Kontrola UODO nie zaczyna się w chwili, gdy kontroler pojawia się w siedzibie firmy. Z perspektywy dobrze zarządzanej organizacji przygotowanie trwa znacznie wcześniej i polega na utrzymywaniu zgodności między dokumentacją, systemami oraz codzienną praktyką pracowników. Sam segregator z politykami nie wystarczy, jeśli firma nie potrafi wykazać, kto ma dostęp do danych, na jakiej podstawie są one wykorzystywane i jak reaguje się na incydenty.
W czasie kontroli Urząd Ochrony Danych Osobowych może analizować dokumenty, żądać wyjaśnień, oglądać pomieszczenia i systemy oraz rozmawiać z pracownikami. Dlatego skuteczne przygotowanie wymaga współpracy zarządu, IOD, działu prawnego, HR i IT. W tym artykule wyjaśniamy, jak przebiega kontrola UODO, jakie dowody zgodności warto uporządkować i co zrobić od momentu okazania upoważnienia do otrzymania protokołu.
Najważniejsze informacje
- Kontrola UODO może wynikać z rocznego planu, uzyskanych przez organ informacji albo bieżącego monitorowania przestrzegania RODO.
- Kontroler musi okazać imienne upoważnienie i legitymację służbową albo dokument potwierdzający tożsamość.
- Upoważnienie wskazuje zakres kontroli. Firma powinna od początku dokumentować, jakie materiały przekazuje i czego dotyczą składane wyjaśnienia.
- Kontrolujący może wejść do pomieszczeń, przeprowadzić oględziny urządzeń i systemów, żądać dokumentów oraz przesłuchiwać pracowników.
- Kontrola trwa co do zasady nie dłużej niż 30 dni. Po przedstawieniu protokołu kontrolowany ma 7 dni na podpisanie go albo zgłoszenie pisemnych zastrzeżeń.
- Kontrola UODO nie jest automatycznie równoznaczna z karą. Organ może zastosować także upomnienie, ostrzeżenie lub nakaz dostosowania przetwarzania do przepisów.
Czym jest kontrola UODO i dlaczego może rozpocząć się w firmie?
Kontrola UODO służy ustaleniu, czy administrator albo podmiot przetwarzający przestrzega przepisów o ochronie danych osobowych. Podstawę procedury stanowi przede wszystkim rozdział 9 ustawy z 10 maja 2018 r. o ochronie danych osobowych. Zgodnie z art. 78 kontrola może być prowadzona według planu zatwierdzonego przez Prezesa UODO, na podstawie informacji uzyskanych przez organ lub w ramach monitorowania stosowania RODO. Ustawa o ochronie danych osobowych
Oznacza to, że kontrola może mieć charakter planowy, ale nie musi wynikać wyłącznie z opublikowanego planu sektorowego. Impulsem może być skarga osoby, zgłoszone naruszenie, informacja medialna albo inny sygnał wskazujący, że określony proces wymaga sprawdzenia. Firma spoza sektorów wymienionych w planie nadal powinna więc być gotowa do wykazania zgodności.
RODO nakłada na administratora i podmiot przetwarzający obowiązek współpracy z organem nadzorczym. Prezes UODO może żądać informacji potrzebnych do realizacji swoich zadań oraz dostępu do danych, pomieszczeń i środków wykorzystywanych do przetwarzania. Artykuły 31 i 58 RODO
Kontrola UODO w 2026 roku. Kto znalazł się w planie?
Plan kontroli sektorowych na 2026 rok obejmuje pięć obszarów. Są to organy pracujące w wielkoskalowych systemach Unii Europejskiej, podmioty lecznicze stosujące monitoring wizyjny, podmioty prowadzące Biuletyn Informacji Publicznej, podmioty marketingowe oraz internetowe platformy dostaw. Plan kontroli sektorowych UODO na 2026 rok
Dla przedsiębiorców szczególne znaczenie mają dwa ostatnie punkty. W branży marketingowej organ zapowiedział weryfikację podstaw prawnych przetwarzania danych do celów marketingowych. W przypadku platform dostaw przedmiotem zainteresowania jest przetwarzanie danych w związku z pośrednictwem w sprzedaży towarów i usług za pomocą aplikacji internetowych.
