Jak poprawnie wdrożyć RODO w organizacji? Checklista wdrożenia krok po kroku.

Aktualizacja: listopad 2026

W skrócie - wdrożenie RODO to proces, a nie komplet dokumentów do podpisania. Składa się z czterech etapów: audytu (jakie dane firma przetwarza, skąd je ma, komu je przekazuje i na jakiej podstawie), weryfikacji systemów i zabezpieczeń, przygotowania dokumentacji dopasowanej do organizacji oraz szkolenia zespołu. Po wdrożeniu zgodność trzeba utrzymywać, bo każde nowe narzędzie, proces czy dostawca zmienia obraz ryzyka. Nie ma jednego szablonu dobrego dla każdej firmy, ponieważ zakres prac zależy od tego, jakie dane i w jaki sposób są przetwarzane.

Jeśli prowadzisz firmę, przetwarzasz dane osobowe, nawet jeśli nikt w organizacji nigdy się nad tym nie zastanawiał. Dane klientów w systemie do fakturowania, pracowników w kadrach, kandydatów w skrzynce mailowej czy subskrybentów newslettera w narzędziu do wysyłki to wszystko dane osobowe. Ich przetwarzanie podlega rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781 ze zm.).

Wdrożenie RODO w praktyce sprowadza się do wprowadzenia procedur adekwatnych do zagrożeń, które firma zidentyfikuje w analizie ryzyka. Dlatego nie istnieje jeden scenariusz, który można zastosować u każdego administratora danych osobowych - ADO (czyli podmiotu, który decyduje o celach i sposobach przetwarzania), a każde wdrożenie powinno być traktowane indywidualnie. Ten artykuł porządkuje cały proces w czterech etapach, takich samych jak w filmie, i wskazuje, co sprawdzić na każdym z nich.

Na rynku nie brakuje ofert w rodzaju „wdrożymy RODO w jeden dzień” albo „pakiet dokumentów do samodzielnego uzupełnienia”. Kończą się zwykle wymuskanym segregatorem, który dobrze wygląda na półce, ale opisuje procedury nieprzystające do tego, jak firma naprawdę działa. Takie podejście potrafi wyrządzić więcej szkody niż pożytku, bo w razie kontroli albo wycieku danych dokumentacja, której nikt nie stosuje, może obrócić się przeciwko administratorowi. Pokazuje bowiem, że firma znała swoje obowiązki, ale ich nie realizowała.

RODO opiera się na zasadzie rozliczalności, co oznacza, że to administrator musi być w stanie wykazać, że przestrzega przepisów. Wykazać można tylko to, co rzeczywiście działa: procesy, zabezpieczenia i nawyki zespołu, które dokumentacja jedynie opisuje. Dlatego poprawne wdrożenie RODO zaczyna się od zrozumienia organizacji, a dokumenty powstają dopiero na podstawie tego, co ustalono w audycie.

Zakres prac zależy od tego, jakie dane i w jaki sposób są przetwarzane. Inaczej wygląda wdrożenie w placówce medycznej, która przetwarza dane o zdrowiu pacjentów, inaczej w sklepie internetowym prowadzącym marketing i analitykę, a jeszcze inaczej w firmie SaaS, która dla swoich klientów występuje jako podmiot przetwarzający. Dodatkowych działań wymaga przetwarzanie szczególnych kategorii danych (tzw. danych wrażliwych, np. o zdrowiu czy danych biometrycznych) i danych o wyrokach skazujących, a także przetwarzanie, które może powodować wysokie ryzyko dla praw i wolności osób, których dane dotyczą np. profilowanie.

Ponadto zgodności z RODO nie da się „odhaczyć” raz na zawsze. Każde nowe narzędzie, nowy dostawca czy nowy proces zmienia obraz ryzyka, dlatego po wdrożeniu przychodzi etap utrzymania zgodności, opisany w dalszej części artykułu.

Audyt jest fundamentem całego wdrożenia, bo bez niego nie da się ocenić ryzyka ani przygotować dokumentacji, która odpowiada rzeczywistości. W praktyce audyt RODO polega na przejściu przez wszystkie obszary działalności (sprzedaż, marketing, kadry, księgowość, IT, obsługa klienta) i ustaleniu, gdzie pojawiają się dane osobowe. Na tym etapie zbiera się informacje, a procedury powstają później.

