RODO obowiązuje od 25 maja 2018 roku, ale wciąż co drugi freelancer pyta: „muszę mieć te wszystkie polityki, klauzule, rejestry?”. Odpowiedź brzmi: „częściowo tak, częściowo Cię ktoś nastraszył”.
Skąd się wzięło RODO i dlaczego dotyczy prawie każdej firmy
RODO (GDPR) to Rozporządzenie 2016/679 – akt prawa unijnego bezpośrednio stosowany we wszystkich krajach członkowskich. Nie trzeba go „wdrażać do polskiego prawa” – obowiązuje sam z siebie.
Dotyczy każdego, kto przetwarza dane osobowe. A dane osobowe to każda informacja, po której można kogoś zidentyfikować: imię, nazwisko, mail, telefon, IP, cookie identifier, numer klienta. Jeśli masz choćby jeden formularz kontaktowy albo wysyłasz fakturę na osobę fizyczną – jesteś administratorem danych i RODO Cię dotyczy.
Co realnie musisz mieć jako mikrofirma?
Nie ma znaczenia, czy jesteś jednoosobową działalnością, spółką z o.o. z jednym pracownikiem, czy freelancerem na kontraktach. Ten sam minimalny zestaw wygląda tak:
Podstawa prawna każdej operacji na danych
Nie wolno przetwarzać danych „tak sobie”. Zawsze musisz wskazać jedną z podstaw z art. 6 RODO:
- zgoda – dobrowolna, konkretna, świadoma (np. na newsletter),
- umowa – potrzebna do wykonania umowy z klientem (np. wysyłka zamówienia),
- obowiązek prawny – np. wystawianie faktur do celów podatkowych,
- uzasadniony interes – np. dochodzenie roszczeń, marketing bezpośredni własnych produktów do stałych klientów.
Obowiązek informacyjny
Każdy, którego dane zbierasz, musi wiedzieć: kim jesteś, po co Ci dane, jak długo je trzymasz, komu przekażesz i jakie ma prawa. To ta „klauzula RODO” pod formularzem, w stopce maila, na fakturze. Wynika z art. 13 i 14 RODO.
Polityka prywatności
Rozbudowana wersja obowiązku informacyjnego, opublikowana na stronie. Aktualna, czytelna, konkretna. Nie skopiowana z generatora sprzed pięciu lat, w której są wzmianki o „inspektorze GIODO” (GIODO nie istnieje od 2018 roku – jest UODO).
Bezpieczeństwo danych
Art. 32 RODO wymaga „odpowiednich środków technicznych i organizacyjnych” – z uwzględnieniem ryzyka. W praktyce: silne hasła, dwuskładnikowe uwierzytelnianie, szyfrowany dysk, kopie zapasowe, nieotwieranie klienckich CSV-ek w kawiarni.
Umowy powierzenia (art. 28 RODO)
Jeśli korzystasz z księgowej online, agencji marketingowej, systemu CRM, hostingu, dostawcy newslettera – te podmioty przetwarzają dane w Twoim imieniu. Potrzebujesz z nimi umowy powierzenia. Poważni dostawcy (Google Workspace, Microsoft, Mailerlite, Freshmail, mBank) mają gotowe wzory – trzeba tylko zaakceptować.
Rejestr czynności przetwarzania – muszę czy nie muszę?
Art. 30 RODO zwalnia z obowiązku prowadzenia rejestru firmy zatrudniające mniej niż 250 osób – ale z trzema wyjątkami. Rejestr trzeba prowadzić, jeśli:
- przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób (np. profilowanie klientów, monitoring wizyjny),
- przetwarzanie nie ma charakteru sporadycznego (a jeśli obsługujesz klientów regularnie – z definicji nie jest sporadyczne),
- obejmuje szczególne kategorie danych (zdrowotne, biometryczne, poglądy) albo dane o wyrokach.