Nie oznacza to jednak, że tylko agencje marketingowe i platformy technologiczne powinny przeprowadzić przegląd zgodności. Plan pokazuje, jakie ryzyka organ uważa obecnie za szczególnie istotne. Każda firma wykorzystująca bazy kontaktów, newsletter, CRM, monitoring, usługi chmurowe lub aplikacje zewnętrzne może potraktować te priorytety jako wskazówkę do własnej oceny.
Jak rozpoczyna się kontrola UODO?
Kontrola rozpoczyna się po okazaniu imiennego upoważnienia oraz legitymacji służbowej. Upoważnienie powinno wskazywać podstawę prawną, dane kontrolującego, kontrolowaną organizację, zakres przedmiotowy, datę rozpoczęcia i przewidywany termin zakończenia oraz pouczenie o prawach i obowiązkach.
Pierwszą czynnością po stronie firmy powinno być spokojne zweryfikowanie dokumentów oraz zakresu kontroli. Następnie należy uruchomić wewnętrzną procedurę, zawiadomić osobę reprezentującą organizację, IOD i właścicieli procesów objętych kontrolą. Ustawa wymaga pisemnego wskazania osoby upoważnionej do reprezentowania kontrolowanego podczas czynności.
Warto od razu założyć rejestr kontroli. Powinny się w nim znaleźć daty i godziny czynności, nazwiska uczestników, pytania organu, udzielone odpowiedzi, przekazane dokumenty oraz kopie materiałów. Taki rejestr ogranicza ryzyko niespójnych wyjaśnień i pozwala później rzetelnie przeanalizować protokół.
Jakie uprawnienia mają kontrolerzy UODO?
Zakres uprawnień jest szeroki, ale wiąże się z przedmiotem wskazanym w upoważnieniu. Na podstawie art. 84 ustawy kontrolujący może między innymi:
- wejść od godziny 6.00 do 22.00 na grunt oraz do budynków, lokali i innych pomieszczeń,
- przeglądać dokumenty oraz informacje bezpośrednio związane z kontrolą,
- przeprowadzać oględziny miejsc, przedmiotów, urządzeń, nośników i systemów informatycznych,
- żądać pisemnych albo ustnych wyjaśnień,
- przesłuchiwać osoby w charakterze świadków,
- zlecać przygotowanie ekspertyz i opinii.
Kontrolowany powinien zapewnić warunki umożliwiające wykonanie tych czynności. Nie oznacza to jednak, że przekazywanie materiałów ma odbywać się bez żadnego porządku. Każdy dokument warto oznaczyć, skopiować i przypisać do konkretnego żądania. Jeśli pytanie wykracza poza zrozumiały zakres upoważnienia, należy poprosić o doprecyzowanie, zamiast odpowiadać na podstawie przypuszczeń.
Dokumenty podczas kontroli UODO. Co należy przygotować?
Nie istnieje jeden identyczny pakiet dokumentów dla każdej organizacji. Zakres zależy od rodzaju działalności, danych i przedmiotu kontroli. W praktyce firma powinna potrafić szybko przedstawić co najmniej dokumentację opisującą najważniejsze procesy i sposób realizacji zasady rozliczalności.
Najczęściej potrzebne są:
- rejestr czynności przetwarzania oraz rejestr kategorii czynności prowadzony przez procesora,
- klauzule informacyjne i dowody ich przekazywania,
- zestawienie podstaw prawnych przetwarzania,
- polityki ochrony danych i procedury wewnętrzne,
- upoważnienia do przetwarzania oraz zasady zarządzania dostępami,
- umowy powierzenia i dokumentacja weryfikacji dostawców,
- analiza ryzyka, DPIA, testy równowagi i oceny transferów, jeśli są potrzebne,
- rejestr naruszeń wraz z ocenami ryzyka i działaniami naprawczymi,
- procedura realizacji praw osób oraz rejestr obsłużonych wniosków,
- harmonogram retencji i dowody usuwania danych,
- dokumentacja szkoleń pracowników,
- opis zabezpieczeń, kopii zapasowych, testów bezpieczeństwa i przeglądów uprawnień.