Pierwszym krokiem jest ustalenie, jakie dane osobowe znajdują się w organizacji, czy wśród nich są szczególne kategorie danych, a także z jakich źródeł pochodzą. Inne obowiązki ma firma, która zbiera dane bezpośrednio od klienta przez formularz na stronie, a inne ta, która pozyskuje je od partnera handlowego, z publicznych rejestrów czy z bazy kupionej od zewnętrznego podmiotu. Od źródła danych zależy m.in. moment i sposób spełnienia obowiązku informacyjnego.

Dane osobowe w firmie łączą się w procesy, które mają wspólny cel. W sklepie internetowym będą to zwykle realizacja zamówień, obsługa reklamacji i zwrotów, newsletter, konkursy, program lojalnościowy, analityka strony, a także rekrutacja i zatrudnienie pracowników. Każdy taki proces to osobna czynność przetwarzania, dla której trzeba ustalić cel, kategorie osób i danych, odbiorców oraz okres przechowywania. Ta lista staje się później podstawą rejestru czynności przetwarzania.

Co istotne, RODO nie posługuje się logiką „zbiorów danych”, którą wiele firm pamięta z czasów rejestracji zbiorów w GIODO. Punktem wyjścia są cele i procesy, a nie bazy danych czy foldery na dysku.

Wbrew powszechnej opinii podstawą przetwarzania danych osobowych nie jest wyłącznie zgoda. RODO przewiduje sześć przesłanek, z których co najmniej jedna musi być spełniona:

Po ustaleniu czynności przetwarzania do każdej z nich przypisuje się podstawę prawną. Jeżeli żadna z przesłanek nie pasuje, dane nie mogą być przetwarzane zgodnie z prawem. Przy szczególnych kategoriach danych obowiązują dodatkowe, węższe warunki, a w relacji pracodawcy z pracownikiem zgoda co do zasady pełni rolę wyjątku, ponieważ trudno uznać ją za w pełni dobrowolną. Szerzej o tych zagadnieniach piszemy we wpisach o prawnie uzasadnionym interesie administratora oraz o tym, kiedy potrzebna jest zgoda pracownika.

Kolejny krok to ustalenie, komu firma przekazuje dane. Część podmiotów przetwarza je w imieniu firmy i na jej polecenie, np. biuro rachunkowe, dostawca systemu CRM, firma hostingowa czy agencja marketingowa. To podmioty przetwarzające, z którymi trzeba zawrzeć umowę powierzenia przetwarzania danych. Inne podmioty otrzymują dane do własnych celów (np. bank, ubezpieczyciel czy urząd) i wtedy potrzebna jest podstawa do ich udostępnienia.

Zidentyfikowanie wszystkich takich podmiotów jest kluczowe, bo administrator odpowiada za to, komu powierza dane, i musi umieć wykazać, że panuje nad tym, jak są przetwarzane. W praktyce najczęściej pomijani są dostawcy oprogramowania w modelu SaaS, których regulamin firma zaakceptowała jednym kliknięciem, dlatego warto przyjrzeć się również umowom z dostawcami IT.

Wiele popularnych narzędzi (pakiety biurowe w chmurze, systemy do mailingu, CRM, narzędzia AI) należy do dostawców spoza Unii Europejskiej, najczęściej ze Stanów Zjednoczonych. Przekazanie danych poza Europejski Obszar Gospodarczy wymaga odpowiedniej podstawy, którą najczęściej jest decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule umowne.

W przypadku USA obowiązuje dziś program EU-US Data Privacy Framework, a przekazanie danych na jego podstawie jest możliwe wyłącznie do firm, które przystąpiły do programu (certyfikację można sprawdzić na oficjalnej liście uczestników). We wrześniu 2025 r. Sąd Unii Europejskiej oddalił skargę na decyzję Komisji w tej sprawie, ale sprawa trafiła w odwołaniu do Trybunału Sprawiedliwości UE. Dlatego warto wiedzieć, którzy dostawcy opierają się wyłącznie na tym programie, i mieć plan na wypadek zmiany sytuacji prawnej.

