Samo rozporządzenie nie wymienia wprost takiej procedury z nazwy, lecz obliguje administratora do stałego weryfikowania i mierzenia skuteczności wdrożonych środków bezpieczeństwa (art. 24 ust. 1 oraz art. 32 ust. 1 lit. d RODO). W praktyce rzetelnie przeprowadzony audyt zgodności z RODO jest najprostszym i najbardziej wiarygodnym sposobem na spełnienie tego wymogu.
Dlatego rozważając to, czy audyt RODO jest obowiązkowy, warto pamiętać o jednym: choć przepisy nie narzucają używania tego słowa, to bez okresowego przeglądu procedur firma nie ma jak udowodnić realizowania zasady rozliczalności, zgodnie z art. 5 ust. 2 RODO, przed Prezesem UODO.
Spis treści
Co mówią przepisy o audycie RODO?
Fundamentem jest zasada rozliczalności z art. 5 ust. 2 RODO – administrator musi nie tylko przestrzegać przepisów, ale też być w stanie to wykazać. Art. 24 ust. 1 RODO nakłada obowiązek wdrożenia „odpowiednich środków technicznych i organizacyjnych” oraz ich okresowego przeglądu i aktualizacji. Art. 32 ust. 1 lit. d idzie dalej i wymaga „regularnego testowania, mierzenia i oceniania skuteczności” tych środków. Żaden z tych przepisów nie mówi wprost „przeprowadź audyt raz w roku” – RODO pozostawia formę weryfikacji do decyzji administratora, ale sam obowiązek okresowej oceny jest jednoznaczny.
Warto rozgraniczyć dwa pojęcia, które łatwo pomylić: audyt ochrony danych osobowych rozumiany jako wewnętrzna, systematyczna weryfikacja własnych procesów to co innego niż audyt zewnętrzny ochrony danych osobowych – czyli sytuacja, w której to zewnętrzny podmiot (np. firma specjalizująca się w ochronie danych) ocenia zgodność organizacji z RODO na zlecenie administratora. Przepisy nie preferują żadnej z tych form, liczy się efekt: rzetelna, udokumentowana ocena stanu faktycznego.
Audyt zgodności z RODO nie jest tym samym co ocena skutków dla ochrony danych (DPIA) z art. 35 RODO. DPIA jest obowiązkowa tylko dla przetwarzania z wysokim ryzykiem naruszenia praw i wolności osób fizycznych (np. profilowanie na dużą skalę, monitoring wizyjny obszarów publicznych, przetwarzanie danych szczególnych kategorii na dużą skalę) i dotyczy konkretnej czynności przetwarzania, zanim się ją rozpocznie. Audyt ma szerszy zakres – obejmuje całość procesów w organizacji, niezależnie od tego, czy dla poszczególnych czynności wymagana jest DPIA.
Kiedy zalecamy przeprowadzenie audytu RODO?
Duża skala i wysokie ryzyko przetwarzania danych
Organizacja przetwarzająca dane na dużą skalę, dane szczególnych kategorii (np. zdrowotne, biometryczne) albo prowadząca systematyczne monitorowanie osób powinna traktować audyt jako element bieżącego zarządzania ryzykiem, a nie jednorazową formalność. Im większy zbiór danych i im więcej systemów je przetwarza, tym trudniej wykazać zgodność bez usystematyzowanej weryfikacji.
Nowe wdrożenie i audyt zerowy RODO
Organizacja, która dopiero buduje zgodność z RODO albo nigdy formalnie nie sprawdzała swoich procesów, zwykle zaczyna od tzw. audytu zerowego RODO – punktu wyjścia, który pokazuje rzeczywisty stan dokumentacji, umów powierzenia, klauzul informacyjnych i zabezpieczeń, zanim wdroży się jakiekolwiek zmiany. To określenie branżowe, którym RODO ani wytyczne organów nadzorczych się nie posługują – nie ma więc formalnej definicji „audytu zerowego”, ale funkcja, jaką pełni w praktyce, jest jasna: dostarcza punktu odniesienia, bez którego trudno ocenić, co faktycznie wymaga poprawy.