Najważniejsza jest spójność. Rejestr może wskazywać, że dane są usuwane po trzech latach, lecz kontrola może wykazać, że w systemie znajdują się rekordy sprzed dekady. Polityka może przewidywać kwartalne przeglądy dostępów, ale firma powinna dysponować dowodami, że takie przeglądy rzeczywiście wykonano.
Przed kontrolą pomocny jest niezależny audyt zgodności z RODO, który porównuje dokumentację z praktyką i pozwala ustalić priorytety działań naprawczych.
Dokumentacja na papierze to za mało
Praktyka UODO pokazuje, że problemem bywa nie tylko brak dokumentów. W jednej z opublikowanych decyzji organ opisał kontrolę, podczas której stwierdzono brak analizy ryzyka, niespójność polityk z rzeczywistą działalnością, brak dowodów wdrożenia procedur, niepełne szkolenia i nieprawidłowe umowy powierzenia. Kontrolerzy odbierali wyjaśnienia od pracowników oraz prowadzili oględziny pomieszczeń. Decyzja UODO DKN.5112.13.2023
Wniosek dla przedsiębiorcy jest prosty. Dokument powinien opisywać działający proces, a nie model, który istniał w firmie kilka lat wcześniej. Przygotowanie do kontroli powinno więc obejmować rozmowy z właścicielami procesów, sprawdzenie konfiguracji systemów, przegląd przykładowych spraw i porównanie ich z procedurami.
Jak przygotować pracowników i podzielić odpowiedzialność?
Kontrola UODO szybko ujawnia, czy ochrona danych jest częścią zarządzania, czy zadaniem jednej osoby. Zarząd powinien zapewnić zasoby i podejmować decyzje. IOD doradza, monitoruje zgodność i pomaga komunikować się z organem, ale nie przejmuje odpowiedzialności administratora. HR odpowiada za akta, upoważnienia i monitoring pracowniczy. IT przedstawia zabezpieczenia, logi, kopie zapasowe i zarządzanie dostępami. Marketing powinien wykazać źródła danych, podstawy kontaktu oraz sposób dokumentowania zgód i sprzeciwów.
Przed kontrolą warto przeprowadzić krótkie ćwiczenie. Recepcja powinna wiedzieć, kogo zawiadomić. Pracownicy powinni udzielać odpowiedzi zgodnych z faktami, nie zgadywać i nie ukrywać problemów. Jednocześnie wszystkie materiały powinny przechodzić przez ustalony punkt koordynacji.
Organizacje, które nie mają własnego zespołu privacy, mogą korzystać z bieżącego wsparcia w zakresie ochrony danych. Pozwala ono uporządkować odpowiedzialność, dokumentację oraz komunikację jeszcze przed pojawieniem się pisma lub kontrolerów.
Pierwszy dzień kontroli. Praktyczny scenariusz
Wyobraźmy sobie średnią firmę usługową. Kontrolerzy okazują upoważnienia, z których wynika, że kontrola dotyczy legalności działań marketingowych i bezpieczeństwa bazy klientów. Recepcja zawiadamia koordynatora, a ten kontaktuje się z członkiem zarządu, IOD, marketingiem i IT.
Firma zapisuje dane kontrolerów i zakres kontroli. Wyznaczona osoba towarzyszy im podczas czynności. Marketing przygotowuje informacje o źródłach kontaktów, podstawach prawnych, formularzach i sprzeciwach. IT przedstawia uprawnienia do CRM, logi oraz zasady wykonywania kopii. IOD sprawdza spójność wyjaśnień z rejestrem czynności i klauzulami.
Każdy przekazany plik otrzymuje numer. Firma zachowuje jego kopię i odnotowuje datę przekazania. Jeżeli odpowiedź wymaga sprawdzenia, pracownik nie improwizuje. Informuje, że dane zostaną ustalone i przedstawione w uzgodnionej formie. Takie podejście nie polega na utrudnianiu kontroli. Przeciwnie, zapewnia współpracę, porządek i wiarygodność.
