Wybór zewnętrznego Inspektora Ochrony Danych to decyzja na lata — a rynek jest pełen ofert od 300 zł do kilkunastu tysięcy miesięcznie, które nazywają się tak samo, a oznaczają zupełnie co innego. Dobrą firmę IOD poznasz po trzech rzeczach: realnej dostępności inspektora (nie „figuranta” wpisanego w setce organizacji), zakresie obejmującym obsługę naruszeń i kontroli w cenie oraz doświadczeniu w Twojej branży. Poniżej pełna checklista: kryteria, pytania, które warto zadać każdemu oferentowi, i sygnały ostrzegawcze.
Zanim zaczniesz porównywać oferty — ustal swoje potrzeby
Nie każda organizacja potrzebuje tego samego. Przed rozmowami z firmami odpowiedz sobie na cztery pytania: Czy masz obowiązek powołania IOD, czy robisz to dobrowolnie (sprawdź w przewodniku jak powołać IOD)? Jakie dane przetwarzasz — zwykłe czy też szczególnych kategorii (zdrowie, biometria)? Ile masz spółek, lokalizacji i procesów wysokiego ryzyka? Czy podlegasz dodatkowym regulacjom (NIS2, DORA, przepisy sektorowe)? Odpowiedzi zdecydują, czy wystarczy Ci podstawowy abonament, czy potrzebujesz zespołu łączącego RODO z cyberbezpieczeństwem.
7 kryteriów wyboru firmy do outsourcingu IOD
1. Realna dostępność inspektora
Najważniejsze i najczęściej pomijane kryterium. Zapytaj wprost: w ilu organizacjach ten konkretny inspektor pełni funkcję? Prezes UODO wielokrotnie podkreślał, że IOD musi mieć faktyczną możliwość wykonywania zadań — inspektor „obsługujący” 150 podmiotów fizycznie nie jest w stanie znać żadnego z nich. A odpowiedzialność za fikcyjność funkcji ponosi administrator, czyli Ty.
2. Zakres abonamentu — zwłaszcza incydenty i kontrole
Kluczowe pytanie: co się dzieje, gdy wydarzy się naruszenie albo przyjdzie kontrola UODO? W rzetelnych ofertach obsługa naruszeń (ocena ryzyka, zgłoszenie w 72 godziny, komunikacja z osobami) i wsparcie podczas kontroli są w cenie. W ofertach „budżetowych” to płatne ekstra — czyli płacisz dodatkowo w najgorszym możliwym momencie, bez pola negocjacji.
3. Kompetencje zespołu, nie tylko jednej osoby
Funkcja IOD nie może mieć przerwy — urlop, choroba czy odejście inspektora nie zwalniają organizacji z obowiązków. Firma z zespołem zapewnia zastępowalność i szersze kompetencje: prawnik, specjalista ds. bezpieczeństwa IT i praktyk compliance widzą różne ryzyka. Zapytaj, kto konkretnie będzie Twoim inspektorem i kto go zastępuje.
4. Doświadczenie w Twojej branży
Szpital, szkoła, e-commerce i software house mają zupełnie inne ryzyka i inne przepisy sektorowe. Poproś o przykłady obsługiwanych organizacji podobnych do Twojej i o to, jakie problemy typowe dla branży firma rozwiązywała.
5. Znajomość regulacji poza RODO
Jeśli podlegasz NIS2, DORA albo planujesz projekty AI — IOD ograniczony wyłącznie do RODO będzie za wąski. Coraz częściej ochrona danych, cyberbezpieczeństwo i zgodność regulacyjna to jeden system, nie trzy osobne.
6. Sposób pracy: proaktywny czy reaktywny
Zapytaj, jak wygląda typowy miesiąc współpracy. Dobra odpowiedź zawiera: regularne przeglądy, monitorowanie zmian w prawie, raportowanie do zarządu, szkolenia. Zła odpowiedź sprowadza się do „odpowiadamy na Państwa pytania” — czyli jeśli nie pytasz, nic się nie dzieje.
7. Przejrzystość ceny
Rzetelna firma potrafi wyjaśnić, z czego wynika wycena (skala, ryzyko, liczba procesów) i co dokładnie obejmuje. Orientacyjne widełki rynkowe: od ok. 1500 zł netto/mc dla małych podmiotów publicznych, ok. 2000 zł dla małych firm, 4000–5000 zł dla średnich organizacji, od 5000 zł dla podmiotów regulowanych — pełen rozkład znajdziesz w artykule ile kosztuje zewnętrzny IOD.
10 pytań, które warto zadać każdemu oferentowi
- W ilu organizacjach pełni funkcję inspektor, który będzie nam przydzielony?
- Kto zastępuje inspektora podczas urlopu lub choroby?
