Kiedy kara, a kiedy nie: EROD spisuje część, której brakowało

Rozróżnienie tych dwóch dokumentów to jedyna rzecz, którą trzeba dobrze zrozumieć. Wytyczne z 2022 r. odpowiadają na pytanie «ile»: wychodzi się od wagi naruszenia, ustala punkt wyjścia, stosuje czynniki z art. 83 ust. 2, patrzy na obrót. Wytyczne 04/2026 odpowiadają na pytanie wcześniejsze, którego nikt nigdy nie spisał w uporządkowany sposób: «czy w ogóle dochodzi do kary i dlaczego nie do upomnienia, nakazu czy ograniczenia». Do wczoraj ta część była praktyką, to znaczy różniła się między organami.

Metoda ma pięć kroków, czytanych po kolei: każdy może zamknąć sprawę przed następnym.

• Pierwszy: organ sprawdza, czy zarzucane naruszenie w ogóle może prowadzić do kary, znajdując podstawę w RODO albo w prawie krajowym.
• Drugi: sprawdza, czy badany podmiot może być adresatem. To, czy odpowiada administrator czy podmiot przetwarzający, zależy od tego, kogo wiąże naruszony przepis.
• Trzeci: ocenia, czy naruszenie popełniono umyślnie czy nieumyślnie. Zawinienie jest warunkiem kary, a nie czynnikiem obniżającym.
• Czwarty: waży okoliczności obciążające i łagodzące. Jeżeli naruszenie jest drobne, co do zasady nie nakłada się kary i stosuje upomnienie; jeżeli nie jest drobne, istnieje silne domniemanie, że karę należy nałożyć.
• Piąty: sprawdza, czy kara jest skuteczna, proporcjonalna i odstraszająca w danej sprawie oraz czy są powody odstąpienia od podejścia standardowego.

Trzeci krok zasługuje na tę samą uwagę, z przeciwnego powodu. Zawinienie przedstawia się jako warunek: bez umyślności lub niedbalstwa kary się nie nakłada. Wygląda to na dobrą wiadomość dla administratora i po części nią jest, ale natychmiast zamienia się w obowiązek praktyczny. Braku winy się nie deklaruje, braku winy się dowodzi: datą, w której zauważono ryzyko, opinią IOD, decyzją organu uprawnionego do jej podjęcia, wykonanym działaniem. Organizacja, która nie zostawia po tym śladu, nie ma jak odróżnić się od niedbałej, bo z zewnątrz obie wyglądają bardzo podobnie.

Najbardziej użyteczna część dokumentu dla praktyków to czternaście przykładów: sprawy zbudowane tak, by pokazać, jak organ wybiera między upomnieniem, nakazem, ograniczeniem, zakazem, cofnięciem certyfikacji a karą i kiedy je łączy. Ten materiał wart jest więcej niż wiele stron zasad, bo czyni czytelną granicę między sytuacjami.

Ostatnia rzecz, i ma termin. Tekst jest w konsultacjach publicznych do 13 listopada 2026 r.: uwagi może przesłać każdy, nie tylko organizacje branżowe. Dla kancelarii obsługującej klientów w kilku państwach to konkretna okazja, bo właśnie niejednolitość między organami krajowymi jest problemem, który te wytyczne deklarują zamknąć.