Orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej zmieniło w ostatnich latach kilka rzeczy, które w RODO wydawały się przesądzone: kiedy należy się odszkodowanie, czym właściwie są dane osobowe i jak daleko sięga prawo dostępu. Do tego dochodzą wytyczne Europejskiej Rady Ochrony Danych i coraz aktywniejszy Prezes UODO.
Poniżej porządkujemy to, co realnie wpływa na praktykę polskiego administratora - z sygnaturami i datami, żeby każdą tezę dało się sprawdzić u źródła.
Odszkodowania za naruszenia RODO - dokąd zmierza artykuł 82
Najważniejsza linia orzecznicza ostatnich lat dotyczy pytania, które w praktyce decyduje o kosztach naruszenia: kiedy osoba, której dane wyciekły, dostaje odszkodowanie.
Punktem wyjścia jest wyrok z 4 maja 2023 r., C-300/21 (Österreichische Post): samo naruszenie RODO nie rodzi automatycznie prawa do odszkodowania. Powód musi wykazać trzy elementy - naruszenie, szkodę i związek przyczynowy między nimi. Trybunał odrzucił jednocześnie próg minimalnej wagi szkody: szkoda niemajątkowa nie musi osiągnąć jakiegoś poziomu dolegliwości, żeby podlegała naprawieniu.
Wyrok z 11 kwietnia 2024 r., C-741/21 (juris) doprecyzował rozkład ryzyka po stronie administratora. Administrator nie uwolni się od odpowiedzialności, powołując się na to, że naruszenia dopuścił się jego pracownik - chyba że wykaże brak związku przyczynowego. Trybunał wskazał też, że stopień winy administratora nie jest kryterium miarkowania wysokości odszkodowania: art. 82 pełni funkcję kompensacyjną, nie represyjną. Prezes UODO wydał do tego wyroku odrębną analizę w kontekście prawa polskiego.
Wyrok z 4 września 2025 r., C-655/23 (Quirin Privatbank) dodał dwie rzeczy. Po pierwsze, RODO nie przyznaje osobie prawa do prewencyjnego nakazu zaniechania wobec administratora, jeżeli nie żąda ona usunięcia danych - choć prawo krajowe może taki środek przewidywać. Po drugie, negatywne odczucia wynikające z nieuprawnionego ujawnienia danych mieszczą się w pojęciu szkody niemajątkowej, ale poszkodowany musi je wykazać wraz ze skutkami. Nie wystarczy stwierdzenie, że doszło do wycieku.
Najświeższy element tej układanki to wyrok z 19 marca 2026 r., C-526/24 (Brillen Rottler) - i jest to zmiana istotna dla każdej organizacji obsługującej żądania podmiotów danych. Trybunał uznał, że nawet pierwszy wniosek o dostęp z art. 15 RODO może zostać odrzucony jako nadużycie prawa na podstawie art. 12 ust. 5, jeżeli spełnione są łącznie dwa warunki: obiektywny (mimo formalnej zgodności nie jest realizowany cel RODO) i subiektywny (zamiar uzyskania nienależnej korzyści). Ciężar dowodu spoczywa na administratorze. Dodatkowo Trybunał wskazał, że celowe działanie osoby zmierzające do sprowokowania naruszenia i uzyskania odszkodowania może przerwać związek przyczynowy i wykluczyć roszczenie z art. 82.
Praktyczny wniosek dla administratora: procedura obsługi żądań dostępu powinna przewidywać ścieżkę odmowy z uzasadnieniem i dokumentowaniem przesłanek nadużycia. Do tej pory takiej ścieżki w większości procedur po prostu nie było.
Czym są dane osobowe po sprawie EDPS przeciwko SRB
Wyrok z 4 września 2025 r., C-413/23 P (EDPS przeciwko Jednolitej Radzie ds. Restrukturyzacji i Uporządkowanej Likwidacji) zmienia sposób myślenia o pseudonimizacji.
Trybunał przyjął relatywne rozumienie pojęcia danych osobowych: dane spseudonimizowane przekazane odbiorcy, który nie dysponuje środkami rozsądnie prawdopodobnymi do identyfikacji osób, mogą nie stanowić dla tego odbiorcy danych osobowych. Ocenę przeprowadza się z perspektywy konkretnego odbiorcy, a nie wyłącznie administratora, który dysponuje kluczem.
To nie jest zaproszenie do uznawania pseudonimizacji za anonimizację. To wskazówka, że status danych zależy od kontekstu przekazania - i że ten kontekst trzeba udokumentować. EROD idzie w tym samym kierunku: wytyczne 01/2025 dotyczą pseudonimizacji, a w lipcu 2026 r. przyjęto do konsultacji wytyczne 02/2026 o anonimizacji, oparte na trójstopniowym teście - braku możliwości wyodrębnienia rekordu, powiązania i wnioskowania. Konsultacje trwają do 30 października 2026 r., więc dokument nie jest jeszcze ostateczny.