- Czy obsługa naruszenia (ocena, zgłoszenie do UODO, zawiadomienia osób) jest w cenie abonamentu?
- Czy wsparcie podczas kontroli UODO jest w cenie? Czy inspektor będzie obecny osobiście?
- Jak szybko reagujecie na pilne zgłoszenie (incydent, żądanie organu)?
- Co obejmuje audyt otwarcia i czy jest wliczony w abonament?
- Jakie organizacje z naszej branży obsługujecie?
- Jak wygląda typowy miesiąc współpracy, gdy „nic się nie dzieje”?
- Czy wspieracie też NIS2 / DORA / projekty AI, jeśli nas dotyczą?
- Jak wygląda przejęcie funkcji po naszym obecnym IOD i ile trwa?
Czerwone flagi — kiedy odpuścić ofertę
IOD za 300–500 zł miesięcznie. Za tę kwotę nie da się rzetelnie wykonywać zadań z art. 39 RODO. To model „figuranta”: wpis do rejestru, komplet szablonów i cisza do pierwszej kontroli. Ryzyko zostaje w całości po Twojej stronie.
Brak konkretnej osoby. Jeśli firma nie potrafi powiedzieć, KTO będzie Twoim inspektorem — funkcję pełni „skrzynka mailowa”, nie człowiek.
Wszystko ekstra płatne. Naruszenie? Dopłata. Kontrola? Dopłata. Szkolenie? Dopłata. Niska cena bazowa to iluzja — realny koszt poznasz przy pierwszym problemie.
Gwarancje „100% zgodności z RODO”. Zgodność to proces, nie certyfikat. Poważna firma mówi o ograniczaniu ryzyka, nie o gwarancjach niemożliwych do spełnienia.
Szablonowa dokumentacja bez audytu. Jeśli oferent chce „wdrożyć dokumenty” bez poznania Twoich procesów — dostaniesz segregator, który nie przetrwa pierwszej kontroli ani pierwszego incydentu.
Etat, konsultant czy outsourcing — szybkie porównanie
| Kryterium | IOD na etacie | Konsultant RODO (projektowo) | Outsourcing IOD |
|---|---|---|---|
| Koszt miesięczny | pełny koszt etatu + szkolenia | płatność za projekt/godziny | abonament 1500–5000+ zł |
| Formalne pełnienie funkcji IOD | tak | zwykle nie | tak |
| Ciągłość (urlopy, choroby) | problem | nie dotyczy | zespół zapewnia zastępstwo |
| Ryzyko konfliktu interesów | wysokie przy łączeniu stanowisk | niskie | niskie |
| Doświadczenie z wielu organizacji | ograniczone | zależy | tak — z wielu kontroli i incydentów |
| Dla kogo | duże organizacje z intensywnym przetwarzaniem | jednorazowe projekty | większość MŚP i podmiotów regulowanych |
Co to oznacza w praktyce?
Porównuj zakresy, nie ceny. Poproś dwóch–trzech oferentów o odpowiedź na 10 pytań z tej listy — różnice, które zobaczysz, powiedzą Ci więcej niż każda strona ofertowa. I pamiętaj o teście z pierwszego kryterium: firma, która nie chce powiedzieć, w ilu organizacjach działa Twój przyszły inspektor, właśnie odpowiedziała na najważniejsze pytanie.
Najczęstsze pytania
Czy można zmienić firmę świadczącą usługę IOD w trakcie roku?
Tak — funkcja IOD nie jest przypisana do dostawcy na stałe. Dobra firma przejmująca funkcję zadba o ciągłość: dokumentację, otwarte sprawy i aktualizację zgłoszenia w UODO.
Czy zewnętrzny IOD może być z innego miasta?
Może — obsługa jest w dużej mierze zdalna. Obecność lokalna ma znaczenie przy audytach na miejscu, szkoleniach stacjonarnych i kontrolach; dla firm z Warszawy oferujemy pełną obsługę stacjonarną.
Czy najtańsza oferta zawsze jest zła?
Nie zawsze — dla mikrofirmy o bardzo prostych procesach niski abonament może być adekwatny. Czerwoną flagą jest nie cena sama w sobie, lecz cena oderwana od zakresu.
Ile trwa wybór i wdrożenie zewnętrznego IOD?
Rozsądny proces: 1–2 tygodnie na porównanie ofert, umowa (u nas w 24 h od akceptacji), audyt otwarcia w pierwszych tygodniach współpracy.
Sprawdź nas według tej listy
Najlepszy test tego przewodnika? Zadaj nam te 10 pytań. Zobacz outsourcing funkcji IOD w M3M albo umów bezpłatną konsultację — odpowiemy na każde, łącznie z tym, w ilu organizacjach działa Twój przyszły inspektor.