Co zmieniło RODO i dlaczego dziś ta rozmowa jest trudniejsza niż w 2018 r.?
28 stycznia obchodzimy Europejski Dzień Ochrony Danych Osobowych – datę nieprzypadkową. To rocznica otwarcia do podpisu Konwencji nr 108 Rady Europy (pierwszego wiążącego instrumentu międzynarodowego poświęconego ochronie danych). W 2026 r. to święto ma inny ciężar gatunkowy niż kilka lat temu: nie chodzi już o to „czy RODO dotyczy mojej organizacji?”, tylko o to, czy potrafimy zarządzać danymi w świecie, w którym przetwarzanie jest stałe, wielokanałowe i coraz częściej zautomatyzowane?

RODO: jeden akt, ale kilka epok wdrożeniowych

RODO zaczęło być stosowane w krajach członkowskich  25 maja 2018 r. – i od tego momentu wyznacza standard europejskiego „zarządzania informacją o osobie”.

W praktyce można wyróżnić trzy fazy dojrzewania rynku:

1. 2018–2019: „wdrożenie dokumentów”
   Polityki, klauzule informacyjne, rejestry czynności. Wiele organizacji potraktowało RODO jako projekt dokumentowy.
2. 2020–2022: „wdrożenie procesowe”
   Prawa osób (wnioski, terminy, identyfikacja), bezpieczeństwo, oceny ryzyka, DPIA – i pierwsze zderzenie z realnymi incydentami.
3. 2023–2026: „wdrożenie systemowe”
   RODO coraz częściej działa jako warstwa bazowa dla całego unijnego porządku cyfrowego (platformy, reklama behawioralna, AI, cyberbezpieczeństwo, transfery). Komisja Europejska wprost opisuje RODO jako „cornerstone” polityk cyfrowych UE, wskazując m.in. DSA i AI Act jako regulacje, które budują na definicjach i mechanizmach RODO.

Co realnie zmieniło się od 2018 r. ?

 „Odpowiedzialność” przestała być hasłem – stała się mierzalna

RODO wymaga nie tylko przestrzegania zasad, ale zdolności wykazania zgodności. W praktyce to przesunęło środek ciężkości z formalnych zgód na:

• zarządzanie ryzykiem,
• decyzje o podstawach prawnych (i ich obronę),
• dowody: rejestry, oceny, uzasadnienia, testy równowagi, polityki retencji.

Komisja Europejska w raporcie z 2024 r. podkreśla, że podejście oparte na ryzyku i neutralne technologicznie dało „ważne rezultaty” dla osób i biznesu, ale wskazuje też obszary wymagające dalszej poprawy (m.in. spójność interpretacji i egzekwowania).

Prawa osób stały się „operacją”, nie teorią

Wiele organizacji dopiero po 2018 r. zbudowało realne mechanizmy:

• obsługi prawa dostępu, kopii danych, sprzeciwu, usunięcia,
• weryfikacji tożsamości bez „nadmiarowego” zbierania danych,
• współpracy z procesorami pod kątem terminów i zakresu odpowiedzi.

Egzekwowanie: z „teoretycznych kar” do decyzji, które zmieniają rynek

RODO dojrzało egzekucyjnie. Europejska Rada Ochrony Danych (EDPB) korzysta z mechanizmów spójności, wydając wiążące decyzje w sporach transgranicznych. W podsumowaniach EDPB akcentowane są m.in. wiążące decyzje oraz głośne rozstrzygnięcia w sprawach big tech (w tym bardzo wysokie kary administracyjne).

Nie chodzi wyłącznie o wysokość kar, ale o efekt regulacyjny: decyzje wpływają na modele biznesowe, standardy reklamowe, architekturę produktów.

Transfery danych: po Schrems II nic nie jest „automatyczne”

Wyrok TSUE w sprawie Schrems II (C-311/18) był momentem przełomowym dla transferów do państw trzecich.
Od tego czasu w praktyce rynkowej ugruntowały się:

• transfer impact assessment (ocena ryzyka prawnego transferu),
• „dodatkowe środki” (techniczne/organizacyjne/kontraktowe),
• większa rola SCC.