Nie każda firma musi wyznaczyć inspektora ochrony danych (IOD). Obowiązek dotyczy trzech sytuacji: gdy przetwarzania dokonuje organ lub podmiot publiczny, gdy główna działalność firmy polega na regularnym i systematycznym monitorowaniu osób na dużą skalę (np. przy marketingu behawioralnym czy programach lojalnościowych o dużym zasięgu) oraz gdy główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (np. w placówkach medycznych) albo danych o wyrokach skazujących .

Wyznaczonego inspektora zgłasza się Prezesowi Urzędu Ochrony Danych Osobowych w terminie 14 dni. Firma, która nie ma takiego obowiązku, może powołać IOD dobrowolnie, ale wtedy obowiązują ją wszystkie wymogi dotyczące jego statusu, w tym niezależność i brak konfliktu interesów. Szczegółowe kryteria opisujemy w poradniku o tym, kiedy trzeba wyznaczyć IOD.

Gdy wiadomo już, jakie dane i w jakich procesach firma przetwarza, można sprawdzić, w jakich narzędziach te dane się znajdują i jak są chronione. W praktyce to moment, w którym deklaracje porównuje się z rzeczywistością: kto naprawdę ma dostęp do skrzynki z CV kandydatów, czy kopie zapasowe działają i czy ktokolwiek próbował je kiedyś odtworzyć.

Na podstawie wyników audytu ocenia się ryzyko związane z każdą czynnością przetwarzania, czyli prawdopodobieństwo i skutki naruszenia dla osób, których dane dotyczą. To od wyników analizy ryzyka zależy, jakie zabezpieczenia i procedury trzeba wdrożyć, dlatego RODO określa się jako regulację opartą na ryzyku. Praktyczne wskazówki w tym zakresie zawiera m.in. poradnik Urzędu Ochrony Danych Osobowych „Jak stosować podejście oparte na ryzyku?”.

Jeżeli analiza ryzyka wskaże, że dane przetwarzanie może powodować wysokie ryzyko, przed jego rozpoczęciem trzeba przeprowadzić ocenę skutków dla ochrony danych (DPIA). Prezes UODO opublikował wykaz rodzajów operacji, które jej wymagają. Znajdują się w nim m.in. ocena i profilowanie osób, systematyczne monitorowanie na dużą skalę, przetwarzanie szczególnych kategorii danych, w tym biometrycznych, oraz innowacyjne wykorzystanie nowych technologii. Coraz częściej ocena skutków dotyczy wdrożeń narzędzi opartych na sztucznej inteligencji.

RODO wymaga uwzględniania ochrony danych już na etapie projektowania nowego procesu, systemu czy usługi (privacy by design), a nie dopiero po jego uruchomieniu. Chodzi o to, aby zabezpieczenia i zasady takie jak minimalizacja danych były częścią rozwiązania od początku, a nie łatką dokładaną po fakcie.

Domyślna ochrona danych (privacy by default) oznacza z kolei, że w ustawieniach domyślnych przetwarza się wyłącznie dane niezbędne do osiągnięcia konkretnego celu. Dotyczy to ilości zbieranych danych, zakresu przetwarzania, okresu przechowywania i dostępności. W praktyce formularz nie powinien domyślnie wymagać pól, które nie są potrzebne, a profil użytkownika nie powinien być domyślnie widoczny dla nieograniczonej liczby osób.

RODO nie narzuca konkretnych narzędzi, ale wskazuje kierunki, które administrator powinien rozważyć: pseudonimizację i szyfrowanie danych, zapewnienie poufności, integralności, dostępności i odporności systemów, zdolność do szybkiego przywrócenia dostępu do danych po incydencie (kopie zapasowe) oraz regularne testowanie skuteczności zabezpieczeń. Dobór środków zależy od wyników analizy ryzyka, stanu wiedzy technicznej i kosztów wdrożenia.

