Audyt RODO krok po kroku: co sprawdzić przed audytorem i kontrolą UODO
Audyt RODO krok po kroku: 12 obszarów z przepisami, dowodami i planem naprawczym oraz to, co ustawa mówi o przebiegu kontroli UODO.
Zespół ZeroLayer 12 min czytania
Audyt RODO to przegląd, w którym organizacja sprawdza, czy przetwarza dane osobowe zgodnie z rozporządzeniem i czy umie to wykazać dokumentami. Rozporządzenie nie nakłada wprost obowiązku „audytu”, ale bez okresowego przeglądu trudno spełnić zasadę rozliczalności. Poniżej rozkładamy przegląd na 12 obszarów, każdy z przepisem, pytaniami kontrolnymi i dowodem, oraz opisujemy, co ustawa o ochronie danych osobowych mówi o przebiegu kontroli UODO.
- 72 godziny
- od stwierdzenia naruszenia na zgłoszenie do organu nadzorczego, w miarę możliwości
- Art. 33 ust. 1 RODO
- 1 miesiąc
- na odpowiedź na żądanie osoby, z możliwością przedłużenia o kolejne 2 miesiące
- Art. 12 ust. 3 RODO
- 30 dni
- maksymalny czas kontroli UODO liczony od okazania upoważnienia
- Art. 89 ust. 1 ustawy o ochronie danych osobowych
- 20 mln EUR / 4%
- górna granica kary za naruszenie zasad, praw osób i reguł przekazywania danych
- Art. 83 ust. 5 RODO
Czy RODO wymaga audytu?
Wprost nie, pośrednio tak. RODO nie zawiera przepisu o corocznym audycie, ale zawiera trzy obowiązki, których bez okresowego przeglądu nie da się wykonać:
- Rozliczalność (art. 5 ust. 2). Administrator odpowiada za przestrzeganie zasad z art. 5 ust. 1 i „musi być w stanie wykazać ich przestrzeganie”.
- Przegląd środków (art. 24 ust. 1). Środki techniczne i organizacyjne „są w razie potrzeby poddawane przeglądom i uaktualniane”.
- Testowanie zabezpieczeń (art. 32 ust. 1 lit. d). Wśród środków bezpieczeństwa rozporządzenie wymienia regularne testowanie, mierzenie i ocenianie ich skuteczności.
Częstotliwości RODO nie podaje. Rozsądnie jest robić pełny przegląd raz w roku i dodatkowo po dużej zmianie, np. wdrożeniu nowego systemu lub poważnym naruszeniu.
Audyt RODO to inny obowiązek niż audyt bezpieczeństwa systemu informacyjnego, który ustawa o krajowym systemie cyberbezpieczeństwa nakłada na podmioty kluczowe; ten drugi opisujemy w tekście jak wygląda audyt cyberbezpieczeństwa.
Jak przeprowadzić audyt RODO: przygotowanie
Przed pierwszym pytaniem potrzebne są trzy decyzje.
- Zakres. Spisz, które procesy, jednostki i systemy obejmuje przegląd. Pierwszy audyt najlepiej obejmuje całą organizację, kolejne mogą skupiać się na obszarach z lukami.
- Zespół. Potrzebni są ludzie, którzy znają procesy: kadry, marketing, IT, obsługa klienta, zakupy. Jeśli organizacja ma inspektora ochrony danych, monitorowanie przestrzegania przepisów i „powiązane z tym audyty” należą do jego zadań (art. 39 ust. 1 lit. b).
- Zasada dowodu. Każda odpowiedź „tak” musi mieć dowód: dokument, rekord w systemie, zrzut konfiguracji, wpis w rejestrze. Odpowiedź bez dowodu zapisuj jako „częściowo”. Tak samo potraktuje ją kontrolujący, który ustala stan faktyczny na podstawie dokumentów, oględzin i wyjaśnień (art. 87 ustawy o ochronie danych osobowych).
