Ostatnia aktualizacja: 13 lipca 2026
Aby skutecznie doradzać w zakresie zmian w organizacji, trzeba najpierw przeprowadzić oceny zgodności z przetwarzaniem danych osobowych. Najczęściej robi się to poprzez audyt zgodności z RODO. Audyt taki jest główną czynnoscią podejmowaną przez IOD w ramach wykonania monitorawania zgodności.
Audyt RODO pomaga wskazać, w jakich procesach przetwarzane są dane osobowe, wykryć niezgodności z RODO i ustawą o ochronie danych oraz ustalić priorytety wdrożenia zgodnie z zasadą rozliczalności.
Mimo pojawiających się wątpliwości, audyt zgodności z RODO, przeprowadzany przed wdrożeniem i regularnie, jest w praktyce niezbędny do spełnienia obowiązków z art. 24 i 32 RODO, nawet jeśli nie jest wymieniony jako osobny obowiązek w przepisach.
Celem audytu jest ustalenie, w jakich czynnościach przetwarzane są dane, wskazanie miejsc naruszeń przepisów oraz przygotowanie planu dostosowania organizacji i technologii do wymogów RODO i przepisów krajowych.
Rola Inspektora Ochrony Danych w audycie zgodności z RODO
Przeprowadzenie audytu IOD mieści się w katalogu zadań Inspektora Ochrony Danych. IOD monitoruje przestrzeganie rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora, w tym poprzez przeprowadzanie audytów.
Zgodnie z art. 39 ust. 1 lit. b RODO zadania IOD obejmują m.in. monitorowanie przestrzegania RODO, innych przepisów o ochronie danych oraz polityk administratora, wraz ze szkoleniami, podziałem obowiązków i powiązanymi audytami.
Jednocześnie wytyczne WP29/EDPB dotyczące Inspektora Ochrony Danych podkreślają, że katalog zadań IOD nie jest zamknięty, a rola IOD ma charakter doradczy i monitorujący. Jednak to nie IOD podejmuje decyzje dotyczące środków technicznych i organizacyjnych, lecz administrator lub podmiot przetwarzający.
Audyt zgodności z RODO może więc być prowadzony przez IOD, zespół ds. compliance, bezpieczeństwa czy audytu wewnętrznego, przy czym IOD powinien mieć zapewniony dostęp do niezbędnych informacji, danych i operacji zgodnie z art. 38 ust. 2 RODO.
W świetle wyroku TSUE C‑453/21 oraz stanowiska UODO niezwykle istotne jest, aby Inspektor Ochrony Danych był niezależny, nie wykonywał zadań powodujących konflikt interesów oraz nie był pozbawiany funkcji ani karany za prawidłowe wykonywanie swoich zadań.
Plan audytów RODO powinien uwzględniać niezależność IOD. Inspektor nie powinien audytować procesów, w których sam decyduje o celach i sposobach przetwarzania danych osobowych.
Etapy audytu zgodności z RODO
W praktyce audyt zgodności z RODO można podzielić na cztery główne etapy:
- Zbieranie informacji.
- Inwentaryzacja procesów i aktywów.
- Analiza informacji i ocena zgodności procesów z RODO.
- Opracowanie planów wdrożeniowych i rekomendacji (raport).
Taki podział nie wynika wprost z przepisów, ale jest szeroko stosowaną metodyką audytu RODO, spójną z zasadą rozliczalności oraz podejściem opartym na ryzyku.
Plan audytowy RODO – dobre praktyki
Zanim przystąpimy do audytu zgodności z RODO, warto przygotować plan audytowy, który uporządkuje działania i ułatwi późniejsze sporządzenie raportu.
W praktyce plan audytowy RODO sporządza się zazwyczaj na okres od kilku miesięcy do roku (np. od ¼ roku do 1 roku), uwzględniając ryzyko, wielkość organizacji oraz istotne zmiany w procesach przetwarzania danych osobowych.
Plan audytowy może zawierać w szczególności informacje o:
- terminach audytów (planowych i doraźnych),
- przedmiocie audytu (zbiory danych, systemy informatyczne, działy funkcjonalne),
- zakresie audytu (zasady z art. 5 RODO, obowiązki informacyjne, rejestr czynności przetwarzania, analiza ryzyka, realizacja praw osób).
Dobrą praktyką jest informowanie administratora i odpowiednich działów o audycie z wyprzedzeniem, na przykład co najmniej 14 dni przed planowanym audytem. RODO nie określa sztywnych terminów, więc sposób powiadamiania zależy od polityki organizacji.
