Pojęcia stosowane w cyklu artykułów

RODO – ogólne rozporządzenie o ochronie danych

TSUE – Trybunał Sprawiedliwości Unii Europejskiej

DPA – krajowe organy ochrony danych osobowych

Wniosek KE z 19 listopada 2025 – Komisja Europejska (KE) 19 listopada 2025 r. przedstawiła projekty zmian do aktów prawnych regulujących w UE rynek usług cyfrowych

Digital Omnibus – przewidziany we Wniosku KE z 19 listopada 2025 pakiet reform obejmujący modyfikacje w: 1) rozporządzeniach (UE): a) 2016/679 (GDPR, RODO), b) 2018/1724 (o utworzeniu jednolitego portalu cyfrowego), c) 2018/1725 (rozporządzenie o ochronie danych osobowych w instytucjach UE); d) 2023/2854 (the Data Act; akt w sprawie danych), 2) dyrektywach : a) 2002/58/WE (dyrektywa o prywatności i łączności elektronicznej); b) 2022/2555 (dyrektywa NIS2) c) 2022/2557 (dyrektywa w sprawie odporności podmiotów krytycznych)

TFUE Traktat o funkcjonowaniu Unii Europejskiej. Traktat o funkcjonowaniu Unii Europejskiej wszedł w życie w dniu 1 grudnia 2009 r

PKE – ustawa z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz. U. poz. 1221 z późn. zm.)

ENISA – Agencja Unii Europejskiej ds. Cyberbezpieczeństwa

EROD – Europejska Rada Ochrony Danych Osobowych

EIOD – Europejski Inspektor Ochrony Danych

PUODO – Prezes Urzędu Ochrony Danych Osobowych

DORA – Digital Operational Resilience Act, co w języku polskim oznacza Rozporządzenie o cyfrowej odporności operacyjnej, Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011.

DPIA– proces celem którego jest zbadanie jak planowane operacje przetwarzania danych osobowych lub zmiany tych operacji mogą wpłynąć na prawa lub wolności osób, których dane mają być im poddane.

u.o.d.o. – ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, z 2026 r. poz. 252, 548.)

Wprowadzenie

Niniejszy artykuł jest kolejnym w ramach cyklu prezentującego projekty zmian, w tym w RODO, wskazanych we Wniosku KE z 19 listopada 2025 r.¹

W tym artykule zajmiemy się zmianami, które streszczając uzasadnienie KE zawarte we Wniosku mają na celu ujednolicenie podejścia do oceny skutków dla ochrony danych (DPIA) w całej Unii.

Jednym z problemów praktycznego stosowania RODO jest dziś brak pełnej spójności w podejściu do oceny skutków dla ochrony danych (DPIA). Państwa członkowskie wypracowały własne listy operacji, które wymagają takiej oceny (lub jej nie wymagają), co w efekcie prowadzi do fragmentacji i niepewności po stronie administratorów działających transgranicznie.

Proponowana zmiana w ramach Digital Omnibus ma ten problem wprost zaadresować.

Po pierwsze, Komisja Europejska chce wprowadzić jednolite, obowiązujące w całej UE listy operacji przetwarzania, dla których DPIA jest obligatoryjna (lub zbędna). W praktyce oznacza to próbę zharmonizowania tego, co dziś bywa różnie rozumiane w poszczególnych krajach – czyli przede wszystkim samego pojęcia „wysokiego ryzyka”.

Po drugie, istotnie wzmocniona zostałaby rola Europejskiej Rady Ochrony Danych. To właśnie EROD miałaby przygotować nie tylko projekty tych list, ale również wspólny wzór oraz metodologię przeprowadzania DPIA. Innymi słowy – nie tylko „kiedy robić DPIA”, ale też „jak ją robić” miałoby zostać ujednolicone na poziomie unijnym.

Na końcu procesu Komisja mogłaby takie rozwiązania formalnie przyjąć w drodze aktu wykonawczego, nadając im wiążący charakter.

