Krótka odpowiedź
RODO nie wskazuje częstotliwości szkoleń — nie ma w nim przepisu, z którego wynikałoby „raz w roku” ani żaden inny interwał. Obowiązkiem administratora jest doprowadzenie do stanu, w którym osoby przetwarzające dane wiedzą, jak mają postępować w swoich procesach, i wykazanie tego stanu dowodami. Cykl roczny bywa rozsądnym punktem odniesienia dla całej organizacji, ale rzeczywisty rytm wyznaczają zmiany w procesach, rotacja pracowników, wnioski z incydentów i wyniki testów. Inaczej jest w reżimie cyberbezpieczeństwa: znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC) wskazuje częstotliwość szkolenia kierownika podmiotu wprost.
Dlaczego to pytanie w ogóle powstaje
Pytanie o częstotliwość pojawia się zwykle w dwóch momentach: kiedy organizacja buduje harmonogram szkoleń na kolejny rok i potrzebuje wpisać do niego liczbę, oraz kiedy audytor lub organ pyta, kiedy odbyło się ostatnie szkolenie i kogo objęło. W obu przypadkach oczekiwana jest jedna liczba, a przepisy jej nie zawierają.
Źródłem wątpliwości jest konstrukcja samego RODO. Rozporządzenie nie nakłada obowiązku szkolenia jako celu samego w sobie — buduje wymagania wokół rezultatu. Administrator ma wdrożyć środki techniczne i organizacyjne odpowiednie do ryzyka i móc to wykazać (art. 24 ust. 1), zapewnić, by osoby działające z jego upoważnienia przetwarzały dane wyłącznie na jego polecenie (art. 29 i art. 32 ust. 4), oraz regularnie testować, mierzyć i oceniać skuteczność tych środków (art. 32 ust. 1 lit. d). Szkolenie jest jednym z narzędzi, którymi te wymagania się realizuje, a nie odrębnym obowiązkiem z własnym terminem.
Ta różnica ma praktyczne następstwo. Organizacja, która pyta „czy wystarczy raz w roku”, pyta o coś, czego nie da się rozstrzygnąć w oderwaniu od jej procesów. Organizacja, która pyta „co musi się wydarzyć, żebyśmy zdążyli przeszkolić ludzi przed zmianą”, zadaje pytanie, na które odpowiedź istnieje.
Warto oddzielić szkolenie od zabezpieczenia technicznego. Wojewódzki Sąd Administracyjny w Warszawie w sprawie omawianej przez UODO uznał, że ograniczenie się przez administratora wyłącznie do szkoleń, z pominięciem zabezpieczeń technicznych, nie jest wdrożeniem odpowiednich środków. Szkolenie zmienia to, jak ludzie postępują — nie zastępuje szyfrowania, kontroli dostępu ani procedur.
Co trzeba ustalić przed decyzją
Kogo faktycznie szkolimy
„Wszyscy pracownicy” to kategoria, która najczęściej rozmywa program szkolenia i sprawia, że nikt nie dostaje treści przydatnej w swojej pracy. Punktem wyjścia jest podział na grupy, które przetwarzają dane w różny sposób i ponoszą różne ryzyko: osoby nowo zatrudnione i zmieniające stanowisko, właściciele procesów, zespoły o wysokiej ekspozycji (HR, obsługa klienta, sprzedaż, marketing, rekrutacja), działy IT i bezpieczeństwa, kadra kierownicza oraz inspektor ochrony danych.
Ten podział rozstrzyga o częstotliwości bardziej niż kalendarz. Zespół, w którym w ciągu roku wymienia się jedna trzecia składu, potrzebuje szkolenia wdrożeniowego działającego na bieżąco, a nie jednego wydarzenia w listopadzie.
Co zmieniło się od ostatniego szkolenia
Cykl szkoleniowy powinien reagować na zmiany, które realnie zmieniają sposób przetwarzania danych. W praktyce chodzi o cztery rodzaje zdarzeń: uruchomienie lub istotną przebudowę procesu przetwarzania, wdrożenie nowego systemu albo zmianę dostawcy mającego dostęp do danych, zmianę stanu prawnego lub stanowiska organu wpływającą na obowiązki organizacji oraz zmianę organizacyjną — nową strukturę, przejęcie, centralizację obsługi.
