RODO na papierze vs. RODO w praktyce. Jak sprawdzić, czy Twoja firma naprawdę jest zgodna.

Twoja firma ma politykę ochrony danych, rejestr czynności przetwarzania, klauzule informacyjne i umowy powierzenia. Dokumentacja RODO leży w szufladzie (albo na dysku) od 2019 roku. Wszystko „zrobione”.

A teraz pytanie: ile osób zmieniło się w zespole od tamtego czasu? Ile nowych narzędzi SaaS wdrożyliście? Ile razy zmienił się model sprzedaży, struktura firmy albo sposób pozyskiwania klientów?

Jeśli odpowiedź na choćby jedno z tych pytań brzmi „dużo” — Twoje RODO prawdopodobnie opisuje firmę, która już nie istnieje. A to oznacza, że mimo posiadania dokumentów możesz nie być zgodny z przepisami. Prezes UODO w 2023 r. nałożył kary pieniężne w 30 sprawach na łączną kwotę ponad 1,23 mln zł. W 2024 r. wpłynęło do UODO ponad 14 800 zgłoszeń naruszeń i ponad 8 000 skarg. Wiele z tych spraw dotyczyło firm, które formalnie „miały RODO” — ale nie miały go wdrożonego.

W tym artykule pokażę, skąd bierze się luka między dokumentacją RODO a codzienną praktyką, jakie ryzyka z tego wynikają i co konkretnie sprawdzić, żeby ustalić, czy Twoja firma naprawdę jest zgodna — zanim zrobi to za Ciebie organ nadzorczy, kontrahent albo inwestor.

Najważniejsze pojęcia, które warto znać

Zanim przejdziemy do szczegółów, wyjaśnijmy kilka terminów, które pojawiają się w artykule wielokrotnie.

Dlaczego posiadanie dokumentacji RODO nie oznacza zgodności

Większość firm, z którymi pracujemy, ma dokumentację RODO. Polityki, rejestry, klauzule — formalnie wszystko na miejscu. Problem pojawia się, gdy porównasz te dokumenty z tym, co dzieje się w firmie na co dzień.

Cztery modele luki między papierem a praktyką

Analiza decyzji PUODO pozwala wyodrębnić cztery powtarzalne wzorce niezgodności:

1. Praktyka bez dokumentacji

Firma faktycznie przekazuje dane osobowe zewnętrznym dostawcom, ale nie ma z nimi zawartych umów powierzenia. Przykład: DPD Polska korzystała z usług firm transportowych, przekazując im dane klientów — bez umów wymaganych przez art. 28 RODO. Łączna kara: ponad 11 mln zł (decyzja DKN.5112.1.2023).

2. Dokumentacja bez wdrożenia

Dokumenty istnieją, ale nikt ich nie stosuje. Komenda Miejska Policji miała spisaną „Politykę Ochrony Danych Osobowych” — a mimo to opublikowała dane osobowe (w tym dane wrażliwe) na stronie internetowej bez podstawy prawnej. Kara: 40 000 zł (decyzja DKN.5131.5.2024).

3. Niekompletna dokumentacja procesów wrażliwych

Rejestr czynności przetwarzania istnieje, ale nie obejmuje wszystkich operacji. Sprawa C. S.A.: bank prowadził profilowanie klientów, ale nie wyodrębnił go w rejestrze ani nie przeprowadził DPIA — naruszenie art. 30 i 35 RODO.

4. Brak dokumentacji analizy ryzyka

Firma stosuje jakieś środki bezpieczeństwa, ale dobiera je dowolnie — bez udokumentowanego procesu oceny zagrożeń. W sprawie DKN.5131.34.2023 administrator przeprowadził analizę ryzyka dopiero po incydencie, w trakcie postępowania przed PUODO. Sąd administracyjny potwierdził: bez analizy ryzyka nie da się wykazać, że środki są adekwatne.

Zestawienie wybranych kar PUODO

Warto zwrócić uwagę: PUODO nie ocenia wyłącznie tego, czy dokumenty istnieją. Bada, czy pełnią realną funkcję w systemie ochrony danych. Samo niewykazanie przestrzegania zasad z art. 5 ust. 1 RODO stanowi samodzielne naruszenie zasady rozliczalności — nawet jeśli do wycieku danych nie doszło.

Skąd bierze się luka — i dlaczego rośnie z czasem

Firma, która urosła od czasu wdrożenia RODO, niemal na pewno przetwarza dane inaczej niż opisują to jej dokumenty. To nie kwestia złej woli — to efekt naturalnego rozwoju organizacji.

Typowe źródła rozbieżności

1. Nowe narzędzia i systemy. Wdrożyliście nowy CRM, narzędzie marketing automation, platformę chmurową albo komunikator wewnętrzny — ale nikt nie sprawdził, czy umowa powierzenia obejmuje nowego dostawcę, a rejestr czynności uwzględnia nowy proces.
2. Wzrost zespołu. Zatrudniliście 30, 50, 100 nowych osób — ale upoważnienia do przetwarzania danych nie zostały zaktualizowane, a nowi pracownicy nie przeszli szkolenia z obowiązujących procedur.
3. Zmiana modelu biznesowego. Weszliście na nowy rynek, uruchomiliście sprzedaż B2C, zaczęliście zbierać dane przez formularze online — ale klauzule informacyjne opisują poprzedni model działania.
4. Nowi podwykonawcy i partnerzy. Współpracujecie z kilkunastoma dostawcami SaaS, agencjami marketingowymi, firmami hostingowymi — ale nie macie pewności, czy umowy powierzenia obejmują aktualny zakres współpracy, rodzaj danych i środki zabezpieczeń.
5. Rotacja osób odpowiedzialnych. Osoba, która wdrażała RODO, odeszła z firmy. Nikt nie przejął jej wiedzy o procesach, a dokumentacja nie jest samowyjaśniająca.

Co mówią dane o skali problemu

W Polsce nie istnieją oficjalne statystyki opisujące, jaki odsetek firm ma nieaktualną dokumentację RODO. Żadna instytucja — ani UODO, ani NIK, ani GUS — nie prowadzi takiego badania przekrojowego.

Dane pośrednie sugerują jednak, że problem ma charakter systemowy:

1. W 2024 r. do UODO wpłynęło 8 056 skarg — o ponad 1 000 więcej niż rok wcześniej.
2. W tym samym roku zgłoszono 14 842 naruszenia ochrony danych, z czego największa liczba pochodziła z sektora prywatnego.
3. Najczęstsze typy naruszeń — błędne zaadresowanie korespondencji, udostępnienie danych niewłaściwej osobie, nieuprawniony dostęp do baz — powtarzają się rok do roku, co sugeruje, że procedury opisane w dokumentacji nie są skutecznie stosowane.
4. Kontrola NIK w 12 jednostkach samorządu terytorialnego ujawniła m.in. korzystanie z blisko 250 adresów e-mail w domenach komercyjnych bez umów powierzenia — niekiedy przez kilkanaście lat.
5. Badanie dotyczące MŚP wykazało, że choć prawie 90% firm deklarowało świadomość obowiązku zgodności z RODO, tylko ok. 22% stworzyło rejestr czynności przetwarzania.

Plan kontroli PUODO na 2026 rok — co się zmienia

PUODO co roku publikuje plan kontroli sektorowych. To sygnał, które obszary organ nadzorczy zamierza sprawdzać z urzędu — bez czekania na skargi.

Sektory priorytetowe w 2026 r.

Plan na 2026 r. po raz pierwszy wprost wskazuje podmioty marketingowe i internetowe platformy dostaw jako sektory priorytetowe. Dla firm z branż e-commerce, SaaS i usługowych, które intensywnie wykorzystują dane w marketingu i sprzedaży, to bezpośredni sygnał do weryfikacji zgodności.

Jeśli Twoja firma:

1. prowadzi marketing automation, profilowanie lub retargeting,
2. korzysta z narzędzi analitycznych zbierających dane użytkowników,
3. współpracuje z agencjami marketingowymi przetwarzającymi dane klientów,

— sprawdź, czy Twoje klauzule informacyjne, zgody i umowy powierzenia odpowiadają aktualnemu stanowi procesów. Kontrola PUODO może nastąpić bez uprzedzenia.

Napisz do nas

Co konkretnie sprawdzić — audyt RODO krok po kroku

Audyt RODO nie polega na przeczytaniu dokumentów i stwierdzeniu, że „wszystko jest”. Polega na porównaniu tego, co jest napisane, z tym, co dzieje się w firmie na co dzień. Poniżej — kolejność działań, która pozwala ustalić priorytety bez paraliżowania biznesu.

Krok 1: Inwentaryzacja procesów przetwarzania danych

Zacznij od rozmów z osobami odpowiedzialnymi za HR, marketing, sprzedaż, IT i obsługę klienta. Nie od dokumentacji — od ludzi. Zapytaj:

1. Jakie dane zbieracie i od kogo?
2. W jakich systemach je przetwarzacie?
3. Komu je przekazujecie?
4. Jak długo je przechowujecie?

Porównaj odpowiedzi z tym, co mówi rejestr czynności przetwarzania. Jeśli rejestr nie obejmuje połowy wymienionych procesów — masz pierwszą lukę.

Krok 2: Weryfikacja dokumentacji vs. stan faktyczny

Sprawdź spójność w trzech obszarach:

Krok 3: Weryfikacja relacji z procesorami

Współpracujesz z kilkunastoma dostawcami SaaS, agencją marketingową, firmą hostingową, biurem księgowym? Sprawdź każdą relację:

1. Czy masz z tym podmiotem umowę powierzenia?
2. Czy umowa obejmuje aktualny zakres współpracy i rodzaj danych?
3. Czy procesor wdrożył środki bezpieczeństwa, o których mowa w umowie?
4. Czy masz prawo audytu — i czy je kiedykolwiek wykonałeś?
5. Czy procesor korzysta z subprocesorów — i czy masz o tym wiedzę?

Art. 28 ust. 1 lit. h RODO zobowiązuje procesora do udostępniania administratorowi informacji niezbędnych do wykazania spełnienia obowiązków oraz umożliwienia przeprowadzania audytów. Kontrole procesorów powinny odbywać się cyklicznie — np. raz do roku — oraz w razie podejrzeń naruszeń.

Krok 4: Test mechanizmów realizacji praw osób

Przetestuj, czy Twoja firma jest w stanie obsłużyć wniosek osoby, której dane dotyczą. Wyślij testowe zapytanie — np. o dostęp do danych (art. 15 RODO) — i sprawdź:

1. Czy ktoś w firmie wie, kto jest odpowiedzialny za obsługę takiego wniosku?
2. Czy odpowiedź jest możliwa w terminie 30 dni?
3. Czy firma jest w stanie zrealizować prawo do usunięcia danych ze wszystkich systemów?
4. Czy procedura obsługi wniosków jest opisana — i czy pracownicy ją znają?

Jeśli testowe zapytanie utknęło albo nikt nie wiedział, co z nim zrobić — to dowód, że procedura istnieje na papierze, ale nie w organizacji.

Krok 5: Sprawdzenie procedury obsługi naruszeń

Procedura zgłaszania naruszeń to nie dokument do szuflady. Sprawdź:

1. Czy pracownicy wiedzą, jak rozpoznać naruszenie ochrony danych?
2. Czy znają osobę, do której powinni je zgłosić?
3. Czy firma jest w stanie zgłosić naruszenie do PUODO w ciągu 72 godzin?
4. Czy prowadzisz rejestr naruszeń — nawet tych, które nie wymagały zgłoszenia?

Krok 6: Priorytetyzacja luk i plan działań

Po inwentaryzacji sporządź listę luk z podziałem na trzy kategorie:

Wpływ niezgodności RODO na due diligence i transakcje

Jeśli Twoja firma przygotowuje się do rundy inwestycyjnej, współpracy z kontrahentem korporacyjnym lub transakcji M&A — niezgodność z RODO może stać się blokerem.

Jak inwestor ocenia RODO w due diligence

Inwestor lub kupujący weryfikuje zgodność z RODO w ramach prawnego due diligence. Sprawdza m.in.:

1. Aktualność rejestru czynności przetwarzania.
2. Kompletność umów powierzenia z dostawcami.
3. Prawidłowość podstaw prawnych przetwarzania.
4. Realizację obowiązków informacyjnych.
5. Wdrożenie środków technicznych i organizacyjnych.