W szerszej perspektywie zmiana ta wpisuje się w dobrze znany kierunek: ograniczenie rozbieżności interpretacyjnych i zwiększenie przewidywalności regulacyjnej. Dla organizacji działających w więcej niż jednym państwie UE mogłoby to oznaczać mniej „lokalnych niespodzianek” i bardziej jednolite podejście do obowiązków związanych z DPIA.

W tym kontekście warto przypomnieć, że już dziś pewien poziom harmonizacji próbowała zapewnić Europejska Rada Ochrony Danych w swoich wytycznych dotyczących stosowania art. 35 RODO (WP248 rev.01)². Dokument ten zawiera m.in. katalog kryteriów, które pomagają ocenić, czy dane przetwarzanie może wiązać się z wysokim ryzykiem (np. profilowanie, przetwarzanie na dużą skalę, wykorzystanie nowych technologii czy łączenie zbiorów danych).

Wytyczne EROD miały ambicję uporządkować praktykę stosowania DPIA i wprowadzić pewne wspólne standardy interpretacyjne. Jednocześnie jednak – co dobrze pokazuje doświadczenie ostatnich lat – ich charakter jest niewiążący, a państwa członkowskie oraz organy nadzorcze zachowały znaczną swobodę w budowaniu własnych list operacji wymagających oceny skutków. W efekcie powstał system „miękkiej harmonizacji”, który nie wyeliminował różnic w podejściu.

Z tej perspektywy propozycja z Digital Omnibus może być odczytywana jako kolejny krok: przejście od wytycznych i rekomendacji do bardziej sformalizowanych i wiążących mechanizmów ujednolicania praktyki. Innymi słowy, tam gdzie dotąd wystarczało wskazanie kierunku przez EROD, Komisja próbuje wprowadzić rozwiązania o charakterze normatywnym, które realnie ograniczą rozbieżności w stosowaniu art. 35 RODO w całej Unii.

Dobrą ilustracją problemu są różnice między krajowymi listami publikowanymi przez organy nadzorcze. Przykładowo, niektóre organy (np. francuski CNIL czy włoski Garante) szeroko kwalifikują jako wymagające DPIA operacje związane z przetwarzaniem danych pracowniczych lub monitorowaniem pracowników, podczas gdy w innych jurysdykcjach podejście do tych samych kategorii bywa bardziej powściągliwe. Podobne rozbieżności widać w odniesieniu do przetwarzania danych w celach marketingowych, wykorzystywania danych lokalizacyjnych czy stosowania narzędzi analitycznych – w części państw są one explicite wskazywane jako przypadki wysokiego ryzyka, a w innych pojawiają się tylko pośrednio lub wcale. ^{3 4}

Różnice dotyczą nie tylko zakresu katalogów, ale także poziomu ich szczegółowości. Niektóre listy mają charakter bardzo kazuistyczny, inne opierają się raczej na ogólnych kategoriach ryzyka, co dodatkowo utrudnia porównywalność. W praktyce oznacza to, że to samo przetwarzanie – zwłaszcza w organizacjach działających transgranicznie – może podlegać obowiązkowi DPIA w jednym państwie członkowskim, a w innym już nie. ⁵

To właśnie takie przykłady fragmentacji pokazują, że obecny model – oparty na wytycznych EROD i krajowych listach – nie zapewnia pełnej spójności. Na tym tle propozycje Digital Omnibus można więc postrzegać jako próbę „domknięcia systemu” i przejścia od koordynacji opartej na soft law do bardziej jednolitych, rzeczywiście wiążących rozwiązań na poziomie całej Unii.

Różnice najlepiej widać na konkretnych przykładach.

