RODO у фірмі 2026 — обов'язки, аудит, штрафи та захист даних

RODO (загальний регламент про захист даних 2016/679, GDPR) діє в Польщі від 25 травня 2018 р. і зобов'язує кожного суб'єкта, який обробляє персональні дані фізичних осіб — від одноосібної діяльності зі списком клієнтів до великої компанії, що наймає сотні працівників. У 2026 р. практика нагляду зосереджена на трьох сферах: маркетингова згода та профілювання, безпека IT-систем та реагування на інциденти, а також правильне інформування осіб, чиї дані обробляють. Невідповідність коштує — штрафи UODO (Управління з захисту персональних даних) сягають 20 млн євро або 4% річного обороту.

Хто мусить застосовувати RODO

RODO застосовує кожен адміністратор персональних даних і кожен суб'єкт, що здійснює обробку (процесор). Адміністратор — це фірма, яка вирішує про цілі та способи обробки — роботодавець щодо працівників, інтернет-магазин щодо покупців, бухгалтерське бюро щодо власних клієнтів. Процесор — суб'єкт, що обробляє дані від імені адміністратора — наприклад, постачальник CRM-системи, хостингова компанія, канцелярія, яка здійснює стягнення боргів.

Нижнього порогу розміру фірми немає. Одноосібний фотограф, що знімає весілля, персональний тренер з базою контактів у телефоні та інтернет-магазин з мільйоном користувачів підпорядковуються тим самим правилам — їх відрізняє лише обсяг документаційних обов'язків і необхідний масштаб засобів безпеки.

Сім принципів, яких не можна порушувати

Ст. 5 RODO перелічує принципи, яких має дотримуватись кожен адміністратор. На практиці аудитори зводять їх до семи правил:

• законність, добросовісність і прозорість — обробка спирається на конкретну правову підставу (згода, договір, правовий обов'язок, суспільний інтерес, законний інтерес адміністратора, життєвий інтерес особи), а особа знає, що відбувається з її даними;
• обмеження мети — дані, зібрані для рекрутингу, не можуть потрапити в розсилку без окремої згоди;
• мінімізація — збираємо лише те, що справді потрібно (наприклад, не просимо клієнта інтернет-магазину про PESEL (ідентифікаційний номер) для виставлення фактури для фірми);
• правильність — дані мають бути актуальними, а неактуальні — виправлені або видалені;
• обмеження зберігання — після досягнення мети дані слід видалити або анонімізувати, крім періодів, вимаганих нормами (наприклад, 5 років на податкові документи);
• цілісність і конфіденційність — відповідні технічні та організаційні засоби захисту;
• підзвітність — адміністратор повинен уміти довести відповідність, недостатньо її декларувати.

Документація, якої вимагає UODO

Кожна фірма повинна визначити, які дані вона обробляє, з якою метою та на якій правовій підставі. З цього аналізу постає реєстр дій обробки (RCPD) та, якщо є обробка від імені інших суб'єктів, реєстр категорій дій (RKPD). Деякі фірми мають обов'язок вести обидва документи паралельно.

Мінімальний набір документів у середній фірмі охоплює:

• політику захисту персональних даних (внутрішню) разом з процедурами;
• реєстр дій обробки;
• інформаційні застереження для різних категорій осіб (клієнт, працівник, кандидат, одержувач розсилки);
• договори про доручення обробки з усіма постачальниками, яким передаємо дані (хостинг, бухгалтерське бюро, SaaS);
• процедуру опрацювання вимог осіб (доступ, виправлення, видалення, перенесення, заперечення);
• процедуру реагування на інциденти та порушення захисту даних;
• аналізи ризиків і — коли потрібно — оцінку впливу на захист даних (DPIA).

Аудит RODO — як його провести

Аудит RODO — це інвентаризація фактичного стану і порівняння його з вимогами регламенту. Правильно спроєктований складається з п'яти етапів:

1. мапування процесів — визначення, де в фірмі взагалі з'являються персональні дані (ERP, CRM, e-mail, хмара, локальні диски, паперові документи);
2. аналіз правових підстав — для кожної дії обробки вказати, чи вона спирається на згоду, договір, обов'язок, законний інтерес;
3. огляд документів — інформаційні застереження, згоди, політика, договори про доручення;
4. аналіз ризику — оцінка ймовірності та тяжкості потенційних порушень і адекватності засобів захисту;
5. звіт з рекомендаціями — ієрархія дій, терміни, відповідальні особи.