Wykryte braki przekładają się na konkretne mechanizmy transakcyjne:

Przypadek Marriott jest tu wymowny: po przejęciu Starwood Hotels w 2016 r. okazało się, że przejęta sieć miała poważne luki w bezpieczeństwie danych. Brytyjski organ nadzorczy (ICO) nałożył karę 18,4 mln GBP — na nowego właściciela, nie na sprzedającego.

Wniosek: audyt RODO przeprowadź przed rozpoczęciem rozmów z inwestorem lub kontrahentem — nie w ich trakcie.

Czego oczekuje organ nadzorczy — narzędzia rozliczalności

RODO nie wprowadza wprost obowiązku przeprowadzania audytów wewnętrznych. Ale PUODO i Europejska Rada Ochrony Danych (EROD) traktują audyt jako jedno z najważniejszych narzędzi rozliczalności.

Katalog dowodów, których może oczekiwać PUODO

1. Dokumenty polityk i procedur ochrony danych.
2. Aktualny rejestr czynności przetwarzania.
3. Raporty z analiz ryzyka i DPIA.
4. Umowy powierzenia z podmiotami przetwarzającymi.
5. Dowody realizacji praw osób (rejestr wniosków, odpowiedzi).
6. Logi systemowe i wyniki testów bezpieczeństwa.
7. Raporty z audytów wewnętrznych z planem działań naprawczych.
8. Dowody szkoleń personelu (listy obecności, certyfikaty).

Wytyczne EROD 04/2022 dotyczące obliczania kar wskazują, że stosowanie narzędzi rozliczalności — w tym audytów, certyfikatów i kodeksów postępowania — może być uznane za okoliczność łagodzącą przy wymiarze kary. I odwrotnie: brak audytu lub jego pozorny charakter może zostać oceniony jako okoliczność obciążająca.

W Polsce nie istnieje jeden normatywny standard checklisty audytu RODO. Jednak formularz oceny spełniania obowiązków wynikających z RODO opracowany przez międzyresortowy zespół przy Ministerstwie Finansów (49 obszarów, 111 wymogów, 7 rozdziałów) stanowi de facto framework dla sektora publicznego i punkt odniesienia dla sektora prywatnego.

Możemy Ci w tym pomóc

Audyt RODO to nie formalność — to narzędzie zarządcze, które pozwala zamienić nieprzewidywalne ryzyko w kontrolowany plan działań.

Pracujemy z firmami z branż IT, SaaS, e-commerce i usługowych — znamy specyfikę szybkiego wzrostu, wielu dostawców SaaS i presji na wdrożenia. Wiemy, że RODO musi działać w tle organizacji, a nie ją blokować.

Nasze wsparcie obejmuje:

1. Inwentaryzację procesów — rozmowy z osobami odpowiedzialnymi za HR, marketing, sprzedaż, IT i obsługę klienta, porównanie stanu faktycznego z dokumentacją.
2. Raport luk i ryzyk — priorytetyzowana lista rozbieżności z oceną poziomu ryzyka i szacunkiem konsekwencji finansowych.
3. Aktualizację dokumentacji — rejestr czynności, klauzule informacyjne, umowy powierzenia, polityki bezpieczeństwa — dopasowane do aktualnego stanu firmy.
4. Weryfikację relacji z procesorami — sprawdzenie, czy umowy powierzenia obejmują faktyczny zakres współpracy, rodzaj danych i środki zabezpieczeń.
5. Szkolenia dla zespołu — nie ogólne wykłady o RODO, ale przełożenie procedur na codzienną pracę HR, marketingu i IT.
6. Wsparcie przy due diligence — przygotowanie obszaru ochrony danych przed rozmowami z inwestorem lub kontrahentem.

Napisz do nas

Zgodność z RODO to proces, nie projekt — co zrobić teraz

Dokumentacja RODO sprzed kilku lat opisuje firmę, która już nie istnieje. Nowe narzędzia, nowi ludzie, nowe procesy — a dokumenty stoją w miejscu. To właśnie ta luka generuje ryzyko: kary PUODO, zablokowane transakcje, sparaliżowane procesy po incydencie.

