Kto może przeprowadzić audyt RODO i ile to kosztuje?

Audyt RODO może przeprowadzić każdy — prawo nie tworzy zawodu „audytora RODO”, nie ma państwowej licencji ani obowiązkowego certyfikatu. Dlatego jakość ofert na rynku rozjeżdża się skrajnie, a cena waha się od kilkuset złotych za wypełnioną ankietę do kilkudziesięciu tysięcy za audyt grupy kapitałowej. Rzetelny audyt podstawowy zaczyna się od ok. 4 000 zł netto i trwa od 1 do 4 tygodni. O wartości decyduje nie certyfikat wykonawcy, a metoda: czy ktoś rozmawia z działami i sprawdza systemy, czy tylko przesyła formularz do samodzielnego wypełnienia.

Kto może przeprowadzić audyt RODO?

RODO nie reguluje, kto ma prawo audytować — nie istnieje ustawowy zawód audytora ochrony danych ani wymóg posiadania certyfikatu. Rozporządzenie nakłada natomiast na administratora obowiązek regularnego testowania, mierzenia i oceniania skuteczności zastosowanych środków (art. 32 ust. 1 lit. d), a monitorowanie przestrzegania przepisów, wraz z powiązanymi audytami, należy do zadań inspektora ochrony danych (art. 39 ust. 1 lit. b). Audyt jest więc obowiązkiem funkcjonalnym, choć przepis nie mówi, kto ma go wykonać.

W praktyce audyt prowadzi jedna z czterech grup:

• Wewnętrzny inspektor ochrony danych — zna organizację, ale bywa zbyt blisko, żeby zauważyć własne przyzwyczajenia; jego audyt ma też ograniczoną wagę wobec kontrahentów i organu.
• Zewnętrzna firma lub kancelaria — wnosi porównanie z rynkiem i niezależne spojrzenie, ale trzeba zweryfikować, czy nie zatrzymuje się na dokumentach.
• Audytor wewnętrzny (w większych organizacjach) — dobrze rozumie procesy i ryzyko, zwykle potrzebuje wsparcia merytorycznego w części technicznej.
• Firma IT — sprawdzi zabezpieczenia i systemy, ale nie oceni podstaw prawnych, retencji ani realizacji praw osób. To audyt bezpieczeństwa, nie audyt RODO.

Kluczowe kryterium to niezależność. Nikt nie powinien audytować efektów własnej pracy: jeżeli dokumentację napisał ten sam podmiot, który teraz ocenia jej jakość, wynik jest z góry przewidywalny. Z tego samego powodu audyt zamawiany „na potrzeby zarządu” warto zlecać na zewnątrz — sprawdzenie dotychczasowego IOD lub poprzedniego dostawcy to jedna z najczęstszych przesłanek audytu.

Ile kosztuje audyt RODO i od czego zależy cena?

Punkt wyjścia: od ok. 4 000 zł netto za audyt podstawowy w małej lub średniej organizacji, z raportem zawierającym ocenę ryzyka i priorytety działań. Czas realizacji to zwykle 1–2 tygodnie dla małej firmy i 3–4 tygodnie dla średniej lub wielooddziałowej.

Cenę podnoszą przede wszystkim:

• liczba procesów przetwarzania — inaczej wygląda firma usługowa z pięcioma procesami, inaczej podmiot medyczny z trzydziestoma,
• liczba systemów i lokalizacji — każdy system to osobne uprawnienia, kopie i retencja do sprawdzenia,
• dane szczególnych kategorii — zdrowie, biometria, dane pracownicze o podwyższonej wrażliwości,
• struktura grupy — spółki powiązane, wspólne systemy, przepływy między podmiotami,
• transfery poza EOG — weryfikacja mechanizmów i dokumentacji transferowej,
• zakres części technicznej — czy audyt obejmuje testy zabezpieczeń, czy tylko ocenę organizacyjną.

Uwaga na oferty 500–1 500 zł. Za tę kwotę nie da się przeprowadzić rozmów z działami, obejrzeć systemów i przygotować raportu z oceną ryzyka. Zwykle otrzymuje się ankietę do samodzielnego wypełnienia i wygenerowany na jej podstawie dokument. Formalnie jest audyt, praktycznie — nic się nie zmieniło, a organizacja żyje w przekonaniu, że temat jest zamknięty. To najdroższy możliwy wariant, bo koszt wychodzi dopiero przy kontroli albo naruszeniu.