Lista kontrolna: 12 obszarów audytu RODO
Kolejność jest celowa: najpierw ustalasz, jakie dane i gdzie przetwarzasz, potem podstawy i obowiązki wobec osób, na końcu dostawców i bezpieczeństwo.
1. Inwentaryzacja procesów i rejestr czynności przetwarzania
Punktem wyjścia jest lista procesów z danymi osobowymi, czyli rejestr czynności przetwarzania z art. 30. Zwolnienie dla podmiotów zatrudniających mniej niż 250 osób (art. 30 ust. 5) jest wąskie: nie obejmuje m.in. przetwarzania, które nie ma charakteru sporadycznego. Rejestr udostępnia się na żądanie organu nadzorczego (art. 30 ust. 4), więc powinien być gotowy do okazania od ręki. Jego zawartość opisujemy w poradniku o rejestrze czynności przetwarzania. W audycie sprawdzasz trzy rzeczy: czy rejestr istnieje, czy obejmuje wszystkie procesy, które zespół wymienił w rozmowach, i kiedy był ostatnio aktualizowany.
2–4. Podstawy prawne, obowiązek informacyjny, prawa osób
| Obszar | Przepis | Co sprawdzić | Jaki dowód |
|---|---|---|---|
| Podstawy prawne | Art. 6 ust. 1, art. 9 ust. 2 | Czy każdy proces z rejestru ma wskazaną jedną podstawę z art. 6 ust. 1; czy dane szczególnych kategorii (np. o zdrowiu) mają dodatkowo przesłankę z art. 9 ust. 2 | Kolumna z podstawą w rejestrze; przy uzasadnionym interesie notatka z ważeniem interesów |
| Zgody | Art. 7 ust. 1 | Czy przy przetwarzaniu na podstawie zgody da się wykazać, kto, kiedy i na co się zgodził | Rekordy zgód z datą i treścią formularza |
| Obowiązek informacyjny | Art. 13, art. 14 | Czy w każdym kanale zbierania danych (formularz www, rekrutacja, umowa, monitoring) osoba dostaje informacje w chwili pozyskania danych; przy danych z innych źródeł czy dostaje je w terminie z art. 14 ust. 3 (najpóźniej w ciągu miesiąca) | Aktualne klauzule z datą wersji, zrzuty formularzy |
| Prawa osób | Art. 15–22, art. 12 ust. 3 | Czy jest procedura obsługi żądań dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu; czy odpowiedzi mieszczą się w miesiącu, a przedłużenie jest zakomunikowane w tym miesiącu z podaniem przyczyn | Procedura, rejestr żądań z datami wpływu i odpowiedzi |
Sama procedura obsługi żądań nie wystarczy. Bez ewidencji żądań organizacja nie wykaże dotrzymania terminu z art. 12 ust. 3, nawet gdy w praktyce odpowiada szybko.
5–7. Podmioty przetwarzające, inspektor ochrony danych, przekazywanie poza EOG
| Obszar | Przepis | Co sprawdzić | Jaki dowód |
|---|---|---|---|
| Umowy powierzenia | Art. 28 ust. 1–3 | Czy każdy dostawca przetwarzający dane w Twoim imieniu (chmura, księgowość, hosting, CRM) został sprawdzony pod kątem „wystarczających gwarancji”, ma umowę z elementami z art. 28 ust. 3 lit. a–h, w tym prawem do audytów i inspekcji (lit. h), i korzysta z podwykonawców tylko za pisemną zgodą | Lista dostawców powiązana z rejestrem, podpisane umowy, notatki z oceny dostawców |
| Inspektor ochrony danych | Art. 37–39; art. 8–10 ustawy o ochronie danych osobowych | Czy organizacja ma obowiązek wyznaczenia inspektora; jeśli tak, czy go wyznaczyła, zawiadomiła Prezesa UODO w ciągu 14 dni (art. 10 ust. 1 ustawy) i czy inspektor podlega bezpośrednio najwyższemu kierownictwu (art. 38 ust. 3) | Akt wyznaczenia, potwierdzenie zawiadomienia, schemat organizacyjny |
| Przekazywanie poza EOG | Art. 44–49 (rozdział V) | Czy dane trafiają do państw trzecich, np. przez usługi chmurowe; na jakiej podstawie: decyzja stwierdzająca odpowiedni stopień ochrony (art. 45), standardowe klauzule (art. 46 ust. 2 lit. c), wiążące reguły korporacyjne (art. 47) | Mapa lokalizacji danych u dostawców, klauzule w umowach |
Kiedy inspektor jest obowiązkowy? Art. 37 ust. 1 wymienia trzy sytuacje: przetwarzania dokonuje organ lub podmiot publiczny, główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę danych szczególnych kategorii lub danych o wyrokach skazujących. W Polsce podmiotami publicznymi w rozumieniu tego przepisu są jednostki sektora finansów publicznych, instytuty badawcze i NBP (art. 9 ustawy o ochronie danych osobowych). Jeśli organizacja uznała, że inspektora nie potrzebuje, zapisz uzasadnienie.
