We wtorek 8 września 2026 roku Urząd Ochrony Danych Osobowych opublikował komunikat, który w pierwszym odruchu czyta się jak notatkę z życia politycznego. Prezes UODO Mirosław Wróblewski udzielił upomnienia dwóm parlamentarzystom — Waldemarowi Budzie i Michałowi Wosiowi — za naruszenie RODO. Zaskakujące jest jednak nie to, kogo upomniano, tylko za co. Nie za ujawnienie danych osobowych, choć od tego cała sprawa się zaczęła. Za to, że nie odpowiedzieli na pisma urzędu.

Dwie sygnatury, DKE.561.10.2025 i DKE.561.11.2025, opisują ten sam mechanizm. W trakcie kampanii prezydenckiej 2025 roku do Prezesa UODO wpłynęły zawiadomienia o prawdopodobnym ujawnieniu danych osobowych na platformach X i Facebook — chodziło o szczegóły ze sprawy eksmisyjnej, w tym dane stron postępowania. Organ nadzorczy wszczął postępowanie administracyjne i zwrócił się do obu parlamentarzystów o informacje niezbędne do zbadania okoliczności. Korespondencja poszła dwukrotnie do każdego z nich. Jak podaje urząd, pozostała bez odpowiedzi albo wróciła z adnotacją o niepodjęciu przesyłki w urzędowym terminie.

I wtedy zdarzyło się to, czego większość administratorów danych w Polsce nie ma w swoim modelu ryzyka: Prezes UODO wszczął dwa odrębne postępowania — nie o pierwotne naruszenie, tylko o nałożenie administracyjnej kary pieniężnej za nieudzielenie odpowiedzi na wezwania organu nadzorczego. Sprawa główna została zawieszona w miejscu, w którym stała, a obok niej wyrosła druga, całkowicie samodzielna, z własnym zarzutem i własną sankcją.

Art. 31 RODO, czyli jedno zdanie z bardzo długim ogonem

Przepis, na którym opiera się cała ta konstrukcja, mieści się w jednym zdaniu. Artykuł 31 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO, stanowi, że administrator i podmiot przetwarzający oraz — gdy ma to zastosowanie — ich przedstawiciele na żądanie współpracują z organem nadzorczym w ramach wykonywania przez niego jego zadań. Nie ma tu wyjątków, progów wielkości ani okoliczności łagodzących wpisanych w treść normy. Jest obowiązek.

Drugą nogą jest art. 58 ust. 1 rozporządzenia, który wylicza uprawnienia dochodzeniowe organu. Litera a) pozwala nakazać administratorowi dostarczenie wszelkich informacji potrzebnych organowi do realizacji jego zadań. Litera e) daje prawo dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych do tej samej realizacji. To nie są przepisy o karach — to przepisy o kompetencjach. Ale ich naruszenie ma własną taryfę.

Sankcję znajdziemy w art. 83. Naruszenie art. 31 mieści się w ust. 4 lit. a) — do 10 milionów euro albo 2 procent całkowitego rocznego światowego obrotu. Niezapewnienie dostępu wbrew art. 58 ust. 1 lit. a) i e) wpada do ust. 5 lit. e), a więc do wyższego progu: do 20 milionów euro albo 4 procent obrotu. Ten sam pułap, co za przetwarzanie bez podstawy prawnej. Prawodawca unijny potraktował zablokowanie organowi dostępu do informacji równie poważnie, jak samą nielegalność przetwarzania — i jest w tym logika, bo bez informacji organ nie ustali niczego innego.

Dlaczego to drugie postępowanie, a nie ciąg dalszy pierwszego

Ta różnica jest sednem sprawy i najczęściej umyka. Postępowanie o nieudzielenie informacji nie jest etapem postępowania głównego. Jest odrębną sprawą, wszczynaną z urzędu, z osobną sygnaturą, osobnym zawiadomieniem o wszczęciu, osobnym materiałem dowodowym i osobnym rozstrzygnięciem. Materiał dowodowy jest przy tym rozbrajająco prosty: całokształt korespondencji urzędowej skierowanej do adresata plus dowody doręczenia. Nie trzeba wykazywać zamiaru, szkody ani skali przetwarzania. Wystarczy pokazać, że list dotarł i że odpowiedzi nie było.