Komisja przyjęła nowe standardowe klauzule umowne Decyzją Wykonawczą 2021/914.
W 2023 r. przyjęto decyzję adekwatności dla EU-US Data Privacy Framework, a w 2025 r. Sąd UE oddalił skargę o jej unieważnienie (sprawa T-553/23), potwierdzając – na dzień przyjęcia decyzji – adekwatność ochrony w USA w ramach tego mechanizmu.

Orzecznictwo „doprecyzowało” role i odpowiedzialność w systemach danych

Po 2018 r. wyraźnie widać trend: coraz częściej odpowiada nie tylko ten, kto „ma bazę danych”, ale też ten, kto współdecyduje o celach i sposobach przetwarzania.

Przykłady klasyczne (jeszcze na gruncie dyrektywy, ale dziś wprost przekładane na realia RODO):

• fanpage na Facebooku i współadministrowanie (C-210/16),
• wtyczki społecznościowe i współadministrowanie (C-40/17).

Z kolei w sprawie Meta Platforms (C-252/21) TSUE odnosił się m.in. do legalności przetwarzania w modelach platformowych oraz relacji zgody/podstaw prawnych i danych szczególnych kategorii w kontekście ekosystemu usług.

Wniosek praktyczny: granice odpowiedzialności w łańcuchach reklamowych, analitycznych i technologicznych są dziś bardziej „rozlane”, a to wymusza lepsze kontrakty, architekturę ról i realne zarządzanie ryzykiem.

RODO w nowym otoczeniu regulacyjnym: platformy, AI, cyberbezpieczeństwo

Ostatnie lata to rozwój prawa cyfrowego UE – i istotne jest jedno: większość tych regulacji nie zastępuje RODO, tylko nakłada kolejne obowiązki, często posługując się definicjami i mechaniką znaną z RODO.

• Digital Services Act (DSA) stosuje się od 17 lutego 2024 r.
• AI Act ma zasadnicze stosowanie od 2 sierpnia 2026 r. (z wyprzedzającym stosowaniem wybranych rozdziałów wcześniej).
• NIS2: termin transpozycji do 17 października 2024 r., a stosowanie przepisów krajowych od 18 października 2024 r.

W praktyce oznacza to, że w 2026 r. rozmowa o danych osobowych coraz częściej zaczyna się od pytania: czy to jeszcze tylko prywatność, czy już jednocześnie cyberbezpieczeństwo, platform compliance i governance AI?

Jeśli potraktować 28 stycznia nie jako symbol, ale jako pretekst do krótkiego audytu zarządczego, to trzy pytania zwykle odsłaniają najwięcej:

1. Czy wiemy, gdzie i po co płyną dane (w tym transfery poza EOG)?
2. Czy potrafimy dowieźć prawa osoby w terminie i w skali?.
3. Czy mamy kontrolę nad „niewidzialnym” przetwarzaniem: śledzeniem, profilowaniem, automatyzacją?– zwłaszcza tam, gdzie produkt/usługa „sama” generuje ryzyka (marketing, scoring, personalizacja, AI).

Na koniec: RODO się nie zestarzało – zestarzały się nasze uproszczenia

RODO jest celowo technicznie neutralne i oparte na ryzyku – dlatego przetrwało falę nowych technologii. Zmienił się natomiast świat dookoła: skala, złożoność łańcuchów przetwarzania i tempo automatyzacji.

Europejski Dzień Ochrony Danych 2026 to dobra okazja, by wrócić do fundamentu: ochrona danych nie jest zbiorem dokumentów – jest sposobem projektowania procesów i produktów tak, by prywatność była domyślna, a ryzyko policzalne i zarządzalne.

TAGI: AI, cyberbezpieczeństwo, Dzień Ochrony Danych Osobowych, EROD, Ochrona danych, RODO