Kontrola UODO w firmie: jak się przygotować?

Czy Twoja firma przejdzie kontrolę UODO? Checklista gotowości

Kontrolę Urzędu Ochrony Danych Osobowych może wszcząć u Ciebie w każdej chwili, na podstawie planu kontroli, skargi klienta albo zgłoszonego naruszenia – bez względu na wielkość firmy. Kontrolerzy sprawdzają wtedy konkretne dokumenty i procedury: podstawę prawną przetwarzania danych, klauzule informacyjne, rejestr czynności przetwarzania, umowy powierzenia z dostawcami i sposób zabezpieczenia danych. Poniżej checklista, która pokazuje, co dokładnie warto mieć przygotowane, zanim ta kontrola się pojawi.

Kontrola UODO w firmie – najważniejsze informacje

• Kontrolę prowadzi Prezes UODO na podstawie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (rozdział 9, art. 78–91) – kontrolerzy działają na podstawie imiennego upoważnienia i mogą wejść na teren firmy w godzinach 6:00–22:00.
• Kontrola planowa trwa co do zasady nie dłużej niż 30 dni, ale kontrola wynikająca ze skargi albo zgłoszonego naruszenia może zacząć się praktycznie bez zapowiedzi.
• Po kontroli powstaje protokół – masz 7 dni na jego podpisanie albo zgłoszenie pisemnych zastrzeżeń.
• Najczęściej wykrywanym uchybieniem jest brak albo niewłaściwa podstawa prawna przetwarzania danych (art. 6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych, czyli RODO), zaraz obok braku albo nieaktualnego rejestru czynności przetwarzania i braku umów powierzenia z dostawcami.
• Kary administracyjne z art. 83 RODO sięgają, w zależności od wagi naruszenia, do 10 mln euro (albo 2% obrotu) lub do 20 mln euro (albo 4% obrotu) – w 2025 r. UODO nałożył łącznie ok. 64,5 mln zł sankcji (wg danych UODO cytowanych w mediach branżowych, 2025).

Dla kogo jest ten artykuł?

Ten artykuł jest dla Ciebie, jeśli prowadzisz firmę przetwarzającą dane osobowe klientów albo pracowników – czyli praktycznie każdą organizację – i zastanawiasz się, czy przetrwałaby kontrolę Urzędu Ochrony Danych Osobowych, gdyby przyszła jutro. Jako administrator danych odpowiadasz za zgodność z RODO w całej swojej organizacji, nie tylko za sam dokument polityki prywatności na stronie. Może pomyślisz sobie: przecież mam RODO wdrożone, więc chyba jestem bezpieczny. Już odpowiadam, dlaczego to nie zawsze wystarcza: kontrolerzy nie sprawdzają, czy dokument istnieje, tylko czy administrator faktycznie przestrzega przepisów na co dzień.

Jak przebiega kontrola UODO krok po kroku?

Kontrola zaczyna się od okazania przez kontrolującego imiennego upoważnienia wydanego przez Prezesa UODO. Upoważnienie musi wskazywać między innymi podstawę prawną kontroli, dane kontrolującego, nazwę kontrolowanego podmiotu, zakres przedmiotowy oraz przewidywany termin zakończenia czynności – co oznacza, że masz prawo dokładnie wiedzieć, czego kontrola dotyczy, zanim zaczniesz cokolwiek udostępniać.

Kontrola może wynikać z trzech źródeł: rocznego planu kontroli zatwierdzonego przez Prezesa UODO, skargi osoby, której dane dotyczą, albo bieżącego monitorowania zgodności z RODO, na przykład po zgłoszonym naruszeniu ochrony danych. Kontrola planowa zwykle daje Ci czas na przygotowanie, kontrola skargowa może zacząć się znacznie szybciej.

Kontrolujący ma prawo wejść na teren i do pomieszczeń firmy w godzinach od 6:00 do 22:00, żądać dostępu do dokumentów, systemów informatycznych i nośników danych, a także przesłuchiwać pracowników w charakterze świadków.

Sam czas trwania kontroli co do zasady nie przekracza 30 dni od okazania upoważnienia – ten termin nie obejmuje czasu na podpisanie protokołu ani na zgłoszenie do niego zastrzeżeń. Po zakończeniu czynności kontrolnych powstaje protokół kontroli, a Ty masz 7 dni na jego podpisanie albo zgłoszenie pisemnych zastrzeżeń. Brak podpisu bez zastrzeżeń traktowany jest jak odmowa podpisania, ale sam protokół i tak pozostaje ważny.

Czym różni się kontrola sektorowa od kontroli konkretnej firmy?

