Egzekwowanie RODO w 2026 r.: wysokie kary i nowe procedury

Opublikowano 19 października 2026 · Zaktualizowano 22 października 2026 · Dazr

403 mln euro kary dla Google za dane o lokalizacji, szybsze procedury transgraniczne od kwietnia 2027 r. i zmiany RODO, które są wciąż tylko propozycją.

Osiem lat po rozpoczęciu stosowania RODO egzekwowanie przepisów wciąż przynosi duże decyzje, a sposób rozpatrywania spraw transgranicznych wkrótce się zmieni.

Ostatnie decyzje

Uber, 824,99 mln euro (opublikowano 8 października 2026 r.). Niderlandzki organ ochrony danych (AP) ustalił, że Uber dezaktywował konta kierowców w drodze w pełni zautomatyzowanych decyzji, czasowo w razie podejrzenia oszustwa lub niskich ocen i na stałe przy utrzymujących się niskich ocenach, z naruszeniem art. 22, oraz że nie informował kierowców w wystarczającym stopniu (art. 13). Sprawa zaczęła się od skarg 171 francuskich kierowców złożonych do CNIL i dotyczy lat 2018–2022. Uber złożył odwołanie, więc decyzja nie jest ostateczna.
Google, 403 mln euro (21 września 2026 r.). Irlandzka Data Protection Commission (DPC), jako wiodący organ nadzorczy, stwierdziła, że Google naruszył RODO przy przetwarzaniu danych o lokalizacji w Aktywności w internecie i aplikacjach, Historii lokalizacji i Dokładności lokalizacji: zgodność z prawem i rzetelność, przejrzystość, rozliczalność oraz okres przechowywania. Google musi dostosować przetwarzanie w ciągu sześciu miesięcy.
TikTok, 530 mln euro (2 maja 2025 r.). DPC stwierdziła, że TikTok nie wykazał, iż dane użytkowników z EOG, do których zdalnie uzyskiwali dostęp pracownicy w Chinach, miały zasadniczo równoważną ochronę (art. 46 ust. 1), a polityka prywatności nie wymieniała państw, których to dotyczy (art. 13 ust. 1 lit. f).

Razem przypominają, że największe kary dotyczą zautomatyzowanych decyzji, przekazywania danych poza EOG, przejrzystości i przechowywania danych dłużej, niż to konieczne.

Szybsze procedury transgraniczne od 2 kwietnia 2027 r.

Rozporządzenie (UE) 2025/2518 dodaje przepisy proceduralne dla transgranicznych spraw z zakresu RODO. Opublikowano je 12 grudnia 2025 r., a stosuje się od 2 kwietnia 2027 r. Ujednolica ono kryteria dopuszczalności skarg, daje skarżącym i firmom prawo do bycia wysłuchanym i zapoznania się ze wstępnymi ustaleniami oraz wprowadza terminy: co do zasady 15 miesięcy na postępowanie, z możliwością przedłużenia o 12 miesięcy w sprawach złożonych, i uproszczoną procedurę dla prostych spraw. Materialne przepisy RODO się nie zmieniają.

Proponowane zmiany RODO

Digital Omnibus zaproponowany przez Komisję w listopadzie 2025 r. zawiera zmiany RODO, takie jak wyższy próg i dłuższy termin zgłaszania naruszeń ochrony danych organom oraz jeden punkt zgłaszania incydentów. EROD i EIOD poparły część z nich we wspólnej opinii z lutego 2026 r., a co do innych wyraziły zastrzeżenia. To propozycje: nadal obowiązuje 72-godzinny termin zgłoszenia naruszenia.

Co sprawdzić

Rejestr czynności przetwarzania i okresy przechowywania, zwłaszcza dla danych o lokalizacji i innych danych wrażliwych.
Oceny transferów dla każdego dostępu spoza EOG, w tym zdalnego wsparcia.
Polityki prywatności, które jasno wymieniają odbiorców i państwa.
Procedurę obsługi naruszeń, która pozwala dotrzymać terminu 72 godzin.
Tam, gdzie oprogramowanie decyduje o ludziach, na przykład blokuje konto: rzeczywistą weryfikację przez człowieka i jasne wyjaśnienie dla osób, których to dotyczy.

Źródła

Wyłącznie w celach informacyjnych, nie stanowi porady prawnej. Ostatnia aktualizacja: 22 października 2026.

Tematy: RODO, Egzekwowanie, UE

Dostępne także w języku: English, Nederlands, Italiano, Deutsch, Français, Español, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål