Więcej skarg, naruszeń i kontroli. Co pokazuje sprawozdanie UODO za 2025 rok?

Niedawno ukazało się sprawozdanie Prezesa Urzędu Ochrony Danych Osobowych z działalności UODO za 2025 rok. Co z niego wynika? Rośnie liczba skarg kierowanych do Prezesa UODO, gwałtownie wzrosła liczba zgłaszanych naruszeń ochrony danych, przeprowadzono więcej kontroli i wydano więcej decyzji, a administracyjnych kar pieniężnych pojawiło się więcej niż rok wcześniej. Sam Urząd zwiększa przy tym zatrudnienie oraz reorganizuje swoją strukturę, aby przygotować się na obsługę jeszcze większej niż dotychczas liczby spraw.

Co to może oznaczać dla przedsiębiorców? Przede wszystkim, że zgodność z RODO coraz trudniej traktować jako temat, który bez konsekwencji można odłożyć na bok.

Najbardziej widoczny wzrost dotyczy skarg – coraz więcej osób decyduje się je złożyć

W 2025 roku PUODO otrzymał 12 827 krajowych skarg indywidualnych. Rok wcześniej było ich 8 056. Oznacza to wzrost o blisko 60% w skali jednego roku. Dla szerszej perspektywy, jeszcze w 2023 roku takich skarg było niespełna 7 tysięcy.

Statystyka ta jest wyjątkowo istotna. Postępowanie przed Prezesem UODO w głównej mierze rozpoczyna się właśnie od skargi osoby, której dane dotyczą. Może być to pracownik, były pracownik, kandydat do pracy, klient, kontrahent czy osoba, która otrzymała niezamówioną informację marketingową. Sam Organ wiąże wzrost liczby skarg między innymi ze zwiększającą się świadomością osób fizycznych co do praw przysługujących im na gruncie RODO. Coraz więcej osób nie tylko wie, że przysługują im określone prawa, ale również wie jak i gdzie się zwrócić, aby dochodzić ich ochrony. Oznacza to, że błędy lub braki w zakresie RODO, które jeszcze kilka lat temu mogły przejść niezauważone, mogą w bardzo łatwy sposób zostać wychwycone i stać się przedmiotem skargi skierowanej do Prezesa UODO.

Ponad 22 tysiące zgłoszeń naruszeń ochrony danych w jednym roku

Jeszcze wyraźniejszy jest wzrost liczby zgłaszanych naruszeń ochrony danych osobowych. W 2025 roku administratorzy przesłali do Prezesa UODO 22 435 zgłoszeń naruszeń. Rok wcześniej było ich niecałe 15 tysięcy.

Z czego wynika taki wzrost? UODO wskazuje tutaj kilka przyczyn. Z jednej strony rośnie skala cyberzagrożeń – ataki ransomware, phishing, czy włamania do serwerów informatycznych to przypadki znane wielu przedsiębiorcom. Z drugiej strony, administratorzy coraz lepiej rozpoznają incydenty i są bardziej świadomi obowiązku ich zgłaszania.

Jakie zdarzenia najczęściej są zgłaszane do PUODO? W większości nie są to masowe wycieki danych, a proste, codzienne błędy, przykładowo: wysłanie wiadomości lub dokumentów na niewłaściwy adres czy zagubienie laptopa lub innego nośnika danych. Z reguły wystarczy zwykły błąd, aby firma miała do czynienia z incydentem RODO.

Rośnie również liczba kontroli

Choć liczba przeprowadzonych kontroli sukcesywnie rośnie z roku na rok, tak wciąż mają one raczej marginalne znaczenie w perspektywie całokształtu działalności UODO.

Dane na ich temat udostępnione w raporcie zawierają jednak kilka interesujących faktów. Jednym z nich jest zakres kontroli. Najwięcej kontroli sektorowych przeprowadzono w zakresie dokumentowania naruszeń ochrony danych osobowych, czyli prowadzenia dokumentacji pozwalającej wykazać między innymi okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze.

To ważna wskazówka praktyczna – administrator powinien potrafić wykazać przed organem jakie incydenty u niego wystąpiły, jak zostały ocenione i dlaczego oraz odpowiednio prowadzić i archiwizować taką dokumentację.

Czy ryzyko zainteresowania UODO rzeczywiście rośnie?