Przy incydencie u dostawcy podmiot przetwarzający zgłasza naruszenie administratorowi (art. 33 ust. 2), a zgłoszenie do UODO należy do administratora. Ten scenariusz rozbieramy w tekście o naruszeniu ochrony danych u dostawcy.
8–12. Bezpieczeństwo, naruszenia, DPIA, privacy by design, retencja
| Obszar | Przepis | Co sprawdzić | Jaki dowód |
|---|---|---|---|
| Bezpieczeństwo przetwarzania | Art. 32 ust. 1 i 2 | Czy dobór zabezpieczeń wynika z oceny ryzyka; czy są szyfrowanie lub pseudonimizacja tam, gdzie to zasadne (lit. a), kopie zapasowe i zdolność przywrócenia danych (lit. c), regularne testy (lit. d) | Analiza ryzyka, polityka bezpieczeństwa, raporty z testów odtwarzania i testów bezpieczeństwa |
| Naruszenia | Art. 33 ust. 1 i 5, art. 34 ust. 1 | Czy jest procedura, która pozwala ocenić ryzyko i zgłosić naruszenie w 72 godziny; czy jest wewnętrzny rejestr wszystkich naruszeń, także niezgłoszonych; czy procedura określa, kiedy zawiadamia się osoby (wysokie ryzyko) | Procedura, rejestr naruszeń z opisem okoliczności, skutków i działań zaradczych |
| Ocena skutków (DPIA) | Art. 35 ust. 1 i 3 | Czy któryś proces wymaga oceny skutków i czy ją wykonano przed rozpoczęciem przetwarzania | Dokument DPIA lub notatka, dlaczego nie była wymagana |
| Privacy by design i by default | Art. 25 ust. 1 i 2 | Czy przy wdrażaniu nowych systemów i formularzy ktoś sprawdza minimalizację danych; czy ustawienia domyślne nie udostępniają danych szerzej, niż trzeba | Checklista dla projektów, protokoły odbioru wdrożeń |
| Retencja | Art. 5 ust. 1 lit. e, art. 13 ust. 2 lit. a | Czy każdy proces ma określony okres przechowywania lub kryteria jego ustalenia i czy dane są po nim faktycznie usuwane | Harmonogram retencji, kolumna „terminy usunięcia” w rejestrze (art. 30 ust. 1 lit. f), logi usuwania |
Art. 32 nie podaje listy obowiązkowych zabezpieczeń. Każe dobrać je do ryzyka, a w ocenie uwzględnić szczególnie zniszczenie, utratę, modyfikację, nieuprawnione ujawnienie danych i nieuprawniony dostęp do nich (art. 32 ust. 2). Dlatego w audycie najpierw pytasz o ocenę ryzyka, a dopiero potem o konkretne zabezpieczenia. Jak taką ocenę zbudować i zapisać, pokazujemy w artykule o macierzy ryzyka i rejestrze ryzyk. Zdolność szybkiego przywrócenia dostępności danych z lit. c łączy się z planowaniem ciągłości działania, które opisujemy w tekście o planie ciągłości działania BCP i DRP.
