RODO obowiązuje każdą firmę w Polsce, która przetwarza dane osobowe - bez progu wielkości. Minimum dla MŚP to sześć dokumentów (rejestr czynności, polityka ochrony danych, klauzule informacyjne, umowy powierzenia, procedura naruszeń, dowód zabezpieczeń) oraz pięć środków technicznych z art. 32: MFA, szyfrowanie, backup 3-2-1, kontrola dostępu i coroczny audyt. Naruszenie zgłaszacie do UODO w 72 godziny. Kary sięgają 20 mln euro lub 4% obrotu.
Ten przewodnik tłumaczy każdy z tych obowiązków na konkretne działanie właściciela - bez prawniczego żargonu i bez straszenia. Pokazujemy, co naprawdę musicie mieć, jak zabezpieczyć dane technicznie i jak udowodnić, że robicie to dobrze.
1. Czy RODO dotyczy mojej firmy?
Tak, jeśli przetwarzacie jakiekolwiek dane osobowe w związku z działalnością - a praktycznie każda firma to robi. RODO, czyli ogólne rozporządzenie o ochronie danych (rozporządzenie UE 2016/679), nie ma progu wielkości. Nie ma znaczenia, czy zatrudniacie pięćdziesiąt osób, czy prowadzicie jednoosobową działalność. Liczy się to, że gromadzicie dane klientów, pacjentów, pracowników albo kontrahentów.
Mit “jesteśmy za mali na RODO” jest najczęstszym powodem, dla którego małe firmy zostają z niczym podczas pierwszej kontroli. Dane osobowe to każda informacja o możliwej do zidentyfikowania osobie: imię i nazwisko, e-mail, numer telefonu, PESEL, numer rejestracyjny, a w gabinecie czy klinice również dane o zdrowiu, które RODO traktuje jako dane wrażliwe (art. 9) z surowszym reżimem.
Warto rozróżnić dwie role. Administrator to wy - decydujecie, po co i jak przetwarzacie dane. Podmiot przetwarzający to ktoś, kto robi to w waszym imieniu: dostawca hostingu, biuro rachunkowe, dostawca systemu rezerwacji, a po skanie również CyberCerber. Każda z tych relacji wymaga osobnej umowy, o czym za chwilę. Jeśli dopiero układacie podstawy bezpieczeństwa, zacznijcie od naszego przewodnika cyberbezpieczeństwo dla małej firmy.
2. Co RODO wymaga: sześć dokumentów
Zgodność z RODO opiera się najpierw na dokumentacji. To ona pokazuje, że świadomie zarządzacie danymi, i to od niej zaczyna każdą kontrolę UODO. Oto minimum dla małej firmy.
Rejestr czynności przetwarzania (art. 30). Spis tego, jakie dane przetwarzacie, w jakim celu, na jakiej podstawie prawnej i jak długo je przechowujecie. To pierwszy dokument, którego żąda UODO. Bez niego trudno udowodnić cokolwiek innego.
Polityka ochrony danych. Wewnętrzny dokument opisujący, kto w firmie ma dostęp do danych, jak je zabezpieczacie i co robicie w razie problemu. Dla małej firmy może mieć kilka stron - ważne, by odpowiadał rzeczywistości.
Klauzule informacyjne (art. 13). Informacja dla osób, których dane zbieracie: kim jesteście, w jakim celu przetwarzacie dane, jak długo, komu je udostępniacie i jakie prawa przysługują. Pokazujecie ją w momencie zbierania danych - na formularzu, w gabinecie, na stronie. To najczęstszy temat skarg do UODO, więc warto ją dopracować.
Umowy powierzenia (art. 28). Każdy podmiot, który przetwarza dane w waszym imieniu, musi mieć z wami podpisaną umowę powierzenia (DPA). Bez niej przekazanie danych dostawcy jest niezgodne z RODO.
Procedura zgłaszania naruszeń. Krótki, jasny opis: kto i jak reaguje, gdy dojdzie do wycieku, oraz jak w 72 godziny zgłosić sprawę do UODO. Wracamy do tego w sekcji 4.
Dowód środków technicznych. Nie wystarczy zadeklarować, że zabezpieczacie dane - trzeba to wykazać. Raport z audytu, polityka kopii zapasowych i potwierdzenie włączonego MFA to dowody, których oczekuje organ nadzorczy.
