RODO przewiduje dwa progi administracyjnych kar pieniężnych: do 10 mln euro albo 2 % obrotu oraz do 20 mln euro albo 4 % obrotu, przy czym stosuje się kwotę wyższą. Polska ustawa dodaje trzeci element: równowartość w złotych liczy się po kursie NBP z 28 stycznia każdego roku, a dla podmiotów publicznych obowiązują odrębne, znacznie niższe limity.

Poniżej progi przeliczone na złote dla 2026 r., jedenaście ustawowych kryteriów wymiaru kary oraz zasady, które najczęściej są mylone.

Ile wynoszą kary RODO w złotych

Art. 103 ustawy o ochronie danych osobowych nakazuje przeliczać kwoty z art. 83 RODO według średniego kursu euro ogłaszanego przez NBP w tabeli kursów na dzień 28 stycznia każdego roku. Dla 2026 r. jest to tabela nr 018/A/NBP/2026 z 28 stycznia 2026 r., w której średni kurs euro wynosi 4,2009 zł.

Próg	W euro	W złotych w 2026 r.
Niższy	10 000 000 EUR	42 009 000 zł
Wyższy	20 000 000 EUR	84 018 000 zł

Alternatywnie stosuje się 2 % albo 4 % całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego - zawsze w kwocie wyższej. Dla dużych przedsiębiorstw miarodajny jest więc obrót, a nie kwota bezwzględna.

Ponieważ podstawą jest kurs z konkretnego dnia, te dwie kwoty w złotych zmieniają się co roku i obowiązują wyłącznie w 2026 r.

Który próg do czego

Podstawa	Czego dotyczy	Wysokość
art. 83 ust. 4 RODO	Obowiązki administratora i podmiotu przetwarzającego z art. 8, 11, 25-39 oraz 42 i 43 - w tym zabezpieczenia, rejestr czynności, zgłaszanie naruszeń, ocena skutków i inspektor ochrony danych	10 mln EUR albo 2 %
art. 83 ust. 5 RODO	Zasady przetwarzania i warunki zgody (art. 5, 6, 7, 9), prawa osób, których dane dotyczą (art. 12-22), przekazywanie danych poza EOG (art. 44-49)	20 mln EUR albo 4 %
art. 83 ust. 6 RODO	Nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2	20 mln EUR albo 4 %

Warto zauważyć, gdzie leży wyższa stawka: obszary „papierowe” - podstawy przetwarzania, klauzule informacyjne, obsługa żądań - podlegają progowi wyższemu niż zabezpieczenia techniczne. Zignorowanie nakazu organu jest traktowane równie surowo jak naruszenie samych zasad przetwarzania.

Podmioty publiczne: 100 000 zł i 10 000 zł

To odrębny reżim, o którym w zestawieniach kar rzadko się wspomina, a różnica jest dwudziestokrotna i większa.

Art. 101 ustawy stanowi, że Prezes UODO nakłada kary na podstawie art. 83 RODO na podmioty inne niż jednostki sektora finansów publicznych, instytuty badawcze i Narodowy Bank Polski. Dla tych trzech kategorii obowiązuje art. 102:

Podmiot	Maksymalna kara	Przepis
Jednostki sektora finansów publicznych z art. 9 pkt 1-12 i 14 ustawy o finansach publicznych, instytuty badawcze, NBP	100 000 zł	art. 102 ust. 1
Jednostki sektora finansów publicznych z art. 9 pkt 13 ustawy o finansach publicznych	10 000 zł	art. 102 ust. 2

Kary te Prezes UODO nakłada nadal na podstawie i na warunkach określonych w art. 83 RODO (art. 102 ust. 3) - zmienia się wyłącznie górna granica, nie kryteria.

Jedenaście kryteriów wymiaru kary

Art. 83 ust. 2 RODO wymienia okoliczności, na które organ zwraca uwagę, decydując o nałożeniu kary i o jej wysokości. Kara ma być skuteczna, proporcjonalna i odstraszająca (art. 83 ust. 1).

Kryterium	Litera
Charakter, waga i czas trwania naruszenia, liczba poszkodowanych i rozmiar szkody	a
Umyślny albo nieumyślny charakter naruszenia	b
Działania podjęte w celu zminimalizowania szkody	c
Stopień odpowiedzialności z uwzględnieniem środków wdrożonych na mocy art. 25 i 32	d
Wcześniejsze naruszenia	e
Stopień współpracy z organem nadzorczym	f
Kategorie danych, których dotyczyło naruszenie	g
Sposób, w jaki organ dowiedział się o naruszeniu, w szczególności czy zgłosił je sam administrator	h
Przestrzeganie wcześniej zastosowanych środków z art. 58 ust. 2	i
Stosowanie zatwierdzonych kodeksów postępowania lub mechanizmów certyfikacji	j
Inne czynniki obciążające lub łagodzące, w tym korzyści finansowe osiągnięte w związku z naruszeniem	k

Cztery z nich zależą wyłącznie od zachowania organizacji po wykryciu problemu: minimalizowanie szkody, współpraca z organem, samodzielne zgłoszenie naruszenia i wdrożone wcześniej środki. To one najczęściej decydują o różnicy między upomnieniem a karą.

