Ponad 22 tys. zgłoszeń naruszeń ochrony danych osobowych, blisko 13 tys. skarg oraz ponad 64 mln zł administracyjnych kar pieniężnych – tak w liczbach wygląda część działalności Prezesa Urzędu Ochrony Danych Osobowych w 2025 roku.
Opublikowane sprawozdanie UODO za 2025 r. pokazuje nie tylko skalę problemów związanych z ochroną danych osobowych, ale również obszary, które wymagają szczególnej uwagi administratorów. Zgłaszanie naruszeń RODO, cyberbezpieczeństwo, realizacja praw osób, których dane dotyczą, oraz przygotowanie do kontroli UODO to zagadnienia, które powinny znaleźć się w centrum działań każdej organizacji przetwarzającej dane osobowe.
Jakie wnioski płyną ze sprawozdania i jak przygotować organizację na kontrolę UODO w przypadku naruszenia RODO? Poniżej przedstawiamy najważniejsze informacje dla administratorów danych.
Naruszenie RODO – ponad 22 tys. zgłoszeń w ciągu roku
W 2025 r. do UODO wpłynęło 22435 zgłoszeń naruszeń ochrony danych osobowych. Każde naruszenie RODO wymaga od administratora podjęcia decyzji, czy zachodzą przesłanki do zgłoszenia naruszenia organowi nadzorczemu, a w przypadku stwierdzenia wysokiego ryzyka naruszenia – również do zawiadomienia osób, których dane dotyczą.
Ze sprawozdania wynika, że podczas wstępnej weryfikacji zgłoszenia UODO analizuje m.in.
- terminowość jego dokonania,
- przyczyny ewentualnego opóźnienia,
- rodzaj naruszenia, jego charakter i przebieg,
- kategorie danych oraz osób objętych zdarzeniem,
- ocenę ryzyka,
- zastosowane przez administratora środki zaradcze,
- informacje dotyczące ewentualnego zawiadomienia osób, których dotyczyło naruszenie.
Prawidłowa reakcja na naruszenie RODO wymaga więc nie tylko szybkiego działania, ale również przeprowadzenia analizy ryzyka i udokumentowania podjętych decyzji.
Czy wysłanie zgłoszenie naruszenia RODO do UODO kończy sprawę?
Samo wysłanie formularza zgłoszenia naruszenia RODO często nie oznacza zakończenia sprawy. UODO może zwrócić się do administratora o dodatkowe informacje i wyjaśnienia.
W 2025 r. organ kierował pytania dotyczące m.in. przyczyn opóźnienia w dokonaniu zgłoszenia, daty i liczby osób zawiadomionych o naruszeniu, zastosowanych środków komunikacji oraz treści przekazanego zawiadomienia.
Administrator powinien więc nie tylko właściwie zareagować na incydent, ale również potrafić wykazać, dlaczego podjął określone decyzje. Dotyczy to w szczególności oceny ryzyka, decyzji o zgłoszeniu lub braku zgłoszenia naruszenia RODO oraz zawiadomienia osób, których dane dotyczą.
Dokumentacja incydentu nie powinna być zatem traktowana wyłącznie jako formalność. Jest ona istotnym elementem wykazania rozliczalności administratora.
Naruszenie RODO a bezpieczeństwo danych – backup i aktualizacje mają znaczenie
W sprawozdaniu UODO zwrócono uwagę również na incydenty związane z cyberbezpieczeństwem. Wśród opisywanych problemów znalazło się m.in. korzystanie z nieaktualnego oprogramowania, które może przyczyniać się do przełamania zabezpieczeń.
Znaczenie mają również kopie zapasowe. W przypadku części naruszeń dane były odzyskiwane z backupów, jednak nie zawsze kopie wykonywano regularnie.
UODO wskazał również na błędy w aplikacjach umożliwiające nieautoryzowany dostęp do danych, w tym podatności IDOR. Mogą one prowadzić do sytuacji, w której użytkownik uzyskuje dostęp do zasobów innej osoby poprzez manipulowanie identyfikatorem lub parametrem w adresie strony.
Wnioski dla administratorów są istotne: wdrożenie zabezpieczeń nie może być działaniem jednorazowym. Środki bezpieczeństwa powinny podlegać weryfikacji i aktualizacji wraz ze zmianą zagrożeń oraz wykorzystywanych technologii.
Skargi do UODO – wzrost o 61%
W 2025 r. do Prezesa UODO wpłynęło 12 827 skarg. Rok wcześniej było ich 8 056, a w 2023 r. – 6 962. Oznacza to wzrost liczby skarg w ciągu roku aż o 61%.
