Audyt zgodności z RODO: checklista dla firm w 2026

Kogo dotyczy RODO i kto kontroluje

RODO, czyli rozporządzenie (UE) 2016/679, stosuje się bezpośrednio do każdego podmiotu, który przetwarza dane osobowe, niezależnie od wielkości. Jednoosobowa działalność prowadząca sklep internetowy, biuro rachunkowe z kilkoma pracownikami i spółka produkcyjna zatrudniająca kilkaset osób mają te same podstawowe obowiązki. W Polsce rozporządzenie uzupełnia ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, która reguluje m.in. zasady wyznaczania inspektora ochrony danych, postępowanie przed organem nadzorczym i odpowiedzialność.

Organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (UODO). Postępowania wszczynane są najczęściej na skutek skargi osoby, której dane dotyczą, albo po zgłoszeniu naruszenia ochrony danych, ale UODO prowadzi też kontrole planowe, zapowiadane w sektorowych planach kontroli. Administracyjne kary pieniężne mogą sięgać 20 mln euro lub 4 proc. rocznego światowego obrotu, a ich wysokość organ ustala indywidualnie, biorąc pod uwagę m.in. charakter naruszenia, jego czas trwania i współpracę administratora.

Rejestr czynności, podstawy prawne i obowiązek informacyjny

Pierwszym punktem audytu jest rejestr czynności przetwarzania z art. 30 RODO. Powinien opisywać cele przetwarzania, kategorie osób i danych, odbiorców, przekazania do państw trzecich, planowane terminy usunięcia danych oraz ogólny opis środków bezpieczeństwa. Zwolnienie dla firm zatrudniających mniej niż 250 osób ma bardzo wąski zakres: nie obejmuje przetwarzania, które nie ma charakteru sporadycznego. Kadry, płace i obsługa klientów zawsze są przetwarzaniem stałym, dlatego w praktyce rejestr powinna mieć każda firma. To zwykle pierwszy dokument, o który prosi UODO.

Drugim punktem są podstawy prawne z art. 6 (a dla danych szczególnych kategorii także z art. 9). Dla każdej czynności trzeba wskazać jedną właściwą podstawę: zgodę, umowę, obowiązek prawny, żywotne interesy, zadanie publiczne lub prawnie uzasadniony interes. Częstym błędem jest zbieranie zgód tam, gdzie przetwarzanie wynika z umowy lub przepisów prawa pracy. Jeżeli podstawą jest prawnie uzasadniony interes, warto udokumentować test równowagi interesów.

Trzecim punktem jest obowiązek informacyjny z art. 13 i 14. Osoba musi wiedzieć, kto jest administratorem, w jakim celu i na jakiej podstawie przetwarza dane, komu je przekazuje, jak długo je przechowuje i jakie ma prawa. Klauzule dotyczą nie tylko strony internetowej, ale też rekrutacji, pracowników, kontrahentów, monitoringu wizyjnego i formularzy papierowych.

Inspektor ochrony danych i ocena skutków (DPIA)

Kolejny punkt to inspektor ochrony danych (IOD). Zgodnie z art. 37 RODO jego wyznaczenie jest obowiązkowe dla organów i podmiotów publicznych, a w sektorze prywatnym wtedy, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę danych szczególnych kategorii lub danych dotyczących wyroków skazujących. Polska ustawa nie wprowadza progu liczby pracowników. Po wyznaczeniu IOD administrator ma 14 dni na zawiadomienie Prezesa UODO, a dane kontaktowe inspektora należy opublikować, na przykład na stronie internetowej. Firma, która wyznacza IOD dobrowolnie, podlega tym samym zasadom.

Następny punkt to ocena skutków dla ochrony danych, czyli DPIA z art. 35. Jest wymagana, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw lub wolności osób, na przykład przy profilowaniu, monitorowaniu pracowników, przetwarzaniu danych biometrycznych czy danych o lokalizacji. Prezes UODO opublikował wykaz rodzajów operacji przetwarzania, które wymagają oceny skutków. Przed wdrożeniem nowego systemu, na przykład kontroli dostępu z użyciem biometrii lub narzędzia analitycznego opartego na AI, warto sprawdzić ten wykaz i udokumentować decyzję, także wtedy, gdy uznamy, że DPIA nie jest potrzebna.

Umowy powierzenia, naruszenia i prawa osób

Audyt powinien objąć wszystkie podmioty przetwarzające z art. 28: biuro rachunkowe, dostawców chmury, hostingu, systemów CRM i HR, firmę IT czy agencję marketingową. Z każdym z nich trzeba mieć umowę powierzenia zawierającą elementy wymagane przez art. 28 ust. 3, w tym przedmiot i czas przetwarzania, obowiązek zachowania poufności, zasady korzystania z dalszych podmiotów przetwarzających oraz sposób postępowania z danymi po zakończeniu współpracy. Administrator powinien też móc wykazać, że sprawdził, czy dostawca zapewnia odpowiednie zabezpieczenia.