Przy naruszeniach łatwo pomylić dwa obowiązki. Zgłoszenie do UODO dotyczy naruszeń, przy których ryzyko dla osób nie jest mało prawdopodobne (art. 33 ust. 1). Dokumentowanie dotyczy wszystkich naruszeń, w tym okoliczności, skutków i podjętych działań (art. 33 ust. 5). Pusty rejestr naruszeń warto zweryfikować w rozmowach z zespołem. Jeśli nikt nie wie, że e-mail z danymi wysłany do złego adresata należy wpisać do rejestru, rejestr nie pokazuje rzeczywistego obrazu.
DPIA sprawdzasz jednym pytaniem: czy któryś proces wpada w art. 35 ust. 3 (m.in. dane szczególnych kategorii na dużą skalę, systematyczne monitorowanie miejsc publicznych na dużą skalę) albo w wykaz rodzajów operacji opublikowany przez Prezesa UODO na podstawie art. 35 ust. 4 (komunikat z 17 czerwca 2019 r., M.P. 2019 poz. 666). Jeśli tak, ocena skutków powinna istnieć i powstać przed uruchomieniem przetwarzania.
Jak zapisać wynik audytu: lista luk i plan naprawczy
Wynikiem audytu RODO jest lista luk. Każda luka powinna mieć pięć pól: opis, przepis, priorytet, właściciela i termin. Priorytet ustalaj według dwóch kryteriów: jak duże ryzyko dla osób tworzy luka i ile pracy wymaga jej zamknięcie. Luki o wysokim ryzyku i małym nakładzie, np. brak umowy powierzenia z jednym dostawcą, zamykasz od razu.
Przykładowy, fikcyjny fragment takiej listy:
| Luka | Przepis | Priorytet | Właściciel | Termin |
|---|---|---|---|---|
| Brak umowy powierzenia z dostawcą systemu kadrowego | Art. 28 ust. 3 | Wysoki | Kierownik zakupów | 14 dni |
| Rejestr żądań osób nie jest prowadzony | Art. 12 ust. 3, art. 5 ust. 2 | Wysoki | Inspektor ochrony danych | 30 dni |
| Brak okresów retencji dla danych z rekrutacji | Art. 5 ust. 1 lit. e | Średni | Kadry | 90 dni |
| Test odtwarzania kopii zapasowych nie był wykonywany | Art. 32 ust. 1 lit. c i d | Średni | IT | 90 dni |
Plan naprawczy zatwierdza kierownictwo, bo to administrator odpowiada za przestrzeganie przepisów (art. 5 ust. 2, art. 24 ust. 1). Raport i kolejne aktualizacje planu są zarazem dowodem przeglądu środków z art. 24 ust. 1.
Kontrola UODO: co mówi ustawa o ochronie danych osobowych
Zasady kontroli opisuje rozdział 9 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz.U. 2019 poz. 1781, zmiany z 2026 r. nie objęły tego rozdziału). Poniżej przepisy, które przydają się w przygotowaniu.