Warto też podchodzić z dystansem do sloganów producentów oprogramowania czy sprzętu, że ich produkt jest „zgodny z RODO”. O tym, czy rozwiązanie zapewnia odpowiedni poziom ochrony w konkretnej organizacji, decyduje administrator, który z niego korzysta, a nie naklejka na pudełku. Firmy objęte ustawą o krajowym systemie cyberbezpieczeństwa (podmioty kluczowe i ważne) mają ponadto własne, dalej idące obowiązki w zakresie bezpieczeństwa systemów.

Dostęp do danych osobowych powinny mieć wyłącznie osoby, które potrzebują go do wykonywania swoich obowiązków, i tylko w niezbędnym zakresie. Na tym etapie ustala się, kto z zespołu ma dostęp do poszczególnych systemów i danych, oraz sprawdza, czy ten dostęp jest uzasadniony. W razie kontroli administrator powinien umieć wykazać, dlaczego konkretna osoba ma dostęp do konkretnych danych.

Co istotne, RODO nie wymaga, aby upoważnienie do przetwarzania danych miało formę pisemną. Taki wymóg znały przepisy sprzed 2018 r., a dziś forma pisemna lub elektroniczna pozostaje dobrą praktyką, bo ułatwia wykazanie zgodności. Pisemnego upoważnienia wymagają natomiast przepisy szczególne, m.in. przy przetwarzaniu przez pracodawcę danych wrażliwych i biometrycznych pracowników, w przypadku przetwarzania danych osobowych przetwarzanych w związku z obsługą funduszu świadczeń socjalnych, czy w przypadku osób przyjmujących zgłoszenia od sygnalistów. Więcej piszemy o tym we wpisie o tym, kto w organizacji może mieć dostęp do danych kandydatów i pracowników.

Coraz więcej pracowników korzysta z czatów i asystentów AI, często bez wiedzy pracodawcy. Wklejenie do takiego narzędzia treści maila od klienta, CV kandydata czy fragmentu umowy to przetwarzanie danych osobowych, które może oznaczać ich przekazanie dostawcy, w tym dostawcy spoza Unii, a nawet wykorzystanie do trenowania modelu. Dlatego wdrożenie RODO powinno dziś obejmować także politykę korzystania z narzędzi AI: listę dozwolonych narzędzi, zasady dotyczące danych, których nie wolno do nich wprowadzać, oraz weryfikację umów i ustawień prywatności u dostawców.

Do tego dochodzą obowiązki wynikające z unijnego aktu w sprawie sztucznej inteligencji (AI Act), takie jak dbanie o kompetencje w zakresie AI osób, które korzystają z tych systemów w imieniu firmy. Jeżeli firma planuje szersze wykorzystanie AI, np. w rekrutacji czy obsłudze klienta, warto zaplanować je razem z obsługą prawną AI, bo przy takich wdrożeniach często potrzebna jest również ocena skutków dla ochrony danych. Praktyczne wskazówki zawiera wpis o tym, jak legalnie wykorzystywać AI w biznesie.

Dopiero na podstawie audytu i weryfikacji systemów powstaje dokumentacja. Jej zadaniem jest opisanie tego, jak firma faktycznie chroni dane, oraz umożliwienie wykazania zgodności z RODO. Dokumenty skopiowane z szablonu, które opisują procedury nieistniejące w organizacji, nie spełniają żadnej z tych funkcji.

RODO nie wymaga, aby wszystkie procedury miały sformalizowaną postać, ale przewiduje wdrożenie polityk ochrony danych tam, gdzie jest to proporcjonalne do skali i charakteru przetwarzania. W organizacjach zatrudniających pracowników spisane procedury są w praktyce niezbędne, bo łatwiej je stosować, szkolić z nich zespół i aktualizować. Typowy zestaw obejmuje politykę ochrony danych, procedurę postępowania w razie naruszenia, procedurę realizacji praw osób, zasady nadawania dostępów oraz zasady korzystania ze sprzętu i narzędzi, w tym narzędzi AI.

Administrator prowadzi rejestr czynności przetwarzania, w którym opisuje każdy proces ustalony podczas audytu: cel, kategorie osób i danych, odbiorców, przekazania poza EOG, planowane terminy usunięcia danych oraz ogólny opis zabezpieczeń. Rejestr kategorii czynności prowadzi natomiast podmiot przetwarzający, czyli firma, która przetwarza dane w imieniu swoich klientów. Biuro rachunkowe, software house, agencja marketingowa czy dostawca aplikacji SaaS zwykle prowadzą więc oba rejestry.

