Skarga do Urzędu Ochrony Danych Osobowych to dla właściciela firmy zwykle zła wiadomość, ale jeszcze nie katastrofa. Katastrofą może się stać dopiero to, co firma zrobi z pierwszym pismem od urzędu. W opisanych poniżej sprawach kara nie wynikała z samego sposobu przetwarzania danych. Wynikała z ciszy po stronie firmy: z nieodebranych awizo, pominiętych e-maili i pytań, które zostały bez odpowiedzi.
Pokazujemy, co o obowiązku współpracy z UODO mówi RODO, jak wyglądały trzy sprawy opisane w mediach prawniczych (w tym decyzja z września 2026 roku) i jak zorganizować w małej firmie obsługę takiej korespondencji, żeby żadne pismo nie przepadło.
1. Obowiązek współpracy z urzędem wynika wprost z RODO
Wiele osób zna RODO jako zbiór zasad o zgodach, klauzulach i umowach powierzenia. Mniej osób pamięta, że rozporządzenie ma też krótki przepis o tym, jak zachować się wobec samego urzędu. To art. 31 RODO, który w polskim brzmieniu mówi tak:
Administrator i podmiot przetwarzający oraz – gdy ma to zastosowanie – ich przedstawiciele na żądanie współpracują z organem nadzorczym w ramach wykonywania przez niego swoich zadań. — art. 31 rozporządzenia (UE) 2016/679 (RODO), tekst w EUR-Lex
Administratorem danych jest firma, która sama decyduje, po co i jak przetwarza dane osobowe. Sklep internetowy, biuro rachunkowe, gabinet i kilkuosobowa agencja marketingowa są administratorami danych swoich klientów i pracowników. Obowiązek z art. 31 nie ma więc progu wielkości: dotyczy jednoosobowej działalności tak samo jak dużej spółki.
Drugi przepis mówi, czego urząd może zażądać. Art. 58 ust. 1 RODO daje organowi nadzorczemu między innymi uprawnienie do:
- nakazania administratorowi dostarczenia wszelkich informacji potrzebnych urzędowi do realizacji jego zadań (lit. a),
- uzyskania dostępu do wszelkich danych osobowych i informacji niezbędnych do realizacji zadań urzędu (lit. e).
W praktyce oznacza to, że gdy UODO zapyta, na jakiej podstawie firma przetwarza dane, kto ma do nich dostęp albo gdzie je przechowuje, odpowiedź nie jest uprzejmością. To obowiązek.
2. Ile można zapłacić za samo milczenie
Za naruszenie tego obowiązku RODO przewiduje kary pieniężne. Art. 83 ust. 5 lit. e wymienia wprost „niezapewnienie dostępu skutkujące naruszeniem art. 58 ust. 1” i wiąże je z górną granicą kary do 20 000 000 EUR. Alternatywą dla tej kwoty jest procent od obrotu: do 4% przychodów firmy z całego świata za rok poprzedni. Stosuje się tę wartość, która jest wyższa.
Zanim ktoś się przestraszy tych liczb: to sufit, nie cennik. Urząd dobiera wysokość kary do okoliczności, a RODO podaje listę czynników w art. 83 ust. 2. Jednym z nich (lit. f) jest to, jak daleko firma współpracowała z urzędem, żeby naprawić naruszenie i ograniczyć jego skutki. Czytając to wprost: dobra współpraca działa na korzyść firmy, a jej brak działa przeciwko niej.
W opisanych niżej sprawach kwoty były dużo niższe od sufitu. Pozostają jednak realnym wydatkiem dla małej firmy, a do tego nie niosą żadnej korzyści: firma płaci i nadal musi odpowiedzieć na pytania urzędu.
3. Trzy sprawy, w których milczenie kosztowało więcej niż odpowiedź
Poniżej opisujemy trzy sprawy znane z publikacji prawniczych. Opieramy się na relacjach mediów i serwisów prawnych, nie na samych decyzjach, więc kwoty i szczegóły podajemy tak, jak je tam opisano.
