RODO: Podsumowanie 2025 – koniec ery pobłażliwości

Rok 2025 zapisał się wśród administratorów danych jako czas ostatecznego przejścia od „teoretycznej zgodności” do „realnej odpowiedzialności”. Można stwierdzić, że Prezes Urzędu Ochrony Danych Osobowych zakończył okres edukacyjny, zastępując miękkie zalecenia rygorystycznymi decyzjami finansowymi.

Dla biznesu był to rok, w którym suma nałożonych kar administracyjnych osiągnęła rekordowy poziom, przekraczając 65 mln zł.

Sankcje w liczbach
W minionym roku UODO nie tylko przyspieszył procedowanie spraw, ale także zmienił metodologię wyliczania kar, kładąc większy nacisk na obrót przedsiębiorstwa oraz stopień lekceważenia procedur naprawczych.
• Liczba nałożonych kar: 142 decyzje
• Najwyższa jednostkowa kara: 27 mln PLN
• Łączna liczba skarg: blisko 13 500 zgłoszeń
• Średnia wysokość kary dla MŚP: ok. 45 000 zł.

Katalog naruszeń 2025
Największy wzrost odnotowano w obszarach, które bezpośrednio dotykają codziennej prywatności Polaków.

1. Marketing bezpośredni bez „jasnej” zgody
   To absolutny lider zestawienia. Konsumenci masowo skarżyli się na połączenia telefoniczne i wiadomości SMS od firm, którym nigdy nie udzielili wyraźnej zgody marketingowej.
   UODO w 2025 roku wyjątkowo surowo traktował tzw. „ukryte zgody” (np. automatycznie zaznaczone checkboxy) oraz handel bazami danych o niejasnym pochodzeniu.
2. Ignorowanie praw podmiotów danych
   Przedsiębiorcy często zapominali o obowiązku odpowiedzi na żądanie usunięcia danych lub dostępu do nich. Brak reakcji w ustawowym terminie 30 dni stał się najszybszą ścieżką do wszczęcia postępowania kontrolnego.
3. Nadmiarowość zbieranych informacji
   Wiele skarg dotyczyło sektora finansowego i medycznego, gdzie od klientów wymagano skanowania dowodów osobistych w sytuacjach, w których wystarczyłoby okazanie dokumentu lub spisanie danych. PUODO wielokrotnie informował: kopiowanie dokumentów „na zapas” jest rażącym naruszeniem zasady minimalizacji.
4. Wycieki danych spowodowane błędami ludzkimi
   Zgłoszenia często dotyczyły omyłkowego wysłania e-maila z danymi wielu klientów w kopii jawnej (DW zamiast UDW) lub udostępnienia dokumentacji medycznej/kadrowej osobie nieuprawnionej.

Analiza kluczowych decyzji PUODO z 2025 roku

W 2025 roku dało się zauważyć, że PUODO przestał karać wyłącznie za „brak papierka”. Teraz liczy się to, czy administrator realnie panuje nad swoimi procesorami i czy potrafi udowodnić, że przeszkolił pracowników. Najwyższe kary nie wynikały z samego faktu ataku hakerskiego, ale z opieszałości w informowaniu o nim poszkodowanych osób.
Wnioski dla Administratorów
Z historii 2025 roku płynie kilka kluczowych lekcji, które powinny zostać wdrożone w każdym zarządzie:
Weryfikacja procesorów: Jeśli korzystasz z zewnętrznego IT, księgowości czy agencji marketingowej, musisz realnie sprawdzać ich zabezpieczenia. Papierowa umowa to za mało – UODO wymaga dowodów na przeprowadzanie audytów u podwykonawców.
Higiena baz danych: Regularne czyszczenie baz z danych nieaktualnych lub takich, dla których wygasł cel przetwarzania, drastycznie zmniejsza ryzyko wysokiej kary w przypadku wycieku.
Transparentność AI: Firmy wdrażające narzędzia sztucznej inteligencji do rekrutacji muszą liczyć się z koniecznością szczegółowego wyjaśnienia, jak zapadają decyzje dotyczące osób fizycznych.
Rok 2025 udowodnił, że ochrona danych to nie koszt, lecz polisa ubezpieczeniowa dla reputacji firmy. W dobie rosnącej świadomości społecznej administratorzy, którzy uważają RODO wyłącznie za biurokratyczny ciężar, ryzykują nie tylko karą, ale przede wszystkim utratą zaufania rynku.

Artur Majchrzycki – Inspektor Ochrony Danych, ekspert ds. ochrony danych osobowych, audytor Wewnętrzny Systemów Zarządzania Bezpieczeństwem Informacji zgodnego z ISO/IEC 27001.
Kontakt do autora:
tel. 501 15 11 15
email: a.majchrzycki@moment24.pl