Plan audytowy powinien przewidywać także możliwość przeprowadzania audytów doraźnych (np. po poważnym naruszeniu ochrony danych osobowych).
Zbieranie informacji – pierwsza faza audytu RODO
W fazie zbierania informacji celem Inspektora Ochrony Danych lub zespołu audytowego jest pozyskanie możliwie pełnego obrazu procesów przetwarzania danych osobowych w organizacji, zarówno w systemach informatycznych, jak i w dokumentacji papierowej.
Często audyt zgodności z RODO poprzedza spotkanie wstępne, na którym audytor prezentuje założenia audytu, jego zakres oraz oczekiwania wobec osób odpowiedzialnych za poszczególne procesy.
Zbieranie informacji może odbywać się w różny sposób:
- w małych organizacjach informacje zbiera się najczęściej przez bezpośrednie rozmowy z pracownikami.
- W większych firmach najpierw stosuje się kwestionariusze wstępne, które pomagają zidentyfikować osoby faktycznie przetwarzające dane, a potem organizuje się szczegółowe spotkania z kluczowymi pracownikami.
Inspektor Ochrony Danych powinien mieć, zgodnie z art. 38 ust. 2 RODO, dostęp do danych osobowych i operacji przetwarzania niezbędnych do wykonywania zadań – w praktyce obejmuje to dostęp do:
- urządzeń, nośników i systemów informatycznych służących do przetwarzania danych,
- dokumentów związanych z przetwarzaniem danych,
- ustnych i pisemnych wyjaśnień pracowników.
Aby udokumentować ustalenia, warto sporządzać notatki audytowe oraz w razie potrzeby kopiować dokumenty, robić zrzuty ekranu lub zapisywać wybrane konfiguracje systemów jako tzw. dowody audytowe.
Stosowanie natomiast bardziej zaawansowanych metod, takich jak obserwacja zachowań personelu metodą „tajemniczego klienta”, wymaga odrębnej oceny zgodności z przepisami prawa pracy, regulaminem pracy oraz zasadą minimalizacji danych.
Inwentaryzacja procesów i aktywów
Po zebraniu informacji przeprowadza się inwentaryzację procesów lub czynności przetwarzania danych osobowych. Są to działania mające na celu realizację konkretnych celów biznesowych, w których przetwarzane są dane.
W mniejszych organizacjach czynności wyodrębnia się według celu przetwarzania, na przykład rekrutacja, zatrudnienie lub marketing. W większych organizacjach robi się to bardziej szczegółowo, np. marketing obejmuje konkursy na Facebooku, newslettery czy pozyskiwanie danych za pomocą landing page, a usługi to zawarcie umowy, realizacja usługi czy wystawienie faktury.
Dla każdej czynności należy ustalić, jakie aktywa biorą udział w przetwarzaniu danych osobowych:
- dokumenty papierowe,
- nośniki danych (pendrive’y, dyski twarde, macierze dyskowe),
- serwery lokalne i w chmurze,
- aplikacje i systemy informatyczne.
Następnie wskazuje się:
- zakres danych (w tym rozróżnienie danych zwykłych i danych szczególnych kategorii z art. 9 RODO),
- obecne zabezpieczenia dla każdego aktywa (np. szyfrowanie pendrive’ów, zamykane szafki na dokumenty, kontrola dostępu do systemów),
- podmioty, którym dane są przekazywane, wraz z zakresem i celem tego przekazywania.edpb.
To nadal faza inwentaryzacji. Audytor opisuje stan faktyczny, ale jeszcze nie ocenia, czy dane są zbierane prawidłowo ani czy zabezpieczenia są odpowiednie. Taka ocena następuje w kolejnym etapie.
Analiza informacji i ocena zgodności procesów z RODO
W fazie analizy audytor ocenia, czy procesy są zgodne z zasadami ochrony danych osobowych z art. 5 RODO (zgodność z prawem, rzetelność, przejrzystość, ograniczenie celu, minimalizacja danych, prawidłowość, ograniczenie przechowywania, integralność i poufność oraz rozliczalność).
Badane są m.in.:
- Legalność przetwarzania – czy administrator posiada odpowiednie podstawy prawne (art. 6 RODO dla danych zwykłych, art. 9 RODO dla danych szczególnych kategorii).
- Ograniczenie celu – czy dane nie są wykorzystywane w celach innych niż te, dla których zostały zebrane, bez odpowiedniej podstawy prawnej.
- Przejrzystość i obowiązki informacyjne – czy spełniane są obowiązki informacyjne wobec osób, których dane dotyczą (art. 12–14 RODO), zarówno przy zbieraniu danych, jak i przy zmianie celu przetwarzania.
