EROD ujednolica metodologię nakładania kar i przyjmuje ostateczne wytyczne dotyczące DSA i RODO

Podczas 123. posiedzenia plenarnego Europejskiej Rady Ochrony Danych (EROD), które odbyło się 17.09.2026 r., EROD przyjęła wytyczne* dotyczące stosowania uprawnień do nakładania kar administracyjnych w powiązaniu z innymi uprawnieniami naprawczymi wynikającymi z RODO oraz ostateczną wersję wytycznych dotyczących wzajemnych zależności między aktem o usługach cyfrowych (DSA) a ogólnym rozporządzeniem o ochronie danych osobowych (RODO). Podczas posiedzenia Urząd Ochrony Danych reprezentowała Maria Owczarek, dyrektorka Departamentu Współpracy Międzynarodowej UODO.

„Nowe wytyczne EROD stanowią ważny krok w kierunku dalszego ujednolicenia sposobu, w jaki organy ochrony danych podejmują decyzje o nałożeniu administracyjnej kary pieniężnej – samodzielnie lub w połączeniu z innymi środkami naprawczymi. RODO znacznie rozszerzyło uprawnienia naprawcze organów ochrony danych, a kary pieniężne stanowią ważny instrument skutecznego egzekwowania przepisów. Wytyczne te potwierdzają nasze zaangażowanie w zapewnienie większej jasności i spójnego stosowania RODO w całej Europie” – powiedziała Jelena Virant Burnik wiceprzewodnicząca EROD.

Organy ochrony danych powinny stosować pięciostopniową metodologię przy podejmowaniu decyzji o nałożeniu administracyjnej kary pieniężnej:

1.     Organ ochrony danych sprawdza, czy naruszenie może skutkować nałożeniem kary pieniężnej, poszukując podstawy prawnej bezpośrednio w RODO lub w prawie krajowym.

2.     Organ ochrony danych ustala, czy strona objęta postępowaniem może zostać ukarana karą pieniężną za dane naruszenie. To, czy odpowiedzialność ponosi administrator, czy podmiot przetwarzający, zależy od tego, kto podlega naruszonemu przepisowi.

3.     Organ ochrony danych ocenia, czy naruszenie zostało popełnione umyślnie czy nieumyślnie, ponieważ naruszenie z winy podmiotu jest warunkiem nałożenia kary pieniężnej.

4.     Organ ochrony danych ocenia ewentualne okoliczności obciążające i łagodzące. Jeśli naruszenie jest niewielkie, zazwyczaj nie nakłada się kary pieniężnej, a zamiast tego może zostać udzielone upomnienie; jeśli naruszenie nie jest niewielkie, istnieje silne domniemanie, że należy nałożyć karę pieniężną.

5.     Organ ochrony danych ocenia, czy nałożenie administracyjnej kary pieniężnej byłoby skuteczne, proporcjonalne i odstraszające. Czyniąc to, organ ochrony danych może rozważyć, czy w konkretnym przypadku istnieje powód do odejścia od standardowego podejścia.

Wytyczne zawierają również przegląd uprawnień naprawczych leżących w kompetencji krajowych organów ochrony danych oraz wyjaśniają ich cel, zakres i wzajemne powiązania. Środki naprawcze obejmują ostrzeżenia, upomnienia, nakazy, ograniczenia (w tym zakazy) oraz cofnięcie certyfikacji.

EROD przedstawia również 14 praktycznych przykładów ilustrujących, w jaki sposób organy ochrony danych mogą ocenić specyfikę danej sprawy i zdecydować, jakie środki naprawcze należy nałożyć, o ile w ogóle.

Wytyczne są przedmiotem konsultacji publicznych do 13 listopada 2026 r., co da zainteresowanym stronom możliwość zgłaszania uwag i przekazywania opinii.

Wytyczne dotyczące DSA i RODO sfinalizowane po konsultacjach publicznych

Po przeprowadzeniu konsultacji publicznych, EROD przyjęła ostateczną wersję wytycznych  dotyczących wzajemnych zależności między DSA a RODO. Wytyczne te wspierają spójne stosowanie obu aktów prawnych, zwłaszcza w przypadkach, gdy przepisy DSA dotyczą przetwarzania danych osobowych przez pośredników świadczących usługi i odwołują się do pojęć oraz definicji określonych w RODO.

Uwaga dla redaktorów:

* Niniejsze wytyczne zastępują wytyczne GR Art. 29 w sprawie stosowania i nakładania administracyjnych kar pieniężnych do celów rozporządzenia 2016/679 oraz uzupełniają przyjęte wcześniej wytyczne dotyczące obliczania administracyjnych kar pieniężnych na mocy RODO, które skupiają się raczej na metodologii obliczania wysokości kary administracyjnej.

Źródło: Komunikat prasowy EROD: https://www.edpb.europa.eu/news/edpb-harmonises-fining-methodology-and-adopts-final-dsa-gdpr-guidelines_en 

Agenda 123. Posiedzenia plenarnego EROD: https://www.edpb.europa.eu/meetings/123rd-plenary-meeting_en