owy formularz na stronie internetowej, system CRM, firma kurierska obsługująca wysyłkę. Kolejny pracownik z dostępem do danych klientów. Twoja firma rozwija się z miesiąca na miesiąc, ale dokumentacja niekiedy nie nadąża za tymi zmianami. Nie trzeba jednego dużego błędu. Wystarczy kilka drobnych kwestii, o których nikt już nie pamięta lub nawet nie zwrócił na nie uwagi w pierwszej kolejności. Zmiany zachodzące w firmach znajdują odzwierciedlenie również w planach kontroli. Czeski Úřad pro ochranu osobních údajů wskazał na 2026 rok obszary, którym zamierza się przyjrzeć. Wśród nich znalazły się przejrzystość przetwarzania danych i realizacja obowiązku informacyjnego wynikającego z art. 12-14 RODO. Dokładnie te same zagadnienia są częścią europejskiej skoordynowanej akcji kontrolnej Coordinated Enforcement Framework 2026.
Firma się zmienia, ale dokumenty nie zawsze
Klauzula informacyjna trafiła na Twoją stronę internetową, a gotowy dokument wylądował w teczce z pozostałą dokumentacją lub został zapisany w bezpiecznym systemie? Mijają kolejne miesiące, podczas których w firmie wdrażasz nowe rozwiązania. Za nimi idą zmiany w obsłudze klienta czy korzystanie z nowoczesnych narzędzi. Niestety nierzadko całe zaangażowanie kierujemy w rozwój, a zapominamy o bardzo ważnym aspekcie, na który zwracają uwagę organy kontrolujące zgodność z RODO. Chodzi o dokumentację, w której wraz z rozwijaniem kolejnych obszarów w biznesie również powinny nastąpić pewne zmiany.
Obowiązek informacyjny nie kończy się na przygotowaniu jednej klauzuli. Każdy powinien dokładnie wiedzieć, kto odpowiada za jego dane, w jakim celu są wykorzystywane, jak długo będą przechowywane i jakie prawa mu przysługują. RODO wymaga, aby te informacje były przekazane w sposób zwięzły, przejrzysty, zrozumiały i łatwo dostępny oraz odpowiadały temu, jak firma naprawdę przetwarza dane. Bez tego klient nie wie nawet, jakie prawa może wykorzystać ani do kogo powinien zwrócić się w razie potrzeby.
Przejrzystość przetwarzania danych i obowiązek informacyjny należą do jednego z głównych obszarów objętych kontrolami w Czechach. Nie trzeba mieć jednak w związku z tym wielkich obaw. W większości firm wystarczy powrót do dokumentów przygotowanych kilka miesięcy czy lat temu, aby sprawdzić, czy nadal trafnie opisują sposób, w jaki są przetwarzane dane.
Jeszcze jedno pole w formularzu kontaktowym? Lepiej uważać!
Formularz kontaktowy może powstać w naprawdę krótkim czasie. Umieszczamy w nim imię i nazwisko, numer telefonu i adres e-mail. Potem dochodzi nazwa firmy, stanowisko, data urodzenia. Czasem firmy zbierają te dane na wypadek, gdyby mogły kiedyś się przydać. Niekoniecznie z tego powodu, że są niezbędne w danym momencie. Innym razem wykorzystują po prostu wzór formularza, który obowiązywał już wcześniej.
Czy może być to błąd? Według RODO jak najbardziej. Gdy przeanalizujemy przepisy, łatwo dojść do wniosku, że nie każda informacja jest potrzebna do realizacji konkretnego celu. Mówiąc prościej, im więcej danych trafi do firmy, tym większą odpowiedzialność za ich ochronę ona ponosi.
Jedną z podstawowych zasad RODO pozostaje więc minimalizacja danych. Firma powinna zbierać wyłącznie informacje, które są rzeczywiście potrzebne. Każde dodatkowe pole w formularzu musi mieć konkretne uzasadnienie. W przeciwnym razie narażamy się na naruszenie zasady minimalizacji danych.