Praktyczny wniosek dla większości mikrofirm: rejestr trzeba mieć. Nie musi to być 40-stronicowy dokument prawniczy – wystarczy tabelka w Excelu z kolumnami: cel, kategorie danych, kategorie osób, odbiorcy, okres przechowywania, opis zabezpieczeń. UODO w kontrolach w 2026 pyta o ten dokument w pierwszej kolejności.
Ile realnie wynoszą kary UODO?
„Do 20 milionów euro lub 4% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa” – tak brzmi maksymalny wymiar kary z art. 83 RODO. To górna granica dla ciężkich naruszeń, np. wycieku danych na skalę milionów rekordów.
Praktyka w Polsce w 2025-2026 wygląda inaczej. UODO ustala karę indywidualnie, biorąc pod uwagę:
- wagę i charakter naruszenia,
- liczbę poszkodowanych osób,
- umyślność lub niedbalstwo,
- działania administratora dla ograniczenia szkody,
- współpracę z organem,
- uprzednie naruszenia.
W praktyce małe firmy dostają kary rzędu kilku tysięcy do kilkudziesięciu tysięcy złotych – najczęściej za brak zabezpieczeń (utrata laptopa, wysłanie maila z listą klientów w polu „Do” zamiast „UDW”), za brak dokumentacji albo za ignorowanie żądań osób, których dane dotyczą. Ale skala się zmienia – w 2025 łączna kwota kar przekroczyła 64 mln zł, a UODO w 2026 kontroluje aktywnie sektor MŚP.
Poza karą finansową dochodzi jeszcze roszczenie osób poszkodowanych (art. 82 RODO) – a to potrafi boleć bardziej niż sama decyzja urzędu.
Inspektor Ochrony Danych – kiedy musisz go powołać
Obowiązek powołania Inspektora Ochrony Danych (IOD) mają zgodnie z art. 37 RODO:
- organy publiczne,
- administratorzy, których główna działalność polega na systematycznym monitorowaniu osób na dużą skalę,
- administratorzy przetwarzający na dużą skalę szczególne kategorie danych (dane o zdrowiu, biometryczne, poglądach).
Freelancer, jednoosobowa działalność, mała spółka usługowa – z reguły nie ma obowiązku wyznaczenia IOD. Jeśli ktoś Ci wciska, że musisz – sprawdź, czy nie chce Ci sprzedać usługi „zewnętrznego IOD” za 500 zł miesięcznie „na wszelki wypadek”.
Marketing i zgody – najczęstsza pułapka
Klasyczna sytuacja: klient kupił kiedyś produkt, jest w bazie, więc „można mu wysłać newsletter”. Nie, nie można.
Do e-mail marketingu potrzebujesz osobnej, dobrowolnej zgody – wymóg wynika z art. 10 ustawy o świadczeniu usług drogą elektroniczną oraz z art. 172 Prawa telekomunikacyjnego (dla SMS/telefonów). Sam fakt dokonania zakupu nie jest zgodą marketingową. Wysyłasz? Ryzykujesz karą UODO albo skargą do prezesa UKE.
Prostą regułą jest: osobne pole zgody na marketing pod formularzem, opisane jasno („chcę otrzymywać newsletter z…”), niedomyślnie odznaczone.
Najczęstsze błędy mikrofirm w RODO
- Nieaktualna polityka prywatności (albo brak jej w ogóle).
- Brak umów powierzenia z księgową / freelancerem / narzędziami SaaS.
- Zbieranie danych „na zapas”, bez celu ani podstawy prawnej.
- Wysyłka masowych maili z widocznymi adresami odbiorców (klasyczne CC/DW zamiast BCC/UDW).
- Przechowywanie danych klientów bez końca – nawet po zakończeniu współpracy i zamknięciu roszczeń.
- Ignorowanie żądań osób („chcę wiedzieć, jakie dane o mnie masz”) – masz na odpowiedź 30 dni.
Wirtualne biuro a RODO – na co zwrócić uwagę
Jeśli korzystasz z wirtualnego biura, dostawca odbiera Twoją korespondencję – a część tej korespondencji zawiera dane osobowe (klientów, kontrahentów, pracowników). To znaczy, że operator jest wobec Ciebie procesorem w rozumieniu RODO, a Ty potrzebujesz z nim umowy powierzenia (art. 28).