Warto zestawić to z wyrokiem z 9 stycznia 2025 r., C-394/23 (Mousse), w którym Trybunał uznał zbieranie danych o tytule grzecznościowym przy zakupie biletu kolejowego za naruszenie zasady minimalizacji. Kierunek jest spójny: liczy się, czy dana jest niezbędna, a nie czy jest wygodna.
Sztuczna inteligencja i zautomatyzowane decyzje
Dwa wyroki wyznaczają dziś ramy zgodności systemów decyzyjnych.
W sprawie C-634/21 (SCHUFA) z 7 grudnia 2023 r. Trybunał uznał, że automatyczne wyliczenie wskaźnika scoringowego przez biuro informacji kredytowej samo w sobie stanowi zautomatyzowane podejmowanie decyzji w rozumieniu art. 22 ust. 1 RODO, jeżeli od tej wartości w istotnym stopniu zależy decyzja podmiotu trzeciego - na przykład banku. Odpowiedzialność nie kończy się więc na tym, kto podpisuje decyzję.
W sprawie C-203/22 (Dun & Bradstreet Austria) z 27 lutego 2025 r. Trybunał wyjaśnił, co znaczy prawo do „istotnych informacji o zasadach podejmowania decyzji" z art. 15 ust. 1 lit. h: administrator ma opisać procedurę i zasady zwięźle, zrozumiale i przystępnie, tak by osoba mogła zrozumieć, które jej dane i w jaki sposób wpłynęły na wynik. Tajemnica handlowa nie zwalnia z tego obowiązku - spór rozstrzyga organ nadzorczy lub sąd, któremu należy ujawnić dane w celu wyważenia interesów.
Po stronie miękkiego prawa najważniejsza jest opinia EROD 28/2024 z 17 grudnia 2024 r. dotycząca modeli AI - kiedy model można uznać za anonimowy, kiedy uzasadniony interes jest właściwą podstawą i jakie skutki ma bezprawne przetwarzanie na etapie trenowania. W lipcu 2026 r. EROD przyjął do konsultacji wytyczne 03/2026 o web scrapingu na potrzeby generatywnej AI, potwierdzając rzecz podstawową: jeżeli scraping obejmuje dane osobowe, RODO ma zastosowanie.
Kontekstem dla oceny podstawy prawnej pozostaje wyrok z 4 października 2024 r., C-621/22 (KNLTB), w którym Trybunał potwierdził, że interes czysto handlowy może stanowić uzasadniony interes w rozumieniu art. 6 ust. 1 lit. f - o ile przejdzie trójstopniowy test niezbędności i wyważenia.
Cookies, zgoda i uzasadniony interes - stan gry
Wokół zgody na cookies narosło w polskim obiegu sporo mitów opartych na wyrokach, których treść bywa cytowana nieściśle. Warto trzymać się dwóch punktów odniesienia.
Pierwszy to wyrok TSUE z 1 października 2019 r. w sprawie C-673/17 (Planet49) - zgoda wyrażona przez domyślnie zaznaczone okienko nie jest zgodą ważną. To orzeczenie sprzed lat, ale wciąż podstawowe, bo praktyka „pre-ticked consent" nie zniknęła z polskich witryn.
Drugi to opinia EROD 08/2024 z 17 kwietnia 2024 r. dotycząca modeli „consent or pay" na dużych platformach internetowych. EROD wskazała, że stawianie użytkownikowi wyboru wyłącznie między zgodą na śledzenie a opłatą w większości przypadków nie zapewnia dobrowolności zgody.
Osobno warto pamiętać o wyroku z 4 października 2024 r. w sprawie C-621/22 (KNLTB): interes czysto handlowy może być uzasadnionym interesem w rozumieniu art. 6 ust. 1 lit. f, jeżeli przejdzie trójstopniowy test - identyfikacji interesu, niezbędności przetwarzania i wyważenia z prawami osób. To ważna korekta wobec praktyki organów nadzorczych, które traktowały cel komercyjny jako z definicji niewystarczający.
Jeśli Digital Omnibus wejdzie w życie w proponowanym kształcie, zasady dotyczące dostępu do urządzenia końcowego zostaną przeniesione z dyrektywy ePrivacy do RODO, a zgoda pozostanie regułą - z nowymi wyjątkami i możliwością wyrażania preferencji na poziomie przeglądarki. Do tego czasu obowiązuje stan obecny.
Prawo do usunięcia danych - co pokazała kontrola EROD
Prawo do usunięcia danych z art. 17 RODO było przedmiotem skoordynowanego działania EROD w 2025 r. Uczestniczyły w nim 32 organy nadzorcze, objęto nim 764 podmioty, a raport zbiorczy opublikowano 18 lutego 2026 r.
