Legal Alert | Plan kontroli sektorowych UODO na 2026 r.

Co to oznacza w praktyce?

Choć plan obejmuje także obszary stricte publiczne (SIS/VIS, BIP), z perspektywy sektora prywatnego kluczowe są trzy kategorie kontrolowanych: 

• podmioty marketingowe, 
• internetowe platformy dostaw oraz 
• podmioty lecznicze.

UODO wprost wskazuje, że kontrole mają objąć obszary, gdzie w ostatnim roku pojawiały się incydenty, a także w odniesieniu do których napływały skargi i zgłoszenia naruszeń. 

Marketing

Prezes UODO nie doprecyzował, co rozumie przez „podmioty marketingowe”. W praktyce kontrole mogą obejmować zarówno firmy prowadzące komunikację handlową (np. newslettery, kampanie e-mail/SMS/telefon), jak i podmioty je obsługujące (np. agencje, call center, dostawców narzędzi mailingowych/marketing automation oraz podmioty zajmujące się pozyskiwaniem leadów).

Wskazanie „podmiotów marketingowych” jako osobnej kategorii podmiotów oznacza, że UODO może badać legalność i rozliczalność działań, które występują w niemal każdej branży: systemy do zarządzania relacjami z klientami (CRM), newslettery, kampanie marketingowo-sprzedażowe ukierunkowane na pozyskanie klientów, remarketing, telemarketing, programy lojalnościowe. W praktyce UODO najczęściej sprawdza, czy firma ma prawo używać danych do kontaktów w celach handlowych, skąd te dane ma oraz czy klient może łatwo zrezygnować z kierowanych do niego działań promocyjnych (i czy ta rezygnacja faktycznie działa).

Internetowe platformy dostaw/marketplace/aplikacje pośredniczące

UODO zapowiada kontrole przetwarzania danych przez platformy pośredniczące w sprzedaży towarów i usług przez aplikacje (przy czym zakres kontroli nie jest ograniczony do aplikacji mobilnych, a zatem może dotyczyć też aplikacji „webowych”). W praktyce kontrola może dotyczyć m.in.: przyjętych polityk prywatności, informacji o przetwarzaniu danych podanych na formularzach kontaktowych. Ponadto, w przypadku aplikacji mobilnych może dotyczyć też zakresu danych zbieranych przez aplikację oraz celu ich gromadzenia, danych lokalizacyjnych, czy okresu przechowywania danych.

Podmioty lecznicze – sektor publiczny i prywatny

Prezes UODO nie wskazał wprost, które kategorie podmiotów leczniczych zostaną objęte kontrolami. Biorąc jednak pod uwagę dotychczasową praktykę organu, można oczekiwać, że działania kontrolne mogą dotyczyć zarówno podmiotów publicznych, jak i prywatnych – w tym m.in. prywatnych praktyk lekarskich oraz zakładów diagnostyki laboratoryjnej.

W sektorze ochrony zdrowia priorytetem UODO jest zbadanie stosowania monitoringu wizyjnego - ze szczególnym uwzględnieniem sytuacji, w których przetwarzane mogą być dane dzieci. Organy nadzoru zwykle weryfikują przede wszystkim proporcjonalność monitoringu (czy jego zakres nie jest nadmiarowy np. monitoring obejmujący pacjentów lub sytuacje wrażliwe, mimo że dla deklarowanego celu wystarczyłoby monitorowanie wejść i korytarzy), zasady dostępu do nagrań, okres ich przechowywania oraz sposób realizacji obowiązków informacyjnych.

Kary

W toku kontroli Prezes UODO może zastosować zarówno środki naprawcze (np. nakazy/zakazy). Dodatkowo, po zakończeniu kontroli Prezes UODO może nałożyć na kontrolowanego administracyjną karę pieniężną.

Kary niefinansowe – środki naprawcze

Prezes UODO może m.in. udzielić upomnienia lub wydać ostrzeżenie oraz zdecydować o czasowym lub całkowitym ograniczeniu przetwarzania danych przez określony podmiot, a także zakazać dalszego przetwarzania.

Administracyjne kary pieniężne 

W zależności od rodzaju naruszenia Prezes UODO może nałożyć na podmiot prywatny karę sięgającą:

• 10 mln EUR albo 2% rocznego światowego obrotu przedsiębiorstwa (w zależności od tego, która kwota jest wyższa) – w przypadku naruszeń dotyczących obowiązków organizacyjnych i compliance po stronie administratora lub podmiotu przetwarzającego (m.in. w zakresie bezpieczeństwa, prowadzenia dokumentacji, zgłaszania naruszeń).
• 20 mln EUR albo 4% rocznego światowego obrotu przedsiębiorstwa (w zależności od tego, która kwota jest wyższa) - w przypadku najpoważniejszych naruszeń, w szczególności dotyczących podstawowych zasad przetwarzania, praw osób fizycznych, transferów danych poza Europejski Obszar Gospodarczy oraz niewykonania decyzji/nakazów organu nadzorczego.

Z perspektywy ryzyk warto potraktować plan jako sygnał do przeglądu procesów. W razie kontroli UODO zwykle oczekuje dowodów, że zasady są wdrożone w praktyce, a nie tylko opisane w dokumentach. Istotne w tym zakresie jest w szczególności prawidłowe przeszkolenie pracowników zaangażowanych w procesy przetwarzania danych.