RODO/GDPR в фирме 2026: обязанности, аудит, штрафы, защита данных

RODO/GDPR (общий регламент о защите данных 2016/679) действует в Польше с 25 мая 2018 г. и обязателен для каждого субъекта, обрабатывающего персональные данные физических лиц — от единоличной хозяйственной деятельности со списком клиентов до крупной компании, нанимающей сотни работников. В 2026 г. практика надзора сосредоточена на трёх областях: маркетинговое согласие и профилирование, безопасность ИТ-систем и обработка инцидентов, а также надлежащее информирование лиц, чьи данные обрабатываются. Несоответствие дорого обходится — штрафы UODO (Управление по защите персональных данных) достигают 20 млн евро или 4% годового оборота.

Кто должен применять RODO/GDPR

RODO/GDPR применяется каждым контролёром персональных данных и каждым обрабатывающим субъектом (процессором). Контролёр — это фирма, которая принимает решения о целях и способах обработки: работодатель в отношении работников, интернет-магазин в отношении покупателей, бухгалтерская контора в отношении своих клиентов. Процессор — это субъект, обрабатывающий данные от имени контролёра: например, поставщик системы CRM, хостинговая компания, юридическая фирма, занимающаяся взысканием.

Нет нижнего порога по размеру фирмы. Единоличный фотограф, снимающий свадьбы, персональный тренер с базой контактов в телефоне и интернет-магазин с миллионом пользователей подпадают под те же правила — их отличает лишь объём документационных обязанностей и требуемый масштаб мер безопасности.

Семь принципов, которые нельзя нарушать

Статья 5 RODO/GDPR перечисляет принципы, которым должен следовать каждый контролёр. На практике аудиторы сводят их к семи правилам:

• законность, добросовестность и прозрачность — обработка опирается на конкретное правовое основание (согласие, договор, правовая обязанность, общественный интерес, законный интерес контролёра, жизненно важный интерес лица), и лицо знает, что происходит с его данными;
• ограничение цели — данные, собранные для рекрутинга, не могут попасть в рассылку без отдельного согласия;
• минимизация — мы собираем только то, что действительно необходимо (например, не запрашиваем PESEL у клиента интернет-магазина для выставления фактуры фирме);
• точность — данные должны быть актуальными, а неактуальные — исправлены или удалены;
• ограничение хранения — после достижения цели данные нужно удалить или анонимизировать, за исключением сроков, требуемых нормами (например, 5 лет для налоговых документов);
• целостность и конфиденциальность — надлежащие технические и организационные меры защиты;
• подотчётность — контролёр должен уметь доказать соответствие, недостаточно его декларировать.

Документация, требуемая UODO

Каждая фирма должна определить, какие данные она обрабатывает, с какой целью и на каком правовом основании. Из этого анализа формируется реестр операций обработки (RCPD) и, если имеет место обработка от имени других субъектов, реестр категорий операций (RKPD). Некоторые фирмы обязаны вести оба документа параллельно.

Минимальный набор документов в средней фирме включает:

• политику защиты персональных данных (внутреннюю) вместе с процедурами;
• реестр операций обработки;
• информационные оговорки для различных категорий лиц (клиент, работник, кандидат, получатель рассылки);
• договоры о передаче обработки со всеми поставщиками, которым мы передаём данные (хостинг, бухгалтерская контора, SaaS);
• процедуру обработки запросов лиц (доступ, исправление, удаление, перенос, возражение);
• процедуру обработки инцидентов и нарушений защиты данных;
• анализы рисков и — где требуется — оценку воздействия на защиту данных (DPIA).

Аудит RODO/GDPR — как его провести

Аудит RODO/GDPR — это инвентаризация фактического состояния и сравнение его с требованиями регламента. Правильно спроектированный, он имеет пять этапов:

1. картирование процессов — выявление, где в фирме вообще появляются персональные данные (ERP, CRM, электронная почта, облако, локальные диски, бумажные документы);
2. анализ правовых оснований — для каждой операции обработки указание, опирается ли она на согласие, договор, обязанность, законный интерес;
3. обзор документов — информационные оговорки, согласия, политика, договоры о передаче обработки;
4. анализ риска — оценка вероятности и тяжести потенциальных нарушений, а также адекватности мер защиты;
5. отчёт с рекомендациями — иерархия действий, сроки, ответственные лица.

