Kontrola UODO w firmie może szybko pokazać, czy ochrona danych w przedsiębiorstwie działa w praktyce, czy istnieje głównie na papierze. W takiej sytuacji liczy się nie tylko posiadanie polityk, procedur i właściwych rejestrów, ale przede wszystkim możliwość wykazania, że zasady ochrony danych osobowych są rzeczywiście stosowane w codziennej działalności.
Jak wygląda kontrola UODO w firmie, jak się do niej przygotować i jakie prawa ma przedsiębiorca podczas jej prowadzenia? W artykule wyjaśniamy, czego może żądać organ nadzorczy, jak przebiega kontrola oraz jakie znaczenie ma protokół kontroli UODO.
Na jakiej podstawie może zostać przeprowadzona kontrola UODO w firmie?
Kontrolę przestrzegania przepisów o ochronie danych osobowych przeprowadza Prezes Urzędu Ochrony Danych Osobowych (dalej PUODO). Może ona wynikać z zatwierdzonego planu kontroli sektorowych, ale również zostać podjęta na podstawie informacji, które trafiły do organu (np. skargi), albo w ramach monitorowania przestrzegania RODO. Oznacza to, że kontrola UODO w firmie może, ale nie musi być związana z wcześniejszą skargą konkretnej osoby. Impulsem do jej przeprowadzenia mogą być m.in. informacje o możliwych nieprawidłowościach, np. z prasy, czy zgłoszone naruszenie ochrony danych osobowych przez samego administratora danych.
RODO przyznaje organowi nadzorczemu szerokie uprawnienia w zakresie prowadzenia postępowań wyjaśniających, w tym m.in. prawo żądania informacji, dostępu do danych i dokumentów oraz uzyskania dostępu do pomieszczeń administratora lub podmiotu przetwarzającego. Szczegółowe zasady prowadzenia kontroli na gruncie prawa krajowego określa ustawa z 10 maja 2018 r. o ochronie danych osobowych.
Jak rozpoczyna się kontrola UODO w firmie?
Kontrolę w firmie przeprowadza osoba upoważniona przez PUODO. Przed rozpoczęciem czynności powinna okazać imienne upoważnienie do przeprowadzenia kontroli oraz legitymację służbową. W upoważnieniu wskazuje się m.in. podstawę prawną kontroli, jej zakres przedmiotowy, dane kontrolowanego podmiotu, datę rozpoczęcia i przewidywany termin zakończenia czynności oraz pouczenie o prawach i obowiązkach kontrolowanego.
Jest to istotne również z punktu widzenia przedsiębiorcy – zakres wskazany w upoważnieniu określa, czego dotyczy kontrola UODO w firmie i jakie obszary działalności mogą zostać objęte czynnościami kontrolnymi.
Co do zasady czynności odbywają się w obecności kontrolowanego lub osoby przez niego upoważnionej. Kontrolowany ma obowiązek pisemnie wskazać osobę uprawnioną do reprezentowania go podczas kontroli.
Co może sprawdzić kontrolujący podczas kontroli UODO w firmie?
Uprawnienia kontrolujących są szerokie. Ustawa pozwala im m.in. wejść w godzinach od 6.00 do 22.00 na grunt oraz do budynków, lokali i innych pomieszczeń, żądać wglądu do dokumentów oraz informacji bezpośrednio związanych z zakresem kontroli, a także przeprowadzać oględziny urządzeń, nośników danych oraz systemów informatycznych wykorzystywanych do przetwarzania danych.
Kontrolujący może również żądać pisemnych i ustnych wyjaśnień, przesłuchiwać osoby w charakterze świadków oraz zlecać sporządzenie ekspertyz i opinii. Kontrolujący może przesłuchać pracownika kontrolowanego podmiotu (osoba zatrudniona na podstawie stosunku pracy lub wykonująca pracę na podstawie umowy cywilnoprawnej) w charakterze świadka.
Stan faktyczny w trakcie kontroli UODO w firmie ustalany jest na podstawie dowodów zgromadzonych podczas kontroli, w szczególności dokumentów, przedmiotów, oględzin oraz pisemnych lub ustnych wyjaśnień i oświadczeń.
Jak przygotować się do kontroli UODO w firmie?
Najważniejsza jest wynikająca z art. 5 ust. 2 RODO zasada rozliczalności. Administrator odpowiada za przestrzeganie zasad przetwarzania danych i musi być w stanie to wykazać. Przygotowanie do kontroli UODO nie powinno więc polegać na tworzeniu dokumentacji dopiero po otrzymaniu informacji o kontroli, ale na wcześniejszym uporządkowaniu procesów ochrony danych w organizacji.
W praktyce warto zweryfikować przede wszystkim, czy dokumentacja odpowiada rzeczywistym procesom zachodzącym w firmie. Znaczenie mogą mieć m.in. rejestry czynności przetwarzania i rejestry kategorii czynności przetwarzania, przyjęte podstawy prawne przetwarzania, obowiązki informacyjne, zawarte umowy powierzenia (lub ich brak), procedury realizacji praw osób fizycznych, dokumentacja naruszeń, przyjęte okresy retencji danych, analizy ryzyka i stosowane w przedsiębiorstwie zabezpieczenia (organizacyjne, fizyczne i techniczne).
RODO wymaga regularnego testowania, mierzenia i oceniania skuteczności zastosowanych środków bezpieczeństwa. UODO wskazuje także, że administrator powinien posiadać kontrolę nad tym, kto ma dostęp do danych osobowych, w jakim zakresie i na jakich zasadach je przetwarza.
