Ile kosztuje wdrożenie RODO w firmie

„Ile kosztuje wdrożenie RODO?” to pytanie, które pada w pierwszej rozmowie z niemal każdym klientem. I jednocześnie pytanie, na które większość kancelarii odpowiada: „to zależy”. Ta odpowiedź jest prawdziwa — ale mało pomocna dla kogoś, kto planuje budżet.

Problem polega na tym, że „wdrożenie RODO” nie jest jednym produktem. To zakres prac, który dla jednoosobowej działalności sprowadza się do kilku dokumentów i krótkiej rozmowy, a dla firmy przetwarzającej dane wrażliwe w kilkunastu systemach oznacza tygodnie analiz. Oferty w internecie zaczynają się od kilkuset złotych za pakiet gotowych wzorów, a kończą na kwotach pięciocyfrowych za pełne wdrożenie — i obie te ceny mogą być uczciwe, bo dotyczą zupełnie różnych rzeczy.

W tym artykule rozkładam koszt wdrożenia RODO na czynniki pierwsze: pokazuję, co realnie wpływa na wycenę, jakie są modele rozliczeń, co powinno wchodzić w zakres, gdzie kryją się dodatkowe koszty oraz ile kosztuje brak wdrożenia. Dzięki temu łatwiej ocenisz, czy oferta, którą masz na biurku, jest tania — czy tylko wygląda tanio.

Dlaczego nie ma jednej ceny

Wdrożenie RODO to projekt dopasowany do konkretnej organizacji, a nie towar z półki. Zakres prac zależy od tego, jakie dane przetwarzasz, w ilu procesach, przy pomocy jakich narzędzi i z iloma podmiotami je dzielisz. Dwie firmy o tej samej liczbie pracowników mogą wymagać zupełnie innego nakładu pracy — jedna prowadzi sklep internetowy z profilowaniem i newsletterem, druga świadczy usługi B2B z minimalnym przetwarzaniem.

Dlatego rzetelna wycena zawsze poprzedzona jest rozmową o skali i charakterze przetwarzania. Kancelaria, która podaje cenę bez pytania o to, czym się zajmujesz, najprawdopodobniej sprzedaje szablon — a nie wdrożenie.

Co realnie wpływa na cenę — 8 czynników

1. Wielkość organizacji i liczba pracowników. Więcej osób to więcej procesów, upoważnień, szkoleń i punktów ryzyka. Inny nakład pracy wymaga jednoosobowa działalność, a inny firma zatrudniająca 200 osób w kilku lokalizacjach.

2. Liczba i złożoność procesów przetwarzania. To najważniejszy czynnik. Każdy proces — rekrutacja, obsługa klienta, marketing, monitoring, reklamacje — wymaga osobnej analizy celu, podstawy prawnej i okresu przechowywania. Firma z pięcioma procesami i firma z czterdziestoma to dwa różne projekty.

3. Kategorie przetwarzanych danych. Dane szczególnych kategorii (zdrowie, biometria) oraz dane dzieci znacząco podnoszą wymagania — konieczne są dodatkowe przesłanki z art. 9 RODO, wyższe standardy bezpieczeństwa i częściej ocena skutków dla ochrony danych (DPIA).

4. Branża i regulacje sektorowe. Podmioty lecznicze, sektor finansowy, edukacja czy HR podlegają dodatkowym przepisom, które trzeba pogodzić z RODO. Do tego dochodzą nowe regulacje: NIS2, AI Act, Data Act.

5. Liczba dostawców i podmiotów przetwarzających. Każdy dostawca (chmura, CRM, marketing automation, hosting, biuro rachunkowe) oznacza konieczność weryfikacji lub przygotowania umowy powierzenia. Dziesięciu dostawców to dziesięć analiz.

6. Transfery danych poza EOG. Korzystanie z narzędzi przekazujących dane do USA wymaga zweryfikowania mechanizmu transferu i często oceny skutków transferu — to osobny nakład pracy.