Zanim podpiszesz umowę, sprawdź:
- czy dostawca ma wzór umowy powierzenia i podpisuje go standardowo,
- jak wygląda dostęp do skanów – czy jest szyfrowany, kto ma do nich dostęp,
- czy pracownicy dostawcy są upoważnieni do przetwarzania i podpisali zobowiązanie do poufności,
- gdzie fizycznie leżą dane – na serwerach w Polsce, w UE, poza EOG?
W Biuro Dla MiŚa działamy według tych zasad standardowo – umowa powierzenia jest częścią pakietu, korespondencja skanowana jest tego samego dnia i trafia do aplikacji z dostępem tylko dla Ciebie. Adres – al. Solidarności 68/121 w Warszawie – jest jedynym miejscem, w którym fizycznie leży Twoja poczta.
FAQ – najczęstsze pytania o RODO
1. Czy muszę mieć Inspektora Ochrony Danych?
Jeśli jesteś freelancerem albo mikrofirmą usługową – najprawdopodobniej nie. Obowiązek dotyczy przede wszystkim organów publicznych, podmiotów przetwarzających dane wrażliwe na dużą skalę oraz firm systematycznie monitorujących osoby (np. sieci sklepów z monitoringiem). Wątpliwości? Zrób ocenę indywidualnie albo skonsultuj z prawnikiem RODO.
2. Jak długo mogę przechowywać dane klientów?
Tak długo, jak jest to niezbędne do celu, dla którego zostały zebrane. Po wygaśnięciu celu – usuń albo zanonimizuj. Niektóre okresy są wymuszone przepisami: dane rachunkowe (faktury) – 5 lat od końca roku, w którym upłynął termin płatności podatku; roszczenia – do przedawnienia (najczęściej 3 lub 6 lat).
3. Czy mogę wysyłać newsletter do wszystkich klientów, którzy kiedykolwiek u mnie kupili?
Nie. Zakup nie jest zgodą marketingową. Do e-mail marketingu potrzebujesz osobnej, dobrowolnej zgody z art. 10 ustawy o świadczeniu usług drogą elektroniczną. Wyjątek to marketing bezpośredni własnych produktów, wysyłany do klientów, którzy nie sprzeciwili się takiej komunikacji (uzasadniony interes) – ale wciąż nie omija to obowiązku zgody na komunikację elektroniczną.
4. Jakie realnie są kary UODO za naruszenie RODO?
Maksymalnie do 20 mln EUR albo 4% globalnego rocznego obrotu (wyższa z kwot) – to górny pułap z art. 83 RODO. W praktyce mikrofirm i MŚP kary sięgają od kilku tysięcy do kilkudziesięciu tysięcy złotych, w zależności od wagi naruszenia, liczby poszkodowanych osób i postawy administratora. W 2025 UODO nałożył łącznie ponad 64 mln zł kar – sektor MŚP jest w 2026 wyraźnie kontrolowany.
5. Czy adres wirtualnego biura jest zgodny z RODO?
Tak – pod warunkiem, że masz z operatorem podpisaną umowę powierzenia przetwarzania danych (art. 28 RODO) i operator zapewnia odpowiednie zabezpieczenia korespondencji (fizyczne, techniczne, organizacyjne). Adres wirtualnego biura nie jest miejscem masowego przetwarzania danych – jest miejscem odbioru korespondencji, część której może zawierać dane osobowe.
6. Muszę prowadzić rejestr czynności przetwarzania?
Formalnie zwolnione są firmy do 250 pracowników, ale z trzema szerokimi wyjątkami – a jeden z nich (przetwarzanie systematyczne, nie „sporadyczne”) w praktyce dotyczy prawie każdej działalności z regularną obsługą klientów. Bezpieczniej założyć, że rejestr jest potrzebny. Wystarczy tabelka w Excelu – nie 40-stronicowa polityka.
