Kary za naruszenia RODO nie są fikcją. Przykład: Morele.net – 3,8 mln zł kary. W erze cyfrowej nieznajomość prawa nie chroni – a brak świadomości może kosztować Twoją firmę setki tysięcy złotych. I nie chodzi tylko o wielkie korporacje. Wystarczy źle wdrożona zgoda na cookies, brak odpowiedniego regulaminu, czy nieaktualna polityka prywatności, by znaleźć się na celowniku urzędów.
Organy nadzorcze nie śpią:
- Prezes UODO: Za naruszenia RODO – np. brak zgody, nielegalne przetwarzanie danych, wycieki.
- Prezes UOKiK: Za naruszenia praw konsumenta – np. brak informacji o zwrocie, nieuczciwe regulaminy, dark patterns.
- Prezes UKE: Za naruszenia przepisów o marketingu bezpośrednim – spam, brak zgód na e-maile i SMS-y.
Morele.net – 3,8 mln zł kary
W 2019 r. UODO nałożył jedną z najwyższych kar w Polsce na spółkę Morele.net (decyzja ZSPR.421.2.2019). Powód? Brak odpowiednich zabezpieczeń danych, co doprowadziło do wycieku ponad 2 milionów rekordów. Firma musiała nie tylko zapłacić grzywnę, ale także odbudowywać nadszarpnięte zaufanie klientów i partnerów. Sprawa ta doskonale ilustruje również złożoność postępowań – decyzja Prezesa UODO była przedmiotem wieloetapowego procesu odwoławczego, który toczył się przez kilka lat przed sądami administracyjnymi, w tym przed NSA (sygn. akt III OSK 3945/21). Pokazuje to, że spór z urzędem to nie tylko ryzyko kary, ale także długotrwały i kosztowny proces. Wniosek? Naruszenia RODO to nie tylko koszty, ale też reputacyjna katastrofa.
Źródło: Decyzja Prezesa UODO z dnia 7 lutego 2024 r.
Skutki, które realnie mogą Cię spotkać:
- Kara finansowa:
- do 20 mln euro lub 4% obrotu (RODO),
- do 10% obrotu (UOKiK),
- do 3% przychodu (UKE).
- Publiczne upomnienie (tzw. naming and shaming):
- komunikat na stronie UODO lub UOKiK,
- publikacje w prasie branżowej,
- rozprzestrzenianie się negatywnych opinii w sieci.
- Roszczenia klientów:
- odszkodowania za naruszenie dóbr osobistych (np. wyciek danych),
- pozwy zbiorowe,
- obniżenie zaufania, wzrost liczby zwrotów.
Najczęstsze błędy, które kosztują fortunę:
- Brak lub nieaktualna polityka prywatności.
- Baner cookies, który nie spełnia wymogów RODO.
- Brak zgód na przetwarzanie danych lub ich nieprawidłowe zbieranie.
- Regulamin sklepu online niezgodny z Ustawą o prawach konsumenta.
- Nieuprawnione e-maile marketingowe (brak double opt-in).
Czego uczy nas praktyka?
Firmy nie wpadają w kłopoty, bo są złe – tylko dlatego, że zlekceważyły detale.
- Baner z domyślnie zaznaczoną zgodą? To prosta droga do kary. Zgodnie z RODO, baner cookies musi wymagać aktywnej zgody (model opt-in) od użytkownika. Wojewódzki Sąd Administracyjny w Warszawie w jednym z postępowań uchylił decyzję UODO (sygn. akt II SA/Wa 3993/21), wskazując na złożoność interpretacji przepisów i potencjalne rozbieżności w orzecznictwie, co jednak nie zmienia fundamentalnej zasady aktywnej zgody.
- Zbierasz dane przez formularz, ale nie informujesz o RODO? Kara. Brak uzyskania zgody na przetwarzanie danych osobowych w celach marketingowych może prowadzić do odpowiedzialności administracyjnej. UODO nakładał kary zarówno za brak zgłoszenia naruszenia, jak i za nieprzestrzeganie zasad przetwarzania danych.
- Newsletter, ale bez checkboxa zgody? Kara i wizerunkowy problem. Obowiązuje zasada double opt-in dla subskrypcji newslettera i innych form komunikacji marketingowej.
- Brak powiadomienia o naruszeniu. Sprawy takie jak American Heart of Poland S.A. (kara 1,44 mln PLN, sygn. DKN.5112.35.2021) pokazują, że niezawiadomienie osób dotkniętych naruszeniem lub UODO o incydencie jest surowo karane.
Źródło: Decyzja Prezesa UODO w sprawie American Heart of Poland S.A. - Zagubione nośniki danych. Przykłady takie jak Res-Gastro M. Gaweł Sp. k. (kara za zgubienie częściowo zaszyfrowanego pendrive’a, sygn. DKN.5131.29.2023) czy instytucji w Kutnie (MOPS, MOSiR – kary za zgubienie niezaszyfrowanego pendrive’a) jasno wskazują na konieczność wdrożenia odpowiednich środków technicznych i organizacyjnych.
Źródło: Komunikat UODO w sprawie Res-Gastro - Dark patterns w e-commerce. UOKiK aktywnie zwalcza manipulacyjne praktyki. Przykładem jest kara blisko 32 mln PLN nałożona na Amazon za wprowadzanie klientów w błąd co do momentu zawarcia umowy, dostępności produktów i terminów dostaw.
- Nieuprawnione wysyłki marketingowe. Prezes UKE nałożył karę 500 tys. zł na Tani Opał sp. z o.o. (sygn. DK.WPA.46.8.2019.11) za wykonanie ponad 2,18 mln połączeń marketingowych bez wymaganych zgód.
Źródło: Decyzja Prezesa UKE w sprawie Tani Opał sp. z o.o.
Jak się chronić? Proste kroki, wielka różnica:
- Przeprowadź audyt prawny strony www.
- Zaktualizuj politykę prywatności, cookies i regulamin.
- Upewnij się, że każdy formularz ma prawidłową klauzulę zgody.
- Wdróż umowy powierzenia danych osobowych z podwykonawcami.
- Monitoruj, czy Twoje narzędzia (np. Google Analytics) są zgodne z RODO.
Nie czekaj na kontrolę. Działaj teraz.
Skonsultuj z nami audyt Twojej obecności online – pierwsza rozmowa bez zobowiązań. Przeanalizujemy Twoją stronę, dokumenty i procesy – zanim zrobi to urząd lub rozczarowany klient.