Kontrola UODO trwa maksymalnie 30 dni i może zacząć się bez uprzedzenia. Kontrolujący mają prawo wejść do Waszych pomieszczeń między 6:00 a 22:00, przejrzeć dokumentację, obejrzeć systemy informatyczne i żądać wyjaśnień od pracowników. Kończy się protokołem, do którego macie 7 dni na podpisanie albo złożenie zastrzeżeń. Do przygotowania są trzy rzeczy: aktualna dokumentacja RODO, jedna osoba odpowiedzialna za kontakt z urzędem i przeszkolony zespół, który wie, czego nie mówić.
Skąd bierze się kontrola UODO?
Kontrola wynika albo z rocznego planu kontroli Prezesa UODO (urząd publikuje sektory, którym przygląda się w danym roku), albo jest doraźna — na podstawie informacji, które dotarły do urzędu. Ten drugi tryb jest w praktyce częstszy i ma trzy typowe źródła:
- Skarga osoby, której dane dotyczą — najczęstszy scenariusz. Nieudzielona odpowiedź na wniosek o dostęp do danych, marketing bez zgody, odmowa usunięcia danych.
- Wasze własne zgłoszenie naruszenia — zgłoszenie w ciągu 72 godzin jest obowiązkiem, ale urząd może po nim przyjrzeć się całej organizacji.
- Doniesienia medialne lub sygnał od innego organu — wyciek opisany w prasie potrafi uruchomić kontrolę bez żadnej skargi.
Podstawa prawna kontroli doraźnej — art. 78 ust. 2 ustawy o ochronie danych osobowych — nie przewiduje obowiązku wcześniejszego zawiadomienia. Założenie „dowiemy się tydzień wcześniej i wtedy uporządkujemy papiery” jest więc błędne.
Jak przebiega kontrola — 5 etapów
1. Okazanie legitymacji i upoważnienia. Kontrolujący rozpoczyna od okazania legitymacji służbowej i imiennego upoważnienia do kontroli. Warto od razu spisać: kto kontroluje, numer i zakres upoważnienia oraz datę — od tego momentu liczy się termin 30 dni.
2. Czynności kontrolne. Art. 84 ust. 1 ustawy daje kontrolującym prawo wstępu do pomieszczeń w godzinach 6:00–22:00, wglądu do dokumentów i danych objętych zakresem kontroli, przeprowadzenia oględzin miejsc, urządzeń i systemów informatycznych, żądania wyjaśnień ustnych i pisemnych oraz powołania biegłego. W praktyce oznacza to również pokazanie, jak faktycznie działają uprawnienia w systemach — nie tylko dokumentu, który je opisuje.
3. Wyjaśnienia pracowników. Kontrolujący może przesłuchać osoby, które mają wiedzę o kontrolowanych procesach. To najczęstsze źródło problemów: pracownik chcąc być pomocny opowiada o praktykach, których nie ma w żadnej procedurze.
4. Protokół kontroli. Sporządzany w dwóch egzemplarzach (art. 88 ust. 9). Macie 7 dni na podpisanie protokołu albo złożenie pisemnych zastrzeżeń. Brak reakcji w tym terminie traktuje się jak odmowę podpisania — kontrolujący czyni o tym adnotację i postępowanie i tak toczy się dalej. To realna szansa na skorygowanie ustaleń faktycznych, więc nie należy jej marnować.
5. Co dalej. Kontrola sama nie kończy się karą — jest materiałem dowodowym. Na jej podstawie Prezes UODO może umorzyć sprawę, udzielić upomnienia, nakazać określone działania (np. usunięcie danych, zmianę procedur) albo nałożyć administracyjną karę pieniężną — do 20 mln euro lub 4% rocznego obrotu, w zależności od naruszenia.
Co kontrolujący sprawdzają najczęściej
- Rejestr czynności przetwarzania — czy istnieje, czy jest aktualny i czy odpowiada temu, co firma robi w rzeczywistości.
- Podstawy prawne przetwarzania — dla każdego procesu, ze szczególną uwagą na zgody i uzasadniony interes.
- Obowiązek informacyjny — treść i moment przekazania klauzul, także w formularzach i systemach.
- Umowy powierzenia — czy są z każdym podmiotem przetwarzającym i czy odpowiadają art. 28 RODO.
- Uprawnienia i dostępy w systemach — kto ma dostęp do jakich danych i czy zakres wynika z roli.
- Retencja — czy dane są usuwane po upływie okresu przechowywania, czy tylko formalnie „zaplanowano” ich usunięcie.
- Rejestr naruszeń i procedura reagowania — wraz z dowodami, że była realnie stosowana.
- Wyznaczenie i pozycja IOD — zgłoszenie do UODO, dane kontaktowe, brak konfliktu interesów, faktyczne włączanie inspektora w decyzje.