Kilka naruszeń nie oznacza sumowania kar

Częste nieporozumienie. Jeżeli administrator narusza kilka przepisów w ramach tych samych lub powiązanych operacji przetwarzania, całkowita wysokość kary nie przekracza wysokości kary za najpoważniejsze naruszenie (art. 83 ust. 3 RODO).

Kary za poszczególne uchybienia nie są więc dodawane do siebie. Granicą pozostaje próg właściwy dla najcięższego z nich - co w praktyce oznacza, że jedno naruszenie z wyższego progu wyznacza sufit dla całej sprawy.

Obowiązek dostarczenia danych o obrocie

Skoro kara może być liczona od obrotu, organ musi ten obrót znać. Art. 101a ustawy nakłada na podmiot obowiązek dostarczenia Prezesowi UODO, na każde żądanie i w terminie 30 dni, danych niezbędnych do określenia podstawy wymiaru kary.

Konsekwencja niedostarczenia jest podwójna:

• organ ustala podstawę wymiaru szacunkowo, uwzględniając wielkość podmiotu, specyfikę działalności lub ogólnie dostępne dane finansowe (art. 101a ust. 2),
• niedostarczenie danych albo dostarczenie danych uniemożliwiających ustalenie podstawy jest przestępstwem zagrożonym grzywną, ograniczeniem wolności albo pozbawieniem wolności do lat dwóch (art. 108 ust. 2).

Odpowiedzialność karna obok kary administracyjnej

Kara pieniężna nie wyczerpuje katalogu sankcji. Polska ustawa przewiduje odrębne przestępstwa:

Czyn	Zagrożenie	Przepis
Przetwarzanie danych, choć nie jest dopuszczalne albo bez uprawnienia	Grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2	art. 107 ust. 1
To samo, gdy dotyczy danych szczególnych kategorii (m.in. zdrowie, biometria, poglądy, orientacja seksualna)	Grzywna, ograniczenie wolności albo pozbawienie wolności do lat 3	art. 107 ust. 2
Udaremnianie lub utrudnianie kontroli	Grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2	art. 108 ust. 1

Termin zapłaty

Administracyjną karę pieniężną uiszcza się w terminie 14 dni od dnia upływu terminu na wniesienie skargi (art. 105 ust. 1 ustawy). Środki z kary stanowią dochód budżetu państwa. Od 3 kwietnia 2026 r. obowiązuje wyjątek: kary nałożone za naruszenie art. 5 ust. 1 lit. f, art. 25 ust. 1 i 2, art. 28 ust. 3 lit. c oraz art. 32 ust. 1 i 2 RODO zasilają w połowie Fundusz Cyberbezpieczeństwa, a w połowie budżet państwa (art. 104 ustawy w brzmieniu nadanym ustawą z 23 stycznia 2026 r., Dz.U. poz. 252).

Co realnie obniża ryzyko

Z listy kryteriów wynika praktyczny wniosek: organizacja, która przed naruszeniem nie zrobiła nic, wchodzi w postępowanie bez żadnego argumentu łagodzącego. Cztery rzeczy, na które warto mieć dowód wcześniej:

1. Wdrożone i przetestowane środki z art. 25 i 32 - kryterium d. Sposób ich sprawdzenia opisaliśmy w tekście audyt RODO: czy jest obowiązkowy i co sprawdza.
2. Procedura zgłaszania naruszeń, żeby organ dowiedział się o sprawie od administratora - kryterium h.
3. Wyznaczony inspektor ochrony danych i realna współpraca z organem - kryterium f. Kiedy jest obowiązkowy, opisaliśmy w tekście kiedy trzeba powołać inspektora ochrony danych.
4. Udokumentowane działania naprawcze podjęte po wykryciu problemu - kryterium c.

Chcesz sprawdzić, jak wypada Twoja organizacja wobec tych kryteriów? Prowadzimy audyty ochrony danych osobowych oraz stałą obsługę prawną przedsiębiorców w Gliwicach i okolicy. Skontaktuj się z kancelarią.

Stan prawny: wrzesień 2026 r. Podstawa: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 83, oraz ustawa z 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz.U. z 2019 r. poz. 1781, ze zmianami z 2026 r. poz. 252, 548 i 1003), art. 101-108. Kurs przeliczeniowy: tabela nr 018/A/NBP/2026 średnich kursów walut obcych z 28 stycznia 2026 r. Kwoty w złotych obowiązują w 2026 r. i zmienią się wraz z kursem ogłoszonym 28 stycznia kolejnego roku. Artykuł ma charakter informacyjny i nie zastępuje porady prawnej w indywidualnej sprawie.