W skrócie
21 września 2026 r. EROD przyjęła wytyczne 04/2026 w sprawie stosowania uprawnienia do nakładania administracyjnych kar pieniężnych w relacji do pozostałych uprawnień naprawczych. Pięć kroków: trzy pierwsze to ustawowe warunki dopuszczalności kary, dwa ostatnie wybór między karą a inną środkiem. Jeżeli naruszenie jest drobne, co do zasady brak kary i upomnienie zamiast niej; jeżeli nie jest drobne, silne domniemanie, że karę należy nałożyć. Zastępują wskazówki Grupy Roboczej art. 29 z 2017 r. i uzupełniają wytyczne 04/2022 o obliczaniu kwoty. Czternaście praktycznych przykładów. Konsultacje publiczne do 13 listopada 2026 r.
Pytanie, którego brakowało
Od 2022 r. istnieje europejska metodyka obliczania kwoty kary. Nieobjęte pozostawało pytanie wcześniejsze: czy karę nałożyć, czy wystarczy upomnienie, ostrzeżenie, nakaz? Art. 58 daje organom wachlarz uprawnień naprawczych, a art. 83 mówi, że kara dochodzi do innych środków albo je zastępuje — nie mówił jednak, pod jakim warunkiem. Tę przestrzeń zajmują te wytyczne.
Ścieżka ma pięć kroków. Trzy pierwsze sprawdzają, czy kara jest prawnie możliwa: czy naruszenie może do niej prowadzić na podstawie rozporządzenia lub prawa krajowego; czy badana strona może być jej adresatem; czy naruszenia dopuszczono się umyślnie lub nieumyślnie. Dwa ostatnie dotyczą wyboru: okoliczności obciążające i łagodzące, a na końcu to, czy kara byłaby skuteczna, proporcjonalna i odstraszająca w konkretnej sprawie.
- KROK 2, niedoceniany: to, czy stronę można ukarać, zależy od tego, KOGO WIĄŻE naruszony przepis. Podmiot przetwarzający nie odpowiada za obowiązek, który rozporządzenie nakłada wyłącznie na administratora, i odwrotnie. Ta weryfikacja poprzedza rozmowę o kwocie.
- KROK 3: wina jest WARUNKIEM kary, nie czynnikiem ją podnoszącym. Bez umyślności lub niedbalstwa rozmowa o kwocie w ogóle się nie zaczyna.
- KROK 4: tu wchodzi rozróżnienie naruszenie drobne / niedrobne, a wraz z nim domniemanie.
- KROK 5: ocena skuteczności, proporcjonalności i odstraszania może uzasadniać odejście od standardowego podejścia, ale musi zostać uzasadniona.
„Drobne” nie znaczy „małe”
Kwalifikacji dokonuje się w kroku 4, razem z okolicznościami obciążającymi i łagodzącymi, nie przez liczenie osób, których dane dotyczą. Naruszenie dotyczące jednej osoby może nie być drobne — ze względu na charakter danych, szkodę, zachowanie po zdarzeniu. A kierunek odwrotny zmienia nawyki obronne: poza przypadkami drobnymi domniemanie nie brzmi już, że będzie dyskusja, lecz że kara zostanie nałożona. Budowanie obrony klienta na tym, że „nic poważnego się nie stało”, oznacza teraz wykazanie, że naruszenie jest drobne, a nie samo stwierdzenie tego.
Do 13 listopada jest coś do zrobienia
Tekst jest w konsultacjach publicznych do 13 listopada 2026 r. To nie formalność: wytyczne zawierają czternaście praktycznych przykładów tego, jak organ powinien wybierać środek, a przykłady są tą częścią, którą później cytuje się w postępowaniach. Kto wykonuje ten zawód, ma materiał do komentarza — zwłaszcza w sprawach, w których nakaz dostosowania osiąga cel, a kara nie.
Tymczasem w codziennej pracy zmienia się niewiele, a w pisaniu pism dużo. Rejestr czynności, dokumentacja decyzji i możliwość prześledzenia, kto co postanowił, pozostają tym, co porusza kroki 3 i 4: winę i okoliczności łagodzące dowodzi się papierami, które istniały wcześniej, nie tymi napisanymi później.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