Zidentyfikowano siedem powtarzających się problemów. Trzy z nich są w polskich realiach szczególnie częste:
Brak wewnętrznej procedury obsługi żądań. Wnioski trafiają do przypadkowej skrzynki, są obsługiwane ad hoc i nikt nie mierzy terminów.
Niedostateczna informacja dla osoby. Podmiot usuwa dane, ale nie informuje, w jakim zakresie i co zostaje zachowane na innej podstawie prawnej - a to najczęstsze źródło skargi do organu.
Anonimizacja pozorna zamiast usunięcia. Dane pozostają w systemie po zastąpieniu identyfikatora, choć nadal pozwalają wskazać osobę przez powiązanie z innymi rekordami. W świetle projektu wytycznych EROD 02/2026 o anonimizacji - opartych na teście braku wyodrębnienia, powiązania i wnioskowania - taka operacja nie jest anonimizacją.
Kolejne skoordynowane działanie, uruchomione 19 marca 2026 r. z udziałem 25 organów, dotyczy transparentności i obowiązków informacyjnych z art. 12-14 RODO. Wyniki są agregowane w drugiej połowie 2026 r. To dobry moment, żeby przejrzeć własne klauzule informacyjne, zanim zrobi to organ.
Digital Omnibus - co realnie zmieni i dlaczego utknął
Pakiet upraszczający, przedstawiony przez Komisję 19 listopada 2025 r., jest w części dotyczącej RODO nadal nieprzyjęty - i warto to powiedzieć wprost, bo w obiegu funkcjonują sprzeczne informacje.
Odrębny akt dotyczący AI Act został sfinalizowany w czerwcu 2026 r. Natomiast rozporządzenie zmieniające RODO utknęło w Radzie: prezydencja cypryjska wycofała pod koniec czerwca 2026 r. tekst kompromisowy wobec braku większości kwalifikowanej, a od 1 lipca 2026 r. dossier prowadzi prezydencja irlandzka.
Główne propozycje dotyczące RODO: zmiana definicji danych osobowych w kierunku podejścia relatywnego (kodyfikacja wyroku C-413/23 P), nowe przepisy o danych spseudonimizowanych, dopuszczenie uzasadnionego interesu jako podstawy przetwarzania na potrzeby rozwoju i eksploatacji systemów AI, wydłużenie terminu zgłoszenia naruszenia z 72 do 96 godzin przy jednoczesnym podniesieniu progu do naruszeń o wysokim ryzyku, nowa podstawa odmowy realizacji żądania dostępu przy nadużyciu prawa, jednolite unijne listy operacji wymagających oceny skutków oraz przeniesienie zasad dotyczących cookies z dyrektywy ePrivacy do RODO.
EROD i EIOD we wspólnej opinii z lutego 2026 r. wyraźnie sprzeciwiły się zawężeniu definicji danych osobowych, uznając selektywną kodyfikację orzecznictwa za źródło niepewności prawnej. Poparły natomiast wydłużenie terminu zgłaszania naruszeń do 96 godzin - z postulatem zharmonizowania go z krótszymi terminami wynikającymi z NIS-2 i DORA.
Co to znaczy dla administratora dziś: nic nie trzeba zmieniać w dokumentacji. Warto natomiast wiedzieć, że jeżeli pakiet przejdzie w obecnym kształcie, aktualizacji będą wymagały procedury zgłaszania naruszeń, rejestr operacji objętych oceną skutków i mechanika zgód na cookies.
Kontrole i kary UODO w 2026 roku
Skala działalności organu rośnie szybko. Za 2025 r. UODO odnotował 12 986 skarg wobec 8 056 rok wcześniej, 22 435 zgłoszonych naruszeń, 56 skontrolowanych podmiotów i 2 076 decyzji. Nałożono 32 kary na łączną kwotę około 64,4 mln zł.
Plan kontroli sektorowych na 2026 r., ogłoszony 8 stycznia 2026 r., obejmuje pięć obszarów: organy przetwarzające dane w wielkoskalowych systemach unijnych, podmioty lecznicze w zakresie monitoringu wizyjnego (ze szczególnym uwzględnieniem danych dzieci), Biuletyny Informacji Publicznej w zakresie anonimizacji i udostępniania nagrań sesji rad gmin, podmioty prowadzące działalność marketingową oraz internetowe platformy dostaw.
Najwyższa spośród upublicznionych kar 2026 r. dotknęła DPD Polska - łącznie 11 461 030 zł (decyzja z 5 lutego 2026 r.). Złożyły się na nią dwa naruszenia: brak umów powierzenia z przewoźnikami zewnętrznymi oraz wadliwie generowane upoważnienia i brak wdrożenia adekwatnych środków organizacyjnych. To przypomnienie, że łańcuch podwykonawców jest dziś jednym z najlepiej kontrolowanych obszarów.