Dlatego przygotowanie firmy do kontroli UODO powinno obejmować nie tylko sprawdzenie dokumentacji, ale również weryfikację tego, jak pracownicy stosują przyjęte procedury w codziennej pracy.
Protokół kontroli UODO – dlaczego trzeba go dokładnie sprawdzić?
Przebieg czynności kontrolnych w ramach kontroli UODO w firmie przedstawiany jest w protokole kontroli UODO. Zawiera on m.in. zakres kontroli, datę rozpoczęcia i zakończenia czynności oraz opis ustalonego stanu faktycznego i informacje istotne dla oceny zgodności przetwarzania danych z przepisami.
Po otrzymaniu protokołu przedsiębiorca ma 7 dni na jego podpisanie albo wniesienie pisemnych zastrzeżeń do jego treści. Jeżeli zastrzeżenia okażą się zasadne, odpowiednia część protokołu może zostać zmieniona lub uzupełniona w formie aneksu. Jeżeli nie zostaną uwzględnione, kontrolowany powinien otrzymać informację wraz z uzasadnieniem.
Przedsiębiorca może także odmówić podpisania protokołu. Przy czym brak doręczenia kontrolującemu podpisanego protokołu kontroli i niezgłoszenie zastrzeżeń do jego treści w ustawowym terminie uznaje się za odmowę podpisania protokołu kontroli. W protokole kontrolujący czyni wzmiankę o odmowie podpisania protokołu.
Protokół kontroli sporządza się w postaci elektronicznej albo w postaci papierowej w dwóch egzemplarzach. Protokół kontroli kontrolujący doręcza kontrolowanemu.
Co grozi za nieprzygotowanie do kontroli UODO?
Sam brak „gotowości do kontroli” nie jest odrębnym naruszeniem RODO. Problem pojawia się wtedy, gdy przedsiębiorca nie jest w stanie wykazać przestrzegania przepisów RODO (zgodnie z zasadą rozliczalności) albo gdy kontrola ujawni konkretne nieprawidłowości.
Jeżeli na podstawie zgromadzonych informacji Prezes UODO uzna, że mogło dojść do naruszenia przepisów, wówczas ma obowiązek niezwłocznie wszcząć odpowiednie postępowanie.
RODO przewiduje zarówno środki naprawcze, jak i administracyjne kary pieniężne. Szczególne znaczenie ma także obowiązek współpracy z organem nadzorczym (wynikający wprost z art. 31 RODO). Utrudnianie wykonywania uprawnień organu lub niewspółpracowanie z nim może samo w sobie prowadzić do konsekwencji przewidzianych w art. 83 RODO (np. PUODO nałożył na Głównego Geodety Kraju administracyjną karę pieniężną w wysokości 100 000 zł za brak współpracy podczas kontroli i uniemożliwienie jej przeprowadzenia – decyzja PUDOO z 02.07.20 r., sygn. DKE.561.3.2020; zasadność kary została potwierdzona przez NSA w wyroku z 28.01.25 r., sygn. III OSK 5393/21).
Kontrola UODO – lepiej przygotować firmę wcześniej
Moment rozpoczęcia kontroli UODO w firmie to zdecydowanie za późno na porządkowanie dokumentacji, uzupełnianie procedur czy ustalanie, jak w praktyce przebiegają procesy przetwarzania danych.
Dobrze przeprowadzony audyt RODO pozwala wcześniej wykryć nieprawidłowości, sprawdzić, czy dokumentacja odpowiada rzeczywistym działaniom firmy, oraz ocenić, czy przedsiębiorca jest w stanie wykazać zgodność z przepisami – zgodnie z zasadą rozliczalności.
W praktyce im wcześniej firma zweryfikuje swoje procesy, tym mniejsze ryzyko, że ewentualna kontrola UODO w firmie ujawni problemy, które można było usunąć wcześniej.
Jeżeli chcą Państwo sprawdzić, czy firma jest przygotowana na kontrolę UODO, Votum Legal Halaś, Konieczny i Wspólnicy Kancelaria Adwokatów i Radców Prawnych sp. k. może przeprowadzić audyt procesów przetwarzania danych, zweryfikować dokumentację oraz wskazać obszary wymagające dostosowania. Zapraszamy do kontaktu z naszym Zespołem Ochrony Danych Osobowych.
Czy UODO musi wcześniej poinformować przedsiębiorcę o planowanej kontroli?
Przepisy ustawy o ochronie danych osobowych nie ustanawiają ogólnej zasady, zgodnie z którą przedsiębiorca musi otrzymać informację o kontroli z wyprzedzeniem. Kontrola rozpoczyna się po okazaniu wymaganego upoważnienia oraz dokumentu kontrolującego.
Czy przedsiębiorca może zgłosić zastrzeżenia do protokołu kontroli UODO?
Tak. Ma na to 7 dni od przedstawienia protokołu do podpisu. Zastrzeżenia powinny zostać złożone na piśmie.
Czy kontrola UODO zawsze kończy się karą finansową?
Nie. Kontrola służy ustaleniu stanu faktycznego. Jeżeli jednak zgromadzone informacje wskazują, że mogło dojść do naruszenia przepisów o ochronie danych, Prezes UODO wszczyna postępowanie, w którym może następnie zastosować środki przewidziane w RODO, w tym np. upomnienie.