- Rozliczalność — dokumentacja szkoleń, analizy ryzyka, oceny skutków (DPIA).
Czego nie robić w trakcie kontroli
Nie utrudniać. Art. 108 ustawy o ochronie danych osobowych przewiduje za udaremnianie lub utrudnianie kontroli grzywnę, karę ograniczenia wolności albo pozbawienia wolności do lat dwóch. To odpowiedzialność karna, niezależna od kar administracyjnych — i dotyczy konkretnych osób, nie firmy.
Nie tworzyć dokumentów z datą wsteczną. Systemy zostawiają metadane, a kontrolujący o nich wiedzą. Brak procedury jest problemem; sfałszowana procedura jest problemem znacznie większym.
Nie improwizować w wyjaśnieniach. Na pytania odpowiada wyznaczona osoba, w oparciu o fakty. „Nie wiem, sprawdzę i przekażę na piśmie” to poprawna i bezpieczna odpowiedź — w przeciwieństwie do domysłów.
Nie zostawiać kontrolujących bez opieki przy systemach i dokumentach. Nie chodzi o utrudnianie, a o to, by wiedzieć, co dokładnie zostało okazane i mieć to w swoich notatkach.
Jak przygotować firmę, zanim UODO się zgłosi
- Zrób przegląd dokumentacji pod kątem zgodności ze stanem faktycznym — nie odwrotnie. Rejestr, który nie opisuje realnych procesów, jest dowodem przeciwko Wam.
- Wskaż jedną osobę do kontaktu z urzędem i jej zastępcę. Zwykle jest to inspektor ochrony danych.
- Przeszkol zespół z samej sytuacji kontroli: kto wpuszcza kontrolujących, kogo natychmiast informuje, kto odpowiada na pytania.
- Przygotuj „teczkę kontrolną” — rejestr czynności, polityki, umowy powierzenia, rejestr naruszeń, dowody szkoleń, analizy ryzyka. Zebrane w jednym miejscu i aktualne.
- Sprawdź uprawnienia w systemach. To obszar, w którym rozbieżność między dokumentem a rzeczywistością wychodzi najszybciej.
- Przeprowadź audyt wewnętrzny albo zewnętrzny zanim zrobi to urząd — z listą działań naprawczych i terminami. Rozpoczęte działania naprawcze są okolicznością, którą organ bierze pod uwagę.
Najczęstsze pytania o kontrolę UODO
Czy UODO zawiadamia o kontroli z wyprzedzeniem?
Nie musi. Kontrola doraźna, prowadzona na podstawie informacji uzyskanych przez Prezesa Urzędu, może rozpocząć się bez uprzedzenia. Kontrole planowe wynikają z rocznego planu kontroli, ale i one nie oznaczają indywidualnego zawiadomienia z góry.
Jak długo może trwać kontrola?
Nie dłużej niż 30 dni od okazania upoważnienia (art. 89 ust. 1 ustawy o ochronie danych osobowych). Nie znaczy to 30 dni obecności kontrolujących w siedzibie — czynności mogą być rozłożone w tym okresie.
Czy muszę podpisać protokół kontroli?
Nie ma takiego obowiązku, ale odmowa niczego nie wstrzymuje — kontrolujący czyni adnotację i sprawa toczy się dalej. Znacznie lepszym wyjściem jest złożenie w ciągu 7 dni pisemnych zastrzeżeń do ustaleń, które uważacie za nieprawidłowe.
Czy kontrola zawsze kończy się karą?
Nie. Protokół to materiał dowodowy. Prezes UODO może umorzyć postępowanie, udzielić upomnienia, nakazać konkretne działania albo nałożyć karę pieniężną — do 20 mln euro lub 4% rocznego obrotu. Skala zależy od charakteru naruszenia, jego skutków i tego, czy organizacja współpracowała.
Czy IOD musi być obecny przy kontroli?
Przepisy tego nie nakazują, ale w praktyce inspektor jest osobą najlepiej przygotowaną do prowadzenia kontaktu z urzędem — zna procesy, dokumentację i historię decyzji. Jego nieobecność zwykle wydłuża kontrolę i zwiększa ryzyko nieścisłości w wyjaśnieniach.
Chcesz sprawdzić, jak wypadłaby kontrola u Was?
Najtańszy moment na wykrycie luk to ten przed przyjściem urzędu. Robimy audyt zgodności z RODO właśnie w tej logice: sprawdzamy dokumentację wobec stanu faktycznego, wskazujemy niezgodności i przygotowujemy listę działań naprawczych z priorytetami. Przy stałej współpracy jako zewnętrzny inspektor ochrony danych prowadzimy też kontakt z urzędem i jesteśmy obecni przy kontroli. Umów bezpłatną konsultację — powiemy wprost, gdzie widzimy największe ryzyko.