Zmiany w organizacji jako sygnał do audytu
Nowy system informatyczny, zmiana dostawcy przetwarzającego dane w imieniu administratora, fuzja spółek czy wejście na nowy rynek – każda z tych sytuacji zmienia ryzyko związane z przetwarzaniem danych i uzasadnia ponowną weryfikację zgodności.
Co obejmuje audyt zgodności z RODO?
To, na czym polega audyt RODO, sprowadza się do skrupulatnej weryfikacji wszystkich procesów przetwarzania danych w organizacji. Analizie poddawana jest bieżąca dokumentacja, rejestr czynności przetwarzania, podstawy prawne, a także umowy powierzenia i klauzule informacyjne. Równie ważnym etapem jest sprawdzenie procedur zgłaszania naruszeń oraz ocenienie zabezpieczeń technicznych infrastruktury IT. Całość wieńczy przejrzysty raport poaudytowy ze wskazaniem ewentualnych ryzyk oraz konkretnymi zaleceniami.
Kto przeprowadza audyt RODO?
Audyt może przeprowadzić wewnętrzny inspektor ochrony danych, o ile dysponuje odpowiednimi kompetencjami i czasem, bądź też niezależny audytor RODO działający jako zewnętrzny ekspert. To rozróżnienie ma kluczowe znaczenie praktyczne – wewnętrzny IOD oceniany z własnych wdrożeń ma ograniczoną obiektywność. Z tego względu wiele firm decyduje się powierzyć audyt podmiotowi z zewnątrz, pozostawiając bieżący nadzór w rękach wewnętrznego specjalisty. Warto przy tym zwrócić uwagę, kto faktycznie powinien przeprowadzać taki audyt – powinna to być osoba z wykształceniem prawniczym, która rozumie nie tylko techniczną stronę zabezpieczeń, ale przede wszystkim potrafi ocenić zgodność procesów z przepisami i orzecznictwem. W Ratio-GO audyty RODO przeprowadza prawnik, co pozwala połączyć ocenę zgodności prawnej z praktycznym wskazaniem, co i jak poprawić.
Z kolei w organizacjach, które nie posiadają własnego IOD lub chcą oddzielić stałą opiekę od niezależnej oceny, doskonałym rozwiązaniem jest przejęcie obowiązków inspektora ochrony danych przez zewnętrzną firmę. W takim scenariuszu audyt zerowy stanowi naturalny, pierwszy krok dla nowego eksperta, pozwalający poznać stan faktyczny przed objęciem stałego nadzoru nad zgodnością.
Jak często należy przeprowadzać audyt RODO?
Dobra praktyka to weryfikacja co najmniej raz w roku lub każdorazowo po istotnej zmianie w procesach przetwarzania. Powtarzalna, udokumentowana procedura audytu RODO – z ustalonym zakresem, harmonogramem i sposobem raportowania wyników – pozwala wykazać rozliczalność w razie kontroli organu nadzorczego znacznie skuteczniej niż jednorazowe, doraźne sprawdzenie.
Osobnym sygnałem do przeprowadzenia audytu jest wystąpienie naruszenia ochrony danych, które trzeba zgłosić Prezesowi UODO w ciągu 72 godzin od stwierdzenia (art. 33 RODO). Sam obowiązek zgłoszenia nie zwalnia z konieczności ustalenia, dlaczego zabezpieczenie zawiodło – a to wymaga tej samej analizy, jaką wykonuje się w ramach audytu.
Ile kosztuje audyt RODO
Koszt zależy od wielkości organizacji, liczby przetwarzanych zbiorów danych i złożoności infrastruktury informatycznej. Orientacyjne kwoty podawane w internecie rzadko odzwierciedlają rzeczywisty nakład pracy przy większych zbiorach danych, dlatego cena audytu RODO ustalana jest zwykle indywidualnie, po wstępnym rozeznaniu skali przetwarzanych danych w konkretnej organizacji.