Jak przygotować firmę do kontroli UODO? Checklista
| Obszar | Co sprawdzić przed kontrolą | Przykładowy dowód |
|---|---|---|
| Mapa danych | Czy firma wie, jakie dane zbiera, gdzie je przechowuje i komu przekazuje? | Aktualny rejestr czynności i mapa przepływów |
| Podstawy prawne | Czy każdemu celowi przypisano prawidłową podstawę? | Matryca celów i podstaw prawnych |
| Obowiązek informacyjny | Czy klauzule odpowiadają rzeczywistym procesom? | Aktualne klauzule oraz potwierdzenia przekazania |
| Dostawcy | Czy procesorzy zostali zweryfikowani i podpisali właściwe umowy? | Umowy powierzenia, ankiety i oceny dostawców |
| Ryzyko | Czy analiza uwzględnia realne systemy, zagrożenia i środki? | Aktualna analiza ryzyka, DPIA i plan działań |
| Bezpieczeństwo | Czy firma testuje zabezpieczenia i przegląda dostępy? | Raporty z testów, logi, protokoły przeglądów |
| Naruszenia | Czy każde zdarzenie jest oceniane i dokumentowane? | Rejestr naruszeń i decyzje dotyczące zgłoszenia |
| Retencja | Czy dane są faktycznie usuwane po upływie terminów? | Harmonogram retencji i protokoły usuwania |
| Prawa osób | Czy wnioski są obsługiwane terminowo i spójnie? | Rejestr wniosków, odpowiedzi i procedura |
| Pracownicy | Czy personel zna swoje obowiązki i ścieżkę eskalacji? | Upoważnienia, szkolenia i testy wiedzy |
| Organizacja kontroli | Czy wyznaczono reprezentanta i koordynatora? | Procedura kontroli oraz pisemne upoważnienie |
| Przekazywanie dowodów | Czy firma rejestruje wszystkie materiały przekazane UODO? | Dziennik kontroli i kopie dokumentów |
Jeśli w organizacji został powołany IOD, powinien zostać włączony w przygotowanie i przebieg kontroli. W mniejszych firmach rozwiązaniem może być zewnętrzny Inspektor Ochrony Danych, o ile jego rola, niezależność i zakres wsparcia są prawidłowo ukształtowane.
Protokół kontroli UODO i zastrzeżenia
Ustalenia trafiają do protokołu. Dokument zawiera między innymi dane stron, czas i zakres kontroli, opis ustalonego stanu faktycznego, wykaz załączników oraz pouczenie o prawie zgłoszenia zastrzeżeń i odmowie podpisania.
Kontrolowany ma 7 dni od przedstawienia protokołu na jego podpisanie albo złożenie pisemnych zastrzeżeń. Jeżeli zastrzeżenia są zasadne, odpowiednia część protokołu może zostać zmieniona lub uzupełniona aneksem. Brak podpisu i brak zastrzeżeń w terminie jest traktowany jako odmowa podpisania protokołu. Samo niepodpisanie dokumentu nie usuwa jego skutków, dlatego ważniejsza od gestu odmowy jest rzeczowa analiza ustaleń i dowodów.
Kontrola trwa co do zasady nie dłużej niż 30 dni od okazania upoważnienia i dokumentu tożsamości. Do tego okresu nie wlicza się czasu przewidzianego na podpisanie protokołu lub zgłoszenie zastrzeżeń.
Czy kontrola UODO oznacza karę?
Nie. Po wykryciu nieprawidłowości organ może zastosować różne środki, w tym ostrzeżenie, upomnienie, nakaz dostosowania procesu, ograniczenie przetwarzania albo karę finansową. UODO podkreśla, że celem kontroli jest również przywrócenie stanu zgodnego z prawem. Według komunikatu organu w 2025 roku wydano ponad 2 tysiące decyzji administracyjnych, a 32 z nich nakładały kary pieniężne. Kontrola Prezesa UODO nie jest równoznaczna z karą
Nie należy z tego wyciągać wniosku, że ryzyko jest nieistotne. Firma powinna potraktować kontrolę poważnie, ale bez tworzenia atmosfery paniki. Najlepszą strategią jest rzetelna współpraca, szybkie ustalenie faktów, kompletne dowody i gotowość do poprawienia procesów.