UODO wiąże ten wzrost m.in. ze zwiększeniem świadomości osób, których dane dotyczą, w zakresie przysługujących im praw, działalnością edukacyjną Urzędu oraz rosnącym zaufaniem do organu nadzorczego.
Dla administratorów jest to wyraźny sygnał, że osoby fizyczne coraz częściej korzystają ze swoich praw i są bardziej świadome możliwości skierowania skargi do organu nadzorczego, w przypadku uznania, że ich prawa i wolności dot. danych osobowych zostały naruszone.
Kontrole UODO i ponad 64 mln zł kar
W 2025 r. Prezes UODO przeprowadził 76 kontroli. Jednocześnie nałożono 32 administracyjne kary pieniężne, których łączna wysokość wyniosła 64 436 940,25 zł.
Liczby te pokazują, że przestrzeganie RODO jest przedmiotem realnej i coraz bardziej aktywnej kontroli organu nadzorczego. Dla administratorów oznacza to konieczność nie tylko wdrożenia odpowiednich procedur i zabezpieczeń, ale przede wszystkim zapewnienia, że są one rzeczywiście stosowane w praktyce. W razie kontroli znaczenie ma bowiem nie tylko posiadanie dokumentacji (polityk, procedur czy rejestrów), lecz możliwość wykazania, że przyjęte rozwiązania odpowiadają charakterowi przetwarzania danych i związanym z nim ryzykom.
Jak przygotować organizację na kontrolę UODO w przypadku naruszenia RODO?
Sprawozdanie za 2025 r. pokazuje, że ochrona danych osobowych powinna być traktowana przez administratorów danych jako ciągły proces. Administratorzy powinni regularnie weryfikować stosowane zabezpieczenia, aktualizować oprogramowanie, wykonywać kopie zapasowe, analizować ryzyko oraz sprawdzać, czy procedury dotyczące naruszeń RODO i realizacji praw osób rzeczywiście działają.
Szczególnego znaczenia nabiera także dokumentowanie podejmowanych decyzji. W przypadku incydentu administrator powinien być w stanie odtworzyć jego przebieg, wskazać zastosowane działania oraz uzasadnić dokonaną ocenę ryzyka.
Statystyki UODO za 2025 r. pokazują jednocześnie rosnącą aktywność osób, których dane dotyczą. W praktyce oznacza to, że organizacje powinny być przygotowane zarówno na incydenty bezpieczeństwa, jak i na sprawną obsługę wniosków i żądań wynikających z RODO.
Audyt zgodności z RODO może pomóc zweryfikować, czy stosowane w organizacji procedury i zabezpieczenia odpowiadają aktualnym procesom przetwarzania danych oraz rzeczywistym zagrożeniom.
Votum Legal Halaś, Koniczny i Wspólnicy Kancelaria Adwokatów i Radców Prawnych sp.k. wspiera administratorów danych m.in. w przeprowadzaniu audytów zgodności z RODO, analizie i obsłudze naruszeń ochrony danych, przygotowaniu dokumentacji oraz realizacji obowiązków związanych z ochroną danych osobowych.
Czy każde naruszenie ochrony danych trzeba zgłosić do UODO?
Nie. Obowiązek zgłoszenia zależy od oceny ryzyka dla praw i wolności osób fizycznych. Sprawozdanie UODO pokazuje jednak, jak istotne jest prawidłowe przeprowadzenie tej oceny. Organ analizuje m.in. charakter i przebieg zdarzenia, kategorie danych i osób objętych naruszeniem oraz zastosowane środki zaradcze.
Na co UODO zwraca uwagę przy analizie naruszenia ochrony danych?
Organ analizuje m.in. terminowość zgłoszenia, charakter i przebieg naruszenia, kategorie danych i osób objętych zdarzeniem, ocenę ryzyka dla ich praw i wolności, zastosowane środki zaradcze oraz – jeżeli było wymagane – zawiadomienie osób o naruszeniu.
O co UODO może zapytać administratora po zgłoszeniu naruszenia?
Zgłoszenie naruszenia nie zawsze kończy kontakt administratora z organem nadzorczym. UODO może zwrócić się o dodatkowe informacje np. dotyczące przyczyn opóźnienia zgłoszenia, liczby osób zawiadomionych o naruszeniu, daty i sposobu ich zawiadomienia czy treści przekazanego komunikatu. Dlatego kluczowe znaczenie ma odpowiednie udokumentowanie zarówno przebiegu incydentu, jak i decyzji podejmowanych przez administratora.