Jeżeli w danym roku żadne z tych zdarzeń nie wystąpiło, powtórzenie tego samego szkolenia „bo minął rok” daje dowód uczestnictwa, ale niewiele zmienia w zachowaniach. Jeżeli wystąpiły trzy, roczny harmonogram jest już nieaktualny w chwili zatwierdzenia.
Co mówią incydenty i zgłoszenia
Najbardziej wiarygodnym wskaźnikiem potrzeb szkoleniowych są zdarzenia, które w organizacji rzeczywiście występują. Błędne adresowanie korespondencji, wysyłka do wielu odbiorców w polu „do wiadomości”, przekazanie dokumentów niewłaściwej osobie, otwarcie załącznika z wiadomości phishingowej, korzystanie z prywatnych narzędzi do przetwarzania danych służbowych — każde z nich wskazuje konkretną grupę i konkretny temat.
W praktyce warto powiązać rejestr naruszeń i wewnętrznych zgłoszeń z planem szkoleń jako stałe wejście, a nie jako doraźną reakcję po głośniejszym zdarzeniu. Jeżeli organizacja dopiero porządkuje sam proces rozpoznawania i oceny takich zdarzeń, ocena incydentów i naruszeń jest krokiem wcześniejszym niż planowanie szkoleń.
Czym mierzymy skuteczność
Artykuł 32 ust. 1 lit. d RODO wymaga regularnego testowania, mierzenia i oceniania skuteczności środków. Skoro szkolenie jest środkiem organizacyjnym, ten wymóg dotyczy również jego. Organizacje stosują w tym celu testy wiedzy po szkoleniu, kontrolowane symulacje phishingu, przegląd zgłoszeń podejrzanych wiadomości, analizę powtarzalności tych samych błędów w kolejnych okresach oraz krótkie sprawdzenia w ramach audytu wewnętrznego.
Wynik pomiaru jest tym, co uzasadnia zmianę częstotliwości. Grupa, która w teście powtarza ten sam błąd, potrzebuje krótszego cyklu i innej formy zajęć — nie kolejnej prezentacji o zasadach ogólnych.
Czym wykażemy, że szkolenie się odbyło
Zasada rozliczalności (art. 5 ust. 2) przenosi ciężar dowodu na administratora. W praktyce oznacza to, że wartość dowodową ma zestaw: zakres i program zajęć, lista uczestników z datą, materiały przekazane uczestnikom, wynik testu lub innej formy weryfikacji oraz powiązanie szkolenia z upoważnieniami do przetwarzania danych. Sama lista obecności pokazuje, że ludzie byli — nie pokazuje, czego ich nauczono.
Widać to w praktyce nadzorczej. W decyzji DKN.5131.34.2023 z 13 czerwca 2026 r. Prezes UODO ustalił, że administrator przeprowadził szkolenia dla pracowników dopiero po naruszeniu, a przedłożone raporty ze szkoleń pochodziły z okresu następującego po incydencie. Dowód powstały po zdarzeniu nie zastępuje dowodu z okresu, którego dotyczy postępowanie.
Jakie inne reżimy obejmują tę samą organizację
Część organizacji podlega jednocześnie RODO i przepisom o cyberbezpieczeństwie, a te drugie traktują częstotliwość inaczej. Znowelizowana ustawa o KSC przewiduje, że kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzi szkolenie raz w roku kalendarzowym (art. 8e), a udział w szkoleniu podlega udokumentowaniu. Ministerstwo Cyfryzacji wskazuje obowiązek szkoleniowy kierownika jako jedną ze zmian wprowadzanych nowelizacją. Dla personelu ustawa nie podaje interwału — wymaga zapewnienia wiedzy o cyberzagrożeniach i zasadach cyberhigieny w ramach systemu zarządzania bezpieczeństwem informacji.