Obok kontroli wynikających z indywidualnej skargi czy zgłoszonego naruszenia, Prezes UODO prowadzi też kontrole sektorowe – zaplanowane z wyprzedzeniem sprawdzenia całej branży albo konkretnego typu przetwarzania danych, wynikające z rocznego planu kontroli sektorowych zatwierdzonego przez organ nadzorczy. W planie kontroli sektorowych UODO na 2026 r. znalazły się między innymi: monitoring wizyjny w placówkach medycznych, przetwarzanie danych osobowych przez platformy pośredniczące w dostawach online oraz podstawy prawne wykorzystywania danych do celów marketingowych – to kontynuacja kierunków wyznaczonych już w kontrolach z 2025 r.

Jeśli Twoja firma działa w jednej z branż objętych aktualnym planem kontroli sektorowych, warto potraktować to jako sygnał, żeby przejrzeć dokumentację wcześniej, nie czekając na indywidualne wezwanie. Jeśli nie działasz w żadnej z tych branż, to nie znaczy, że jesteś zwolniona z gotowości – kontrola prezesa UODO może wynikać też ze skargi klienta albo zgłoszonego naruszenia, niezależnie od planu sektorowego.

Co dokładnie sprawdzają kontrolerzy?

Z praktyki widzę, że kontrolerzy Urzędu Ochrony Danych Osobowych trzymają się dość przewidywalnej listy dokumentów i procedur – to nie jest przypadkowy audyt, tylko sprawdzenie, czy administrator danych faktycznie przestrzega konkretnych obowiązków wynikających z RODO, nie tylko deklaruje zgodność z RODO na papierze.

• Podstawa prawna przetwarzania danych (art. 6 RODO) – czy każdy proces przetwarzania (marketing, rekrutacja, obsługa klienta) ma jasno wskazaną podstawę, a jeśli to zgoda, czy została zebrana świadomie i dobrowolnie, nie przez domyślnie zaznaczony checkbox.
• Realizacja obowiązku informacyjnego (art. 13–14 RODO) – czy klauzule informacyjne są aktualne i faktycznie trafiają do osób, których dane dotyczą, w momencie zbierania danych.
• Rejestr czynności przetwarzania (art. 30 RODO) – czy istnieje, czy jest aktualny i czy faktycznie odzwierciedla to, co dzieje się w firmie, a nie stan sprzed dwóch lat. Zwolnienie z tego obowiązku dla podmiotów zatrudniających mniej niż 250 osób (art. 30 ust. 5 RODO) w praktyce rzadko ma zastosowanie, bo nie obejmuje przetwarzania, które nie jest sporadyczne, ani danych szczególnych kategorii.
• Umowy powierzenia przetwarzania danych (art. 28 RODO) – czy są podpisane ze wszystkimi dostawcami, którzy w Twoim imieniu przetwarzają dane: hostingiem, narzędziem do mailingu, biurem rachunkowym, dostawcą chatbota czy innego narzędzia AI. Więcej o umowach powierzenia przy narzędziach AI pisałam w tekście AI na stronie internetowej – oznaczanie, RODO i poufność danych.
• Środki techniczne i organizacyjne bezpieczeństwa (art. 32 RODO) – czy dostęp do danych mają tylko upoważnione osoby, czy dane są odpowiednio zabezpieczone technicznie.
• Procedura zgłaszania naruszeń (art. 33–34 RODO) – czy firma wie, że na zgłoszenie incydentu (naruszenia ochrony danych) do UODO ma 72 godziny od jego stwierdzenia, i czy ma spisaną procedurę reagowania na taki incydent. Pisałam o tym krok po kroku w tekście Doszło do naruszenia ochrony danych osobowych? Jak zgłosić je organowi nadzorczemu.
• Realizacja praw osób, których dane dotyczą – czy firma potrafi w praktyce obsłużyć wniosek o dostęp do danych, sprostowanie, usunięcie czy przeniesienie danych, nie tylko deklaratywnie w polityce prywatności.
• Inspektor ochrony danych (art. 37–39 RODO) – jeśli Twoja działalność wymaga wyznaczenia IOD (np. regularne i systematyczne monitorowanie osób na dużą skalę albo przetwarzanie danych szczególnych kategorii na dużą skalę), kontrolerzy sprawdzą, czy IOD jest wyznaczony, czy jego dane kontaktowe są zgłoszone Prezesowi UODO i opublikowane, oraz czy faktycznie pełni swoje zadania, a nie tylko figuruje na papierze.

To, na ile szczegółowo kontrolerzy wchodzą w każdy z tych obszarów, zależy w praktyce od tego, czy kontrola jest planowa (szerszy zakres, zapowiedziany temat), czy wynika ze skargi konkretnej osoby (wtedy skupia się głównie na sprawie, której skarga dotyczy).