7. Stan wyjściowy dokumentacji. Firma zaczynająca od zera wymaga innego zakresu prac niż firma, która ma dokumentację sprzed lat i potrzebuje aktualizacji. Paradoksalnie, czasem porządkowanie złej dokumentacji bywa pracochłonniejsze niż napisanie jej od nowa.

8. Zakres usługi. Czy chodzi wyłącznie o dokumentację, czy również o audyt wstępny, szkolenia pracowników, wsparcie przy wdrożeniu technicznym i opiekę po zakończeniu projektu.

Co powinno wchodzić w zakres wdrożenia

Porównując oferty, warto sprawdzić, co dokładnie obejmują. Kompletne wdrożenie RODO zwykle składa się z kilku etapów:

Audyt wstępny i mapowanie procesów — ustalenie, jakie dane firma zbiera, w jakich celach, na jakiej podstawie prawnej, jak długo je przechowuje i komu udostępnia. To fundament całego projektu.

Analiza ryzyka — identyfikacja zagrożeń dla praw i wolności osób oraz dobór adekwatnych środków bezpieczeństwa (art. 32 RODO). Bez niej środki techniczne są przypadkowe.

Dokumentacja — polityka ochrony danych, rejestr czynności przetwarzania (RCP), klauzule informacyjne, upoważnienia, procedury (obsługa praw osób, naruszenia, retencja).

Umowy powierzenia — przygotowanie lub weryfikacja umów z dostawcami (art. 28 RODO).

Ocena skutków (DPIA) — jeśli przetwarzanie wiąże się z wysokim ryzykiem.

Szkolenie pracowników — bo większość naruszeń wynika z błędu ludzkiego.

Wsparcie powdrożeniowe — konsultacje, aktualizacje przy zmianach w firmie i w przepisach.

Jeśli oferta obejmuje wyłącznie „pakiet dokumentów”, to nie jest wdrożenie — to półprodukt, który trzeba jeszcze samodzielnie dopasować i wprowadzić w życie.

Modele rozliczeń

W praktyce spotyka się trzy podejścia:

Wycena ryczałtowa (fixed price) — jedna kwota za zdefiniowany zakres. Daje przewidywalność budżetu, wymaga jednak precyzyjnego określenia zakresu na starcie. Najczęstszy model przy typowych wdrożeniach.

Rozliczenie godzinowe — stawka za godzinę pracy. Sprawdza się przy projektach o trudnym do przewidzenia zakresie i przy pracach dodatkowych.

Model etapowy — najpierw audyt (płatny osobno), który określa realny zakres, a następnie wycena wdrożenia na jego podstawie. To najuczciwszy model przy większych organizacjach: klient nie kupuje kota w worku, a wycena opiera się na faktach, a nie na założeniach.

Osobną kategorią jest abonament — stała opieka miesięczna, często łączona z funkcją zewnętrznego inspektora ochrony danych.

Koszty, o których się nie mówi

Przy planowaniu budżetu warto uwzględnić także:

Utrzymanie zgodności. RODO to nie projekt jednorazowy. Zmiany w firmie (nowy system, nowa usługa, nowy dostawca) i zmiany w przepisach wymagają aktualizacji dokumentacji.

Wdrożenie techniczne. Szyfrowanie, kopie zapasowe, kontrola dostępu, uwierzytelnianie wieloskładnikowe — to koszty po stronie IT, nieujęte w wycenie prawnej.

Czas własnego zespołu. Audyt i mapowanie procesów wymagają zaangażowania osób z firmy. To realny koszt, choć nie widać go na fakturze.

Szkolenia i rotacja. Nowi pracownicy wymagają przeszkolenia, a wiedza wymaga odświeżania.