Dobrowolnym punktem odniesienia pozostaje norma ISO/IEC 27001:2022, która w załączniku A przewiduje zabezpieczenie 6.3 dotyczące świadomości, edukacji i szkoleń z zakresu bezpieczeństwa informacji. Stosowanie normy nie jest obowiązkiem prawnym, ale organizacje certyfikowane muszą liczyć się z pytaniem audytora o cykl i skuteczność.
W praktyce oznacza to jedno: organizacja objęta oboma reżimami nie potrzebuje dwóch niezależnych programów szkoleniowych, tylko jednego planu, w którym twardy termin z KSC wyznacza rytm dla ról kierowniczych, a kryteria z RODO — zakres dla pozostałych grup.
Warianty według ról
Poniższe zestawienie jest oceną praktyczną opartą na typowym układzie organizacyjnym średniej i dużej organizacji. Nie wynika z przepisu i wymaga skonfrontowania z ryzykiem konkretnych procesów.
| Grupa | Co uruchamia szkolenie | Rytm stosowany w praktyce | Czym wykazać |
|---|---|---|---|
| Nowo zatrudnieni i zmieniający stanowisko | Nadanie dostępu do danych, zmiana zakresu obowiązków | Przed dopuszczeniem do przetwarzania, nie w cyklu rocznym | Powiązanie szkolenia z upoważnieniem i datą nadania dostępu |
| Zespoły o wysokiej ekspozycji (HR, obsługa klienta, sprzedaż) | Zmiana procesu, powtarzalne błędy, wnioski z incydentów | Krótsze formy częściej niż raz w roku, dopasowane do procesu | Program tematyczny, wyniki testów, zestawienie zgłoszeń |
| Właściciele procesów | Uruchomienie procesu, DPIA, zmiana dostawcy | Przy zmianie oraz okresowo | Notatka z warsztatu, decyzje procesowe, ślad w dokumentacji procesu |
| Działy IT i bezpieczeństwa | Zmiana architektury, nowe zagrożenia, wnioski powłamaniowe | Ciągłe podnoszenie kompetencji, niezależnie od cyklu ogólnego | Plan rozwoju kompetencji, certyfikaty, ćwiczenia |
| Kadra kierownicza | Odpowiedzialność zarządcza, obowiązki z KSC | Wymóg ustawowy przy KSC — raz w roku kalendarzowym; przy RODO ustalany przez organizację | Zaświadczenie, program, dokumentacja udziału |
| Inspektor ochrony danych | Zmiany prawne, wytyczne organów, praktyka nadzorcza | Stałe aktualizowanie wiedzy | Udział w szkoleniach i konferencjach, zapewnione zasoby |
Wytyczne dotyczące inspektorów ochrony danych (WP243 rew.01), zatwierdzone przez Europejską Radę Ochrony Danych, wskazują ciągłe szkolenie jako zasób, który administrator powinien zapewnić inspektorowi. To wymaganie dotyczy roli IOD, nie personelu — jeżeli organizacja rozważa również sposób obsadzenia tej funkcji, właściwym punktem wyjścia jest wsparcie zewnętrznego IOD/DPO.
Najczęstsze błędy
- Traktowanie rocznego cyklu jako obowiązku prawnego. Roczny interwał jest praktyką organizacyjną. Powoływanie się na niego jako na wymóg RODO wprowadza w błąd zarząd i utrudnia obronę stanowiska w razie kontroli.
- Jedno szkolenie dla wszystkich ról. Materiał wystarczająco ogólny, żeby pasował do każdego działu, zwykle nie zmienia zachowania w żadnym z nich.
- Zatrzymanie się na liście obecności. Dowód uczestnictwa bez zakresu, materiałów i weryfikacji wiedzy pokazuje, że szkolenie się odbyło, ale nie to, czego dotyczyło.
- Szkolenie jako jedyna odpowiedź na incydent. Po naruszeniu wynikającym z błędu człowieka szkolenie jest jednym z działań naprawczych, a nie zamiennikiem zmiany procesu lub zabezpieczenia technicznego.