Najczęściej zgłaszają się do mnie  firmy, które chcą się przygotować do kontroli, zanim jakakolwiek kontrola się pojawi – to zdecydowanie łatwiejszy moment na uporządkowanie dokumentacji niż działanie pod presją już trwającej kontroli. Najczęściej brakuje aktualnego rejestru czynności przetwarzania, bo firma go stworzyła raz przy wdrożeniu RODO i od tego czasu nie aktualizowała mimo zmian w narzędziach czy procesach, oraz umów powierzenia z nowymi dostawcami, których po prostu nikt nie dopisał do listy.

Checklista gotowości – co sprawdzić, zanim przyjdzie kontrola

Poniższa lista porządkuje wszystko, co opisałam wyżej, w formie, którą możesz przejść krok po kroku razem ze swoją organizacją.

1. Podstawy prawne przetwarzania – każdy proces (marketing, rekrutacja, sprzedaż, obsługa reklamacji) ma jasno wskazaną podstawę z art. 6 RODO, a zgody są zbierane świadomie, nie przez domyślne zaznaczenie.
2. Klauzule informacyjne – aktualne, dopasowane do każdego miejsca zbierania danych (formularz kontaktowy, formularz zakupu, rekrutacja, newsletter).
3. Rejestr czynności przetwarzania – istnieje, jest aktualny i faktycznie odzwierciedla bieżące procesy w firmie.
4. Umowy powierzenia – podpisane ze wszystkimi dostawcami przetwarzającymi dane w Twoim imieniu, łącznie z narzędziami AI i chatbotami.
5. Zabezpieczenia techniczne i organizacyjne – kontrola dostępu do danych, aktualne zasady haseł, wiedza zespołu o tym, jak postępować z danymi.
6. Procedura zgłaszania naruszeń – spisana, znana zespołowi, z jasnym wskazaniem, kto i w jakim terminie zgłasza naruszenie do UODO.
7. Realizacja praw osób, których dane dotyczą – firma potrafi w praktyce, nie tylko deklaratywnie, obsłużyć wniosek o dostęp, sprostowanie czy usunięcie danych.
8. Inspektor ochrony danych – jeśli działalność wymaga jego wyznaczenia, IOD jest zgłoszony Prezesowi UODO i faktycznie pełni swoje zadania.

Przykład z praktyki

Firma szkoleniowa, z którą pracowałam, miała formalnie „wdrożone RODO” – klauzule informacyjne na stronie, politykę prywatności, nawet rejestr czynności przetwarzania sprzed dwóch lat. Przy audycie okazało się, że w międzyczasie firma zaczęła korzystać z nowego narzędzia do automatyzacji mailingu i z chatbota AI na stronie – żadne z nich nie miało podpisanej umowy powierzenia, a rejestr czynności w ogóle ich nie uwzględniał. Dokumentacja formalnie istniała, ale nie odpowiadała temu, jak firma faktycznie działała – to dokładnie ten rodzaj rozjazdu, który kontrola wychwytuje najszybciej.

Jakie kary grożą po kontroli?

Kontrola nie musi kończyć się karą finansową – Prezes UODO może też wydać upomnienie, nakazać dostosowanie procesów do przepisów albo ograniczyć przetwarzanie. Kara pieniężna pojawia się przy poważniejszych albo powtarzających się naruszeniach, a jej górna granica zależy od tego, którego obowiązku dotyczy naruszenie.

Rodzaj naruszenia	Górna granica kary (art. 83 RODO)	Przykład
Naruszenia „niższego progu” (art. 83 ust. 4 RODO)	do 10 mln euro albo 2% rocznego obrotu, w zależności które kryterium jest wyższe	brak rejestru czynności przetwarzania, brak umowy powierzenia, brak zgłoszenia naruszenia w terminie 72 godzin
Naruszenia „wyższego progu” (art. 83 ust. 5–6 RODO)	do 20 mln euro albo 4% rocznego obrotu, w zależności które kryterium jest wyższe	przetwarzanie bez podstawy prawnej, naruszenie podstawowych zasad przetwarzania, brak realizacji praw osób, których dane dotyczą

Co możesz sprawdzić samodzielnie, a kiedy warto zlecić audyt

Jako administrator danych masz obowiązek przestrzegać przepisów RODO niezależnie od wielkości organizacji, ale nie wszystko musisz oceniać wyłącznie sama. Część elementów z checklisty możesz zweryfikować samodzielnie: przejrzeć, czy klauzule informacyjne są aktualne, czy rejestr czynności przetwarzania wymienia wszystkie obecnie używane procesy, czy masz podpisane umowy powierzenia z głównymi dostawcami. To dobry pierwszy krok, który realnie zmniejsza ryzyko.