Dobrym case’em jest monitoring pracowników. Francuski CNIL wprost wskazuje, że rozbudowane systemy monitorowania aktywności pracowników (np. narzędzia śledzące produktywność, korzystanie z aplikacji czy zachowania użytkownika) co do zasady kwalifikują się jako operacje wymagające DPIA. Z kolei w Polsce lista PUODO⁶ nie zawiera aż tak jednoznacznego, szerokiego wskazania – obowiązek przeprowadzenia DPIA wynika raczej z ogólnych kryteriów (takich jak systematyczne monitorowanie czy przetwarzanie na dużą skalę), co pozostawia większe pole do interpretacji po stronie administratora.

Podobną rozbieżność można zauważyć w przypadku przetwarzania danych lokalizacyjnych. W niektórych państwach (np. we Francji) operacje polegające na systematycznym śledzeniu lokalizacji osób (np. poprzez aplikacje mobilne lub systemy flotowe) są wprost wskazywane jako wymagające DPIA. Tymczasem w innych jurysdykcjach, w tym w Polsce, taki obowiązek nie zawsze wynika wprost z listy, lecz musi być „wyinterpretowany” na podstawie ogólnych przesłanek wysokiego ryzyka.

Jeszcze ciekawiej wygląda obszar marketingu i profilowania. Włoski Garante zalicza do operacji wymagających DPIA m.in. zaawansowane formy profilowania, w szczególności gdy obejmują one łączenie danych z różnych źródeł lub mogą prowadzić do istotnych skutków dla osób fizycznych. W innych państwach podobne procesy nie zawsze są wskazane wprost, co powoduje, że administratorzy mogą różnie oceniać obowiązek przeprowadzenia DPIA dla bardzo podobnych działań marketingowych.

Wreszcie można wskazać przykład wykorzystania nowych technologii, takich jak rozwiązania oparte na AI. Choć wytyczne EROD sugerują, że ich zastosowanie często powinno prowadzić do przeprowadzenia DPIA, to poziom „przełożenia” tej wskazówki na krajowe listy jest zróżnicowany – w części państw tego typu operacje są wyraźniej wyeksponowane, w innych pozostają ujęte jedynie pośrednio.

Zmiany w art. 35

Zmiana organu odpowiedzialnego za przygotowanie i zatwierdzenie listy operacji przetwarzania podlegających i niepodlegających DPIA

Według obecnego stanu prawnego proces publikacji wykazów operacji przetwarzania danych osobowych, do których zastosowanie ma art. 35 ust. 1 opierał się przede wszystkim o aktywność organów nadzorczych wchodzących w skład EROD. Organ nadzorczy przygotowywał propozycję takiego wykazu (uwzględniając wytyczne EROD z 2018 r. powoływane wyżej), a następnie

1. publikował wykaz⁷ i zawiadamiał o nim EROD

2. a w przypadku, gdy wykaz obejmował czynności przetwarzania związane z oferowaniem towarów lub usług osobom, których dane dotyczą lub z monitorowaniem ich zachowania w kilku państwach członkowskich lub mogące znacznie wpłynąć na swobodny przepływ danych osobowych w Unii, przed przyjęciem i publikacją takich wykazów kierował do zatwierdzenia przez EROD.

Proponowane przez KE we Wniosku z 19.11.2025 r. zmiany przewidują, że wykaz operacji przetwarzania danych osobowych podlegający albo niepodlegających DPIA przygotowuje EROD i wysyła wraz z wnioskiem o ich zatwierdzenie do KE, a następnie KE jest uprawniona do przyjęcia ich w drodze aktu wykonawczego zgodnie z procedurą sprawdzającą określoną w art. 93 ust. 2 RODO

Określenie wzoru i wspólnej metodyki przeprowadzania ocen skutków dla ochrony danych

Propozycje zmiany art. 35 ust. 6 przewidują obowiązek opracowania przez EROD wspólnego wzoru i wspólnej metodyki przeprowadzania ocen skutków dla ochrony danych. Wzory te są następnie przekazywane przy wniosku o ich przyjęcie do KE.

