowym organom, jak decydować, czy za naruszenie RODO nałożyć administracyjną karę pieniężną, czy zastosować inny środek naprawczy, np. upomnienie lub nakaz. EROD opublikowała je 21 września 2026 r. Uwagi można zgłaszać do 13 listopada 2026 r., godz. 23:59 CET.
Wytyczne zastępują dawne wytyczne Grupy Roboczej Art. 29 dotyczące kar administracyjnych i uzupełniają wytyczne EROD o obliczaniu wysokości kar.
Pięć kroków
- Czy za naruszenie można nałożyć karę? Organ potrzebuje podstawy w RODO lub w prawie krajowym.
- Czy można ukarać tę stronę? To, czy odpowiada administrator, czy podmiot przetwarzający, zależy od tego, kogo wiąże naruszony przepis.
- Umyślność czy niedbalstwo? Zawinione naruszenie jest warunkiem nałożenia kary.
- Czy naruszenie jest drobne? Organ waży okoliczności obciążające i łagodzące z art. 83 ust. 2. Drobne naruszenie co do zasady nie prowadzi do kary; zamiast niej można udzielić upomnienia. Jeżeli nie jest drobne, istnieje silne domniemanie, że kara zostanie nałożona.
- Czy kara byłaby skuteczna, proporcjonalna i odstraszająca? Tu organ może w konkretnej sprawie znaleźć powód, by odejść od ogólnego podejścia.
Wytyczne omawiają też pozostałe uprawnienia naprawcze (ostrzeżenia, upomnienia, nakazy, ograniczenia, w tym zakazy, oraz cofnięcie certyfikacji) i podają 14 praktycznych przykładów.
Ostateczne są także: DSA i RODO
Na tym samym posiedzeniu plenarnym EROD przyjęła ostateczną wersję wytycznych 3/2025 o relacji między aktem o usługach cyfrowych (DSA) a RODO, dla usług pośrednich przetwarzających dane osobowe.
Co zrobić teraz
W kroku 4 czynniki z art. 83 ust. 2 przesądzają o upomnieniu albo karze: m.in. działania podjęte w celu zminimalizowania szkody, współpraca z organem, wcześniejsze naruszenia i kategorie danych. Liczy się to, by móc to szybko wykazać.
Dazr Compliance trzyma te dowody w jednym miejscu: rejestr czynności przetwarzania (art. 30), oceny skutków (DPIA) z historią każdej zmiany, cykliczne kontrole RODO i rejestr naruszeń z zegarem 72 godzin. Jeśli chcą Państwo skomentować wytyczne, formularz konsultacji EROD jest dostępny do 13 listopada.
Źródła
- EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
- EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
- EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
- EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version
Wyłącznie w celach informacyjnych, nie stanowi porady prawnej. Ostatnia aktualizacja: 7 listopada 2026.
Dostępne także w języku: English, Nederlands, Italiano, Deutsch, Français, Español, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål