RODO po polsku - kogo dotyczy, obowiązki, kary i terminy

Kogo dotyczy

Akt dotyczy firm i większości instytucji publicznych, gdy przetwarzają dane osób fizycznych.

Najważniejsze obowiązki

• Organizacje muszą niezwłocznie zawiadomić organy nadzorcze, a przy poważnych naruszeniach także osoby, których dane dotyczą.

  Dokładnie w oficjalnym streszczeniu

  Firma musi niezwłocznie powiadomić organy nadzorcze o naruszeniu ochrony danych osobowych, a przy poważnych naruszeniach poinformować także osoby, których dane dotyczą.

  Przedsiębiorstwa i organizacje są zobowiązane niezwłocznie zawiadomić odpowiednie organy nadzorcze ds. ochrony danych , a w przypadku poważnych naruszeń danych – także osoby, których te dane dotyczą.

• Organy publiczne i firmy przetwarzające dużo danych lub głównie dane szczególne muszą wyznaczyć osobę odpowiedzialną za ich ochronę.

  Dokładnie w oficjalnym streszczeniu

  Organy publiczne oraz przedsiębiorstwa przetwarzające dane na dużą skalę lub których główna działalność polega na przetwarzaniu szczególnych kategorii danych muszą wyznaczyć osobę odpowiedzialną za ochronę danych.

  Osoba odpowiedzialna za ochronę danych musi być wyznaczana przez organy publiczne oraz przez przedsiębiorstwa, które przetwarzają dane na dużą skalę lub których główna działalność polega na przetwarzaniu szczególnych kategorii danych, takich jak dane dotyczące zdrowia.

• Organizacje muszą ocenić skutki, gdy przetwarzanie danych może stwarzać duże ryzyko naruszenia praw i swobód osób.

  Dokładnie w oficjalnym streszczeniu

  Organizacje są zobowiązane do przeprowadzenia oceny skutków dla ochrony danych, jeśli ich przetwarzanie niesie wysokie ryzyko naruszenia praw i swobód osób.

  Organizacje będą zobowiązane do przeprowadzania oceny skutków, gdy przetwarzanie danych może rodzić duże ryzyko naruszenia praw i swobód osób.

To wybór najważniejszych punktów, nie pełna lista. Wszystkie obowiązki są w pełnym tekście aktu: EUR-Lex

Kto kontroluje

Niezależne organy sprawdzają, czy przepisy są stosowane, i egzekwują ich przestrzeganie.

Terminy: RODO

Nadchodzi

• 2 kwietnia 2027

  W sprawach transgranicznych z udziałem więcej niż jednego organu UE lub Europejskiego Obszaru Gospodarczego zaczynają obowiązywać zasady egzekwowania RODO.

  Trwają prace nad zmianą tego aktu - termin może się przesunąć.

  Dokładnie w oficjalnym streszczeniu

  Zaczynają być stosowane przepisy proceduralne dotyczące transgranicznego egzekwowania RODO.

  Przepisy proceduralne dotyczące transgranicznego egzekwowania prawa określone w rozporządzeniu (UE) 2025/2518 stosuje się od 2 kwietnia 2027 r.

  Rozporządzenie (UE) 2025/2518 (przyjęte dnia 26 listopada 2025 r. i opublikowane w Dzienniku Urzędowym dnia 12 grudnia 2025 r. ) ustanawia przepisy proceduralne dotyczące egzekwowania RODO w sprawach transgranicznych (gdy zaangażowany jest więcej niż jeden organ UE / Europejskiego Obszaru Gospodarczego ).

Już obowiązuje

• 25 maja 2018

  RODO zaczyna obowiązywać firmy i większość instytucji publicznych przetwarzających dane osobowe.

  Podmioty prywatne i większość podmiotów publicznych przetwarzających dane osobowe.

  Dokładnie w oficjalnym streszczeniu

  Rozporządzenie RODO zaczyna obowiązywać.

  RODO obowiązuje od 25 maja 2018 r.

  Rozporządzenie (UE) 2016/679 , czyli ogólne rozporządzenie o ochronie danych (RODO), chroni osoby fizyczne w związku z przetwarzaniem ich danych przez podmioty prywatne oraz przez większość podmiotów publicznych.

Zmiany w drodze

• 2025/0360(COD) · poprawki zgłoszone w komisji PE (27 lipca 2026)Zmiana rozporządzeń (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725, (UE) 2023/2854 oraz dyrektyw 2002/58/WE, (UE) 2022/2555 i (UE) 2022/2557 w odniesieniu do uproszczenia cyfrowych ram prawnych oraz uchylenia rozporządzeń (UE) 2018/1807, (UE) 2019/1150, (UE) 2022/868 i dyrektywy (UE) 2019/1024 (akt zbiorczy prawa cyfrowego)
• 2025/0130(COD) · komisja PE zatwierdziła wstępne porozumienie (2 lipca 2026)Zmiana rozporządzeń (UE) 2016/679, (UE) 2016/1036, (UE) 2016/1037, (UE) 2017/1129, (UE) 2023/1542 i (UE) 2024/573 w odniesieniu do rozszerzenia niektórych środków łagodzących dostępnych dla małych i średnich przedsiębiorstw na małe spółki o średniej kapitalizacji oraz w odniesieniu do dalszych środków upraszczających

Słowniczek

pseudonimizacja

Zastąpienie wartości identyfikujących w danym wpisie jednym lub kilkoma sztucznymi identyfikatorami.

szyfrowanie

Zakodowanie danych w taki sposób, aby ich odczytanie było możliwe wyłącznie przez osoby do tego upoważnione.

organ nadzorczy

Całkowicie niezależny organ odpowiedzialny za monitorowanie stosowania i egzekwowanie przestrzegania przepisów.

ocena skutków dla ochrony danych

Ocena, którą organizacje muszą przeprowadzić, gdy przetwarzanie danych może rodzić duże ryzyko naruszenia praw i swobód osób.