Najczęstszy błąd to dokumenty pobrane z internetu i skopiowane bez dopasowania do firmy. Rejestr czynności salonu fryzjerskiego nie pasuje do gabinetu stomatologicznego, a klauzula informacyjna ze wzoru sprzed RODO bywa po prostu nieważna. UODO sprawdza nie tylko, czy dokument istnieje, ale czy odpowiada temu, co faktycznie robicie z danymi. Lepszy jest krótki, prawdziwy rejestr niż obszerny dokument opisujący cudzą działalność.
3. Środki techniczne i organizacyjne (art. 32)
Dokumenty bez realnych zabezpieczeń to papier. Art. 32 RODO wymaga środków “adekwatnych do ryzyka” i wymienia przykłady: szyfrowanie, pseudonimizację, zdolność do przywrócenia dostępu po awarii oraz regularne testowanie skuteczności zabezpieczeń. Dla małej firmy praktyczne minimum sprowadza się do pięciu rzeczy.
MFA (uwierzytelnianie wieloskładnikowe) na wszystkich kontach biznesowych - poczcie, systemie rezerwacji, bankowości, panelu administracyjnym strony. To pojedyncza zmiana, która eliminuje większość ataków na przejęte hasła.
Szyfrowanie: HTTPS na stronie i w panelach (protokół TLS), szyfrowanie dysków w laptopach i kopiach zapasowych. Dzięki temu skradziony sprzęt nie oznacza skradzionych danych.
Backup 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, jedna poza siedzibą. To wymóg “zdolności do przywrócenia dostępu” z art. 32 i jednocześnie wasza obrona przed ransomware.
Kontrola dostępu: każdy pracownik ma własne konto i tylko te uprawnienia, których realnie potrzebuje. Po odejściu pracownika konto natychmiast wyłączacie.
Coroczny audyt zewnętrzny: regularne testowanie skuteczności środków, którego wprost wymaga art. 32. Niezależny skan podatności pokazuje, co widać z internetu i co trzeba poprawić - i jest dowodem, że środki testujecie. Tak działa nasz PreScan jako bezpłatny pierwszy krok.
Słowo “adekwatne” jest tu kluczowe. RODO nie wymaga od trzyosobowego gabinetu rozwiązań klasy korporacyjnej. Wymaga środków proporcjonalnych do ryzyka: im wrażliwsze dane i im więcej osób ich dotyczy, tym mocniejsze zabezpieczenia. Dla większości MŚP powyższa piątka to rozsądne minimum - nie maksimum. Jeśli przetwarzacie dane o zdrowiu, podnosicie poprzeczkę (na przykład szyfrowanie kopii zapasowych i ścisła kontrola dostępu); jeśli prowadzicie tylko listę kontaktów do faktur, ryzyko jest niższe i środki mogą być prostsze. Ważne, żeby tę ocenę świadomie przeprowadzić i krótko zapisać - to również element zgodności.
4. Naruszenie danych: zgłoszenie do UODO w 72 godziny
Gdy dojdzie do naruszenia ochrony danych - wycieku, kradzieży laptopa, ataku ransomware, wysłania danych do niewłaściwej osoby - macie 72 godziny na zgłoszenie do UODO (art. 33). Liczy się moment, w którym stwierdziliście naruszenie, a nie moment jego wystąpienia.
Zgłoszenie składacie elektronicznie, przez ePUAP lub formularz na stronie UODO. Musi zawierać charakter naruszenia, kategorie i przybliżoną liczbę osób, kategorie danych, prawdopodobne konsekwencje oraz środki, które podjęliście. Jeśli ryzyko dla osób jest wysokie, musicie też powiadomić same osoby.
Najgorszy scenariusz to brak procedury i panika w dniu incydentu. Dlatego procedura naruszeń z sekcji 2 powinna powstać zawczasu. Szczegółowy opis krok po kroku przygotowujemy w osobnym poradniku.
5. Kary i egzekwowanie w 2025-2026
Maksymalna kara za naruszenie RODO to 20 mln euro lub 4% rocznego obrotu globalnego, zależnie od tego, która kwota jest wyższa (art. 83 RODO). To górny pułap dla najpoważniejszych spraw - nie typowy wyrok dla małej firmy. Warto jednak wiedzieć, w którą stronę idzie egzekwowanie.