Rejestrów nie zgłasza się do żadnego urzędu. Prowadzi się je w formie pisemnej (również elektronicznej), stale aktualizuje i udostępnia Prezesowi UODO na żądanie. Przepisy przewidują zwolnienie z obowiązku prowadzenia rejestru dla firm zatrudniających mniej niż 250 osób, ale w praktyce rzadko ono działa. Wyłączenie nie obejmuje bowiem przetwarzania, które nie ma charakteru sporadycznego, a takie jest choćby przetwarzanie danych pracowników czy stałych klientów. Rejestr warto prowadzić niezależnie od wielkości firmy, bo bez niego trudno wykazać zgodność z RODO.

Każdy administrator musi dokumentować naruszenia ochrony danych osobowych, w tym okoliczności naruszenia, jego skutki i podjęte działania naprawcze. W rejestrze odnotowuje się wszystkie incydenty, a nie tylko te zgłoszone do Prezesa UODO, a więc także np. pomyłkowo wysłany mail, którego ocena nie wykazała ryzyka dla odbiorcy danych. Rejestr pozwala wyciągać wnioski z incydentów i poprawiać zabezpieczenia, a w razie kontroli pokazuje, że firma panuje nad bezpieczeństwem danych.

Każda osoba, której dane firma przetwarza, powinna otrzymać informację o tym, kto jest administratorem, w jakim celu i na jakiej podstawie przetwarza dane, komu je przekazuje, jak długo je przechowuje i jakie przysługują jej prawa. Informację przekazuje się w momencie zbierania danych, a gdy dane pochodzą z innego źródła, w rozsądnym terminie, co do zasady najpóźniej w ciągu miesiąca. Treść klauzuli powinna być dopasowana do celu przetwarzania, dlatego sama polityka prywatności na stronie internetowej zwykle nie wystarcza. Kandydat do pracy, kontrahent i uczestnik konkursu powinni otrzymać informację odpowiednią do swojej sytuacji.

Strona internetowa wymaga dodatkowo uwagi w zakresie plików cookies. Od listopada 2024 r. zasady dotyczące zgody na cookies i podobne technologie wynikają z ustawy Prawo komunikacji elektronicznej, która zastąpiła w tym zakresie Prawo telekomunikacyjne. Na co zwrócić uwagę, opisujemy w checkliście zgodnej z RODO strony www.

Procedury powinny przekładać na praktykę podstawowe zasady RODO. Zasada minimalizacji oznacza, że w każdym procesie zbiera się tylko te dane, które są rzeczywiście potrzebne. Dla przykładu, do zapisu na newsletter wystarczy adres e-mail (ewentualnie imię), a żądanie numeru PESEL czy kopii dowodu osobistego nie byłoby uzasadnione. Dlaczego kopiowanie dokumentów tożsamości zwykle narusza tę zasadę, wyjaśniamy we wpisie o kserowaniu i skanowaniu dowodów osobistych. W niektórych obszarach zakres danych określają przepisy szczególne, np. Kodeks pracy w odniesieniu do kandydatów i pracowników.

Zasada ograniczenia celu oznacza, że dane zebrane w jednym celu nie mogą być swobodnie wykorzystywane w innym. Dalsze przetwarzanie jest dopuszczalne, gdy nowy cel jest zgodny z pierwotnym (ocenia się m.in. związek między celami, kontekst zebrania danych i rozsądne oczekiwania osoby) albo gdy istnieje dla niego odrębna podstawa prawna, np. zgoda. Zasada prawidłowości wymaga z kolei, aby dane były poprawne i w razie potrzeby aktualizowane, a dane nieprawidłowe niezwłocznie sprostowane lub usunięte.