| Kwestia | Co mówi przepis | Podstawa |
|---|---|---|
| Kiedy dochodzi do kontroli | Zgodnie z planem kontroli zatwierdzonym przez Prezesa UODO, na podstawie uzyskanych informacji lub w ramach monitorowania stosowania RODO | Art. 78 ust. 2 |
| Rozpoczęcie | Kontrolujący okazuje imienne upoważnienie z legitymacją; upoważnienie określa m.in. zakres przedmiotowy kontroli i daty | Art. 81 |
| Reprezentant | Kontrolowany wskazuje na piśmie osobę upoważnioną do reprezentowania go w trakcie kontroli | Art. 83 ust. 2 |
| Uprawnienia kontrolującego | Wstęp do pomieszczeń w godz. 6–22, wgląd do dokumentów, oględziny urządzeń i systemów, żądanie wyjaśnień, przesłuchanie świadków, zlecanie ekspertyz | Art. 84 ust. 1 |
| Obowiązki kontrolowanego | Zapewnienie warunków do kontroli, sporządzenie kopii lub wydruków dokumentów i potwierdzenie ich zgodności z oryginałem | Art. 84 ust. 2 i 3 |
| Pracownicy | Kontrolujący może przesłuchać pracownika jako świadka, także osobę pracującą na umowie cywilnoprawnej | Art. 86 |
| Protokół | Kontrolowany ma 7 dni na podpisanie protokołu albo złożenie pisemnych zastrzeżeń | Art. 88 ust. 4 |
| Czas trwania | Nie dłużej niż 30 dni od okazania upoważnienia, bez terminów na zastrzeżenia i podpisanie protokołu | Art. 89 ust. 1 |
| Co dalej | Jeśli z ustaleń wynika, że mogło dojść do naruszenia, Prezes UODO niezwłocznie wszczyna postępowanie | Art. 90 |
Wnioski praktyczne: wyznacz z góry osobę, która będzie reprezentować organizację, i przygotuj dla niej upoważnienie; trzymaj dowody z listy kontrolnej w jednym miejscu, bo to kontrolowany sporządza kopie; uprzedź pracowników, że art. 86 pozwala przesłuchać każdego, kto pracuje z danymi.
Kary za naruszenie RODO: górne granice
RODO przewiduje dwa progi administracyjnych kar pieniężnych. W obu przypadkach wobec przedsiębiorstwa stosuje się wyższą z dwóch kwot.
| Próg | Za naruszenie czego | Podstawa |
|---|---|---|
| Do 10 000 000 EUR lub 2% całkowitego rocznego światowego obrotu | Obowiązków administratora i podmiotu przetwarzającego z art. 8, 11, 25–39, 42 i 43 (m.in. rejestr, umowy powierzenia, bezpieczeństwo, naruszenia, DPIA, IOD) | Art. 83 ust. 4 lit. a RODO |
| Do 20 000 000 EUR lub 4% całkowitego rocznego światowego obrotu | Podstawowych zasad i warunków zgody (art. 5, 6, 7, 9), praw osób (art. 12–22), przekazywania danych do państw trzecich (art. 44–49), nieprzestrzegania nakazu organu | Art. 83 ust. 5 RODO |
| Do 100 000 zł | Jednostki sektora finansów publicznych z art. 9 pkt 1–12 i 14 ustawy o finansach publicznych, instytuty badawcze, NBP | Art. 102 ust. 1 ustawy o ochronie danych osobowych |
Wysokość kary w konkretnej sprawie zależy od okoliczności wymienionych w art. 83 ust. 2 RODO. Kwoty w euro przelicza się na złote według średniego kursu NBP z 28 stycznia danego roku (art. 103 ustawy).
Jak SelfAudyt pomaga w samodzielnym przeglądzie
SelfAudyt ma moduł RODO z pytaniami, które odwołują się do konkretnych przepisów. Odpowiadasz „tak”, „częściowo”, „nie” albo „nie dotyczy”, a każda luka trafia do rejestru ryzyk i planu naprawczego z terminem i osobą odpowiedzialną. Do zespołu możesz zaprosić IT, kadry i inspektora ochrony danych. W bibliotece są szablony rejestru czynności przetwarzania i umowy powierzenia. Sekcja przygotowanie do kontroli pozwala wybrać kontrolę UODO i datę, a potem pokazuje checklistę audytora, luki do zamknięcia i symulację rozmowy z audytorem.
SelfAudyt to samoocena. Nie jest audytem zewnętrznym, opinią prawną ani certyfikatem, ale pomaga zamknąć oczywiste luki, zanim przyjdzie audytor albo kontrolujący z UODO. Orientacyjny obraz daje szybki test z 8 pytań.
Najczęściej zadawane pytania
Czy audyt RODO jest obowiązkowy?