Konsekwencja praktyczna jest taka, że można wygrać sprawę główną i przegrać tę drugą. Można nie mieć żadnego naruszenia ochrony danych — bo zawiadomienie okazało się bezpodstawne, bo zdarzenie nie spełniało definicji z art. 4 pkt 12, bo przetwarzanie miało solidną podstawę z art. 6 — i mimo to zapłacić karę za to, że przez rok nikt nie otworzył koperty. Organ nie bada wtedy meritum. Bada, czy współpracowano.

Odwrotna zależność też działa, i to na korzyść administratora. Artykuł 83 ust. 2 lit. f) każe organowi uwzględniać przy wymiarze kary stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego skutków. Współpraca jest więc jednocześnie obowiązkiem, którego złamanie kosztuje, i przesłanką łagodzącą w każdej innej sprawie. Trudno o tańszy instrument obrony.

Cena milczenia: 16 804 złote za niepodjętą przesyłkę

Żeby zobaczyć, jak ta konstrukcja wygląda poza polityką, warto sięgnąć do decyzji DKE.561.9.2025, dostępnej w portalu orzeczeń UODO. Bohaterem jest osoba fizyczna prowadząca jednoosobową działalność gospodarczą. Sprawa zaczęła się w 2019 roku, gdy do Prezesa UODO wpłynęła informacja od straży gminnej: dokumentacja i korespondencja przedsiębiorcy, zawierająca dane osobowe jego klientów, trafiła do gminnego pojemnika na odpady. Organ wszczął postępowanie wyjaśniające o sygnaturze DKN.405.634.2019 i zadał jedno pytanie — czy przedsiębiorca przeprowadził analizę ryzyka naruszenia praw lub wolności osób fizycznych, niezbędną do oceny, czy trzeba zawiadomić Prezesa UODO i osoby, których dane dotyczą.

Wezwania poszły dwukrotnie: pismem z 6 września 2023 roku i pismem z 3 czerwca 2024 roku. Oba trafiły na adres stałego miejsca wykonywania działalności ujawniony w CEIDG i oba zostały skutecznie doręczone — 11 września 2023 roku i 12 czerwca 2024 roku — w miejscu pracy, na podstawie art. 42 § 1 Kodeksu postępowania administracyjnego. W obu pismach znalazło się pouczenie, że brak wyjaśnień może skutkować nałożeniem kary pieniężnej. Odpowiedzi nie było żadnej.

9 września 2025 roku organ wszczął postępowanie karne o sygnaturze DKE.561.9.2025 i wezwał przedsiębiorcę do przedstawienia informacji o dochodach za 2024 rok, na przykład zeznania PIT, w celu ustalenia podstawy wymiaru kary na podstawie art. 101a ust. 1 ustawy o ochronie danych osobowych. Pismo doręczono skutecznie 18 września 2025 roku. Zawierało pouczenie, że złożenie zaległych wyjaśnień może wpłynąć łagodząco na wymiar kary albo spowodować odstąpienie od jej nałożenia. Przedsiębiorca nie odpowiedział również na to.

Efekt: administracyjna kara pieniężna w kwocie 16 804 złotych, stanowiąca równowartość 4 000 euro według średniego kursu z 28 stycznia 2026 roku, w którym jedno euro odpowiadało 4,2009 złotego. Kurs nie jest przypadkowy — art. 103 ustawy o ochronie danych osobowych każe przeliczać kwoty wyrażone w rozporządzeniu właśnie według tabeli NBP na 28 stycznia danego roku. To nie jest kara za wyrzucenie dokumentów do śmietnika. Za tamto zdarzenie organ nie zdołał nikogo ukarać, bo nie zdołał ustalić faktów. To jest kara wyłącznie za milczenie.

Sprawa nie jest odosobniona. W decyzji DKE.561.1.2025 z 23 czerwca 2025 roku Prezes UODO nałożył 18 941 złotych na mikroprzedsiębiorstwo, które nie odpowiedziało na kilkukrotne żądania wyjaśnień dotyczących celów, zakresu i podstawy prawnej przetwarzania danych biometrycznych — mimo pouczenia o grożącej karze. Organ uznał to za brak woli współpracy albo świadome lekceważenie obowiązków. Wzorzec jest ten sam, tylko kwota nieco wyższa.

