Właśnie skończyłem coroczne, obowiązkowe szkolenia z zakresu compliance. Szkolenie antykorupcyjne, prawo w rynku konkurencyjnym, prywatność danych. Co roku mniej więcej ta sama forma: trochę tekstu, trochę ciekawostek, opisane scenki, motywacyjne wystąpienie wysoko postawionej w firmie osoby, która opowiada, dlaczego te szkolenia są takie ważne.
Właśnie skończyłem coroczne, obowiązkowe szkolenia z zakresu compliance. Szkolenie antykorupcyjne, prawo w rynku konkurencyjnym, prywatność danych. Co roku mniej więcej ta sama forma: trochę tekstu, trochę ciekawostek, opisane scenki, motywacyjne wystąpienie wysoko postawionej w firmie osoby, która opowiada, dlaczego te szkolenia są takie ważne.
Zrobiłem je, bo pracuję w dużej organizacji, która naprawdę ma dobrze przemyślany system przechodzenia audytów. No ale właśnie. Czy czegoś tak naprawdę się nauczyłem? Raczej nie bardzo. Przeklikałem quizy i właściwie nic w moim życiu się nie zmieniło. Natomiast gdzieś w jakimś dashboardzie mój numer użytkownika zapalił się na zielono. Na ten rok mam spokój.
- Zielony status robi dokładnie to, do czego powstał
- Druga strona: firma, która nie ma nawet tego
- Po co w ogóle jest RODO
- Jak do tego podchodzimy naprawdę
- Ile to kosztuje firmę
- Czym ryzykuje pracownik
- Szkolenie, które z tego zrobiłem
- Zamiast zakończenia
Zielony status robi dokładnie to, do czego powstał
Ten zielony status robi dokładnie to, do czego powstał. Pokazuje audytorowi, że ludzie przeszli szkolenie w wymaganym terminie, że każdy ma datę, wynik i ślad w systemie. Jako dowód działa bez zarzutu.
Słabiej działa jako wiedza, z którą wracam do pracy w poniedziałek.
Zanim ktoś uzna, że jadę po korporacji: ta forma nie wzięła się z lenistwa. Materiał musi obsłużyć kilkadziesiąt tysięcy osób w kilkunastu krajach, przejść przez dział prawny, zmieścić się w godzinie i zostawić ślad w systemie. Przy takim zestawie wymagań treść schodzi do poziomu, na którym nikt się nie pomyli i nikt nie zada trudnego pytania. To nie jest głupota, to jest skala.
Tyle że skalę projektuje się pod audyt, a przed ekranem siedzi konkretny człowiek.
Druga strona: firma, która nie ma nawet tego
Po drugiej stronie jest firma, która nie ma nawet tego. Bez działu szkoleń, bez platformy e-learningowej, bez budżetu na kancelarię, która przygotuje materiał pod jej procesy. Szkolenie z RODO wygląda tam często tak: mail z polityką ochrony danych w załączniku i prośba o odesłanie podpisanego oświadczenia. Wraca podpis. Pracownik zostaje z tym, z czym był.
Dwie zupełnie różne sytuacje, a kończą się w tym samym miejscu. Zielony status i podpisane oświadczenie to ten sam artefakt: dowód, że coś się odbyło.
Po co w ogóle jest RODO
Po co w ogóle jest RODO. Znamy je głównie od strony zgód na ciasteczka, więc łatwo uznać, że o to chodzi. Powód jest prostszy. Dane o ludziach dawno wyszły z segregatorów i siedzą w arkuszach, CRM-ach, skrzynkach mailowych i na prywatnych pulpitach. Jedna osoba z dostępem kopiuje dziś w kilkanaście sekund to, czego kiedyś nie dałoby się wynieść z budynku.
I nie chodzi o rozporządzenie, tylko o czyjeś życie. Numer telefonu klientki, jej adres, informacja, że wyjeżdża na dwa tygodnie. Jeśli taki komplet trafi w niepowołane ręce, ta osoba ma problem znacznie bardziej namacalny niż niezgodność z przepisem.
Jak do tego podchodzimy naprawdę
Ciekawie wygląda to, jak sami do tego podchodzimy, bo podchodzimy dwojako. Politykę prywatności przewijamy na sam dół i klikamy „akceptuję”, ja też. Ale kiedy sprawa robi się osobista, ten sam człowiek siada i pisze skargę.
Widać to w liczbach urzędu. W 2024 roku wpłynęło do UODO około 8 tysięcy skarg, w 2025 prawie 13 tysięcy, a do kwietnia 2026 już 5800. Najczęstszy temat od lat pozostaje ten sam: monitoring. Kamera sąsiada, wideodomofon, kamera na parkingu. Obojętność wobec własnych danych kończy się w momencie, w którym w kadrze jest moje okno.
Firma dostaje to samo od drugiej strony. Klient, który przez rok nie przeczytał żadnej klauzuli, nagle wysyła wniosek o usunięcie danych i czeka na odpowiedź w terminie. Sam UODO zapowiedział na 2026 rok kontrole w trzech obszarach: firmy prowadzące marketing, platformy dostaw online i podmioty lecznicze, przede wszystkim przy monitoringu i danych dzieci.