- Ograniczenie czasu przechowywania – czy dane nie są przetwarzane zbyt długo, np. po wycofaniu zgody lub po upływie okresów wynikających z przepisów szczególnych.
- Minimalizacja danych – czy zakres zbieranych danych jest niezbędny do realizacji celu; zbędne dane powinny zostać wyeliminowane z procesów i aktywów.
- Realizacja praw osób, których dane dotyczą – czy organizacja posiada procedury i funkcjonalności systemowe umożliwiające realizację praw z art. 15–22 RODO (prawo dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia, sprzeciwu).
- Udostępnianie i powierzenie danych – czy udostępnienie danych osobowych oparte jest na właściwej podstawie prawnej (art. 6, 9 RODO), a powierzenia zawarte są w umowach spełniających wymogi art. 28 RODO.
- Rejestr czynności przetwarzania – czy rejestr z art. 30 RODO odzwierciedla rzeczywiste procesy i dane zidentyfikowane podczas inwentaryzacji.
Coraz istotniejszym elementem analizy jest ocena sposobu prowadzenia analizy ryzyka oraz – tam, gdzie to konieczne – oceny skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO i wytycznymi EDPB.
UODO w szeregu decyzji wskazał brak rzetelnej analizy ryzyka oraz niedostosowanie zabezpieczeń jako podstawę nałożenia wysokich kar.
Audyt powinien obejmować także ocenę procedur zgłaszania naruszeń ochrony danych i informowania osób, zgodnie z art. 33–34 RODO i wytycznymi EDPB 9/2022.
Opracowanie raportu i planu wdrożeniowego po audycie RODO
Końcowym etapem audytu zgodności z RODO jest sporządzenie raportu lub notatki zawierającej:
- opis stanu faktycznego procesów przetwarzania,
- wykaz stwierdzonych niezgodności z RODO, ustawą o ochronie danych osobowych i przepisami szczególnymi,
- katalog ryzyk dla praw i wolności osób, których dane dotyczą,
- plan wdrożeniowy – rekomendacje zmian wraz z priorytetami, terminami oraz wskazaniem osób odpowiedzialnych.
Zasada rozliczalności wymaga, aby administrator był w stanie wykazać przed UODO, że wdrożył odpowiednie środki oraz dokonał ich przeglądu – raport z audytu RODO oraz realizacja rekomendacji są ważnymi dokumentami dowodowymi w razie kontroli lub postępowania.
Mając raport z audytu zgodności z RODO oraz plan wdrożeniowy, organizacja może rozpocząć faktyczne wdrażanie RODO. Obejmuje to m.in. aktualizację rejestru czynności przetwarzania, klauzul informacyjnych, umów powierzenia, polityk bezpieczeństwa oraz procedur realizacji praw osób i zgłaszania naruszeń.
Audyt zgodności z RODO a Rejestr Czynności Przetwarzania
Przed podjęciem czynności wdrożeniowych należy przeprowadzić audyt zgodności z RODO w organizacji – jego wyniki bezpośrednio przekładają się na jakość i kompletność rejestru czynności przetwarzania.
Rezultatem inwentaryzacji jest co do zasady propozycja aktualizacji Rejestr Czynności Przetwarzania (art. 30 RODO), który później ułatwia tworzenie klauzul informacyjnych, umów powierzenia, ocen ryzyka oraz DPIA.
Inspektor Ochrony Danych, planując audyt RODO, powinien zadbać o:
- zawiadomienie odpowiednich osób o terminach i zakresie planowego audytu (zgodnie z przyjętą polityką, z zachowaniem możliwości audytów doraźnych),
- zapewnienie sobie dostępu do danych i operacji oraz niezbędnych zasobów,
- unikanie konfliktu interesów przy doborze osób zaangażowanych w audyt.
Na podstawie raportu z audytu zgodności z RODO organizacja wprowadza zmiany i regularnie sprawdza ich skuteczność. Audyt RODO nie jest już jednorazowym wydarzeniem, lecz staje się częścią stałego systemu zarządzania zgodnością z przepisami o ochronie danych osobowych.
FAQ – Audyt zgodności z RODO
- Czym jest audyt zgodności z RODO?
Audyt zgodności z RODO to uporządkowana ocena procesów przetwarzania danych osobowych w organizacji pod kątem wymogów rozporządzenia RODO, ustawy o ochronie danych osobowych i przepisów szczególnych.