Terminy

Zmiany do art. 35 ust. 4-6 są uzupełnione o swego rodzaju przepisy intertemporalne i przejściowe.

Stosownie do treści art. 35 ust. 6a wnioski EROD do KE dotyczące przyjęcia:

• wykazów operacji przetwarzania danych osobowych wymagających oraz niewymagających przeprowadzenia DPIA;

• wspólnego wzoru dokumentu oceny skutków dla ochrony danych osobowych oraz

• wspólnej metodyki przeprowadzania ocen skutków dla ochrony danych

powinny być przekazane do KE w terminie dziewięciu miesięcy od rozpoczęcia stosowania rozporządzenia Digital Omnibus.

Istniejące obecnie wykazy operacji przetwarzania danych osobowych przyjęte na podstawie art. 35 ust. 4 i 5 zachowają ważność do czasu przyjęcia przez KE aktu wykonawczego zatwierdzającego wnioski przesłane mu przez EROD na podstawie zmienionych przepisów.

Należy ponadto dodać, że EROD będzie zobowiązana do dokonywania przeglądu przyjętych wykazów, wzoru oraz metodyki przeprowadzania DPIA co najmniej raz na trzy lata i składanie do KE ewentualnych wniosków o ich aktualizację (art. 35 ust. 6b).

Skutki proponowanych zmian

Standaryzacja wykazów, wzoru oraz metodyki DPIA

W praktyce niemal wszystkie organy nadzorcze w państwach EOG opracowały krajowe wykazy operacji wymagających DPIA na podstawie art. 35 ust. 4 RODO – co oznacza ok. 30 równolegle funkcjonujących reżimów regulacyjnych, dodatkowo zróżnicowanych w niektórych państwach o strukturze federalnej (jak Niemcy). Już na etapie wdrażania RODO EROD opiniowała projekty list przygotowanych przez co najmniej 22 państwa członkowskie, co dobrze pokazuje skalę i tempo tej fragmentacji.

Na poziomie unijnym podstawowe ramy metodologiczne DPIA zostały wypracowane już w wytycznych WP29 (WP248 rev.01), które określają minimalne elementy oceny, katalog kryteriów wysokiego ryzyka oraz ogólne podejście oparte na analizie ryzyka. W praktyce jednak przez wiele lat kluczową rolę odgrywały rozwiązania krajowe – w szczególności rozwinięta metodologia CNIL czy wzory publikowane przez brytyjski ICO. Dopiero w 2026 r. Europejska Rada Ochrony Danych zaproponowała pierwszy wspólny, unijny szablon DPIA, który ma szansę stać się punktem odniesienia dla wszystkich organów nadzorczych i administratorów w UE (na etapie pisania niniejszego artykułu prace nad projektem jeszcze się nie zakończyły). Warto zwrócić uwagę, że sam szablon DPIA opracowany przez EROD w 2026 r. nie powstał w próżni. W załączonym do niego dokumencie wyjaśniającym (Explainer) w aneksie nr 1 przedstawiono przegląd istniejących wytycznych i materiałów opracowanych przez krajowe organy nadzorcze w państwach członkowskich. Aneks ten nie ma charakteru normatywnego – stanowi raczej katalog rozwiązań funkcjonujących w praktyce, opartych w dużej mierze na wcześniejszych wytycznych grupy roboczej art. 29 (WP248).

Jednocześnie jego treść dobrze ilustruje stopień fragmentacji podejścia do DPIA w Unii – od rozbudowanych metodologii (jak we Francji), po brak jednolitych wytycznych w części państw. W tym sensie już sama konstrukcja aneksu potwierdza potrzebę dalszej harmonizacji, którą EROD próbuje osiągnąć poprzez wprowadzenie wspólnego szablonu DPIA.

Zmiany zaproponowane w art. 35 doprowadziłyby do standaryzacji podejścia przy realizacji obowiązku z art. 35 ust. 1, co zwiększyłoby pewność prawa i obniżyło koszt zapewnienia zgodności z przepisami RODO.