RODO nie używa słowa „audyt” jako odrębnego obowiązku administratora. Obowiązek okresowego przeglądu wynika jednak z zasady rozliczalności (art. 5 ust. 2), z art. 24 ust. 1, według którego środki ochrony są w razie potrzeby przeglądane i uaktualniane, oraz z art. 32 ust. 1 lit. d, który wymaga regularnego testowania, mierzenia i oceniania skuteczności zabezpieczeń.
Jak często przeprowadzać audyt RODO?
Rozporządzenie nie podaje częstotliwości. Rozsądną praktyką jest pełny przegląd raz w roku i przegląd dodatkowy po istotnej zmianie, np. wdrożeniu nowego systemu lub poważnym naruszeniu.
Ile trwa kontrola UODO?
Według art. 89 ust. 1 ustawy o ochronie danych osobowych kontrola trwa nie dłużej niż 30 dni od okazania upoważnienia do jej przeprowadzenia. Do tego terminu nie wlicza się czasu na zgłoszenie zastrzeżeń do protokołu ani na jego podpisanie i doręczenie przez kontrolowanego.
Czego kontrolujący z UODO może zażądać?
Kontrolujący może wejść do pomieszczeń w godzinach od 6 do 22, przejrzeć dokumenty związane z zakresem kontroli, obejrzeć urządzenia i systemy informatyczne, zażądać wyjaśnień, przesłuchać świadków i zlecić ekspertyzy (art. 84 ust. 1 ustawy). Może też przesłuchać pracowników kontrolowanego, także tych na umowach cywilnoprawnych (art. 86).
Czym audyt RODO różni się od audytu z ustawy o KSC?
Audyt RODO dotyczy przetwarzania danych osobowych i wynika z rozporządzenia 2016/679. Audyt bezpieczeństwa systemu informacyjnego z ustawy o KSC dotyczy podmiotów kluczowych i obejmuje cyberbezpieczeństwo systemów. Organizacja objęta oboma reżimami prowadzi oba przeglądy, choć część dowodów, np. analiza ryzyka, może być wspólna.
Zastrzeżenie
Ten artykuł ma charakter informacyjny i opisuje stan prawny na 24 października 2026 r. Nie jest poradą prawną. Samodzielny przegląd, także przeprowadzony w SelfAudycie, nie zastępuje audytu zewnętrznego ani opinii prawnej. Obowiązki konkretnej organizacji, w tym potrzebę wyznaczenia inspektora ochrony danych i przeprowadzenia oceny skutków, warto potwierdzić z prawnikiem lub inspektorem ochrony danych.
Źródła
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) — EUR-Lex, tekst polski
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, karta aktu w ISAP — Kancelaria Sejmu
- Tekst jednolity ustawy o ochronie danych osobowych (Dz.U. 2019 poz. 1781) — Dziennik Ustaw RP
- Komunikat Prezesa UODO z 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji wymagających oceny skutków (M.P. 2019 poz. 666) — ISAP
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — Dziennik Ustaw RP (art. 16 zmienia art. 104 ustawy o ochronie danych osobowych)
Czytaj dalej
Zgodność
Macierz ryzyka 5×5 i rejestr ryzyka: jak ocenić ryzyko w bezpieczeństwie informacji
Macierz ryzyka 5×5 w bezpieczeństwie informacji: skale prawdopodobieństwa i skutku, progi akceptacji, rejestr ryzyka z przykładem i wymogi KSC, NIS2, RODO.
11 min czytania
Zgodność
Plan ciągłości działania (BCP) i plan odtwarzania po awarii (DRP): co wpisać i czego wymaga NIS2
Plan ciągłości działania i plan odtwarzania po awarii: czym się różnią, co wpisać, jak testować i czego wymagają NIS2, ustawa o KSC i RODO w 2026 r.
12 min czytania
Zgodność
Rejestr czynności przetwarzania (RCP): jak go zbudować i prowadzić w 2026 r.
Rejestr czynności przetwarzania krok po kroku: elementy z art. 30 RODO, RCP a RKCP, wyjątek dla firm poniżej 250 osób, przykładowy wpis i typowe błędy.
11 min czytania