Аудит стоит повторять каждые 12–24 месяца и всегда после существенного изменения — внедрения новой системы, запуска интернет-продаж, начала масштабного найма, смены ИТ-поставщика.

IOD — кому его нужно назначить

Инспектора защиты данных (IOD) обязательно назначают три категории субъектов:

• органы и публичные субъекты (кроме судов);
• контролёры и процессоры, основная деятельность которых заключается в операциях, требующих регулярного и систематического мониторинга лиц в большом масштабе (например, маркетинговые платформы, крупные порталы, системы телемедицины);
• контролёры и процессоры, основная деятельность которых состоит в обработке в большом масштабе особых категорий данных (о здоровье, биометрических, об ориентации, происхождении, убеждениях).

Малая или средняя фирма с кадровой службой, несколькими процессами и несколькими сотнями клиентов обычно не обязана назначать IOD. Однако может сделать это добровольно — и тогда к ней применяются те же требования независимости и отчётности перед UODO, что и к обязанному субъекту. IOD можно нанять в штат или заключить договор с внешним специалистом.

Утечка данных — что сделать в первые 72 часа

Нарушение защиты персональных данных (инцидент) возникает каждый раз, когда данные теряются, раскрываются неуполномоченному лицу, изменяются или уничтожаются — независимо от того, виден ли уже результат. Сценарии прозаичны: потерянный ноутбук работника, фишинговая атака с перехватом почтового ящика, отправка общего письма с адресатами в «Кому» вместо «Скрытой копии».

Реакция имеет несколько шагов:

1. немедленно обезопасить ситуацию (заблокировать аккаунт, отключить доступ, сменить пароли);
2. проверить, какие данные были раскрыты и скольких лиц это коснулось;
3. оценить риск для прав и свобод лиц, которых затронул инцидент;
4. если риск реальный — сообщить о нарушении в UODO в течение 72 часов с момента обнаружения (бланк доступен на uodo.gov.pl);
5. если риск высокий — уведомить лиц, которых затронуло событие, и описать, какие меры защиты предлагает контролёр;
6. каждый инцидент фиксировать во внутреннем реестре — даже если он не требовал уведомления UODO.

Штрафы UODO — на что обращает внимание надзор

Председатель UODO может наложить административный денежный штраф до 10 млн евро или 2% годового мирового оборота (за менее тяжкие нарушения, например, пробелы в документации, неправильный IOD) либо до 20 млн евро или 4% годового мирового оборота (за тяжкие — отсутствие правового основания обработки, нарушения принципов RODO/GDPR, несоблюдение прав лиц). Применяется большая из сумм.

В последние годы UODO штрафовал, в частности, за отсутствие надлежащей защиты приложения, допустившего утечку данных клиентов, за обработку записей видеонаблюдения без правового основания и за недоработки в процессах рекрутинга. Независимо от административного штрафа лицо, данные которого затронул инцидент, может требовать возмещения в гражданском суде.

Маркетинг, cookies и согласие в 2026 году

Маркетинговая коммуникация остаётся наиболее проблемной областью RODO/GDPR. В Польше наряду с регламентом действует закон об оказании услуг электронным способом и Право электронных коммуникаций (ранее Телекоммуникационное право). Вместе они требуют, чтобы:

• отправка коммерческого e-mail или SMS имела отдельное согласие — добровольное и чётко описанное;
• согласие на cookies было активным (не подразумеваемым из «scroll» или «continue»), с лёгкой возможностью отказа;
• каждый получатель имел простой путь отказа (ссылка в подвале, ключевое слово в SMS);
• контролёр фиксировал, кто и когда дал согласие — так, чтобы мочь это доказать.

Практика показывает, что хорошо спроектированный баннер cookies и форма подписки на рассылку с отдельными полями согласия — это инвестиция, которая окупается уже при первой проверке UODO.

Как помогает Good Balance

Команда Good Balance в рамках юридической консультации проводит аудит RODO/GDPR, разрабатывает политику и процедуры, пишет информационные оговорки, договоры о передаче обработки и реестр операций, а также поддерживает при инцидентах — от оценки риска до уведомления UODO. Для фирм с обязанностью IOD предлагаем аутсорсинг функции инспектора и обучение для работников. Если Вы получили письмо от UODO, мы поможем подготовить ответ и защиту от штрафа.