Kiedy organ nie zna twojego obrotu, szacuje go sam

W decyzji DKE.561.9.2025 znajduje się fragment, który powinien trafić do każdego szkolenia dla zarządów. Europejska Rada Ochrony Danych w Wytycznych 04/2022 przyjęła metodykę obliczania kar opartą między innymi na obrocie przedsiębiorstwa. Przedsiębiorca nie przedstawił żadnych danych o przychodach, a dane te nie były publicznie dostępne — co, jak pisze organ, ograniczyło możliwość zastosowania tej metodyki w pełnym zakresie.

Nie ograniczyło jednak możliwości nałożenia kary. Artykuł 101a ust. 2 ustawy o ochronie danych osobowych stanowi, że w braku danych o obrocie Prezes UODO ustala podstawę wymiaru kary w oparciu o szacunki co do wielkości podmiotu i specyfiki jego działalności albo o ogólnie dostępne dane finansowe. Organ zrobił dokładnie to: sprawdził, że przedsiębiorca figuruje w CEIDG jako aktywnie prowadzący działalność, że widnieje w wykazie podatników VAT ze statusem czynnego, że nic nie wskazuje na jego niewypłacalność, i na tej podstawie ocenił skalę działalności jako niewielką.

Wniosek dla praktyki jest brutalnie prosty. Nieprzedstawienie danych finansowych nie chroni przed karą — przenosi tylko decyzję o jej wysokości z reguły opartej na twoich liczbach na oszacowanie oparte na cudzych. Sygnał dla organizacji, która rozważa strategię przeczekania, jest jednoznaczny: przeczekać się nie da, można jedynie stracić wpływ na wynik.

Upomnienie kontra kara: co realnie rozstrzyga o wyborze

Wróćmy do sprawy z 8 września. Obaj parlamentarzyści dostali upomnienie, a nie karę pieniężną, i uzasadnienie tej różnicy jest w komunikacie wyłożone wprost. Naruszenie zostało usunięte niezwłocznie po tym, jak dowiedzieli się o toczącym się postępowaniu w przedmiocie kary. Za moment usunięcia naruszenia urząd uznał wpływ wyjaśnień do organu nadzorczego. Prezes UODO, uwzględniając podjęcie współpracy i złożenie wyjaśnień, odstąpił od nałożenia kary pieniężnej.

Porównajmy oś czasu obu spraw. Przedsiębiorca z decyzji DKE.561.9.2025 dostał zawiadomienie o wszczęciu postępowania karnego, dostał pouczenie o możliwości złagodzenia albo odstąpienia od kary i nie zareagował do dnia wydania decyzji. Parlamentarzyści zareagowali. To jedyna istotna różnica między szesnastoma tysiącami złotych a upomnieniem bez ceny nominalnej — moment, w którym ktoś przestał ignorować korespondencję.

Warto przy tym pamiętać, że upomnienie nie jest zdarzeniem bez konsekwencji. Artykuł 83 ust. 2 lit. e) nakazuje organowi uwzględniać wcześniejsze naruszenia przy wymiarze kolejnej kary — w decyzji dotyczącej Komitetu Wyborczego Karola Nawrockiego z 2 marca 2026 roku, gdzie kara wyniosła 35 582 złote za ujawnienie danych osobowych podczas konferencji prasowej 6 maja 2025 roku, Prezes UODO wskazał wcześniejsze naruszenie po stronie komitetu jako okoliczność wpływającą na wysokość sankcji. Upomnienie zostaje w aktach i w portalu orzeczeń. Jest darmowe raz.

Że upomnienia bronią się także w sądzie, pokazał wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 3 września 2026 roku, sygn. akt II SA/Wa 2548/25. Sąd podzielił argumentację Prezesa UODO zawartą w decyzji z 7 października 2025 roku, którą upomniano posła Kazimierza Smolińskiego za niezgodne z prawem przetwarzanie danych. WSA wskazał, że nie było podstaw prawnych do udostępnienia danych, a podjęte działania nie były niezbędne z perspektywy zadeklarowanego celu.

To nie jest problem prawny. To problem obiegu korespondencji

Tu dochodzimy do sedna, które w komunikatach urzędu nigdy nie zostanie napisane wprost. Żadna z opisanych spraw nie przegrała się na argumentach. Wszystkie przegrały się na kancelarii.

Adnotacja o niepodjęciu przesyłki w urzędowym terminie to nie jest wypadek losowy — to jest opis stanu, w którym nikt nie odebrał awizowanej korespondencji przez czternaście dni. Doręczenie w miejscu pracy w trybie art. 42 § 1 KPA to nie jest kruczek — to jest normalny sposób doręczania pism przedsiębiorcy pod adresem, który sam wskazał w CEIDG. Skutek prawny nastąpił niezależnie od tego, czy ktokolwiek przeczytał treść. W polskim postępowaniu administracyjnym „nie odebrałem" nie jest zdarzeniem prawnym. Zdarzeniem prawnym jest upływ terminu.