Ile kosztuje brak wdrożenia

To pytanie zadaje się rzadziej — a powinno się częściej. Maksymalna kara za naruszenie RODO sięga 20 mln euro lub 4% całkowitego rocznego światowego obrotu (a przy naruszeniach obowiązków administratora — 10 mln euro lub 2% obrotu). To jednak kwoty teoretyczne. Bardziej wymowna jest polska praktyka:

• 978 128 zł — kara dla dużej spółki za brak zapewnienia niezależności inspektora ochrony danych (decyzja z 2 stycznia 2026 r., nieprawomocna). Nie było wycieku danych ani wykazanej szkody — problemem był model organizacyjny i brak udokumentowanej analizy.
• 50 000 zł — kara dla uczelni po kradzieży laptopa z danymi ok. 100 tys. osób, przy braku odpowiednich zabezpieczeń.
• 24 555 zł — kara dla organizacji po zgubieniu laptopa z danymi o zdrowiu i danymi dzieci.
• 8 000 zł — kara dla jednostki samorządowej, która w analizie ryzyka zdecydowała o szyfrowaniu dysku, ale go nie wdrożyła.

Ostatni przykład jest szczególnie pouczający: cała różnica między karą a jej brakiem sprowadzała się do niewdrożenia jednego środka, który w praktyce nic nie kosztuje. Do tego dochodzą koszty niewidoczne w decyzjach: obsługa kontroli, roszczenia osób, utrata zaufania klientów i kontrahentów, a przy przetargach — po prostu brak możliwości udziału.

Warto też pamiętać, że statystyki kar z ostatnich lat wskazują na dwa dominujące obszary uchybień: niewłaściwe zabezpieczenie danych oraz brak dokumentacji potwierdzającej zgodność. Oba są tanie do naprawienia przed kontrolą — i kosztowne po niej.

Dlaczego najtańsza oferta bywa najdroższa

Najtańszą formą „wdrożenia” jest zakup gotowego pakietu dokumentów. Problem w tym, że taki pakiet nie zna Twoich procesów. Jeśli w rejestrze czynności figurują operacje, których nie wykonujesz, a brakuje tych, które prowadzisz — dokumentacja nie tylko nie chroni, ale wręcz dowodzi, że wdrożenia nie było.

Organ nadzorczy nie ocenia bowiem, czy masz dokumenty, lecz czy potrafisz wykazać faktyczną zgodność (zasada rozliczalności, art. 5 ust. 2 RODO). Szablon bez analizy procesów tego nie zapewni. W praktyce koszt takiej „oszczędności” ujawnia się dopiero podczas kontroli albo po naruszeniu — czyli w najgorszym możliwym momencie.

Jak przygotować się do wyceny

Chcąc otrzymać rzetelną ofertę, przygotuj kilka informacji:

1. Liczba pracowników i lokalizacji.
2. Główne procesy, w których przetwarzacie dane (klienci, pracownicy, marketing, monitoring).
3. Czy przetwarzacie dane szczególnych kategorii lub dane dzieci.
4. Lista używanych narzędzi i dostawców (CRM, chmura, hosting, mailing, księgowość).
5. Czy korzystacie z narzędzi przekazujących dane poza EOG.
6. Co już posiadacie (dokumentacja, RCP, umowy powierzenia) i z jakiego okresu.
7. Czy jest wyznaczony inspektor ochrony danych.
8. Termin, w jakim potrzebujecie zakończyć wdrożenie.

Im więcej z tych informacji podasz na starcie, tym precyzyjniejsza — i zwykle korzystniejsza — będzie wycena.

Potrzebujesz wyceny wdrożenia RODO?

Wdrożenie RODO to inwestycja, której koszt zależy od skali i charakteru przetwarzania — ale zawsze pozostaje nieporównywalnie niższy od kosztu naruszenia czy kary. W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont prowadzimy wdrożenia RODO dopasowane do realnych procesów w firmie: od audytu i mapowania procesów, przez analizę ryzyka i dokumentację, po umowy powierzenia i szkolenia pracowników.