Konsekwencje braku audytu RODO
Sam brak audytu nie jest odrębnym naruszeniem podlegającym karze – karany jest brak faktycznej zgodności, którą audyt pomaga wykazać. Jeśli kontrola organu nadzorczego ujawni, że środki techniczne i organizacyjne z art. 32 RODO są niewystarczające, grozi kara do 10 mln euro lub 2% rocznego światowego obrotu (art. 83 ust. 4 lit. a RODO – obejmuje m.in. art. 25–39 RODO, a więc i obowiązek regularnego testowania zabezpieczeń z art. 32 ust. 1 lit. d). Naruszenia dotyczące podstawowych zasad przetwarzania i warunków zgody (art. 5, 6, 7 i 9 RODO) oraz praw osób, których dane dotyczą (art. 12–22 RODO), podlegają surowszej sankcji – do 20 mln euro lub 4% obrotu (art. 83 ust. 5 RODO). W obu przypadkach brak wcześniejszej weryfikacji utrudnia wykazanie, że organizacja działała z należytą starannością.
Prezes UODO w decyzji z 13 czerwca 2026 r. (sygn. DKN.5131.34.2023, nieprawomocna) nałożył na administratora karę 11 594 zł m.in. za naruszenie art. 32 ust. 1 i 2 RODO – organ wprost wskazał w uzasadnieniu, że administrator powinien był regularnie testować, mierzyć i oceniać skuteczność środków technicznych i organizacyjnych (czyli realizować obowiązek z art. 32 ust. 1 lit. d), a przez blisko pięć lat tego nie robił. Decyzja objęła też naruszenie art. 24 ust. 1, art. 25 ust. 1 oraz zasady rozliczalności z art. 5 ust. 2 RODO. Sprawa pokazuje, że organ nadzorczy realnie weryfikuje, czy administrator w ogóle sprawdzał, czy jego zabezpieczenia działają – a nie tylko, czy je formalnie wdrożył.
Poza wymiarem finansowym brak regularnej weryfikacji zwiększa ryzyko, że luka w zabezpieczeniach zostanie wykryta dopiero po incydencie – a wtedy koszty (wizerunkowe, prawne, operacyjne) zwykle znacznie przewyższają koszt samego audytu.
Regularny audyt RODO pozostaje więc praktycznym narzędziem wykazania zgodności, nawet jeśli żaden przepis nie posługuje się tym słowem wprost – pozwala wychwycić luki, zanim zrobi to organ nadzorczy albo osoba, której dane dotyczą.
Przeprowadzimy audyt RODO w Twojej organizacji.
FAQ - najczęściej zadawane pytania
Nie ma przepisu nazywającego wprost obowiązek „audytu”, ale art. 24 ust. 1 i art. 32 ust. 1 lit. d RODO nakładają obowiązek okresowej weryfikacji skuteczności zabezpieczeń, który w praktyce realizuje się właśnie przez audyt.
Rekomendowana częstotliwość to co najmniej raz w roku oraz dodatkowo po każdej istotnej zmianie w procesach przetwarzania danych, np. wdrożeniu nowego systemu.
Audyt wewnętrzny przeprowadza osoba lub zespół z samej organizacji, zwykle inspektor ochrony danych. Audyt zewnętrzny wykonuje niezależny audytor spoza organizacji, co zwiększa obiektywizm oceny.
To pierwsza, wyjściowa ocena stanu zgodności organizacji z RODO, wykonywana zwykle przed wdrożeniem systemu ochrony danych lub przed przejęciem nadzoru przez nowego inspektora ochrony danych.
W zależności od charakteru naruszenia organ nadzorczy może nałożyć karę do 10 mln euro lub 2% obrotu (naruszenia dotyczące zabezpieczeń, art. 32 RODO) albo do 20 mln euro lub 4% obrotu (naruszenia podstawowych zasad przetwarzania i warunków zgody z art. 5, 6, 7 i 9 RODO lub praw osób, których dane dotyczą, z art. 12–22 RODO).