Przełóżmy to na typową organizację. W gminie pismo z UODO trafia do kancelarii, zostaje zarejestrowane w systemie elektronicznego zarządzania dokumentacją i przydzielone wydziałowi. Który wydział? Jeśli sprawa dotyczy monitoringu przy szkole, może pójść do oświaty, do administracyjnego albo do informatyki — a inspektor ochrony danych dowie się o niej wtedy, gdy ktoś sobie o nim przypomni. W spółce komunalnej korespondencja idzie do sekretariatu prezesa i czeka na dekretację. W małej firmie ląduje na skrzynce, którą sprawdza właściciel — ten sam, który przez trzy tygodnie jest na budowie. IOD-em bywa firma zewnętrzna, która nie ma dostępu do skrzynki podawczej i o piśmie dowiaduje się na comiesięcznym spotkaniu.

Każdy z tych scenariuszy jest zwyczajny. Każdy z nich potrafi wygenerować sześciotygodniowe opóźnienie. A termin wyznaczony przez organ nadzorczy w wezwaniu to zwykle siedem albo czternaście dni.

Jak wygląda wezwanie i czego organ w nim naprawdę oczekuje

Pismo z UODO w trybie art. 58 ust. 1 ma stałą anatomię i warto ją znać, zanim przyjdzie. Jest w nim wskazanie sygnatury sprawy, streszczenie zdarzenia, które organ bada, lista pytań ponumerowanych i sformułowanych bardzo konkretnie, termin na odpowiedź — zwykle siedem lub czternaście dni od doręczenia — oraz pouczenie o art. 83 ust. 5 lit. e). To ostatnie zdanie jest tym, o które przy późniejszym postępowaniu karnym rozbija się każda linia obrony oparta na niewiedzy. Organ udowodni, że pouczenie doręczono.

Pytania z wezwania rzadko dotyczą deklaracji. W sprawie DKN.405.634.2019 pytanie brzmiało: czy dokonano analizy pod kątem ryzyka naruszenia praw lub wolności osób fizycznych, niezbędnej do oceny, czy doszło do naruszenia skutkującego koniecznością zawiadomienia Prezesa UODO i osób, których dane dotyczą. To pytanie o czynność, o datę i o dokument — nie o przekonanie. Odpowiedź „uznaliśmy, że nic się nie stało" bez wpisu w rejestrze z art. 33 ust. 5 i bez śladu oceny ryzyka jest gorsza niż przyznanie się do zaniedbania, bo dowodzi, że klasyfikacji w ogóle nie prowadzono.

Stąd praktyczna konsekwencja, którą organizacje odkrywają zawsze o tydzień za późno: przygotowanie rzetelnej odpowiedzi wymaga materiału, który albo powstał w chwili zdarzenia, albo nie powstanie już nigdy. Logi z retencją trzydziestodniową nie odtworzą zdarzenia sprzed dziewięciu miesięcy. Notatka ze spotkania, którego nikt nie protokołował, nie istnieje. Dostawca systemu, z którym umowa wygasła, nie ma obowiązku odpowiadać na telefony. Wezwanie z UODO jest w tym sensie egzaminem z dokumentowania, przeprowadzanym z opóźnieniem i bez możliwości poprawki.

Gdy sprawa dotyczy dostawcy, wezwanie i tak przychodzi do ciebie

Osobny wariant tego samego problemu pojawia się wszędzie tam, gdzie dane przetwarza podmiot zewnętrzny. Gmina korzystająca z systemu dziedzinowego, przychodnia z dokumentacją medyczną w chmurze dostawcy, hotel z silnikiem rezerwacyjnym, spółka wodociągowa z serwisowanym zdalnie systemem billingowym — w każdym z tych układów administratorem pozostaje podmiot lokalny, a wiedza techniczna leży u procesora. Organ nadzorczy wezwie administratora, bo to on odpowiada za zgodność przetwarzania, i to administrator będzie musiał w ciągu czternastu dni napisać, jak skonfigurowano uprawnienia i co pokazują logi.

