Poczta Polska z gigantyczną karą. Wszystko przez RODO

Z artykułu dowiesz się:

W 2025 roku łączna wartość kar nałożonych przez Prezesa UODO przekroczyła 64,3 mln zł – to najwyższy wynik od wejścia w życie RODO
Najwyższa kara w historii polskiego RODO wyniosła 27 124 816 zł i została nałożona na Pocztę Polską w związku z organizacją wyborów korespondencyjnych
99,48% wartości wszystkich kar dotyczyło sektora prywatnego – głównie spółek kapitałowych
Najczęstsze naruszenia to brak odpowiednich zabezpieczeń danych (63% decyzji), problemy z rozliczalnością (56%) oraz brak właściwej podstawy prawnej przetwarzania danych (38%)

Rekordowe kary RODO w 2025 roku. Ponad 64 mln zł

Rozporządzenie o ochronie danych osobowych (RODO) jest podstawowym aktem prawnym regulującym zasady przetwarzania danych osobowych w Unii Europejskiej. Określa ono obowiązki podmiotów przetwarzających dane oraz prawa osób, których dane dotyczą. W dobie dynamicznego rozwoju technologii i powszechnego wykorzystania danych w działalności gospodarczej ich właściwa ochrona ma kluczowe znaczenie. Nadzór nad przestrzeganiem przepisów RODO w Polsce sprawuje Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO). Organ ten jest uprawniony nie tylko do kontrolowania zgodności działań z przepisami, ale także do nakładania administracyjnych kar pieniężnych w przypadku stwierdzenia naruszeń.

Od wejścia w życie RODO w 2018 r. praktyka nakładania kar przez PUODO stopniowo dojrzewała. Początkowo (2018) był to okres przejściowy bez kar finansowych, służący adaptacji do nowych przepisów. Od 2019 r. zaczęły pojawiać się pierwsze kary, a w latach 2020–2022 ich liczba rosła, choć pozostawały one niskie wartościowo. W latach 2023–2024 odnotowano wyraźny wzrost liczby kar, przy nadal umiarkowanej wysokości sankcji. Rok 2025 okazał się przełomowy w praktyce egzekwowania przepisów o ochronie danych osobowych przez Prezesa Urzędu Ochrony Danych Osobowych. Choć liczba wydanych decyzji administracyjnych była niższa niż w latach poprzednich, łączna wartość nałożonych kar osiągnęła rekordowy poziom ponad 64,3 mln zł.

Zobacz takżeAtak drona na Cypr. Spotkanie ministrów UE w Nikozji nagle odłożone

Poczta Polska z najwyższą karą w historii

Z raportu Prezesa UODO w 2025 wynika wyraźna dysproporcja pomiędzy sektorem prywatnym a publicznym. Podmioty prywatne odpowiadały za 99,48% łącznej wartości kar, co oznacza niemal 64 mln zł obciążeń finansowych. Najczęściej karanymi podmiotami były spółki kapitałowe – zarówno spółki akcyjne, jak i z ograniczoną odpowiedzialnością. Wynika to przede wszystkim ze skali ich działalności oraz poziomu obrotów, które – zgodnie z przepisami RODO – stanowią istotną podstawę ustalania wysokości kary.

Na szczególną uwagę zasługuje najwyższa jednostkowa kara w historii stosowania RODO w Polsce – 27 124 816,00 zł (42,16% wartości wszystkich kar) i została nałożona na Pocztę Polską S.A w związku z naruszeniami RODO podczas organizacji wyborów kopertowych. Jednocześnie w ramach tej samej decyzji najwyższą karą nałożoną na podmiot publiczny była kara w wysokości 100 000 zł wymierzona Ministrowi Cyfryzacji. Najniższa kara natomiast wynosiła 5 000,00 zł i została nałożona na Gminny Ośrodek Pomocy Społecznej w Aleksandrowie za brak wdrożenia wystarczających środków bezpieczeństwa oraz przeprowadzenia analizy ryzyka, które doprowadziły do ataku hackerskiego.

Zobacz takżeBezrobocie w górę? Alarmujący sygnał z rynku pracy

Koniec taryfy ulgowej

- Rok 2025 i rekordowe kary na łącznym poziomie prawie 65 mln złotych pokazują jasno, że zakończył się okres ulgowy związany z wdrażaniem RODO. Urząd Ochrony Danych Osobowych daje wyraźny sygnał, że po ponad 8 latach obowiązywania przepisów nie ma już miejsca na tłumaczenie się brakiem doświadczenia czy nieświadomością. Decyzje Prezesa UODO pokazują również wyraźnie, że zapewnienie zgodności z przepisami nie powinno być traktowane jako jednorazowy projekt, a stały element funkcjonowania firmy wpisany we wszystkie jej procesy - przekonuje Emilia Martynowicz-Mamajek, Associate, Kancelaria Prawna

Analiza decyzji Prezesa UODO pozwala wyróżnić trzy obszary, w których administratorzy danych najczęściej popełniali błędy:

Niewystarczające zabezpieczenia danych (63% decyzji)
Najczęściej były to braki w środkach technicznych i organizacyjnych, korzystanie z przestarzałych technologii lub błędna konfiguracja systemów IT
Problemy z dokumentowaniem działań (56%)
Organ konsekwentnie egzekwuje zasadę rozliczalności – samo posiadanie procedur nie wystarcza, jeżeli administrator nie jest w stanie wykazać, że są one realnie stosowane w praktyce
Brak właściwej podstawy prawnej przetwarzania danych (38%)

W tej kategorii mieszczą się m.in. przypadki nadmiarowego gromadzenia danych osobowych, jak masowe skanowanie dokumentów tożsamości pod pretekstem obowiązków AML. Przykładem jest kara 18,4 mln zł nałożona na ING Bank Śląski.