Trudniej samodzielnie ocenić, czy podstawy prawne poszczególnych procesów są prawidłowo dobrane, czy środki bezpieczeństwa są adekwatne do skali przetwarzania, albo czy procedura zgłaszania naruszeń faktycznie zadziała w praktyce, a nie tylko na papierze – tu praktyka pokazuje, że warto zlecić przegląd komuś, kto na co dzień widzi, czego kontrolerzy szukają najczęściej.

Jak wygląda audyt gotowości na kontrolę UODO u prawnika

Audyt gotowości obejmuje przegląd całej dokumentacji RODO pod kątem tego, co faktycznie sprawdzają kontrolerzy: podstawy prawne przetwarzania, aktualność rejestru czynności, kompletność umów powierzenia z dostawcami, procedurę zgłaszania naruszeń oraz sposób realizacji praw osób, których dane dotyczą. Efektem jest konkretna lista tego, co wymaga poprawy, z wyjaśnieniem, dlaczego dany element mógłby zostać zakwestionowany podczas kontroli.

Najczęstsze pytania

Czy mała firma też może zostać skontrolowana przez UODO?
Tak, wielkość firmy nie ma znaczenia dla samej możliwości wszczęcia kontroli – kontrola może dotyczyć każdego podmiotu przetwarzającego dane osobowe, niezależnie od skali działalności.

Ile trwa kontrola UODO?
Kontrola planowa co do zasady nie przekracza 30 dni od okazania upoważnienia, nie licząc czasu na podpisanie protokołu i zgłoszenie zastrzeżeń. Czas trwania kontroli skargowej zależy od zakresu konkretnej sprawy.

Czy kontrola UODO zawsze kończy się karą?
Nie – kontrola może zakończyć się bez stwierdzenia naruszeń, upomnieniem, nakazem dostosowania procesów do przepisów, ograniczeniem przetwarzania albo karą pieniężną, w zależności od wagi stwierdzonych uchybień.

Co grozi za brak umowy powierzenia z dostawcą narzędzia AI?
Brak umowy powierzenia z dostawcą przetwarzającym dane w Twoim imieniu (art. 28 RODO) to jedno z naruszeń „niższego progu” z art. 83 ust. 4 RODO, zagrożone karą do 10 mln euro albo 2% rocznego obrotu.

Czy mam prawo nie zgodzić się z ustaleniami kontroli?
Tak, po otrzymaniu protokołu kontroli masz 7 dni na zgłoszenie pisemnych zastrzeżeń, zamiast jego podpisania bez uwag.

Czy kontrola UODO może zacząć się bez zapowiedzi?
Kontrola planowa zwykle wynika z zatwierdzonego wcześniej planu, ale kontrola wynikająca ze skargi albo zgłoszonego naruszenia może rozpocząć się szybciej i bez wcześniejszej zapowiedzi.

Czy sama polityka prywatności na stronie wystarczy, żeby przejść kontrolę?
Nie – kontrolerzy sprawdzają, czy dokumentacja odpowiada temu, jak firma faktycznie przetwarza dane, a nie tylko czy dokument istnieje na stronie. Pisałam o tym szerzej w tekście Czy sama polityka prywatności wystarczy do wdrożenia RODO?

Ile kosztuje audyt gotowości na kontrolę UODO?
Koszt zależy od zakresu firmy – liczby procesów przetwarzania danych, liczby dostawców i narzędzi, którymi się posługujesz. Dokładną wycenę ustala się indywidualnie po krótkim rozpoznaniu sytuacji firmy. Jeśli potrzebujesz takiego audytu lub wdrożenia RODO od zera, napisz do nas. [KONTAKT]

Sprawdź, czy Twoja firma jest gotowa na kontrolę UODO

Jeśli nie pamiętasz, kiedy ostatni raz aktualizowałaś rejestr czynności przetwarzania albo sprawdzałaś, czy masz umowy powierzenia ze wszystkimi dostawcami, prawdopodobnie warto to zrobić teraz, zanim zrobi to za Ciebie kontrola. Możesz zlecić wdrożenie albo przegląd RODO w firmie – sprawdzimy dokumentację pod kątem tego, co faktycznie weryfikują kontrolerzy, i wskażemy konkretne poprawki.

O autorze

Kinga Konopelko – radca prawny specjalizująca się w prawie dla firm, w tym w ochronie danych osobowych. Na co dzień wspiera przedsiębiorców we wdrażaniu i audytowaniu dokumentacji RODO, łącząc znajomość przepisów z praktycznym podejściem do tego, jak firmy faktycznie przetwarzają dane na co dzień.

Informacja prawna

Ten artykuł ma charakter wyłącznie edukacyjny i nie stanowi porady prawnej. Każda sytuacja wymaga indywidualnej oceny – jeśli potrzebujesz wsparcia w swojej sprawie, skonsultuj się z nami.