Trzy rzeczy do zrobienia w tym tygodniu:

1. Porównaj rejestr czynności przetwarzania z listą systemów i narzędzi, z których firma korzysta dziś.
2. Sprawdź, czy masz umowy powierzenia ze wszystkimi dostawcami mającymi dostęp do danych.
3. Wyślij testowe zapytanie o dostęp do danych i sprawdź, czy ktokolwiek w firmie wie, co z nim zrobić.

Jeśli wynik choćby jednego z tych testów Cię zaniepokoi — to sygnał, że warto przeprowadzić pełny audyt. Zanim zrobi to PUODO, kontrahent albo inwestor.

Potrzebujesz wsparcia w uporządkowaniu RODO? Napisz do nas — pomożemy ustalić, gdzie są luki i co naprawić w pierwszej kolejności.

Najczęściej zadawane pytania

Mamy dokumentację RODO z 2019 roku — czy ona jeszcze „działa”?

Formalnie — dokumenty nie mają daty ważności. Ale jeśli od 2019 r. zmieniliście narzędzia, zatrudniliście nowych ludzi, weszliście na nowy rynek albo podpisaliście umowy z nowymi dostawcami — dokumentacja prawdopodobnie nie opisuje aktualnych procesów. A to oznacza, że nie spełnia wymogu rozliczalności z art. 5 ust. 2 RODO. PUODO ocenia nie samo istnienie dokumentów, ale ich realną funkcję w systemie ochrony danych.

Jak sprawdzić, czy pracownicy stosują procedury RODO, a nie tylko je podpisali?

Przetestuj procedury. Wyślij testowe zapytanie o dostęp do danych i sprawdź, czy firma potrafi je obsłużyć w terminie 30 dni. Zapytaj pracowników, do kogo zgłosiliby podejrzenie naruszenia. Sprawdź, czy nowi członkowie zespołu przeszli szkolenie z obowiązujących procedur. Jeśli odpowiedzi są niejasne lub procedura nie działa — masz dowód na lukę między papierem a praktyką.

Współpracujemy z kilkunastoma dostawcami SaaS — skąd wiedzieć, czy umowy powierzenia są aktualne?

Zrób przegląd: wypisz wszystkich dostawców mających dostęp do danych osobowych, a następnie sprawdź, czy z każdym masz umowę powierzenia, czy obejmuje aktualny zakres współpracy i rodzaj danych, czy procesor wdrożył deklarowane środki bezpieczeństwa i czy korzysta z subprocesorów. Art. 28 RODO daje Ci prawo audytu procesora — i warto z niego korzystać cyklicznie, np. raz do roku.

Czy brak incydentu oznacza, że jesteśmy zgodni z RODO?

Nie. Brak incydentu oznacza, że do tej pory nie doszło do wycieku lub skargi — ale nie mówi nic o tym, czy Twoje procesy, dokumenty i środki bezpieczeństwa są adekwatne. PUODO wszczyna postępowania zarówno na skutek skarg, jak i z urzędu. Sprawa DPD Polska (kara ponad 11 mln zł) została wszczęta z urzędu, bez wcześniejszego incydentu zgłoszonego przez osobę, której dane dotyczą.

Przygotowujemy się do rundy inwestycyjnej — czy niezgodność z RODO może zablokować transakcję?

Tak. Inwestor weryfikuje zgodność z RODO w ramach due diligence. Wykryte braki mogą skutkować obniżeniem wyceny, dodatkowymi klauzulami gwarancyjnymi, mechanizmami odszkodowawczymi albo warunkami zawieszającymi — gdzie zamknięcie transakcji zależy od przeprowadzenia audytu i wdrożenia korekt. Audyt RODO przeprowadź przed rozpoczęciem rozmów, nie w ich trakcie.

Od czego zacząć porządkowanie RODO, żeby nie paraliżować biznesu?

Od inwentaryzacji procesów — nie od czytania dokumentów. Porozmawiaj z osobami odpowiedzialnymi za HR, marketing, sprzedaż, IT i obsługę klienta. Ustal, jakie dane zbierają, w jakich systemach je przetwarzają i komu je przekazują. Porównaj wyniki z rejestrem czynności przetwarzania. Następnie sporządź priorytetyzowaną listę luk: co naprawić pilnie (w ciągu 30 dni), co uporządkować w ciągu 3 miesięcy, co zaplanować na później.