Klient zostawił adres e-mail: co dalej z newsletterem?
Zdarzają się sytuacje, gdy zakup zakończył się kilka miesięcy temu, klient podał wówczas swój adres e-mail, bo chciał otrzymać potwierdzenie zamówienia i mieć dostęp do statusu. W tym momencie może okazać się, że zgadza się na otrzymywanie informacji o dostępie do promocji czy nowej ofercie. Po jakimś czasie do skrzynki trafia newsletter. Potem kolejny i następny. Czy jest to zgodne z przepisami RODO? Niekoniecznie, bo cel, dla którego zbieramy dane, ma znaczenie również później.
Adres e-mail podany przy zakupie nie zawsze oznacza zgodę na każdą formę kontaktu marketingowego. Jeśli zebraliśmy go w celu realizacji zamówienia, jego późniejsze wykorzystywanie do działań marketingowych musi mieć odpowiednią podstawę prawną.
Dane zostają w bazie na dłużej
Nawet jeśli klient przestał korzystać z usług kilka lat temu, a stary formularz kontaktowy nie jest już używany, dane nadal są w systemie. I zostają w nim na długo. Nie zawsze wynika to z konkretnej decyzji. Czasem nikt nie zastanawia się, czy informacje są jeszcze potrzebne po czasie. Zostają w bazie, bo od lat nikt do niej nie zaglądał i nie robił w niej porządków.
Przepisy RODO nie określają jednego terminu przechowywania wszystkich danych. Okres powinien wynikać z celu, dla którego zostały zebrane. Gdy ten cel znika, sprawdzenie danych i ewentualne usunięcie ich, gdy już nie można legalnie ich wykorzystać, to jeden z głównych obowiązków wynikających z regulacji.
Środki techniczne i organizacyjne: hasło to dopiero początek
W niewielkiej firmie dostęp do danych często mają niemal wszystkie działy. Sprzedaż zagląda do historii zamówień, księgowość widzi dane do faktur, a obsługa klienta sprawdza adres dostawy. Każda z osób widzi inny fragment informacji. Z biegiem czasu przybywa pracowników, nowych systemów i zewnętrznych partnerów. Niestety, silne hasło nie rozwiązuje wszystkich problemów i nie minimalizuje ryzyk.
Z perspektywy przedsiębiorcy przestrzegającego zasad RODO najważniejsze jest to, że nie każda osoba potrzebuje dostępu do wszystkich informacji. To, że dane znajdują się w jednym systemie, nie oznacza jeszcze, że każdy pracownik powinien je widzieć. Przepisy wymagają stosowania odpowiednich zabezpieczeń organizacyjnych i technicznych. Jednym z nich jest świadome zarządzanie dostępem do danych.
Kary za naruszenie RODO w Czechach w 2026 roku
Nagłówki o milionowych karach łatwo zapadają w pamięć. Rzadziej mówi się o tym, co je poprzedza, a jest to równie ważne, co faktyczna kwota do zapłaty:
- Najczęściej najpierw odbywa się kontrola, podczas której weryfikowane są dokumenty związane z rozporządzeniem RODO.
- Następuje ocena sposobu przetwarzania danych.
- W razie potrzeby organ zbiera wyjaśnienia w danej sprawie.
Wysokość administracyjnej kary zależy od wielu okoliczności, na co jasno wskazuje art. 83 RODO. Organ nadzorczy bierze pod uwagę między innymi charakter naruszenia, jego skalę i czas trwania. Znaczenie ma również to, jak przedsiębiorca zachował się po wykryciu problemu, czy naruszenie było umyślne czy nie, a także w jaki sposób organ o nim się dowiedział.
Najwyższe kary administracyjne przewidziane w RODO sięgają 20 mln euro lub 4% całkowitego rocznego światowego obrotu przedsiębiorstwa. To górna granica wskazana w przepisach. O ostatecznej wysokości kary decydują okoliczności konkretnej sprawy.