Rok 2025 był rekordowy. Według sprawozdania UODO oraz relacji branżowych łączna kwota administracyjnych kar pieniężnych sięgnęła około 64 mln zł - wielokrotnie więcej niż rok wcześniej (ok. 14 mln zł) - choć złożyło się na to ponad trzydzieści decyzji, z których kilka największych zdominowało całą kwotę (prawo.pl, GDPR.pl). Najwyższą karę w historii polskiego organu - 27 mln zł dla Poczty Polskiej za przetwarzanie danych z rejestru PESEL bez podstawy prawnej przy “wyborach kopertowych” w 2020 r. - nałożono w 2025 r., ale w marcu 2026 r. Wojewódzki Sąd Administracyjny ją uchylił (wyrok nieprawomocny, UODO może złożyć skargę kasacyjną do NSA). Wśród najwyższych pozostają też ING Bank Śląski (18,4 mln zł, za kopiowanie dowodów osobistych) i McDonald’s Polska (16,9 mln zł). Komentatorzy nazywają tę zmianę “końcem taryfy ulgowej”: UODO odchodzi od wielu drobnych sankcji na rzecz kilku bardzo dotkliwych.
Dla małej firmy wniosek jest spokojny, ale konkretny. Kary nakładane na MŚP są wielokrotnie niższe niż te głośne, a najczęściej dotyczą braku rejestru czynności albo niewystarczających zabezpieczeń - czyli rzeczy, które da się załatwić tanio i z wyprzedzeniem.
Z publikowanych decyzji i praktyki rynkowej wyłania się kilka powtarzalnych uchybień, które realnie ściągają na małą firmę problemy: brak rejestru czynności, brak procedury naruszeń (a w efekcie przekroczenie terminu 72 godzin), brak umów powierzenia z dostawcami oraz brak dowodu na zabezpieczenia techniczne - czyli słowo “mamy backup” bez żadnego raportu czy logu. Kolejność ma znaczenie: organ nadzorczy zwykle nie zaczyna od najdrobniejszego szczegółu, tylko od tego, czy w ogóle macie podstawy. Pierwszą linią obrony jest więc dokumentacja z sekcji 2 plus środki techniczne z sekcji 3. Sposoby ograniczania ryzyka opisujemy szerzej w osobnym tekście.
6. RODO a NIS2: co naprawdę was dotyczy
To dwa różne reżimy i łatwo je pomylić. RODO dotyczy danych osobowych i obejmuje praktycznie każdą firmę. NIS2 (w Polsce wdrożona ustawą o krajowym systemie cyberbezpieczeństwa) dotyczy cyberbezpieczeństwa wybranych sektorów i ma próg wielkości - zwykle co najmniej 50 pracowników lub 10 mln euro obrotu, w sektorach z załączników do ustawy.
W praktyce większość małych gabinetów, biur rachunkowych i klinik podlega wyłącznie RODO. NIS2 wchodzi w grę dopiero po spełnieniu kryteriów sektora i wielkości. Nie wdrażajcie pełnej, dziesięcioelementowej listy z art. 21 NIS2, jeśli was ona nie dotyczy - to nie jest lista dla każdej firmy. Zanim cokolwiek wdrożycie, sprawdźcie zakres w naszym przewodniku NIS2 i UKSC dla MŚP. Dobra wiadomość: środki techniczne z art. 32 RODO i z NIS2 w dużej mierze się pokrywają, więc porządne podstawy bezpieczeństwa pracują na obie regulacje naraz.
7. RODO w trzech branżach
Te same zasady wyglądają inaczej w zależności od tego, jakie dane przetwarzacie.
Gabinet stomatologiczny. Dokumentacja medyczna to dane wrażliwe (art. 9 RODO) plus tajemnica lekarska. Backup zdjęć RTG i dokumentacji oraz kontrola dostępu do systemu gabinetowego są tu krytyczne. Więcej w przewodniku cyberbezpieczeństwo w gabinecie stomatologicznym.
Biuro rachunkowe. Najczęściej występujecie w podwójnej roli: administratora własnych danych i podmiotu przetwarzającego dane klientów. To oznacza umowy powierzenia w obie strony i szczególną ostrożność przy danych finansowych. Szczegóły w przewodniku cyberbezpieczeństwo biura rachunkowego.
Klinika medycyny estetycznej. Zdjęcia pacjentek to dane wrażliwe i jednocześnie kwestia wizerunku - publikacja w mediach społecznościowych wymaga osobnej, świadomej zgody. Więcej w przewodniku cyberbezpieczeństwo kliniki medycyny estetycznej.