Dane osobowe można przechowywać tylko tak długo, jak jest to niezbędne do celu, w którym zostały zebrane. Dla każdego procesu ustala się więc okres przechowywania i sposób usuwania danych po jego upływie. Wiele okresów wynika wprost z przepisów:

Dobrze przygotowany harmonogram retencji łączy wymogi ochrony danych z wymogami podatkowymi i kadrowymi. W Grupie ENSIS zespół ENSIS ODO przygotowuje go razem ze specjalistami ENSIS ABC odpowiedzialnymi za obsługę kadrową i księgową, dzięki czemu okresy przechowywania w dokumentacji RODO są spójne z tym, co faktycznie dzieje się w kadrach i księgowości.

Administrator może powierzyć przetwarzanie danych tylko takiemu podmiotowi, który daje wystarczające gwarancje ich ochrony. Odpowiedzialność za wybór nierzetelnego podwykonawcy spoczywa na administratorze, dlatego przed rozpoczęciem współpracy warto sprawdzić, jak dostawca zabezpiecza dane, gdzie je przechowuje i z jakich dalszych podwykonawców korzysta.

Z każdym podmiotem przetwarzającym zawiera się umowę powierzenia przetwarzania danych. Musi ona określać m.in. przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych i kategorie osób, a także obowiązki podmiotu przetwarzającego, w tym zasady korzystania z dalszych podwykonawców, pomoc przy realizacji praw osób i zgłaszanie naruszeń. U dużych dostawców umowa powierzenia jest zwykle częścią regulaminu albo osobnym dokumentem (Data Processing Agreement), który trzeba odnaleźć, zaakceptować i zarchiwizować.

Każdej osobie, której dane dotyczą, przysługuje prawo dostępu do danych, ich sprostowania, usunięcia (tzw. prawo do bycia zapomnianym), ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu. Jeżeli przetwarzanie odbywa się na podstawie zgody, można ją w każdej chwili wycofać. Osoba ma także prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeżeli decyzja ta wywołuje wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa. Każdy może też wnieść skargę do Prezesa UODO.

Na żądanie odpowiada się bez zbędnej zwłoki, nie później niż w ciągu miesiąca. W uzasadnionych przypadkach, np. przy dużej liczbie lub złożoności żądań, termin można przedłużyć o kolejne dwa miesiące, ale o przedłużeniu i jego przyczynach trzeba poinformować osobę w ciągu pierwszego miesiąca. Procedura powinna określać, kto przyjmuje żądania, jak weryfikuje się tożsamość wnioskodawcy i jak dokumentuje się odpowiedź.

Nawet najlepsza dokumentacja jest bezwartościowa, jeżeli zespół nie wie, jak stosować procedury w praktyce. RODO nie wymaga, aby każdy pracownik miał certyfikat czy zaświadczenie z kursu, ale administrator odpowiada za to, jak jego pracownicy przetwarzają dane. W większości przypadków to właśnie błąd człowieka (mail do niewłaściwego adresata, zgubiony laptop, kliknięcie w link z fałszywej faktury) stoi za naruszeniem, za które odpowiedzialność ponosi firma.

Dlatego szkolenia RODO powinny dotyczyć procedur obowiązujących w danej organizacji, a nie być teoretycznym wykładem o rozporządzeniu. Pracownik działu kadr potrzebuje innych przykładów niż handlowiec czy osoba z obsługi klienta. Szkolenie warto powtarzać okresowo i przy każdej istotnej zmianie procedur, a uczestnictwo dokumentować. Coraz częściej elementem szkolenia jest także bezpieczne korzystanie z narzędzi AI, co łączy się z obowiązkiem dbania o kompetencje w zakresie AI wynikającym z AI Act.

Administrator ma obowiązek regularnie testować i oceniać skuteczność wdrożonych zabezpieczeń, a środki ochrony w razie potrzeby przeglądać i aktualizować. RODO nie wskazuje, jak często to robić, dlatego warto określić to w procedurach. Dobrą praktyką jest przegląd co najmniej raz w roku oraz przy każdej istotnej zmianie, np. wdrożeniu nowego systemu, zmianie dostawcy, uruchomieniu nowej usługi czy otwarciu oddziału. Wsparciem w utrzymaniu zgodności może być stała współpraca z inspektorem ochrony danych, również wtedy, gdy przepisy nie nakładają obowiązku jego wyznaczenia.

