- Podstawa prawna
- rozporządzenie (UE) 2016/679 (General Data Protection Regulation, GDPR)
- Obowiązuje od
- 25 maja 2018 r.
- Kogo dotyczy?
- Wszystkich, którzy przetwarzają dane osobowe osób przebywających w UE
- Kary pieniężne
- Do 20 mln EUR albo 4 % światowego rocznego obrotu
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest RODO?
Skrót RODO (ogólne rozporządzenie o ochronie danych, ang. GDPR) oznacza unijne rozporządzenie o ochronie danych osobowych. Obowiązuje bezpośrednio we wszystkich państwach członkowskich i tworzy jednolite ramy tego, jak firmy mają postępować z danymi takimi jak imiona i nazwiska, adresy, e-maile, adresy IP czy dane o zdrowiu.
Jakie zasady obowiązują?
- Zgodność z prawem: Dane wolno przetwarzać tylko na ważnej podstawie prawnej (np. zgoda albo umowa).
- Ograniczenie celu: Dane wolno wykorzystywać wyłącznie do określonych, jednoznacznych celów.
- Minimalizacja danych: Zbierać wolno tylko tyle danych, ile jest naprawdę potrzebne.
- Integralność & poufność: Dane trzeba chronić odpowiednimi środkami technicznymi i organizacyjnymi.
- Rozliczalność: Firmy muszą umieć wykazać, że przestrzegają przepisów.
Jakie prawa mają osoby, których dane dotyczą?
Osobom przysługuje m.in. prawo do dostępu do danych, sprostowania, usunięcia („prawa do bycia zapomnianym”), przenoszenia danych oraz prawo, by wobec przetwarzania wnieść sprzeciw. Firmy muszą odpowiadać na takie wnioski z reguły w ciągu miesiąca.
Jakie kary grożą?
Naruszenia mogą być karane karą pieniężną do 20 mln EUR albo 4 % światowego rocznego obrotu – w zależności od tego, która kwota jest wyższa. To czyni RODO jednym z najostrzejszych przepisów o ochronie danych na świecie.
RODO a NIS2 – jak to się łączy?
RODO i NIS2 mają różne cele – z jednej strony ochronę danych, z drugiej cyberbezpieczeństwo – ale mocno się pokrywają w zakresie środków bezpieczeństwa. Kto prowadzi ISMS i wdraża Środki techniczne i organizacyjne, spełnia często wymagania obu zbiorów przepisów jednocześnie. Obowiązki wobec dostawców usług też się zazębiają: tam, gdzie RODO wymaga umowy powierzenia przetwarzania danych na podstawie art. 28, NIS2 nakazuje zabezpieczenie łańcucha dostaw.
Jeśli atak ransomware zakłóci usługę istotną z punktu widzenia NIS2 i jednocześnie zaszyfruje dane osobowe klientów, firma musi obsłużyć dwie ścieżki równolegle: naruszenie ochrony danych zgłasza w ciągu 72 godzin Prezesowi Urzędu Ochrony Danych Osobowych (UODO), czyli organowi nadzorczemu w rozumieniu RODO, a równolegle prowadzi ścieżkę NIS2 – wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca do właściwego CSIRT przez system S46. Wspólny proces reagowania na incydenty zapobiega przeoczeniu terminów.
Źródło uzupełniające: EUR-Lex – ogólne rozporządzenie o ochronie danych (UE) 2016/679
Najczęstsze pytania
Czym jest RODO w prostych słowach?
RODO (ogólne rozporządzenie o ochronie danych, rozporządzenie UE 2016/679) to podstawowy unijny akt o ochronie danych; obowiązuje bezpośrednio we wszystkich państwach członkowskich od 25 maja 2018 r. Jednolicie reguluje, jak firmy mają przetwarzać, chronić i dokumentować dane osobowe takie jak imiona i nazwiska, adresy, e-maile czy dane o zdrowiu. Kluczowe zasady to zgodność z prawem, ograniczenie celu, minimalizacja danych oraz rozliczalność, czyli obowiązek wykazania zgodności.
Kogo obowiązuje RODO?
RODO obowiązuje wszystkie firmy i organizacje, które przetwarzają dane osobowe osób przebywających w UE – niezależnie od wielkości, a zgodnie z zasadą miejsca rynku także dostawców spoza UE, jeśli kierują ofertę do osób w UE. Osobom, których dane dotyczą, przysługują prawa do dostępu, sprostowania, usunięcia i przenoszenia danych; firmy muszą je zrealizować z reguły w ciągu miesiąca.
Jakie kary grożą za naruszenie RODO?
Za naruszenie RODO grożą kary pieniężne do 20 mln EUR albo 4 % światowego rocznego obrotu – w zależności od tego, która kwota jest wyższa. Ta górna granica czyni RODO jednym z najostrzejszych przepisów o ochronie danych na świecie. Jest wyraźnie wyższa niż kary z NIS2, które u podmiotów kluczowych sięgają 10 mln EUR albo 2 % światowego obrotu.