Obejmuje analizę legalności, przejrzystości, minimalizacji danych, okresów przechowywania, realizacji praw osób, powierzeń oraz bezpieczeństwa danych. - Czy audyt RODO jest obowiązkowy?
RODO nie posługuje się terminem „audyt RODO” jako odrębnym obowiązkiem, ale wymaga od administratora wdrożenia odpowiednich środków i wykazania zgodności (art. 5 ust. 2, art. 24, 32 RODO).
Regularny audyt zgodności z RODO jest w praktyce niezbędnym narzędziem do spełnienia tych obowiązków i uniknięcia kar ze strony UODO. - Jaka jest rola Inspektora Ochrony Danych w audycie zgodności z RODO?
IOD monitoruje przestrzeganie RODO oraz polityk administratora, w tym poprzez audyty, zgodnie z art. 39 ust. 1 lit. b RODO.
Inspektor doradza, opiniuje i kontroluje, ale nie zastępuje administratora w podejmowaniu decyzji o środkach – odpowiedzialność za zgodność spoczywa na administratorze i podmiotach przetwarzających. - Jak często należy przeprowadzać audyt zgodności z RODO?
Częstotliwość audytów zgodności z RODO powinna wynikać z podejścia opartego na ryzyku, wielkości organizacji i skali przetwarzania danych – w praktyce przyjmuje się co najmniej jeden audyt całościowy rocznie oraz audyty tematyczne po istotnych zmianach lub naruszeniach.
UODO w swoich sprawozdaniach oraz decyzjach wskazuje, że brak bieżącej analizy ryzyka i aktualizacji środków bezpieczeństwa sprzyja naruszeniom i karom. - Czy audyt zgodności z RODO zawsze prowadzi Inspektor Ochrony Danych?
Audyt RODO może być prowadzony przez IOD, zespół ds. bezpieczeństwa, compliance lub audytu wewnętrznego; ważne, by IOD miał dostęp do wyników i mógł monitorować przestrzeganie RODO.
Ze względu na niezależność i konflikt interesów (art. 38 RODO, wyrok TSUE C‑453/21) IOD nie powinien jednocześnie kierować procesami, które audytuje. - Jak audyt zgodności z RODO wpływa na rejestr czynności przetwarzania?
Audyt RODO pozwala zidentyfikować rzeczywiste procesy przetwarzania danych i powiązane aktywa, co stanowi podstawę do stworzenia lub aktualizacji rejestru czynności z art. 30 RODO.
Rzetelny rejestr czynności przetwarzania ułatwia późniejsze wdrażanie klauzul informacyjnych, umów powierzenia i ocen ryzyka. - Czy w ramach audytu RODO trzeba analizować ryzyko i DPIA?
Tak – audyt zgodności z RODO powinien obejmować ocenę, czy administrator prawidłowo identyfikuje operacje wysokiego ryzyka, przeprowadza analizy ryzyka oraz – tam gdzie to wymagane – oceny skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO i wytycznymi EDPB.
Decyzje UODO pokazują, że brak takiej analizy jest jedną z najczęstszych przyczyn naruszeń i kar. - Jakie dokumenty są efektem audytu zgodności z RODO?
Efektem audytu RODO jest zazwyczaj raport zawierający opis stanu faktycznego, listę niezgodności, ocenę ryzyka i plan wdrożeniowy – z rekomendacjami zmian, terminami i odpowiedzialnymi osobami.
Na tej podstawie aktualizuje się rejestr czynności przetwarzania, polityki, procedury oraz umowy związane z ochroną danych osobowych. - Czy audyt zgodności z RODO obejmuje naruszenia ochrony danych osobowych?
Tak – audyt RODO powinien weryfikować, czy organizacja ma skuteczne procedury zgłaszania naruszeń do UODO i informowania osób (art. 33–34 RODO) oraz czy faktyczne praktyki są zgodne z wytycznymi EDPB w tym zakresie.
UODO wielokrotnie karał administratorów za brak zgłoszenia naruszenia lub brak powiadomienia osób – audyt jest narzędziem do wykrycia takich słabości. - Czy audyt zgodności z RODO może obejmować monitorowanie zachowań pracowników (np. tajemniczy klient)?
Audyt RODO może wykorzystywać różne metody, ale każda z nich – w tym obserwacja zachowań pracowników metodą tajemniczego klienta – musi być zgodna z prawem pracy, zasadami monitoringu oraz zasadą minimalizacji danych.
Zastosowanie takich narzędzi powinno wynikać z analizy ryzyka, być uregulowane w regulaminach i konsultowane z IOD oraz działem HR/zarządem.