Jeżeli dojdzie do naruszenia ochrony danych (wycieku, utraty danych, nieuprawnionego dostępu), administrator ocenia ryzyko dla osób, których dane dotyczą. Gdy naruszenie może powodować ryzyko naruszenia ich praw lub wolności, zgłasza je Prezesowi UODO bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od jego stwierdzenia. Zgłoszenia dokonuje się najczęściej przez formularz elektroniczny, a jeżeli nie wszystkie informacje są od razu dostępne, można je uzupełniać etapami. Zgłoszenie po terminie wymaga wyjaśnienia przyczyn opóźnienia.

Gdy ryzyko jest wysokie, administrator musi dodatkowo bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą, i wskazać im, co mogą zrobić, aby ograniczyć skutki naruszenia (np. zmienić hasło czy zastrzec numer PESEL). Jeżeli naruszenie wystąpi u dostawcy, ten ma obowiązek niezwłocznie powiadomić administratora, ale to administrator decyduje o zgłoszeniu i odpowiada za jego terminowość. Jak wygląda to w praktyce, pokazuje wpis o wycieku danych z popularnego systemu do fakturowania, a o konsekwencjach spóźnienia piszemy przy okazji kary za niezgłoszenie naruszenia.

Prezes UODO prowadzi kontrole zarówno w związku ze skargami i zgłoszeniami naruszeń, jak i w ramach corocznego planu kontroli sektorowych, dlatego warto sprawdzić, czy branża firmy znalazła się w planie kontroli UODO na 2026 r. Współpraca z organem nadzorczym jest obowiązkiem administratora, a dobrze prowadzona dokumentacja i rejestry znacząco ułatwiają przejście przez kontrolę.

Gdy kontrola albo zgłoszenie naruszenia przeradza się w postępowanie administracyjne, firma potrzebuje pełnomocnika. W takiej roli nie powinien występować inspektor ochrony danych, ponieważ łączenie funkcji niezależnego doradcy i obrońcy administratora rodzi konflikt interesów. W Grupie ENSIS sprawę przejmuje wtedy ENSIS Kancelaria Radców Prawnych, która zapewnia reprezentację przed Prezesem UODO, a w razie potrzeby również reprezentację przed sądem administracyjnym.

Prezes UODO może nałożyć administracyjną karę pieniężną do 10 mln euro lub 2% całkowitego rocznego światowego obrotu, a za najpoważniejsze naruszenia (np. zasad przetwarzania czy praw osób, których dane dotyczą) do 20 mln euro lub 4% obrotu, w zależności od tego, która kwota jest wyższa. W przypadku jednostek sektora finansów publicznych polska ustawa ogranicza karę do 100 000 zł. Oprócz kar organ może m.in. nakazać dostosowanie przetwarzania do przepisów albo czasowo lub całkowicie je ograniczyć.

Drugim źródłem ryzyka są roszczenia osób, których dane dotyczą. Każdy, kto poniósł szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, może żądać odszkodowania od administratora albo podmiotu przetwarzającego. Trybunał Sprawiedliwości UE potwierdził, że szkoda niemajątkowa nie musi przekraczać żadnego progu powagi, a sama obawa przed niewłaściwym wykorzystaniem danych po wycieku może stanowić taką szkodę, jeżeli osoba wykaże jej wystąpienie. W praktyce jeden incydent może więc skutkować zarówno karą, jak i wieloma roszczeniami.

Ochrona danych osobowych coraz częściej łączy się z innymi regulacjami, które trzeba wziąć pod uwagę już na etapie wdrożenia.

Kodeks pracy. Określa, jakich danych pracodawca może żądać od kandydata i pracownika, kiedy zgoda pracownika może być podstawą przetwarzania oraz na jakich zasadach można wprowadzić monitoring wizyjny i monitoring poczty elektronicznej. Monitoring wymaga m.in. określenia jego celu, zakresu i sposobu stosowania w regulaminie pracy (albo w obwieszczeniu, jeśli pracodawca nie ma obowiązku wydania regulaminu) oraz poinformowania pracowników najpóźniej 2 tygodnie przed jego uruchomieniem.

