Słownik

RODO (GDPR)

RODO (GDPR) to rozporządzenie UE o ochronie danych osobowych — obowiązuje bezpośrednio od 25 maja 2018 r.

Ostatnia weryfikacja: 20 maja 2026

ZmianyWPrawie monitoruje proces legislacyjny — to nie jest porada prawna. Treści mają charakter informacyjny i edukacyjny. Stan prawny zmienia się w czasie; zawsze weryfikuj w oficjalnym źródle (Sejm, RCL, ISAP, EUR-Lex) lub skonsultuj się z prawnikiem.

RODO (Rozporządzenie o Ochronie Danych Osobowych), znane też jako **GDPR** (General Data Protection Regulation), to **rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679** z 27 kwietnia 2016 r. Obowiązuje bezpośrednio we wszystkich państwach UE od 25 maja 2018 r. Określa zasady przetwarzania danych osobowych osób fizycznych, podstawy prawne, prawa osób, których dane są przetwarzane, oraz obowiązki administratorów i podmiotów przetwarzających. W Polsce uzupełnia je ustawa o ochronie danych osobowych z 10 maja 2018 r., a organem nadzorczym jest [Prezes UODO](https://www.uodo.gov.pl/). RODO przewija się przez [DSA](/slownik/dsa-akt-o-uslugach-cyfrowych), [bany cookies](/slownik/cookies-baner) i każdy obszar [e-commerce](/branze/e-commerce).

Decyzje UODO, wytyczne EROD i kolejne projekty zmieniające ochronę danych — śledź w trackerze —otwórz tracker

Definicja

RODO to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych. Jako rozporządzenie UE obowiązuje bezpośrednio — od 25 maja 2018 r. — we wszystkich państwach członkowskich. Reguluje przetwarzanie danych osobowych, czyli wszelkich informacji o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. W Polsce uzupełnia je ustawa o ochronie danych osobowych z 10 maja 2018 r.

Sześć zasad RODO

Przetwarzanie danych osobowych musi być zgodne z sześcioma zasadami wymienionymi w art. 5 RODO:

Zgodność z prawem, rzetelność i przejrzystość — dane przetwarzane na ważnej podstawie prawnej, w sposób uczciwy i jawny,
Ograniczenie celu — dane zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach,
Minimalizacja danych — zakres danych adekwatny i ograniczony do celu,
Prawidłowość — dane prawidłowe i w razie potrzeby aktualizowane,
Ograniczenie przechowywania — przechowywanie tak długo, jak jest to niezbędne dla celu,
Integralność i poufność — zabezpieczenie danych odpowiednimi środkami technicznymi i organizacyjnymi.

Nad całością czuwa zasada rozliczalności — administrator musi być w stanie wykazać, że przestrzega RODO.

Podstawy prawne przetwarzania (art. 6 i 9)

Każde przetwarzanie danych osobowych musi mieć podstawę prawną z art. 6 RODO:

Zgoda osoby, której dane dotyczą,
Wykonanie umowy, której stroną jest ta osoba,
Obowiązek prawny ciążący na administratorze,
Żywotne interesy osoby, której dane dotyczą, lub innej osoby fizycznej,
Zadanie w interesie publicznym lub w ramach sprawowania władzy publicznej,
Prawnie uzasadnione interesy administratora lub osoby trzeciej (z testem równowagi).

Dla danych szczególnych kategorii (m.in. zdrowotnych, biometrycznych, o pochodzeniu rasowym, poglądach politycznych) potrzebna jest dodatkowa podstawa z art. 9 RODO — np. wyraźna zgoda.

Prawa osób, których dane są przetwarzane

RODO przyznaje osobom fizycznym katalog praw, które można egzekwować wobec administratora:

Prawo dostępu do swoich danych i informacji o przetwarzaniu,
Prawo do sprostowania danych nieprawidłowych lub niekompletnych,
Prawo do usunięcia danych („prawo do bycia zapomnianym") w określonych przypadkach,
Prawo do ograniczenia przetwarzania,
Prawo do przenoszenia danych dostarczonych administratorowi,
Prawo sprzeciwu wobec przetwarzania, m.in. opartego na prawnie uzasadnionych interesach lub do celów marketingu bezpośredniego,
Prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, jeśli wywiera istotne skutki.

Osoba ma także prawo wniesienia skargi do Prezesa UODO.