Warto odnotować też decyzję z lipca 2026 r. nakładającą 26 711 zł na osobę fizyczną za prywatny monitoring rejestrujący obraz i dźwięk na drodze publicznej i nieruchomościach sąsiadów - pierwszą tego rodzaju karę Prezesa UODO.
Polskie sądy weryfikują UODO
Rok 2026 przyniósł kilka rozstrzygnięć pokazujących, że decyzje organu bywają utrzymywane i uchylane mniej więcej po połowie - i że warto znać obie strony tego obrazu.
Utrzymane. WSA w Warszawie wyrokiem z 28 stycznia 2026 r. (II SA/Wa 890/25) oddalił skargę Komendanta Głównego Policji, potwierdzając karę 75 000 zł za ujawnienie na konferencji prasowej danych o zdrowiu i życiu prywatnym; sąd wskazał, że konferencja prasowa nie jest działalnością dziennikarską, a organy publiczne nie są wyłączone spod RODO. Wyrokiem z 18 marca 2026 r. (II SA/Wa 807/25) ten sam sąd utrzymał karę 56 824 zł dla Polskiego Radia Szczecin. W czerwcu 2026 r. NSA oddalił skargę kasacyjną Virgin Mobile, utrzymując karę 1 599 395 zł i potwierdzając, że obowiązek regularnego testowania i oceny skuteczności zabezpieczeń (art. 32 ust. 1 lit. d) ciąży na administratorze od 25 maja 2018 r.
Uchylone. Wyrokiem z 5 marca 2026 r. (II SA/Wa 837/25) WSA uchylił decyzję nakładającą na Pocztę Polską karę 27 mln zł za przetwarzanie danych z rejestru PESEL na potrzeby wyborów korespondencyjnych w 2020 r., uznając, że spółka miała podstawę prawną, wykonując polecenie Prezesa Rady Ministrów.
Osobno warto odnotować wyrok NSA z 6 lutego 2026 r. (III OSK 2014/24) w sprawie monitoringu obejmującego sąsiednią nieruchomość: przetwarzanie nie było niezbędne, skoro dostępne były inne środki ochrony, więc uzasadniony interes nie mógł stanowić podstawy.
Na poziomie unijnym zmienił się natomiast układ sił między administratorami a EROD. W wyroku Wielkiej Izby z 10 lutego 2026 r., C-97/23 P (WhatsApp Ireland) Trybunał potwierdził, że wiążące decyzje EROD wydawane w trybie art. 65 RODO mogą być bezpośrednio zaskarżane przez administratorów do sądów Unii.
Co z tego wynika dla polskiego administratora
Cztery wnioski, które da się przełożyć na konkretne zadania.
Procedura obsługi żądań musi przewidywać odmowę. Po wyroku C-526/24 odmowa realizacji żądania dostępu z powodu nadużycia prawa jest możliwa nawet przy pierwszym wniosku - ale wymaga udokumentowania obu przesłanek i to administrator ponosi ciężar dowodu. Procedura, która zna tylko ścieżkę „realizuj", nie pozwoli z tego skorzystać.
Status danych trzeba dokumentować kontekstowo. Po C-413/23 P pytanie „czy to są dane osobowe" nie ma jednej odpowiedzi dla całej organizacji - odpowiedź zależy od tego, kto je otrzymuje i czym dysponuje. Warto ten wywód zapisać przy każdym przekazaniu danych spseudonimizowanych.
Systemy decyzyjne wymagają opisu, nie tylko podstawy prawnej. Po C-203/22 osoba ma prawo zrozumieć, które jej dane i w jaki sposób wpłynęły na wynik. Tajemnica handlowa dostawcy nie zwalnia z tego obowiązku - a to znaczy, że trzeba jej zażądać w umowie z dostawcą, zanim system wejdzie do produkcji.
Łańcuch podwykonawców jest dziś najlepiej kontrolowanym obszarem. Pokazuje to kara 11,46 mln zł dla DPD Polska za brak umów powierzenia z przewoźnikami i wadliwe upoważnienia. Przegląd umów z procesorami i podprocesorami jest tańszy niż postępowanie.
Przy tak szybko zmieniającej się linii orzeczniczej warto oprzeć te decyzje na bieżącej analizie prawnej nowego orzecznictwa RODO, zamiast interpretować kolejne wyroki na własną rękę.
Skutki kontroli i decyzji organu widać w konkretnych sprawach - jedną z nich, dotyczącą monitoringu wizyjnego i niewykonania nakazu, opisujemy osobno. O tym, kto w organizacji powinien tych obowiązków pilnować, piszemy w tekście o roli IOD.