Podsumowanie
Dobre przygotowanie do kontroli UODO nie polega na szybkim uzupełnianiu segregatora. Firma musi wykazać, że zna swoje procesy, dobiera podstawy prawne, kontroluje dostawców, zarządza dostępami, usuwa dane i potrafi reagować na naruszenia. Dokumentacja powinna być dowodem działania, a nie jego substytutem.
Największą przewagę daje wcześniejszy przegląd zgodności oraz przećwiczenie procedury. Dzięki temu organizacja wie, kto reprezentuje firmę, gdzie znajdują się materiały, jak odpowiadać na pytania i jak dokumentować przebieg kontroli.
Kontrola UODO w firmie – FAQ
Przepisy nie uzależniają rozpoczęcia kontroli od obowiązkowego wcześniejszego zawiadomienia. Kontrola rozpoczyna się po okazaniu imiennego upoważnienia oraz legitymacji służbowej lub dokumentu tożsamości. W praktyce organ może wcześniej kontaktować się z organizacją, ale firma nie powinna budować procedury na założeniu, że zawsze otrzyma długi czas na przygotowanie. Recepcja i osoby zarządzające powinny wiedzieć, jak zweryfikować kontrolerów i uruchomić wewnętrzną ścieżkę działania.
Zgodnie z art. 89 ustawy o ochronie danych osobowych kontrolę prowadzi się nie dłużej niż 30 dni od okazania upoważnienia oraz legitymacji lub innego dokumentu potwierdzającego tożsamość. Do tego terminu nie wlicza się czasu przeznaczonego na podpisanie i doręczenie protokołu albo zgłoszenie zastrzeżeń. Upoważnienie powinno wskazywać również przewidywany termin zakończenia czynności.
Tak. Ustawa pozwala kontrolującym wejść od godziny 6.00 do 22.00 do budynków, lokali i innych pomieszczeń. Mogą oni prowadzić oględziny urządzeń, nośników oraz systemów informatycznych i teleinformatycznych służących do przetwarzania danych. Czynności powinny pozostawać związane z zakresem kontroli wskazanym w imiennym upoważnieniu.
Tak. Kontrolujący może żądać ustnych lub pisemnych wyjaśnień, a także przesłuchiwać osoby w charakterze świadków, jeśli jest to potrzebne do ustalenia stanu faktycznego. Ustawa wprost dopuszcza przesłuchanie pracownika, przy czym za pracownika uznaje także osobę wykonującą pracę na podstawie umowy cywilnoprawnej. Dlatego szkolenie przed kontrolą powinno koncentrować się na faktach, procedurach i ścieżce eskalacji, a nie na przygotowywaniu wyuczonych odpowiedzi.
Administrator i podmiot przetwarzający mają obowiązek współpracować z organem nadzorczym. Kontrolujący może żądać materiałów bezpośrednio związanych z zakresem kontroli. Bezpodstawne utrudnianie czynności może pogorszyć sytuację organizacji. Firma może natomiast porządkować przekazywanie dowodów, prowadzić ich rejestr oraz prosić o doprecyzowanie żądania, zwłaszcza gdy nie jest jasne, w jaki sposób dany materiał wiąże się z przedmiotem kontroli.
IOD powinien wspierać organizację wiedzą, monitorować zgodność, pomagać w komunikacji z UODO i wskazywać ryzyka. Nie zastępuje jednak administratora ani zarządu i nie powinien ponosić odpowiedzialności za decyzje biznesowe dotyczące celów oraz sposobów przetwarzania. Podczas kontroli może pomóc wyjaśnić dokumentację, historię analiz i sposób realizowania zaleceń, zachowując niezależność swojej funkcji.