Artykuł 28 ust. 3 lit. f) RODO nakazuje, by umowa powierzenia zobowiązywała procesora do pomocy administratorowi w wywiązaniu się z obowiązków z art. 32–36. Litera h) daje prawo do audytu i do informacji niezbędnych do wykazania spełnienia obowiązków. W większości umów, które przechodzą przez nasze ręce, oba te punkty są przepisane z rozporządzenia słowo w słowo i nie zawierają ani jednego terminu. „Bez zbędnej zwłoki" nie da się wpisać do kalendarza, a organ nadzorczy nie przyjmie tej formuły jako wyjaśnienia opóźnienia.

Poprawka jest tania i zajmuje jedno zdanie: dostawca przekazuje dane niezbędne do odpowiedzi na wezwanie organu nadzorczego w terminie liczonym w dniach roboczych, wskazuje imiennie punkt kontaktowy i zapewnia jego dostępność także poza godzinami pracy biura. Kto ma to w umowie, ten w razie wezwania traci dzień. Kto nie ma — traci tydzień na ustalanie, kto po drugiej stronie w ogóle odpowiada za takie zapytania.

Ten sam wzorzec w NIS-2, tylko zegar tyka szybciej

Kto uważa, że to specyfika RODO, powinien spojrzeć na ustawę o krajowym systemie cyberbezpieczeństwa po nowelizacji obowiązującej od 3 kwietnia 2026 roku. Konstrukcja jest identyczna, a terminy krótsze. Podmiot kluczowy i podmiot ważny ma obowiązek współpracy z organem właściwym i z właściwym CSIRT-em, obowiązek udzielania informacji na żądanie oraz obowiązek zgłaszania incydentów poważnych w reżimie 24 godzin na wczesne ostrzeżenie, 72 godzin na zgłoszenie i miesiąca na raport końcowy. Nieudzielenie informacji organowi nie jest tam mniej dotkliwe niż w RODO — a kierownik podmiotu odpowiada osobiście, do wysokości trzystu procent otrzymanego wynagrodzenia.

Do 3 października 2026 roku podmioty, które spełniały przesłanki w dniu wejścia nowelizacji w życie, muszą złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Zostały niecałe cztery tygodnie. Brak wpisu jest osobnym naruszeniem — dokładnie tak samo, jak brak odpowiedzi na wezwanie jest osobnym naruszeniem względem sprawy, w której wezwanie wystosowano. To ta sama logika regulacyjna w dwóch aktach prawnych: państwo karze osobno za milczenie, bo bez informacji nie działa cała reszta systemu.

Organizacja, która ma jeden sprawny kanał odbioru i eskalacji korespondencji urzędowej, obsłuży oba reżimy tym samym mechanizmem. Organizacja, która go nie ma, będzie miała dwa niezależne źródła ryzyka o tej samej przyczynie.

Sześć pytań, na które trzeba znać odpowiedź przed listem

Pierwsze: kto fizycznie odbiera korespondencję z UODO — papierową, na ePUAP i na adres e-mail podany w zgłoszeniu inspektora ochrony danych — i co się dzieje, gdy ta osoba jest na urlopie. Dopóki odpowiedź brzmi „pani Krysia z sekretariatu", nie ma procedury, jest zwyczaj.

Drugie: po ilu godzinach od wpływu pisma dowiaduje się o nim inspektor ochrony danych i skąd. Jeżeli mechanizmem jest przypadek albo dobra wola dekretującego, ryzyko jest niepoliczalne.

Trzecie: czy adres wskazany organowi w zgłoszeniu IOD i adres do doręczeń w KRS lub CEIDG są nadal aktualne i czy ktoś je w ogóle sprawdził w tym roku. Doręczenie na nieaktualny, ale ujawniony w rejestrze adres jest skuteczne.

Czwarte: kto ma kompetencję do przygotowania odpowiedzi merytorycznej w ciągu siedmiu dni i co robi, gdy potrzebuje danych z systemu, do którego dostęp ma wyłącznie dostawca zewnętrzny. To pytanie o umowę powierzenia i o terminy w niej zapisane, a nie o dobrą wolę.

Piąte: czy prowadzimy rejestr korespondencji z organami nadzoru — UODO, CSIRT, organ właściwy dla NIS-2, Państwowa Inspekcja Pracy — z datą wpływu, terminem odpowiedzi i osobą odpowiedzialną. Rejestr, w którym za ostatni rok nie ma ani jednej pozycji, dowodzi braku ewidencji, a nie braku zdarzeń.