- Brak powiązania z rejestrem czynności i upoważnieniami. Bez tego powiązania nie da się wykazać, że osoby przetwarzające dane w konkretnym procesie zostały przeszkolone w jego zakresie.
Wnioski i dalsze kroki
Pytanie „jak często” prowadzi do harmonogramu, który starzeje się szybciej niż organizacja. Praktyczniej jest ustalić dwie rzeczy naraz: minimalny rytm bazowy, który utrzymuje świadomość w całej organizacji, oraz listę zdarzeń, które uruchamiają szkolenie poza harmonogramem. Pierwsza część daje przewidywalność, druga — reakcję na zmianę.
Kolejność działań, która sprawdza się przy porządkowaniu tego obszaru:
- Zmapuj grupy odbiorców według procesów i ryzyka, zamiast według struktury organizacyjnej.
- Nazwij wyzwalacze szkolenia poza cyklem: nowy proces, nowy system lub dostawca, zmiana prawna, zmiana organizacyjna, wniosek z incydentu.
- Ustal rytm bazowy dla każdej grupy i zapisz jego uzasadnienie — to uzasadnienie, a nie sama data, jest treścią rozliczalności.
- Wybierz metodę pomiaru skuteczności dla każdej grupy i ustal, jaki wynik uruchamia korektę cyklu.
- Powiąż dokumentację szkoleń z upoważnieniami do przetwarzania i z rejestrem czynności.
- Jeżeli organizacja podlega KSC, wpisz do planu termin ustawowy dla kierownictwa i traktuj go jako punkt stały, wokół którego układasz resztę.
Po przejściu tej sekwencji odpowiedź na pytanie z tytułu przestaje być liczbą, a staje się zasadą, którą organizacja potrafi uzasadnić i wykazać.
Materiały powiązane
- Jak ustalić, czy organizacja musi wyznaczyć IOD? — kto w organizacji odpowiada za działania zwiększające świadomość i szkolenia personelu.
- Czy każde naruszenie ochrony danych trzeba zgłosić? — jak oceniać zdarzenia, których wnioski powinny trafiać do planu szkoleń.
Źródła
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), tekst skonsolidowany — EUR-Lex: eur-lex.europa.eu (dostęp: 17.08.2026)
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 17.08.2026)
- Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa — Ministerstwo Cyfryzacji, Portal Gov.pl, publikacja 14.04.2026: gov.pl (dostęp: 17.08.2026)
- Obowiązki administratorów związane z naruszeniami ochrony danych osobowych, wersja 1.0 (czerwiec 2019) — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
- WSA: pracownik nie może zastępować administratora w realizacji jego obowiązków, komunikat z 11.04.2022 — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
- Decyzja Prezesa UODO DKN.5131.34.2023 z 13 czerwca 2026 r. (nieprawomocna) — baza orzeczeń UODO: orzeczenia.uodo.gov.pl (dostęp: 17.08.2026)
- Wytyczne dotyczące inspektorów ochrony danych (WP243 rew.01), zatwierdzone przez Europejską Radę Ochrony Danych, tłumaczenie na stronie UODO: uodo.gov.pl (dostęp: 17.08.2026)
- ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements: iso.org (dostęp: 17.08.2026)
Ustalmy, jak powinien wyglądać cykl szkoleń w Twojej organizacji
Jeżeli program szkoleń w Twojej organizacji opiera się dziś na jednym wydarzeniu w roku, pierwszym sensownym krokiem jest ustalenie grup odbiorców, wyzwalaczy i sposobu wykazania efektu. Szkolenia i warsztaty dopasowane do ról i procesów zaczynają się od tej diagnozy.
Materiał ma charakter ogólny i edukacyjny. Nie stanowi indywidualnej opinii prawnej ani rekomendacji dla konkretnej organizacji. Zakres obowiązków należy ocenić z uwzględnieniem jej sytuacji.
Stan prawny: sierpień 2026.