TL;DR
Na posiedzeniu plenarnym ogłoszonym 21 września 2026 r. EROD przyjęła wytyczne 04/2026 o tym, jak organy decydują o nałożeniu kary pieniężnej, samodzielnie lub obok innych uprawnień naprawczych z art. 58 ust. 2. Pięć kroków: podstawa prawna kary, podmiot odpowiedzialny, umyślność lub niedbalstwo, okoliczności obciążające i łagodzące, skuteczność i proporcjonalność. Drobne naruszenie: co do zasady bez kary, ewentualnie upomnienie. Naruszenie niedrobne: silne domniemanie kary. Czternaście przykładów. Zastępują wytyczne Grupy Roboczej Art. 29 z 2017 r. i uzupełniają wytyczne 04/2022 o obliczaniu kwoty. Konsultacje do 13 listopada 2026 r. Na tym samym posiedzeniu przyjęto ostateczną wersję wytycznych 3/2025 o relacji DSA i RODO.
Co się zmienia
Wytyczne 04/2022 wyjaśniają, jak oblicza się wysokość kary. Brakowało kroku wcześniejszego: kiedy organ musi ukarać, a kiedy może ograniczyć się do innego środka. Nowe wytyczne wypełniają tę lukę i zastępują dawny dokument Grupy Roboczej Art. 29. Opisują też każde uprawnienie naprawcze — ostrzeżenia, upomnienia, nakazy, ograniczenia i zakazy, cofnięcie certyfikacji — wraz z jego celem i powiązaniem z karą.
Pięć kroków
- PODSTAWA PRAWNA. Organ sprawdza, czy za to naruszenie można nałożyć karę na gruncie RODO lub prawa krajowego.
- KTO ODPOWIADA. Administrator lub podmiot przetwarzający, zależnie od tego, kogo wiąże naruszony przepis: bezpieczeństwo z art. 32 wiąże na przykład obu.
- UMYŚLNOŚĆ LUB NIEDBALSTWO. Bez winy nie ma kary. To linia wyznaczona już przez Trybunał Sprawiedliwości w sprawie Deutsche Wohnen (C-807/21, 5 grudnia 2023 r.).
- OKOLICZNOŚCI OBCIĄŻAJĄCE I ŁAGODZĄCE. Przy drobnym naruszeniu co do zasady bez kary, najwyżej upomnienie; przy niedrobnym istnieje silne domniemanie, że karę należy nałożyć.
- SKUTECZNA, PROPORCJONALNA, ODSTRASZAJĄCA. Ostatnia kontrola, z możliwością odejścia od standardu, gdy uzasadnia to sprawa.
Domniemanie, które się liczy
Najostrzejszy jest czwarty krok. Poza drobnymi naruszeniami kara nie jest już opcją wymagającą uzasadnienia, lecz regułą, od której odstępuje się tylko z ważnych powodów. Kto liczył na pierwsze upomnienie „grzecznościowe”, ma coraz mniej miejsca.
Dlaczego to ważne także dla małych organizacji
Wytyczne mają ujednolicić działania organów europejskich: to samo naruszenie powinno spotkać się z tą samą reakcją w Rzymie, Lizbonie czy Sztokholmie. Dla organizacji oznacza to, że to, co waży w czwartym kroku — współpraca, podjęte już środki, istniejąca dokumentacja, szybkie działania naprawcze — staje się jeszcze bardziej przewidywalne. A buduje się to wcześniej, nie w trakcie postępowania.
Co to oznacza dla IOD
Cztery ruchy
Po pierwsze: wina jest warunkiem i ocenia się ją na podstawie tego, co organizacja wiedziała i zrobiła. Rejestr, DPIA, analizy ryzyka i datowane procedury dowodzą, że niedbalstwa brak lub jest niewielkie. Po drugie: dokumentować działania naprawcze z datami i osobami odpowiedzialnymi, bo liczą się jako okoliczności łagodzące. Po trzecie: upomnienie to nie „nic”: zostaje w aktach i waży jako precedens. Po czwarte: uwagi można zgłaszać do 13 listopada 2026 r. W DPO Workspace diagnoza rejestru i historia aktywności już łączą daty, decyzje i uzasadnienia.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