Sprawa 1: cztery wezwania, jedno odebrane, zero odpowiedzi
Serwis prawo.pl opisał w lutym 2022 roku decyzję Prezesa UODO wobec spółki z o.o. Po skardze urząd poprosił spółkę o stanowisko wobec zarzutów i o odpowiedzi na szczegółowe pytania. Z czterech wysłanych wezwań spółka odebrała tylko jedno, a i na nie nie odpowiedziała. Kara przekroczyła 18 tys. zł.
Warto zapamiętać rozumowanie urzędu, tak jak przytacza je serwis. Odpowiedzialność za nieudzielenie informacji spoczywa na administratorze. Spółka działa zawodowo w obrocie gospodarczym, więc według urzędu powinna była wiedzieć, że nieodbieranie listów od organu nadzorczego łamie jeden z podstawowych obowiązków przedsiębiorcy. Lekceważenie obowiązku współpracy UODO uznał za naruszenie dużej wagi. Urząd zaznaczył też, że brak odpowiedzi nie tylko utrudnia rozpatrzenie sprawy, ale także niepotrzebnie wydłuża całe postępowanie.
Sprawa 2: skarga o odciski palców, kara za brak odpowiedzi
W listopadzie 2025 roku serwis Poradnik Przedsiębiorcy opisał sprawę przedsiębiorcy z branży gastronomicznej. Wszystko zaczęło się od skargi byłej pracownicy na stosowanie danych biometrycznych (odcisków palców) w systemie rejestracji czasu pracy. UODO poprosił pracodawcę o wyjaśnienia: o podstawę prawną przetwarzania, dokumentację i zabezpieczenia. Według opisu pracodawca nie przesłał niczego, a kara wyniosła 18 941 zł.
Najciekawsze jest to, za co ją nałożono. Serwis podkreśla, że sankcja wynikała nie z samej biometrii, tylko z braku reakcji na korespondencję. Dodaje, że przy współpracy sankcja byłaby prawdopodobnie niższa, a przy przekonujących wyjaśnieniach urząd mógłby jej w ogóle nie nakładać. Do tego dochodzi uwaga, która dotyczy każdej mikrofirmy: status małego przedsiębiorcy wpłynął na wysokość kary, ale nie zwolnił go z obowiązku odpowiedzi.
Zastrzeżenie: ten opis pochodzi z jednego serwisu poradnikowego i nie podaje sygnatury decyzji, dlatego traktujemy go jako ilustrację, a nie jako ustalone w pełni szczegóły sprawy.
Sprawa 3: decyzja z 1 września 2026 roku i ostrzeżenie o poczcie
Najświeższa sprawa pochodzi z września 2026 roku. Prawniczy blog Legeartis opisał decyzję Prezesa UODO z 1 września 2026 r., w której urząd nałożył karę za nieudzielenie wyjaśnień w prowadzonym postępowaniu. Według opisu autora kara wyniosła 7,5 tys. euro, czyli po przeliczeniu kursem z 28 stycznia 2026 r. 31 507 zł. To jedyne źródło tej kwoty, jakie znaleźliśmy, więc podajemy ją z zastrzeżeniem, że pochodzi z opisu autora bloga, a nie z komunikatu urzędu.
Przebieg sprawy, jaki z tego opisu wynika, wygląda tak:
- Po skargach na przetwarzanie danych urząd wszczął postępowanie i wezwał stronę do wyjaśnień.
- Przedsiębiorca odpowiedział i potwierdził, że jest administratorem danych.
- Wyjaśnienia były niewystarczające, więc urząd poprosił o dodatkowe informacje, a potem wysłał kolejny zestaw pytań. Pytania dotyczyły między innymi tego, kto obecnie ustala cele i sposoby przetwarzania danych i na jakiej podstawie dane trafiły poza Polskę.
- Kolejne pisma wróciły do urzędu z adnotacją „nie podjęto w terminie” po podwójnym awizo.
- Urzędnik wysłał jeszcze e-mail na adres z rejestru działalności gospodarczej. Przyszła odpowiedź, że to próba wyłudzenia danych. Urzędnik zaproponował potwierdzenie swojej tożsamości i próbował zadzwonić pod numer z rejestru, ale abonent był niedostępny.
- Urząd wszczął więc odrębne postępowanie o brak współpracy i wezwał stronę do podania danych o przychodzie za rok 2025. Ta korespondencja też pozostała bez reakcji, a urząd nałożył karę.