Аудит варто повторювати кожні 12–24 місяці, а також завжди після істотної зміни — впровадження нової системи, запуску інтернет-продажів, початку рекрутингу у великому масштабі, зміни IT-постачальника.

IOD — хто мусить його призначити

Інспектора захисту даних (IOD) обов'язково призначають три категорії суб'єктів:

• органи та публічні суб'єкти (крім судів);
• адміністратори і процесори, головна діяльність яких полягає в операціях, що потребують регулярного та систематичного моніторингу осіб у великому масштабі (наприклад, маркетингові платформи, великі портали, системи телемедицини);
• адміністратори і процесори, головна діяльність яких полягає в обробці у великому масштабі особливих категорій даних (про здоров'я, біометричних, щодо сексуальної орієнтації, походження, переконань).

Мала чи середня фірма з кадрами, кількома процесами та кількома сотнями клієнтів зазвичай не має обов'язку призначати IOD. Однак може зробити це добровільно — і тоді до неї застосовуються ті самі вимоги незалежності та звітування перед UODO, що й до зобов'язаного суб'єкта. IOD можна найняти на штат або укласти договір із зовнішнім спеціалістом.

Витік даних — що робити в перші 72 години

Порушення захисту персональних даних (інцидент) виникає щоразу, коли дані будуть втрачені, розкриті неуповноваженій особі, змінені або знищені — незалежно від того, чи наслідок уже видно. Сценарії прозаїчні: загублений ноутбук працівника, фішингова атака з перехопленням e-mail-скриньки, надсилання групового листа з адресатами в «Кому» замість «Прихована копія».

Реакція має кілька кроків:

1. негайно забезпечити ситуацію (заблокувати обліковий запис, перекрити доступ, змінити паролі);
2. з'ясувати, які дані були розкриті та скількох осіб торкнулися;
3. оцінити ризик для прав і свобод осіб, яких стосується інцидент;
4. якщо ризик реальний — повідомити про порушення в UODO протягом 72 годин від виявлення (бланк доступний на uodo.gov.pl);
5. якщо ризик високий — повідомити осіб, яких торкнулась подія, і описати, які заходи реагування пропонує адміністратор;
6. кожен інцидент занотувати у внутрішньому реєстрі — навіть коли він не вимагав повідомлення UODO.

Штрафи UODO — на що звертає увагу орган нагляду

Голова UODO може накласти адміністративний грошовий штраф до 10 млн євро або 2% річного світового обороту (за легші порушення, наприклад прогалини в документації, неправильний IOD) або до 20 млн євро або 4% річного світового обороту (за тяжкі — відсутність правової підстави обробки, порушення принципів RODO, неповагу до прав осіб). Застосовується більша із сум.

За останні роки UODO карало, зокрема, за відсутність належного захисту додатку, що передавав дані клієнтів, за обробку записів з моніторингу без правової підстави, а також за недбалості в рекрутингових процесах. Незалежно від адміністративного штрафу особа, чиїх даних торкнувся інцидент, може вимагати відшкодування у цивільному суді.

Маркетинг, cookies і згода у 2026 р.

Маркетингова комунікація залишається найбільш проблемною сферою RODO. У Польщі поряд з регламентом діє закон про надання послуг електронним шляхом та Prawo komunikacji elektronicznej (Закон про електронну комунікацію, раніше Право телекомунікацій). Разом вони вимагають, щоб:

• розсилка комерційного e-mail чи SMS мала окрему згоду, добровільну та чітко описану;
• згода на cookies була активною (не припустимою зі «scroll» або «continue»), з легкою опцією відмови;
• кожен одержувач мав просту доріжку відмови (посилання у підписі, ключове слово в SMS);
• адміністратор реєстрував, хто і коли згоду висловив — так, щоб могти це довести.

Практика показує, що добре спроєктований банер cookie-файлів і форма підписки на розсилку з окремими полями згоди — це інвестиція, яка окуповується вже при першій перевірці UODO.

Як Good Balance допомагає

Команда Good Balance у межах юридичної консультації проводить аудит RODO, розробляє політику й процедури, пише інформаційні застереження, договори про доручення та реєстр дій, а також підтримує при інцидентах — від оцінки ризику до повідомлення в UODO. Для фірм з обов'язком IOD пропонуємо аутсорсинг функції інспектора та навчання для працівників. Якщо Ви отримали листа з UODO, допоможемо підготувати відповідь та захист від штрафу.