Przejdź do treści
Inspektor ochrony danych (IOD) od podstaw: RODO, RCP, DPIA, NIS2 i AI ActModuł 1 · lekcja 1 z 4
Za darmo5 min czytania

Moduł 1 · RODO i rola inspektora ochrony danych

Czym jest RODO, kto pilnuje jego stosowania i gdzie jest miejsce IOD

Po tej lekcji wyjaśnisz, czym jest RODO, kogo obejmuje i kto pilnuje jego stosowania w Polsce. Zobaczysz też, gdzie w tym systemie stoi inspektor ochrony danych (IOD) i dlaczego jego praca zaczyna się od dokumentów, a nie od kar.

Aktualne na: październik 2026. Kurs opiera się na tekście RODO opublikowanym w Dzienniku Urzędowym UE, ustawie o ochronie danych osobowych (t.j. Dz.U. 2019 poz. 1781 ze zmianami z 2026 r.), ustawie o krajowym systemie cyberbezpieczeństwa po nowelizacji z 2026 r. i AI Act w brzmieniu po zmianach z lipca 2026 r.

Czym jest RODO i od kiedy obowiązuje

RODO to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r., po angielsku GDPR. Stosuje się je od 25 maja 2018 r. we wszystkich państwach Unii. Rozporządzenie działa bezpośrednio: nie trzeba go przepisywać do polskiej ustawy, a firma w Gdańsku i firma w Lizbonie czytają ten sam tekst.

RODO zostawia państwom kilka furtek. Polska skorzystała z nich w ustawie z 10 maja 2018 r. o ochronie danych osobowych. Ta ustawa powołała Urząd Ochrony Danych Osobowych (UODO), opisała procedurę przed jego Prezesem, sposób zawiadamiania o wyznaczeniu IOD oraz kary dla jednostek sektora finansów publicznych: do 100 000 zł, a dla części jednostek do 10 000 zł (art. 102).

Kary dla firm wynikają wprost z RODO (art. 83). Za najpoważniejsze naruszenia, na przykład zasad przetwarzania czy praw osób, kara może sięgnąć 20 000 000 euro albo 4% całkowitego rocznego światowego obrotu z poprzedniego roku, w zależności od tego, która kwota jest wyższa. Za naruszenie obowiązków administratora, w tym przepisów o IOD, rejestrze czy zgłaszaniu naruszeń, górna granica to 10 000 000 euro albo 2% obrotu. To są limity, a nie stawki: organ waży między innymi charakter i czas naruszenia, liczbę poszkodowanych osób i współpracę z urzędem.

Kogo obejmuje rozporządzenie

RODO dotyczy przetwarzania danych osobowych, czyli informacji o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (art. 4 pkt 1). Danymi są imię i nazwisko, ale też numer klienta, adres IP powiązany z kontem czy nagranie z kamery, jeśli pozwala kogoś rozpoznać. Przetwarzaniem jest praktycznie każda operacja: zbieranie, przechowywanie, przeglądanie, wysyłanie, usuwanie.

Rozporządzenie nie obejmuje czynności czysto osobistych lub domowych, na przykład prywatnej listy kontaktów w telefonie (art. 2 ust. 2 lit. c). Obejmuje natomiast firmy spoza Unii, jeśli oferują towary lub usługi osobom w Unii albo monitorują ich zachowanie (art. 3 ust. 2).

W rozporządzeniu ciągle pojawiają się trzy role:

  • administrator sam decyduje o celach i sposobach przetwarzania i odpowiada za zgodność;
  • podmiot przetwarzający (procesor) przetwarza dane w imieniu administratora, na przykład biuro rachunkowe czy dostawca chmury;
  • osoba, której dane dotyczą, ma wobec administratora konkretne prawa.
Kto jest kim w systemie ochrony danych

RODO art. 4, 28, 37-39, 51; ustawa o ochronie danych osobowych art. 34.

Rozliczalność: najważniejsza zmiana w myśleniu

Przed 2018 r. ochrona danych w Polsce opierała się na ustawie z 1997 r. i wielu szczegółowych wymaganiach. RODO odwraca tę logikę. Nie podaje gotowej listy zabezpieczeń, tylko wymaga, żeby administrator ocenił ryzyko i dobrał środki do jego poziomu (art. 24 i 32). Do tego dochodzi zasada rozliczalności (art. 5 ust. 2): administrator ma być w stanie wykazać, że przestrzega przepisów.

W praktyce oznacza to dokumenty. Rejestr czynności przetwarzania, analizy ryzyka, umowy powierzenia, rejestr naruszeń, historia obsługi żądań. Kontroler UODO nie pyta „czy dbacie o dane”, tylko „pokażcie, skąd wiecie, że to wystarcza”. Dlatego większość tego kursu to budowanie takich dowodów.

Warto też wiedzieć, co się zmienia. W 2025 r. Komisja Europejska zaproponowała uproszczenia RODO, w tym zmiany w rejestrze czynności i zgłaszaniu naruszeń. Według stanu na październik 2026 r. nie zostały uchwalone, więc w kursie stosujesz obecny tekst. Zmieniły się za to przepisy obok: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (wdrożenie dyrektywy NIS2) weszła w życie 3 kwietnia 2026 r., a AI Act został zmieniony rozporządzeniem 2026/1744. Oba tematy omawiasz w modułach 6 i 7.

Firma, z którą przejdziesz cały kurs

Przykłady w kursie dotyczą fikcyjnej spółki FinLogic Sp. z o.o. z Warszawy. FinLogic sprzedaje program do księgowości online dla jednoosobowych firm, zatrudnia 120 osób i ma około 9 000 klientów. Monika, nowa inspektorka ochrony danych, dostała od zarządu pytanie: „Od czego zaczniesz?”.

Monika zaczyna od mapy ról. Wobec własnych pracowników i kandydatów FinLogic jest administratorem. Wobec danych, które klienci wprowadzają do programu, na przykład danych kontrahentów z faktur, FinLogic działa jako podmiot przetwarzający, bo przetwarza je na polecenie klienta. Ta sama firma ma więc dwie role, a każda niesie inne obowiązki.

Najważniejsze w 3 punktach

  1. RODO stosuje się bezpośrednio od 25 maja 2018 r., a polska ustawa o ochronie danych osobowych dodaje m.in. procedury UODO, zawiadamianie o IOD i kary dla sektora publicznego.
  2. Kluczowa jest rozliczalność: administrator musi umieć wykazać zgodność dokumentami, a nie tylko ją deklarować.
  3. Ta sama firma może być administratorem jednych danych i podmiotem przetwarzającym innych, więc pracę IOD zaczyna mapa ról.

Źródła

Materiał edukacyjny, nie porada prawna. Stan prawny na październik 2026. W konkretnej sprawie sprawdź aktualny tekst przepisów albo skonsultuj się z radcą prawnym lub adwokatem.

Następna: Kiedy wyznaczenie IOD jest obowiązkowe, a kiedy dobrowolne

29 lekcji i certyfikat w abonamencie.

Program kursu

Karta wymagana · anulujesz jednym kliknięciem · Mam już konto