Według relacji z uzasadnienia urząd uznał, że przedsiębiorca miał obiektywną możliwość zapoznania się z pismem, a skutki braku odbioru obciążają wyłącznie jego. Wśród okoliczności wymieniono wcześniejsze uchybienia tego samego podmiotu. To pokazuje drugą stronę medalu: milczenie wobec urzędu kosztuje najwięcej wtedy, gdy firma ma już „historię” w urzędzie.
4. Dlaczego małe firmy gubią takie pisma
Żadna z opisanych spraw nie dotyczyła skomplikowanej wiedzy prawniczej. Chodziło o to, że pismo nie doszło do kogoś, kto się nim zajął. Typowe powody, dla których w małej firmie korespondencja urzędowa ginie:
- Adres rejestrowy to nie adres, pod którym ktoś siedzi. Firma ma adres w rejestrze, ale faktycznie pracuje gdzie indziej albo zdalnie. Awizo ląduje w skrzynce lub u sąsiada. O tym, jak wygląda obsługa poczty w wirtualnym biurze, pisaliśmy w tekście o adresie rejestrowym, poczcie i umowie wirtualnego biura.
- Nikt nie jest wyznaczony. Wspólnicy zakładają, że poczta „jakoś trafi” do księgowej albo do osoby, która kiedyś odbierała listy. Gdy ta osoba odchodzi, nikt tego nie przejmuje.
- E-mail od urzędu wygląda jak spam. W sprawie z września 2026 roku właśnie tak został odebrany. Urzędowy mail trafił do firmy, która uznała go za wyłudzenie.
- Pismo zostaje „na później”. Termin w wezwaniu płynie od doręczenia, a nie od momentu, gdy ktoś znajdzie czas, żeby je przeczytać.
Skutek jest zawsze podobny: po drugiej stronie nikt w urzędzie nie widzi, że firma miała urlop albo zmieniła biuro. Widzi tylko brak odpowiedzi i odnotowuje go w aktach sprawy. Nie ma w tym nic wstydliwego. To normalne ryzyko organizacyjne, takie samo jak zapomniana faktura czy niezłożona deklaracja. Dobra wiadomość jest taka, że opanowuje się je kilkoma prostymi nawykami.
5. Prosty system obsługi pism od urzędu w małej firmie
Poniżej proponujemy układ, który zajmuje godzinę wdrożenia i nie wymaga żadnych narzędzi poza skrzynką pocztową i kalendarzem. To nasza praktyczna propozycja, a nie wymóg z przepisów.
1. Wyznacz jedną osobę i zastępcę
Jedna osoba odpowiada za odbiór poczty urzędowej (papierowej i elektronicznej), druga zastępuje ją w czasie urlopu. Zapisz imiona w widocznym miejscu, na przykład w wewnętrznej instrukcji firmy, i przy każdej zmianie w zespole od razu przekaż ten obowiązek dalej. Ustal też, że każde pismo z urzędu trafia do tej osoby jeszcze tego samego dnia, a nie leży w ogólnej skrzynce.
2. Sprawdź adresy, które urząd ma w rejestrach
Pismo wysyłane jest na adres z rejestru. Jeśli firma przeprowadziła się, zmieniła skrzynkę e-mail lub numer telefonu, a rejestr tego nie odzwierciedla, korespondencja będzie wracać. W opisanej wyżej sprawie z 2026 roku urząd próbował właśnie adresu i telefonu z rejestru działalności gospodarczej.
3. Odbieraj awizo od razu
W sprawach opisanych przez media nieodebrane przesyłki traktowano jako ignorowanie urzędu. Z opisu decyzji z września 2026 roku wynika, że urząd wiązał z tym odpowiedzialność strony, nawet gdy pismo fizycznie nie zostało przeczytane. Dlatego awizo należy odbierać w terminie, tak samo jak list z urzędu skarbowego.
4. Zapisz termin w kalendarzu w dniu odbioru
Po odebraniu pisma wpisz do kalendarza termin odpowiedzi i datę przypomnienia kilka dni wcześniej. Dzięki temu odpowiedź nie powstaje w ostatniej chwili, a firma ma czas, żeby w razie potrzeby zebrać dokumenty z różnych miejsc. Zdecyduj, kto przygotowuje odpowiedź i kto ją zatwierdza.