Po RODO idą AI Act i rozporządzenie ePrivacy

Plan dla e-commerce alarmuje o decyzjach UODO oraz kolejnych aktach UE, które dotykają ochrony danych osobowych. 3 dni za darmo.

Wypróbuj plan dla e-commerce

Nadzór i sankcje

W Polsce organem nadzorczym właściwym w sprawach RODO jest Prezes Urzędu Ochrony Danych Osobowych (UODO). Prowadzi postępowania, wydaje decyzje (m.in. nakaz zaprzestania przetwarzania, kary administracyjne) i publikuje wytyczne. Na poziomie unijnym z Prezesem UODO współpracuje Europejska Rada Ochrony Danych (EROD).

Naruszenia RODO są zagrożone administracyjnymi karami pieniężnymi. Maksymalne stawki to do 10 mln EUR lub 2% rocznego obrotu globalnego (wyższa z kwot) za część naruszeń oraz do 20 mln EUR lub 4% rocznego obrotu globalnego za naruszenia poważniejsze (m.in. zasad przetwarzania, podstaw prawnych, praw osób). Naruszenie ochrony danych osobowych co do zasady administrator zgłasza Prezesowi UODO w ciągu 72 godzin.

Powiązane pojęcia

Pojęcia, które łączą się z RODO:

Baner cookies — zgoda na cookies śledzące to często osobna podstawa z RODO i przepisów o łączności elektronicznej,
DSA — obowiązki platform pokrywają się częściowo z RODO,
Dyrektywa Omnibus — przy personalizacji ceny i opiniach pojawia się też wymiar danych osobowych,
EUR-Lex — tam znajdziesz tekst rozporządzenia 2016/679,
ISAP — tam znajdziesz tekst ustawy o ochronie danych osobowych,
E-commerce — branża, dla której RODO to codzienność.

Najczęstsze pytania

Co to jest RODO?

RODO (GDPR) to rozporządzenie UE 2016/679 z 27 kwietnia 2016 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych. Jako rozporządzenie obowiązuje bezpośrednio we wszystkich państwach UE od 25 maja 2018 r. W Polsce uzupełnia je ustawa o ochronie danych osobowych. Organem nadzorczym jest Prezes UODO.

Jakie są zasady RODO?

RODO wymienia sześć zasad przetwarzania danych: zgodność z prawem, rzetelność i przejrzystość, ograniczenie celu, minimalizacja danych, prawidłowość, ograniczenie przechowywania, integralność i poufność. Nad całością czuwa zasada rozliczalności — administrator musi wykazać, że przestrzega RODO. Pełny katalog znajduje się w art. 5 rozporządzenia.

Jakie są podstawy prawne przetwarzania danych?

Art. 6 RODO wymienia sześć podstaw: zgoda, wykonanie umowy, obowiązek prawny administratora, żywotne interesy, zadanie w interesie publicznym oraz prawnie uzasadnione interesy. Dla danych szczególnych kategorii (m.in. zdrowotnych, biometrycznych) wymagana jest dodatkowa podstawa z art. 9 — np. wyraźna zgoda.

Jakie prawa daje RODO osobie, której dane są przetwarzane?

RODO przyznaje m.in. prawo dostępu do danych, sprostowania, usunięcia („prawo do bycia zapomnianym"), ograniczenia przetwarzania, przenoszenia danych, sprzeciwu wobec przetwarzania (w tym marketingu bezpośredniego) oraz prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu. Osoba może też wnieść skargę do Prezesa UODO.

Jakie są kary za naruszenie RODO?

Naruszenia RODO są zagrożone administracyjnymi karami pieniężnymi. Maksymalne stawki to do 10 mln EUR lub 2% rocznego obrotu globalnego za część naruszeń oraz do 20 mln EUR lub 4% rocznego obrotu globalnego za naruszenia poważniejsze. W Polsce kary nakłada Prezes UODO; decyzje są publikowane na stronie urzędu.

Jak długo można przechowywać dane osobowe?

RODO nie wskazuje sztywnych terminów — wymaga, by dane były przechowywane w formie umożliwiającej identyfikację osoby przez okres nie dłuższy, niż jest to niezbędne dla celu, w którym są przetwarzane. Konkretne terminy wynikają z podstawy prawnej i innych przepisów (np. podatkowych, archiwizacyjnych). Po upływie okresu dane co do zasady są usuwane lub anonimizowane.