11 mln zł kary dla DPD Polska – najnowszy przykład sankcji
Prezes PUODO nałożył na spółkę DPD Polska administracyjne kary pieniężne o łącznej wysokości ponad 11 mln zł w związku z organizacją procesu doręczania przesyłek. Organ wskazał dwie kluczowe nieprawidłowości:
- brak umów powierzenia przetwarzania danych osobowych z zewnętrznymi przewoźnikami, mimo że mieli oni dostęp do danych widniejących na etykietach przesyłek,
- niewłaściwe wdrożenie systemu upoważnień dla pracowników, skutkujące brakiem pełnej kontroli nad tym, kto i na jakich zasadach przetwarza dane.
W ocenie organu naruszone zostały m.in. obowiązki wynikające z art. 28 RODO oraz zasady bezpieczeństwa, poufności i rozliczalności.
Sprawa DPD pokazuje, że w dużych organizacjach kluczowe ryzyka nie zawsze wynikają z incydentalnych wycieków danych, lecz z systemowych niedoskonałości w modelu współpracy z podmiotami zewnętrznymi i w zarządzaniu uprawnieniami wewnętrznymi. To przypomnienie, że zgodność z RODO nie sprowadza się do posiadania dokumentacji, ale wymaga realnego nadzoru nad procesami oraz ich regularnej weryfikacji w praktyce operacyjnej.
Szerszy trend: konsekwentne, ale proporcjonalne egzekwowanie przepisów
Kara dla DPD wpisuje się w szerszy obraz aktywności PUODO. W 2025 r. organ wydał ponad 2 000 decyzji administracyjnych, w tym 32 kary pieniężne o łącznej wartości niemal 64,5 mln zł. Warto jednak podkreślić, że sankcje finansowe stanowią niewielki procent wszystkich rozstrzygnięć i działań nadzorczych Urzędu.
PUODO wielokrotnie akcentuje, że jego celem nie jest „karanie dla samego karania”, lecz zapewnienie zgodności z przepisami oraz podnoszenie standardów ochrony danych osobowych. W praktyce znaczna część spraw kończy się środkami naprawczymi, upomnieniami czy zobowiązaniami do dostosowania procesów – bez nakładania kar finansowych.
Wśród głośniejszych decyzji ostatnich lat znalazły się m.in.:
- kara nałożona na Pocztę Polską oraz Ministra Cyfryzacji w związku z przetwarzaniem danych z rejestru PESEL,
- sankcje wobec McDonald’s Polska w 2025 r. dotyczące przekazania danych pracowniczych podmiotowi zewnętrznemu oraz niewystarczających zabezpieczeń,
- decyzje wobec mniejszych przedsiębiorstw i podmiotów publicznych w zakresie obowiązków informacyjnych, niezależności inspektora ochrony danych czy prawidłowej reakcji na naruszenia ochrony danych.
Z perspektywy przedsiębiorców najważniejsze jest jednak to, że większość naruszeń nie dotyczy skomplikowanych zagadnień prawnych, lecz podstaw organizacyjnych: właściwego uregulowania relacji z podmiotami przetwarzającymi, adekwatnych środków bezpieczeństwa czy sprawnego zarządzania incydentami.
RODO nie jest zbiorem abstrakcyjnych wymogów oderwanych od realiów biznesowych. Przy odpowiednim podejściu może stać się elementem dobrze zaprojektowanego ładu organizacyjnego – porządkującego przepływy informacji, wzmacniającego kontrolę nad procesami oraz budującego zaufanie klientów i kontrahentów.
Dlaczego te decyzje są istotne dla przedsiębiorców?
Decyzje PUODO pełnią nie tylko funkcję sankcyjną, lecz przede wszystkim interpretacyjną i edukacyjną. Pokazują, w jaki sposób organ rozumie konkretne obowiązki wynikające z RODO oraz gdzie w praktyce najczęściej pojawiają się błędy.
Najczęstsze problemy to:
- brak właściwie sformalizowanych umów powierzenia przetwarzania danych z podmiotami trzecimi,
- nieadekwatne środki techniczne i organizacyjne,
- niedostateczna kontrola nad upoważnieniami pracowników,
- błędy w reagowaniu na incydenty i naruszenia ochrony danych.
Najnowsze decyzje PUODO stanowią wyraźny sygnał, że ochrona danych osobowych pozostaje jednym z priorytetowych obszarów nadzoru regulacyjnego. Dla przedsiębiorców oznacza to potrzebę stałego monitorowania zgodności procesów przetwarzania danych z aktualną praktyką organu oraz regularnego przeglądu przyjętych rozwiązań organizacyjnych.
Odpowiednio zaprojektowany i wdrożony system ochrony danych nie tylko ogranicza ryzyko sankcji administracyjnych, lecz także wzmacnia bezpieczeństwo prawne i wiarygodność przedsiębiorstwa w relacjach z kontrahentami oraz klientami.
W naszej kancelarii oferujemy kompleksową obsługę prawną w zakresie RODO. Jeżeli Państwa organizacja potrzebuje uporządkowania lub weryfikacji obszaru ochrony danych osobowych – zapraszamy do kontaktu.