Konieczność zmian Polityk, metodyk, systemów informatycznych

Ujednolicenie DPIA nie oznacza zastąpienia istniejących metodologii, lecz ich „osadzenie” w jednolitych ramach strukturalnych. W praktyce doprowadzi to do częściowej standaryzacji dokumentacji, procesów decyzyjnych oraz narzędzi informatycznych wspierających zgodność z RODO. Szczególnie te ostatnie zmiany mogą być kosztowne dla ich twórców, co zapewne przełoży się na koszt udostępnienia tych usług, korzystających z nich administratorów.

Ograniczenie kompetencji organów nadzorczych

Proponowana zmiana art. 35 ust. 4 i 5 RODO prowadzi do istotnej rekonfiguracji kompetencji organów nadzorczych. W szczególności powstaje pytanie o dalszą rolę Prezesa UODO w zakresie publikacji wykazów operacji wymagających przeprowadzenia DPIA, skoro ich tworzenie miałoby zostać scentralizowane na poziomie unijnym. Obecnie kompetencja ta wynika zarówno bezpośrednio z RODO, jak i z przepisów krajowych (art. 53 ust. 1 pkt 1 i 2 u.od.o.).

W przypadku przyjęcia proponowanych zmian podstawowa norma materialna uległaby uchyleniu, co oznaczałoby konieczność dostosowania przepisów krajowych. Prezes UODO nie pełniłby już funkcji normotwórczej w tym zakresie, a jego rola sprowadzałaby się co najwyżej do publikacji informacji o wykazach przyjętych na poziomie UE lub ich interpretacji. Jednocześnie należy podkreślić, że akty wykonawcze Komisji Europejskiej obowiązują bezpośrednio i nie wymagają promulgacji w krajowym porządku prawnym, co dodatkowo podważa sens utrzymywania obecnego mechanizmu publikacji wykazów na poziomie krajowym.

Ocena proponowanych zmian przez EROD

Warto dodać na koniec, że EROD oraz EIOD ogólnie pozytywnie ocenia kierunek zmian w zakresie standaryzacji wykazu operacji przetwarzania danych osobowych pod kątem obowiązku opracowania DPIA oraz wspólnego wzoru metodyki i wspólnego wzoru dokumentu DPIA⁸

---

Przypisy:

¹ Poprzednie artykuły dotyczące zmian możecie znaleźć Państwo pod adresem https://auraco.pl/blog/ – zob. Omówienie cz. 1, Omówienie cz. 2, Omówienie cz. 3, Omówienie cz. 4.

² EROD, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” (WP248 rev.01).

³ CNIL, Liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise (aktualizowana lista operacji wymagających DPIA, m.in. w odniesieniu do monitoringu i danych pracowniczych)

⁴ Garante per la protezione dei dati personali, Elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati (lista włoska – obejmuje m.in. przetwarzanie danych pracowniczych i technologie monitorujące).

⁵ Prezes UODO, Wykaz rodzajów operacji przetwarzania wymagających oceny skutków dla ochrony danych (polska lista DPIA – przykład odmiennego ujęcia niektórych kategorii ryzyka).

⁶ j.w.

⁷ Zgodnie z Komunikatem Prezesa UODO z dnia 17 czerwca 2019 r. (M.P. 2019 poz. 666), przeprowadzenie oceny skutków dla ochrony danych (DPIA) jest obowiązkowe, jeśli operacja przetwarzania spełnia co najmniej dwa z kryteriów ryzyka. Urząd wskazał 12 kluczowych rodzajów operacji podlegających temu wymogowi https://uodo.gov.pl/file/1725 [dostęp 2.06.2026]

⁸ Cyfrowy zbiorczy akt prawny: EROD i EIOD wspierają uproszczenie i konkurencyjność, jednocześnie zgłaszając główne obawy | European Data Protection Board