Szóste: co robimy, gdy termin okazuje się nierealny. Odpowiedź „nic" jest najgorsza z możliwych. Pismo z prośbą o przedłużenie terminu, z uzasadnieniem i wskazaniem daty, do której wyjaśnienia zostaną złożone, jest współpracą w rozumieniu art. 31 — a milczenie nie jest.

Dlaczego z Fib.Code przy postępowaniach i korespondencji z UODO

Fib.Code pracuje w trzech warstwach, które w tej sprawie muszą działać razem. Prawnej — znajomość RODO, ustawy o ochronie danych osobowych, Kodeksu postępowania administracyjnego i orzecznictwa sądów administracyjnych, bo odpowiedź na wezwanie organu jest pismem procesowym, a nie korespondencją handlową. Technicznej — audyt kontroli dostępu, logowania i rejestrów, bo wyjaśnienia bez dowodów są tylko oświadczeniem. Organizacyjnej — procedury, terminy i imienne przypisanie odpowiedzialności, bo to na tym poziomie sprawy z UODO są przegrywane.

Trzy zasady, według których to robimy. Po pierwsze, kanał przed treścią: zanim napiszemy komukolwiek wzór odpowiedzi, ustalamy, kto i w jakim czasie pismo w ogóle zobaczy. Po drugie, dowód przed dokumentem: każde zdanie w odpowiedzi do organu musi mieć za sobą log, protokół, wpis w rejestrze albo listę obecności. Po trzecie, jeden rejestr, dwa zegary: korespondencja z Prezesem UODO i z CSIRT-em wchodzi do tej samej ewidencji, bo w praktyce dotyczy zwykle tego samego zdarzenia.

Produktem końcowym nie jest opinia do segregatora, tylko zestaw działających artefaktów: procedura odbioru i eskalacji korespondencji urzędowej z mierzalnym terminem wewnętrznym, rejestr spraw prowadzonych przez organy nadzoru, zaktualizowane dane kontaktowe zgłoszone Prezesowi UODO, klauzule powierzenia z terminem na dostarczenie danych do wyjaśnień oraz przećwiczony scenariusz odpowiedzi na wezwanie w trybie art. 58 ust. 1.

Co zrobić w ten tydzień z korespondencją od organu nadzorczego

Jedno spotkanie, czterdzieści minut, trzy osoby: kierownik jednostki lub zarząd, inspektor ochrony danych i osoba prowadząca kancelarię albo sekretariat. Na stole trzy rzeczy: zgłoszenie IOD złożone Prezesowi UODO z widocznym adresem do korespondencji, wpis w KRS lub CEIDG z adresem do doręczeń oraz rejestr pism przychodzących z ostatnich dwunastu miesięcy.

Cztery pytania do zamknięcia w tej godzinie. Czy adres, na który organ nadzorczy wyśle nam pismo, jest adresem, który ktoś realnie obsługuje każdego dnia roboczego. Ile godzin — nie dni — mija od wpływu pisma od organu do momentu, gdy wie o nim inspektor ochrony danych, i kto to gwarantuje pod nieobecność osoby dekretującej. Kto podpisuje odpowiedź i kto ją merytorycznie przygotowuje, gdy dane trzeba pozyskać od dostawcy IT. I pytanie na koniec: czy w ciągu ostatniego roku wpłynęło do nas jakiekolwiek pismo z organu nadzoru, którego nikt nie odnotował w rejestrze — bo jeśli odpowiedź brzmi „nie wiemy", to jest właśnie ta luka, którą opisują dwie wrześniowe sygnatury.

Piąte pytanie zadajemy tylko wtedy, gdy termin jeszcze nas dotyczy: czy złożyliśmy wniosek o wpis do wykazu podmiotów kluczowych i ważnych. Do 3 października 2026 roku zostały niecałe cztery tygodnie.

Zapraszamy do kontaktu: l.grabowski@fibcode.com | fibcode.com/pl/kontakt. Bezpośrednio powiązane materiały: Sprawozdanie UODO za 2025 — naruszenia, kary, kontrole, Dane wnioskodawcy o informację publiczną — upomnienie UODO, Kara UODO za niewykonanie nakazu w sprawie monitoringu, Kara UODO dla kancelarii podatkowej — przejęte konto e-mail — cztery teksty o tym, jak proceduralne zaniedbanie zamienia się w decyzję administracyjną.