Kary za RODO wzrosły o 230 proc. w II kwartale 2026 r.

Sprawa pokazuje, że przy transferach danych poza Europejski Obszar Gospodarczy nie wystarczy samo zawarcie umowy lub zastosowanie standardowych klauzul umownych. Organizacja musi ocenić, czy prawo i praktyka państwa docelowego oraz rzeczywiste warunki transferu zapewniają ochronę zasadniczo równoważną tej wymaganej przez unijne przepisy. Niderlandzka decyzja dotyczyła właśnie niewystarczających gwarancji przy przekazywaniu danych do państwa trzeciego.

Kara w wysokości około 100 mln euro odpowiadała mniej więcej 44 proc. całej wartości sankcji nałożonych w II kwartale. Ta koncentracja wyjaśnia zarówno gwałtowny wzrost kwartalnej sumy, jak i to, dlaczego transgraniczne przepływy danych powinny być traktowane jako element zarządzania ryzykiem finansowym.

Duże sankcje we Francji, we Włoszech i w Wielkiej Brytanii

Wśród innych istotnych spraw odnotowanych w tym okresie znalazły się:

• Francja: operatorzy telekomunikacyjni Free Mobile i Free otrzymali łącznie 42 mln euro kar, w tym 27 mln euro dla Free Mobile. Sprawy dotyczyły m.in. uchybień w zakresie bezpieczeństwa danych abonentów.
• Włochy: bank Intesa Sanpaolo został ukarany kwotą 31,8 mln euro za niedociągnięcia w ochronie danych klientów.
• Wielka Brytania: brytyjski Information Commissioner’s Office (ICO), czyli organ nadzorujący ochronę danych, nałożył na Reddit karę 14,47 mln funtów. Regulator uznał, że platforma bezprawnie wykorzystywała dane osobowe dzieci i nie stosowała wystarczająco skutecznych mechanizmów weryfikacji wieku. Reddit odwołał się od decyzji dotyczącej kary.

Sprawa Reddita potwierdza, że prywatność dzieci pozostaje obszarem podwyższonego ryzyka. Weryfikacja wieku, zgodność podstawy prawnej przetwarzania danych małoletnich oraz rozwiązania ograniczające możliwe do przewidzenia szkody mogą stać się kluczowym przedmiotem kontroli regulatora.

Jakie naruszenia RODO przyciągają najwięcej uwagi?

Wzorzec z II kwartału obejmował kilka rodzajów uchybień.

Niewystarczające zabezpieczenia

Problemy z bezpieczeństwem pojawiły się w kilku największych sprawach, w tym w decyzjach dotyczących francuskich operatorów telekomunikacyjnych i włoskiego banku. Firmy przetwarzające duże ilości informacji o klientach powinny stosować zabezpieczenia adekwatne do wrażliwości danych, skali operacji i konkretnego sposobu ich przetwarzania.

Brak odpowiedniej podstawy prawnej

Niewystarczająca podstawa prawna przetwarzania pozostaje jednym z najczęstszych powodów wysokich kar za RODO — wynika z podsumowania raportu CMS GDPR Enforcement Tracker. Firmy powinny umieć przypisać każdą istotną czynność przetwarzania do udokumentowanej podstawy prawnej oraz wykazać, że odpowiada ona rzeczywistemu sposobowi wykorzystywania danych.

Słabe zabezpieczenia transferów międzynarodowych

Sprawa Yango plasuje transfery do państw trzecich wśród najbardziej wyraźnych obszarów wysokiego ryzyka. Ocena transferu powinna obejmować rzeczywisty przepływ informacji, podmioty uzyskujące do nich dostęp, możliwość dostępu władz państwa docelowego oraz skuteczność dodatkowych zabezpieczeń — a nie tylko sprawdzenie, czy dokumentacja umowna została formalnie podpisana.

Naruszenia prywatności dzieci

Decyzja ICO w sprawie Reddita podkreśla znaczenie projektowania usług z uwzględnieniem wieku użytkowników, wiarygodnych mechanizmów potwierdzania wieku oraz możliwego do obrony podejścia do zgodnego z prawem wykorzystywania danych dzieci.

Media i finanse wśród sektorów o największej ekspozycji

Sektory mediów i finansów odpowiadały łącznie za sześć z dziesięciu najwyższych kar nałożonych w II kwartale według zestawienia Finbold. Podwyższone ryzyko dotyczy również technologii, telekomunikacji i innych branż konsumenckich, które przetwarzają dane na dużą skalę lub wykorzystują je w złożonych, wzajemnie połączonych systemach.

Nie oznacza to, że każda firma z tych sektorów jest narażona w takim samym stopniu. Największe ryzyko pojawia się zwykle wtedy, gdy duża skala przetwarzania łączy się z profilowaniem zachowań, danymi wrażliwymi, szeroką bazą użytkowników, infrastrukturą transgraniczną albo skomplikowanymi relacjami z dostawcami i innymi podmiotami.

Co firmy działające w Europie powinny potraktować priorytetowo?

Wzorzec egzekwowania przepisów z II kwartału przekłada się na pięć praktycznych priorytetów:

1. Zmapować procesy i podstawy prawne. Należy na bieżąco dokumentować, jakie dane są zbierane, w jakim celu, kto je otrzymuje i jaka podstawa prawna uzasadnia każde wykorzystanie.
2. Testować zabezpieczenia w warunkach rzeczywistego ryzyka. Przegląd powinien obejmować zarządzanie dostępem, uwierzytelnianie, monitoring, retencję danych, reagowanie na incydenty oraz kontrolę dostawców — nie tylko treść wewnętrznych polityk.
3. Wzmocnić ochronę danych dzieci. Jeśli z usługi mogą korzystać małoletni, weryfikacja wieku, zgody, ocena ryzyka i zabezpieczenia dopasowane do wieku powinny być częścią przeglądów produktu i zgodności.
4. Ponownie ocenić transfery międzynarodowe. Warto dokumentować oceny ryzyka transferu, weryfikować role każdego odbiorcy i wdrażać dodatkowe zabezpieczenia tam, gdzie same klauzule umowne nie wystarczają.
5. Przenieść nadzór nad przetwarzaniem wysokiego ryzyka na poziom kierownictwa. Wysokość największych kar pokazuje, że zarządzanie prywatnością to kwestia finansowa i operacyjna, a nie wyłącznie formalność prawna.

Najważniejszy wniosek z II kwartału 2026 r.

Łączna wartość kar w wysokości 225,9 mln euro pokazuje, jak szybko pojedyncza decyzja może zmienić obraz egzekwowania RODO. Kara związana z Yango odpowiadała za niemal połowę kwartalnej sumy, a sprawy dotyczące telekomunikacji, sektora finansowego i prywatności dzieci wskazują, że regulatorzy analizują zarówno podstawowe praktyki bezpieczeństwa, jak i prawidłowość wykorzystywania danych osobowych.

Dla firm działających w Europie najważniejsza lekcja jest jasna: mechanizmy zgodności z RODO powinny być częścią zarządzania ryzykiem przedsiębiorstwa. Legalność przetwarzania, bezpieczeństwo, ochrona danych dzieci i transfery międzynarodowe wymagają stałego testowania oraz dowodów, które wytrzymają kontrolę organu nadzorczego.