8. Od czego zacząć: RODO minimum bezpieczeństwa
Jeśli macie zrobić tylko jedno po przeczytaniu tego tekstu, niech to będzie przejście przez poniższą listę. To nasze “RODO minimum bezpieczeństwa” - każdy obowiązek sprowadzony do konkretnego działania i dowodu, który zadowoli organ nadzorczy.
| Obowiązek RODO | Konkretne działanie | Dowód |
|---|---|---|
| Rejestr czynności (art. 30) | Spisać, jakie dane, po co, jak długo | Plik rejestru |
| Polityka ochrony danych | Opisać dostęp i zasady | Dokument polityki |
| Klauzule informacyjne (art. 13) | Dodać do formularzy i punktów zbiórki | Treść klauzuli w użyciu |
| Umowy powierzenia (art. 28) | Podpisać z każdym dostawcą danych | Podpisane DPA |
| Procedura naruszeń (art. 33) | Opisać reakcję i ścieżkę zgłoszenia 72h | Dokument procedury |
| MFA | Włączyć na wszystkich kontach | Zrzut konfiguracji |
| Szyfrowanie (TLS, dyski) | HTTPS + szyfrowanie laptopów i kopii | Certyfikat, ustawienia |
| Backup 3-2-1 | Trzy kopie, dwa nośniki, jedna poza siedzibą | Polityka i logi backupu |
| Kontrola dostępu | Osobne konta, minimalne uprawnienia | Lista kont i uprawnień |
| Coroczny audyt (art. 32) | Zlecić zewnętrzny skan podatności | Raport z audytu |
Kolejność ma znaczenie: zacznijcie od rejestru czynności i od MFA, bo dają najwięcej ochrony i najszybciej. Coroczny audyt zewnętrzny zamyka listę i jednocześnie dostarcza “dowodu środków technicznych”, którego oczekuje UODO. Jeśli nie wiecie, na czym stoicie, zacznijcie od bezpłatnego skanu - sprawdźcie ofertę i ceny.
FAQ
Czy RODO dotyczy jednoosobowej działalności gospodarczej?
Tak. RODO nie ma progu wielkości - obowiązuje każdego, kto przetwarza dane osobowe w celach zawodowych, łącznie z jednoosobową działalnością. Jeśli macie klientów, pracowników albo newsletter, przetwarzacie dane osobowe i podlegacie RODO. Skala obowiązków jest proporcjonalna do ryzyka, ale samego obowiązku nie da się uniknąć przez wielkość firmy.
Jaka jest kara za brak zgodności z RODO w małej firmie?
Maksymalna kara to 20 mln euro lub 4% rocznego obrotu globalnego (art. 83 RODO). W praktyce małe firmy otrzymują kary znacznie niższe, zwykle za brak rejestru czynności albo niewystarczające zabezpieczenia. Według sprawozdania UODO za 2025 r. łączna kwota kar przekroczyła 64 mln zł - egzekwowanie rośnie.
Co to jest rejestr czynności przetwarzania i czy mała firma musi go mieć?
Rejestr czynności przetwarzania to spis tego, jakie dane przetwarzacie, w jakim celu, na jakiej podstawie i jak długo (art. 30 RODO). Większość małych firm musi go prowadzić, bo przetwarza dane regularnie. To pierwszy dokument, którego żąda UODO podczas kontroli, więc zacznijcie właśnie od niego.
Czy mała firma musi mieć inspektora ochrony danych (IOD)?
Zwykle nie. IOD jest obowiązkowy tylko, gdy przetwarzanie na dużą skalę jest głównym przedmiotem działalności albo dotyczy danych wrażliwych na dużą skalę (art. 37 RODO). Typowy gabinet, biuro czy klinika nie musi wyznaczać IOD, ale może to zrobić dobrowolnie. Obowiązki ochrony danych istnieją niezależnie od tego, czy macie IOD.
Ile trwa i ile kosztuje wdrożenie RODO w małej firmie?
Podstawową dokumentację i środki techniczne mała firma wdraża zwykle w kilka tygodni. Koszt zależy głównie od stanu wyjściowego: jeśli macie już MFA i backup, brakuje wam tylko dokumentów. Najwięcej kosztuje brak zabezpieczeń technicznych, nie sama biurokracja - dlatego warto zacząć od oceny, co już macie.
Powiązane przewodniki
- Ocena podatności IT (zewnętrzna) - dowód regularnego testowania środków technicznych z art. 32 RODO
Sąsiednie pillary:
Nie wiecie, czy wasze zabezpieczenia techniczne spełniają wymogi art. 32 RODO? Zamówcie bezpłatny PreScan - zobaczycie, co widać z internetu i co poprawić, zanim zrobi to kontrola albo atakujący.
Materiał informacyjny, nie jest to porada prawna. W sprawach szczegółowych skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych. Data aktualizacji: 2026-06-15.