Nie oznacza to oczywiście, że każda firma powinna spodziewać się w najbliższym czasie kontroli.
Trudno jednak po lekturze sprawozdania nadal traktować to ryzyko jako czysto teoretyczne. Rosnąca aktywność organu, a także wzrost liczby informacji do niego trafiających prowadzi do dosyć prostego wniosku – znaczenie wdrożenia, utrzymywania i aktualizowania działającego systemu zgodności z RODO w firmie będzie rosło, nie malało.

Po pierwsze warto przeanalizować, czy organizacja jest przygotowana na ewentualną skargę, postępowanie lub kontrolę Prezesa UODO. Coraz częściej pytania o ochronę danych padają również ze strony klientów czy kontrahentów. Mogą to być zarówno standardowe wnioski o dostęp do danych lub ich usunięcie, jak i zarzuty dotyczące nieprawidłowego przetwarzania, marketingu, udostępnienia danych albo naruszenia prywatności.

Po drugie, warto zweryfikować procedurę reagowania na naruszenia. Sprawozdanie pokazuje nie tylko gwałtowny wzrost liczby zgłoszeń, ale również duże zainteresowanie Prezesa UODO tą kwestią.

Po trzecie, znaczenia nabiera również bezpieczeństwo techniczne i organizacyjne. Szczególne wymogi w tym zakresie stawia przed niektórymi przedsiębiorcami również ustawa o krajowym systemie cyberbezpieczeństwa, której obowiązek wdrożenia warto zweryfikować. Aktualizacje oprogramowania, zasady nadawania dostępów, szyfrowanie urządzeń, kopie zapasowe, uwierzytelnianie czy regularne szkolenia pracowników w praktyce stanowią różnicę między wystąpieniem a nie wystąpieniem naruszenia ochrony danych osobowych i postępowaniem PUODO.

Kiedy warto skorzystać ze wsparcia prawnika?

Pomoc prawnika przyda się nie tylko wtedy, gdy firma otrzyma już pismo z Urzędu. Znacznie bezpieczniej jest zweryfikować podstawowe obszary wcześniej, zanim potencjalna nieprawidłowość stanie się przedmiotem skargi, naruszenia albo kontroli.

Gdy otrzymujesz zapytanie, skargę lub żądanie dotyczące danych osobowych

Firmy coraz częściej otrzymują pytania i żądania dotyczące RODO od klientów, kontrahentów, pracowników czy innych osób, których dane przetwarzają. Mogą one dotyczyć m.in. dostępu do danych, ich usunięcia, marketingu, udostępnienia danych albo zarzutów dotyczących nieprawidłowego przetwarzania.
Możemy ocenić, czy takie żądanie lub zarzut jest zasadny, jakie obowiązki ma firma i jak powinna zareagować. Przygotowujemy również projekty odpowiedzi oraz wspieramy przy pytaniach RODO kierowanych przez kontrahentów, np. w związku z umowami, powierzeniem danych czy audytem dostawcy.

Gdy chcesz sprawdzić, czy firma prawidłowo reaguje na naruszenia

Analizujemy procedury dotyczące incydentów, rejestr naruszeń oraz sposób przeprowadzania oceny ryzyka. Pomagamy również w konkretnych przypadkach ustalić, czy zdarzenie należy zgłosić Prezesowi UODO oraz czy trzeba zawiadomić osoby, których dane dotyczą.

Gdy chcesz przygotować organizację na kontrolę UODO

Możemy przeprowadzić audyt lub bardziej ograniczony przegląd najważniejszych procesów i dokumentów oraz wskazać obszary, które mogą wzbudzić zainteresowanie organu. Pozwala to uporządkować potencjalne nieprawidłowości zanim konieczne będzie tłumaczenie ich już w toku kontroli.

Gdy firma rośnie i zmienia sposób przetwarzania danych

Nowe systemy, outsourcing, większa liczba pracowników, nowe działania marketingowe czy wdrażanie narzędzi opartych na sztucznej inteligencji oznaczają również nowe procesy przetwarzania danych. W takich sytuacjach pomagamy ustalić, jakie zmiany są potrzebne w dokumentacji i zabezpieczeniach, aby rozwój firmy nie oznaczał jednocześnie zwiększania ryzyka naruszeń.