Naruszenia ochrony danych trzeba zgłaszać do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem dla osób. Przy wysokim ryzyku należy dodatkowo zawiadomić osoby, których dane dotyczą. Każde naruszenie, także niezgłoszone, trzeba odnotować w wewnętrznym rejestrze naruszeń. Sprawdź, czy firma ma procedurę z przypisanymi rolami i kryteriami oceny ryzyka, bo bez niej termin 72 godzin łatwo przekroczyć.

Prawa osób z art. 15 do 22, czyli dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie danych i sprzeciw, wymagają odpowiedzi w terminie miesiąca, który można przedłużyć tylko w uzasadnionych przypadkach. Wiele skarg do UODO dotyczy właśnie żądań, na które firma nie odpowiedziała. Potrzebny jest jasny kanał kontaktu, sposób weryfikacji tożsamości i wiedza, w których systemach znajdują się dane danej osoby.

Transfery do państw trzecich, bezpieczeństwo i rozliczalność

Transfer danych poza Europejski Obszar Gospodarczy wymaga podstawy z rozdziału V RODO: decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, w przypadku dostawców z USA na przykład certyfikacji w ramach EU-US Data Privacy Framework, albo standardowych klauzul umownych wraz z oceną skutków transferu. W trakcie audytu trzeba ustalić, którzy dostawcy przechowują dane lub mają do nich dostęp spoza EOG i na jakiej podstawie.

Środki bezpieczeństwa z art. 32 muszą być dostosowane do ryzyka. RODO nie zawiera zamkniętej listy, ale wymienia m.in. szyfrowanie, pseudonimizację, zdolność do zapewnienia poufności, integralności i dostępności, szybkie przywrócenie dostępu do danych po incydencie oraz regularne testowanie skuteczności zabezpieczeń. Po naruszeniu UODO pyta, jakie zabezpieczenia stosowano i czy analiza ryzyka je uzasadniała. Brak szyfrowania laptopów, brak uwierzytelniania wieloskładnikowego czy nietestowane kopie zapasowe trudno potem obronić.

Ostatni punkt to zasada rozliczalności z art. 5 ust. 2 i art. 24. Administrator musi umieć wykazać przestrzeganie wszystkich zasad: aktualną politykę ochrony danych, upoważnienia do przetwarzania danych, szkolenia z potwierdzeniem udziału, analizę ryzyka, harmonogram usuwania danych i przeglądy dokumentacji. W praktyce to, czego nie da się udokumentować, organ traktuje jak coś, czego nie było.

Najczęstsze luki wykrywane podczas audytu

W małych i średnich firmach problemy rzadko wynikają ze złej woli. Zwykle to kwestia organizacji i dokumentacji, która nie nadąża za zmianami. Te ustalenia pojawiają się najczęściej:

• Rejestr czynności skopiowany z wzoru, który nie odpowiada rzeczywistym systemom i procesom.
• Brak umów powierzenia z biurem rachunkowym, dostawcą oprogramowania lub agencją marketingową.
• Wysyłka e-maili do wielu odbiorców z widocznymi adresami zamiast ukrytej kopii.
• Monitoring wizyjny bez oznaczeń i bez określonego okresu przechowywania nagrań.
• Dane kandydatów przechowywane latami po zakończeniu rekrutacji.
• Brak rejestru naruszeń i brak osoby odpowiedzialnej za żądania osób.

Jak przeprowadzić audyt RODO w praktyce

Zacznij od inwentaryzacji: jakie dane firma przetwarza, w jakich systemach, w jakich celach i kto ma do nich dostęp. Na tej podstawie zaktualizuj rejestr czynności, a potem przejdź przez pozostałe punkty: podstawy prawne, klauzule informacyjne, umowy powierzenia, transfery, zabezpieczenia i procedury. Wyniki zapisz w formie listy działań z właścicielami i terminami. Priorytet powinny mieć procedury, które muszą działać pod presją czasu, czyli obsługa naruszeń i żądań osób.

Audyt warto powtarzać przynajmniej raz w roku oraz przy każdej większej zmianie, na przykład wdrożeniu nowego systemu, zmianie dostawcy lub wejściu na nowy rynek. Darmowa samoocena na baltum.ai pokazuje w kilka minut, które obszary RODO są w firmie uporządkowane, a które wymagają działań w pierwszej kolejności.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. baltum.ai to niezależne oprogramowanie, a nie jednostka certyfikująca.