Ile to kosztuje firmę
Kary to zwykle pierwsze pytanie, więc konkret.
Górna granica z RODO to 20 milionów euro albo 4 procent całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Brzmi jak liczba z innego świata, więc polskie realia. Rok 2025 był rekordowy, Prezes UODO nałożył 32 kary na łączną kwotę 64,4 miliona złotych, w tym trzy najwyższe decyzje w historii: Poczta Polska 27,1 miliona, ING Bank Śląski 18,4 miliona, McDonald’s Polska 16,9 miliona. W 2026 spółka prowadząca Glovo dostała blisko 5,9 miliona za kopiowanie dowodów tożsamości użytkowników. Podmioty publiczne mają w Polsce osobny, dużo niższy limit, do 100 tysięcy złotych.
Trzeba dodać, że żadna z tych trzech decyzji nie jest jeszcze zamknięta: karę dla Poczty Polskiej WSA uchylił w marcu 2026, wyrok jest nieprawomocny i Prezes UODO złożył skargę kasacyjną, a pozostałe dwie spółki także poszły do sądu. Kwoty pokazują skalę, do jakiej urząd jest gotów sięgnąć, nie stan kasy państwa.
Czym ryzykuje pracownik
Pracownik odpowiada inaczej i tu chcę być precyzyjny, bo wokół tego krąży sporo strachu. Kary administracyjne idą w administratora, czyli zwykle w firmę, nie w osobę, która kliknęła nie tam, gdzie trzeba. Osobna ścieżka siedzi w polskiej ustawie o ochronie danych osobowych. Artykuł 107 przewiduje za nieuprawnione przetwarzanie danych grzywnę, ograniczenie wolności albo pozbawienie wolności do dwóch lat, a przy danych wrażliwych do trzech. Warunek jest jeden i istotny: umyślność. Mail wysłany do złej osoby przestępstwem nie jest. Świadome przeglądanie danych, do których nie mam uprawnień, już może nim być.
Realne ryzyko dla pracownika bywa bardziej przyziemne. Rozmowa dyscyplinarna, odebrany dostęp, w gorszym wariancie utrata pracy. Do tego roszczenia cywilne osoby, której dane wyciekły.
Szkolenie, które z tego zrobiłem
Dlatego zrobiłem szkolenie „RODO dla pracownika” i prowadzę je sam. Kilkadziesiąt minut, bez cytowania artykułów rozporządzenia i bez żargonu prawniczego. Trzy rzeczy, które w codziennej pracy wracają najczęściej: jak rozpoznać dane osobowe w pliku, w którym nie ma ani jednego nazwiska, na jakiej podstawie wolno Ci w ogóle przetwarzać czyjeś dane i co zrobić, gdy klient pisze „proszę usunąć moje dane”.
Kosztuje 199 złotych. Kupuje je firma dla zespołu albo pojedyncza osoba dla siebie, bez wdrożenia platformy i bez działu szkoleń po drodze. Bo brak setek ludzi w dziale szkoleniowym nie powinien oznaczać, że zostaje mail z załącznikiem.
Nie obiecuję, że kilkadziesiąt minut zrobi z kogokolwiek inspektora ochrony danych. Chodzi o coś skromniejszego. Żeby po szkoleniu człowiek wyłapał moment, w którym coś jest nie tak. Że ten arkusz nie powinien wylądować na pulpicie. Że tej kopii dowodu w ogóle nie trzeba robić.
Zamiast zakończenia
Zielony status w dashboardzie zostaje na rok. Odruch zostaje dłużej.
Źródła i przypisy
- Kary administracyjne, górna granica: art. 83 rozporządzenia 2016/679 (RODO). Limit 100 tys. zł dla podmiotów publicznych oraz odpowiedzialność karna: art. 102 i art. 107 ustawy z 10 maja 2018 r. o ochronie danych osobowych.
- Kara dla ING Banku Śląskiego (18 416 400 zł, sierpień 2025): komunikat UODO
- Kary dla McDonald’s Polska (16 932 657 zł) i 24/7 Communication (183 858 zł, lipiec 2025): komunikat UODO
- Kara dla Restaurant Partner Polska, platforma Glovo (5 898 064 zł, decyzja DKN.5112.33.2022 z 19 lutego 2026): komunikat UODO
- Uchylenie kary dla Poczty Polskiej przez WSA (wyrok z 5 marca 2026, sygn. II SA/Wa 837/25): komunikat UODO
- Skarga kasacyjna Prezesa UODO do NSA w tej sprawie (czerwiec 2026): komunikat UODO
- Plan kontroli sektorowych UODO na 2026 r.: uodo.gov.pl
- Statystyki za 2025 r. (12 986 skarg, 22 029 zgłoszonych naruszeń, 32 kary na łączną kwotę 64 436 940,25 zł): „Działania UODO w 2025 roku w ujęciu statystycznym”, uodo.gov.pl
- Grafiki: opracowanie własne na podstawie danych UODO.