5. Odpowiedz, nawet jeśli nie masz wszystkiego
Serwis Poradnik Przedsiębiorcy zwraca uwagę, że już cząstkowa odpowiedź, wysłanie części dokumentów albo propozycja spotkania mogą zmniejszać ryzyko sankcji, a milczenie traktowane jest jako brak poszanowania przepisów. Mówiąc prościej: odpowiedź niepełna jest lepsza niż brak odpowiedzi. Jeśli czegoś jeszcze nie masz, napisz, czego brakuje i kiedy to dostarczysz.
6. Gdy nie wiesz, czy pismo jest prawdziwe, sprawdź to u źródła
Fałszywe wezwania istnieją, więc ostrożność jest uzasadniona. W opisanej sprawie urzędnik sam zaproponował potwierdzenie swojej tożsamości. Najbezpieczniej jest odszukać oficjalne dane kontaktowe urzędu na jego stronie i zadzwonić albo napisać na ten adres, a nie na dane z podejrzanej wiadomości. Samo „to chyba spam” nie jest odpowiedzią i nie zdejmuje z firmy obowiązku.
Ostrzeżenie: brak odpowiedzi nie „przeczeka” problemu. W opisanych sprawach urząd prowadził wtedy odrębne postępowanie o brak współpracy, a kara dotyczyła właśnie milczenia, nie merytoryki skargi.
6. Odpowiedź na wezwanie to też okazja, żeby uporządkować dane
Wezwanie z UODO zwykle pyta o rzeczy, które firma i tak powinna mieć opisane: podstawę prawną przetwarzania, zasady zabezpieczeń, informację przekazaną osobom, których dane dotyczą. Jeśli odpowiedź ma być szybka, dokumenty muszą być pod ręką.
Dwa porządki warto zrobić, zanim jakiekolwiek pismo przyjdzie. Pierwszy to lista tego, co i na jakiej podstawie firma przetwarza. Opisaliśmy to w tekście o rejestrze czynności przetwarzania danych. Drugi to znajomość tego, co urząd w ostatnich latach faktycznie karze. Ostatnie decyzje omawiamy w artykule o najnowszych decyzjach UODO i lekcjach dla MŚP.
Gdy firma dostanie wezwanie dotyczące konkretnego, trudnego przypadku (na przykład skargi pracownika), warto porozmawiać o odpowiedzi z prawnikiem lub inspektorem ochrony danych. Opisane przez nas sprawy dotyczyły jednak głównie samego braku reakcji, a pierwszy krok, czyli odebranie pisma i odpisanie w terminie, można zrobić samemu.
Podsumowanie
- Art. 31 RODO zobowiązuje administratora danych do współpracy z urzędem na jego żądanie, bez względu na wielkość firmy.
- Art. 58 ust. 1 lit. a i e RODO pozwalają UODO żądać informacji i dostępu do danych, a art. 83 ust. 5 lit. e wiąże brak dostępu z karą do 20 mln EUR lub 4% obrotu, zależnie od tego, która kwota jest wyższa.
- Art. 83 ust. 2 lit. f wymienia stopień współpracy z urzędem jako jedną z okoliczności przy ustalaniu kary.
- Według opisów w mediach prawniczych kary za samo milczenie wyniosły od ponad 18 tys. zł do około 31 tys. zł, a ich powodem było ignorowanie wezwań, nie sama treść skargi.
- Nieodebrane awizo i mail uznany za spam nie zdejmują odpowiedzialności z firmy.
- Jedna wyznaczona osoba, aktualne adresy w rejestrach i termin w kalendarzu załatwiają większość ryzyka.
- Odpowiedź niepełna jest lepsza niż brak odpowiedzi.
Wskazówka: zanim skończysz czytać ten tekst, sprawdź w CEIDG lub KRS, czy adres do korespondencji i e-mail firmy są aktualni, i zapisz, kto w firmie odbiera pocztę urzędową. To zajmuje kilka minut, a rozwiązuje problem, który w opisanych sprawach kosztował kilkanaście do kilkudziesięciu tysięcy złotych.