Fib.Code
Osiem lat po wejściu RODO w życie różnica między organizacjami przebiega już nie w tym, czy mają dokumentację, lecz czy ta dokumentacja opisuje rzeczywistość. Decyzje Prezesa UODO z ostatnich miesięcy dobrze to pokazują: kara dla Poczty Polskiej dotyczyła nie wycieku, ale braku niezależności inspektora, kara dla DPD - umów powierzenia, których nie zawarto, a kara po aferze hejterskiej - upoważnień, których nikt nie nadzorował. Wspólny mianownik jest jeden: papier był, procesu nie było. Do tego dochodzi plan kontroli sektorowych na 2026 rok, obejmujący między innymi podmioty prowadzące Biuletyn Informacji Publicznej, podmioty lecznicze w zakresie monitoringu wizyjnego oraz podmioty prowadzące działalność marketingową. Pomagamy przejść od dokumentacji do rozliczalności - i utrzymać ją, gdy skończy się projekt wdrożeniowy.
Samorządy, jednostki podległe i spółki komunalne, w tym prowadzące BIP
Podmioty lecznicze, przychodnie i laboratoria przetwarzające dane szczególnej kategorii
Firmy z sektora MŚP bez własnego działu prawnego i bez etatowego inspektora
Organizacje prowadzące marketing, e-commerce i programy lojalnościowe
Administratorzy korzystający z rozbudowanego łańcucha procesorów i podprocesorów
Dobieramy formę współpracy do potrzeby - jednorazowy audyt, projekt wdrożeniowy albo stałe pełnienie funkcji inspektora.
Audyt otwierający - ustalamy, jakie dane organizacja rzeczywiście przetwarza, w jakich systemach i komu je powierza. Rozmawiamy z ludźmi wykonującymi procesy, nie tylko czytamy dokumenty - bo rozbieżność między jednym a drugim jest zwykle sednem problemu.
Raport z rekomendacjami - otrzymują Państwo listę nieprawidłowości uszeregowaną według ryzyka, z odniesieniem do konkretnych przepisów i orzecznictwa, oraz realną wyceną pracochłonności każdej rekomendacji. Bez straszenia i bez rozdymania zakresu.
Wdrożenie - budujemy albo porządkujemy dokumentację: rejestry, polityki, klauzule, umowy powierzenia, system upoważnień. Pracujemy tak, by dokumenty wytrzymały najmniej korzystną interpretację organu, a nie najwygodniejszą dla nas.
Ocena skutków tam, gdzie jest wymagana - przeprowadzamy DPIA dla operacji wysokiego ryzyka - monitoringu wizyjnego, profilowania, systemów opartych na sztucznej inteligencji, przetwarzania danych szczególnej kategorii na dużą skalę.
Szkolenia i wdrożenie w praktykę - szkolimy personel oraz osoby odpowiedzialne za poszczególne procesy. Dokumentacja, której nikt nie rozumie, nie chroni - chroni ta, według której ludzie faktycznie pracują.
Stała obsługa lub przekazanie - możemy przejąć funkcję Inspektora Ochrony Danych i prowadzić ją na bieżąco - z dyżurami, monitorowaniem zmian w orzecznictwie i cyklicznym raportowaniem do kierownictwa. Albo przekazać wszystko Państwa zespołowi i pozostać do konsultacji.
Obowiązkowo w trzech przypadkach wskazanych w art. 37 RODO: gdy przetwarzania dokonuje organ lub podmiot publiczny, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę, oraz gdy polega na przetwarzaniu na dużą skalę danych szczególnych kategorii lub dotyczących wyroków skazujących. Poza tymi przypadkami wyznaczenie jest dobrowolne - ale uwaga, inspektor wyznaczony dobrowolnie podlega dokładnie tym samym wymogom co obowiązkowy, łącznie z niezależnością. Dobrowolność dotyczy decyzji o wyznaczeniu, nie standardu pełnienia funkcji.
Bo najczęstszym problemem inspektorów wewnętrznych jest konflikt interesów, o który organ pyta w pierwszej kolejności. Funkcji nie może pełnić osoba, która sama decyduje o celach i sposobach przetwarzania - a więc kierownik IT, kadr czy administracji. Kara nałożona na Pocztę Polską w styczniu 2026 roku dotyczyła właśnie usytuowania inspektora w strukturze, nie jego kompetencji. Podmiot zewnętrzny nie ma w organizacji innych obowiązków, więc konflikt nie powstaje z definicji. Dochodzi do tego ciągłość - inspektor zewnętrzny nie idzie na urlop bez zastępstwa i nie odchodzi z dnia na dzień.
Gdy rodzaj przetwarzania - zwłaszcza z użyciem nowych technologii - z dużym prawdopodobieństwem powoduje wysokie ryzyko naruszenia praw i wolności osób (art. 35 RODO). Prezes UODO opublikował wykaz operacji wymagających DPIA, obejmujący między innymi monitoring wizyjny obszarów publicznie dostępnych, profilowanie o skutkach prawnych, przetwarzanie danych biometrycznych oraz systemy oparte na sztucznej inteligencji. W praktyce warto przeprowadzić ocenę zawsze, gdy pojawia się wątpliwość - udokumentowana analiza, z której wynika brak wysokiego ryzyka, sama w sobie jest dowodem należytej staranności.
Liczy się czas i porządek działań. Administrator ma siedemdziesiąt dwie godziny od stwierdzenia naruszenia na zgłoszenie go Prezesowi UODO, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla osób - a ten wniosek trzeba udokumentować. Przy wysokim ryzyku dochodzi obowiązek zawiadomienia samych osób. Kluczowe jest to, że zegar rusza od stwierdzenia naruszenia, a nie od zakończenia wyjaśnień. Naszym klientom udostępniamy procedurę i pozostajemy dostępni w trybie pilnym - pierwsze godziny decydują o tym, jak organ oceni całą sprawę.
Zacząć od sprawdzenia, czy organizacja mieści się w planie kontroli sektorowych - w 2026 roku obejmuje on między innymi podmioty prowadzące Biuletyn Informacji Publicznej, podmioty lecznicze w zakresie monitoringu wizyjnego, ze szczególnym uwzględnieniem danych dzieci, oraz podmioty prowadzące działalność marketingową. Kontroler poprosi o rejestr czynności, dokumentację analizy ryzyka, umowy powierzenia, ewidencję upoważnień i dowody realizacji obowiązku informacyjnego. Przeprowadzamy audyt symulujący taką kontrolę i wskazujemy, co wymaga uzupełnienia - zanim zrobi to organ.