Ustawa o ochronie sygnalistów. Firmy, w których pracę zarobkową wykonuje co najmniej 50 osób, muszą mieć procedurę zgłoszeń wewnętrznych. Przyjmowanie zgłoszeń wiąże się z przetwarzaniem danych sygnalistów i osób, których zgłoszenie dotyczy, z zachowaniem poufności i prowadzeniem rejestru zgłoszeń, dlatego wdrożenie RODO i procedurę zgłoszeń wewnętrznych warto ze sobą zsynchronizować.

Standardy ochrony małoletnich. Podmioty prowadzące działalność związaną z dziećmi (m.in. szkoły, przedszkola, placówki medyczne, organizatorzy zajęć sportowych, wypoczynku i turystyki) muszą sprawdzać osoby dopuszczane do pracy z małoletnimi, m.in. w Rejestrze Sprawców Przestępstw na Tle Seksualnym i w Krajowym Rejestrze Karnym. To dane o niekaralności, których przetwarzanie wymaga szczególnej ostrożności. Szczegóły omawiamy we wpisie o standardach ochrony małoletnich.

Ustawa o krajowym systemie cyberbezpieczeństwa. Nowelizacja wdrażająca dyrektywę NIS2 obowiązuje od 3 kwietnia 2026 r. Podmioty kluczowe i ważne (w wielu sektorach także średnie firmy) mają własne obowiązki w zakresie zarządzania bezpieczeństwem i zgłaszania incydentów, z wczesnym ostrzeżeniem w ciągu 24 godzin. Ten sam incydent może więc wymagać zgłoszenia zarówno w trybie ustawy o krajowym systemie cyberbezpieczeństwa, jak i do Prezesa UODO.

AI Act i polska ustawa o systemach sztucznej inteligencji. Unijne rozporządzenie o AI stosuje się etapami: zakazane praktyki i obowiązek dbania o kompetencje w zakresie AI obowiązują od lutego 2025 r., obowiązki przejrzystości od sierpnia 2026 r., a wymogi dla systemów wysokiego ryzyka (m.in. stosowanych w rekrutacji i ocenie pracowników) od grudnia 2027 r. W Polsce nadzór nad rynkiem AI sprawuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, powołana ustawą z lipca 2026 r., z którą współpracuje Prezes UODO. AI Act nie zastępuje RODO, więc każde narzędzie AI przetwarzające dane osobowe musi spełniać wymogi obu regulacji.

Grupa ENSIS to łącznie 4 spółki: kancelaria radców prawnych, spółka specjalizująca się w ochronie danych osobowych, spółka zajmująca się podatkami, księgowością, kadrami i HR oraz spółka doradztwa biznesowego. Ochroną danych osobowych zajmujemy się od 2012 r., a zespół ENSIS ODO przeprowadził ponad 3000 wdrożeń RODO w firmach z całej Polski. Dzięki zasadzie 5 metrów (prawo, podatki, księgowość i HR w jednym zespole, najwyżej 5 metrów między biurkami) wdrożenie RODO od razu uwzględnia kadry, księgowość i umowy z kontrahentami.

Wstępną analizę i wycenę wdrożenia przygotowujemy bezpłatnie, a przed rozpoczęciem prac otrzymujesz konkretną cenę za cały projekt, zakres pomocy i termin realizacji.

Poprawne wdrożenie RODO to cztery etapy: audyt, weryfikacja systemów i zabezpieczeń, dokumentacja dopasowana do organizacji i szkolenie zespołu. Każdy z nich opiera się na poprzednim, dlatego całego procesu nie da się zastąpić gotowym szablonem dokumentów, który nie uwzględnia tego, jak firma naprawdę działa. Po wdrożeniu zgodność trzeba utrzymywać przez regularne przeglądy, aktualizację rejestrów i sprawne reagowanie na incydenty.

W 2026 r. wdrożenie RODO obejmuje też obszary, o których kilka lat temu mało kto myślał: narzędzia AI używane przez pracowników, dostawców chmurowych spoza Unii czy obowiązki wynikające z nowych przepisów o cyberbezpieczeństwie. Zapowiadane zmiany w RODO mogą część obowiązków złagodzić, ale do czasu ich przyjęcia obowiązują dotychczasowe zasady.