Rodzaje audytu — nie każdy audyt to to samo

1. Audyt zgodności (pełny). Przegląd całej organizacji: procesy i podstawy prawne, dokumentacja, realizacja praw osób, bezpieczeństwo, retencja, gotowość na incydenty. Kończy się raportem z priorytetami. To domyślny wybór, gdy nie wiadomo, gdzie się stoi.

2. Audyt punktowy. Jeden obszar zbadany głęboko — najczęściej retencja, marketing i zgody, procesy HR albo monitoring. Sensowny, gdy reszta jest uporządkowana, a problem jest znany.

3. Audyt przed kontrolą lub po incydencie. Zakres podyktowany konkretnym ryzykiem: przygotowanie dokumentacji, spójność wyjaśnień, uzupełnienie braków przed przyjściem urzędu. Jak wygląda sama kontrola, opisujemy w artykule o tym, jak przebiega kontrola UODO i jak się przygotować.

4. Audyt dostawcy. Art. 28 ust. 3 lit. h RODO daje administratorowi prawo audytowania podmiotu przetwarzającego — również w formie inspekcji. Coraz częściej to kontrahent wymaga takiego audytu od Was, przysyłając ankietę bezpieczeństwa.

5. Przegląd cykliczny. Krótszy audyt powtarzany zwykle dwa razy w roku, żeby wychwycić zmiany: nowe systemy, nowe procesy, rotację w zespołach. Utrzymuje zgodność, zamiast odbudowywać ją co kilka lat od zera.

Czego wymagać w raporcie z audytu

Raport jest jedynym trwałym produktem audytu — po nim ocenia się, czy było warto. Powinien zawierać:

• listę konkretnych niezgodności, każda z odniesieniem do przepisu i opisem stanu faktycznego, nie ogólne „zaleca się uporządkowanie dokumentacji”,
• ocenę ryzyka — co grozi w razie kontroli lub naruszenia, dla każdej niezgodności,
• priorytety i terminy — co zrobić w pierwszej kolejności, a co może poczekać,
• wskazanie osoby lub działu odpowiedzialnego za każde działanie naprawcze,
• opis metody — z kim rozmawiano, co obejrzano, jakie próbki sprawdzono; to odróżnia audyt od ankiety,
• materiał dla zarządu — podsumowanie językiem ryzyka i kosztu, nie tylko językiem przepisów.

Dobrze wykonany raport jest jednocześnie dowodem rozliczalności: pokazuje, że organizacja badała skuteczność swoich środków, a to jedna z okoliczności, które organ nadzorczy bierze pod uwagę.

Czerwone flagi w ofertach audytu

• Audyt oparty wyłącznie na ankiecie wypełnianej przez klienta — sprawdza wiedzę wypełniającego, nie stan organizacji.
• Cena bez pytania o skalę — jeśli oferent nie pyta o liczbę procesów, systemów i lokalizacji, wycenia szablon.
• „Gwarancja zgodności z RODO” albo certyfikat zgodności po audycie — nikt uczciwy tego nie obiecuje, zgodność to proces.
• Ten sam podmiot tworzył dokumentację i teraz ją ocenia — brak niezależności unieważnia wynik.
• Brak części technicznej przy audycie firmy, która przetwarza dane w wielu systemach.
• Raport bez priorytetów — dwieście uwag równej wagi to lista, z którą nikt nic nie zrobi.

Najczęstsze pytania o audyt RODO

Zastanawiasz się, od czego zacząć?

Prowadzimy audyt zgodności z RODO metodą rozmów, oględzin i próbek — nie ankietą do samodzielnego wypełnienia. Kończy się raportem z oceną ryzyka i priorytetami, po którym wiadomo, czy potrzebne jest pełne wdrożenie RODO, czy wystarczą punktowe poprawki. Umów bezpłatną konsultację — po krótkiej rozmowie podamy konkretną wycenę i termin.