Kontrola UODO krok po kroku — jak przebiega i jak się przygotować

Kontrola UODO może budzić niepokój, szczególnie gdy firma wcześniej nie miała kontaktu z organem nadzorczym. Najwięcej obaw zwykle wynika z niewiedzy: kto może przyjść, czego zażąda i jak długo potrwa kontrola.

Tymczasem przebieg kontroli został szczegółowo uregulowany w ustawie o ochronie danych osobowych. Znajomość tej procedury pomaga uniknąć chaosu i odpowiednio zorganizować współpracę z kontrolującymi. Ma też znaczenie praktyczne. Kontrolowany ma nie tylko obowiązki, ale również określone prawa. Szczególnie ważne są zakres upoważnienia, sposób prowadzenia czynności oraz możliwość zgłoszenia zastrzeżeń do protokołu.

W tym artykule wyjaśniam, jak wygląda kontrola UODO krok po kroku. Pokazuję również, jak przygotować organizację i czego można spodziewać się po jej zakończeniu.

Kiedy UODO może przeprowadzić kontrolę

Prezes UODO może prowadzić kontrole zgodnie z zatwierdzonym planem. Kontrola może też wynikać z informacji uzyskanych przez organ lub z monitorowania przestrzegania RODO. W praktyce oznacza to, że kontrola może mieć charakter planowy albo zostać podjęta w związku z konkretną sytuacją. Impulsem może być między innymi skarga, zgłoszone naruszenie lub informacje wskazujące na możliwe nieprawidłowości.

Zakres kontroli sektorowych zmienia się z roku na rok. W planie UODO na 2026 r. znalazły się między innymi podmioty marketingowe, lecznicze oraz prowadzące BIP. UODO przewidział też kontrole organów korzystających z wielkoskalowych systemów UE. We wrześniu 2026 r. organ rozszerzył kontrole w sektorze ochrony zdrowia. Jednocześnie kontrole internetowych platform dostaw przesunięto na pierwsze dwa kwartały 2027 r.  

Ustawa o ochronie danych osobowych nie wprowadza ogólnego obowiązku wcześniejszego zawiadomienia o kontroli. Dlatego organizacja powinna być przygotowana także na sytuację, w której czasu na porządkowanie dokumentacji będzie niewiele.

Kto prowadzi kontrolę i jak się ona rozpoczyna

Kontrolę przeprowadza osoba upoważniona przez Prezesa UODO. Co do zasady będzie to pracownik Urzędu. W określonych przypadkach może uczestniczyć również przedstawiciel innego unijnego organu nadzorczego. Jeżeli sprawa wymaga specjalistycznej wiedzy, Prezes UODO może włączyć do kontroli dodatkowego eksperta. Może to być na przykład osoba posiadająca specjalistyczną wiedzę techniczną.

Kontrola rozpoczyna się po okazaniu imiennego upoważnienia i legitymacji służbowej. Upoważnienie powinno wskazywać między innymi podstawę prawną, kontrolowany podmiot oraz zakres kontroli. Zawiera też termin rozpoczęcia i przewidywanego zakończenia czynności. Właśnie dlatego dokument warto dokładnie przeczytać już na początku. Szczególne znaczenie ma zakres przedmiotowy kontroli. Wyznacza on ramy, w których powinny pozostawać prowadzone czynności. Jeżeli pojawiają się uzasadnione wątpliwości dotyczące bezstronności kontrolującego, ustawa przewiduje możliwość jego wyłączenia. Decyzję w tej sprawie podejmuje Prezes UODO.

Ile może trwać kontrola UODO

Ustawa wprowadza maksymalny czas prowadzenia kontroli. Co do zasady nie może ona trwać dłużej niż 30 dni. Termin liczy się od okazania upoważnienia oraz dokumentu potwierdzającego tożsamość kontrolującego. Do tych 30 dni nie wlicza się jednak czasu przeznaczonego na podpisanie protokołu. Poza limitem pozostaje również okres przewidziany na zgłaszanie do niego zastrzeżeń. Kontrola kończy się wraz z podpisaniem protokołu przez kontrolowanego. Jeżeli kontrolowany odmawia podpisu, znaczenie ma odpowiednia wzmianka w protokole.

Jakie uprawnienia mają kontrolujący

Zakres uprawnień kontrolujących jest szeroki. Nie oznacza to jednak, że może dotyczyć dowolnego obszaru działalności organizacji. Czynności powinny pozostawać w związku z zakresem wskazanym w upoważnieniu.

Kontrolujący mogą między innymi:

• wejść na teren organizacji i do jej pomieszczeń w godzinach od 6:00 do 22:00,
• przeglądać dokumenty i informacje bezpośrednio związane z zakresem kontroli,
• dokonywać oględzin urządzeń, nośników i systemów wykorzystywanych do przetwarzania danych,
• żądać pisemnych oraz ustnych wyjaśnień,
• przesłuchiwać świadków w zakresie potrzebnym do ustalenia stanu faktycznego,
• zlecać przygotowanie ekspertyz i opinii.

Kontrolowany musi także zapewnić warunki potrzebne do sprawnego przeprowadzenia czynności. Może być zobowiązany między innymi do przygotowania kopii lub wydruków dokumentów. Jeżeli związek konkretnego żądania z kontrolą nie jest oczywisty, warto poprosić o jego doprecyzowanie. Pozwala to uniknąć przekazywania przypadkowych lub niepotrzebnych materiałów.

Obowiązki i prawa kontrolowanej organizacji

Współpraca z kontrolującymi jest obowiązkiem. Utrudnianie albo udaremnianie kontroli może prowadzić do odpowiedzialności karnej. Ustawa przewiduje za takie zachowanie grzywnę, ograniczenie wolności albo pozbawienie wolności do dwóch lat.

Współpraca nie oznacza jednak biernego przekazywania każdej informacji bez kontroli. Organizacja powinna od początku uporządkować sposób komunikacji. Dobrze wyznaczyć osobę, która koordynuje przekazywanie dokumentów i kontakt z UODO. Warto również prowadzić rejestr udostępnionych materiałów. Dzięki temu wiadomo, jakie dokumenty otrzymali kontrolujący i kiedy je przekazano.

Wyjaśnienia powinny być rzeczowe, zgodne ze stanem faktycznym i odpowiadać na zadane pytanie. Nie ma potrzeby samodzielnego rozszerzania odpowiedzi o obszary niezwiązane z kontrolą. Dobrze też zapewnić dostępność osób, które rzeczywiście znają badane procesy. Może to być IOD, pracownik IT, HR, marketingu albo osoba odpowiedzialna za konkretny system.

Protokół kontroli — dokument, którego nie warto podpisywać automatycznie

Po zakończeniu czynności kontrolujący przygotowuje protokół kontroli. Dokument zawiera między innymi zakres i daty kontroli oraz opis ustalonego stanu faktycznego. Powinien również zawierać informacje istotne dla późniejszej oceny zgodności przetwarzania.  Protokół ma ogromne znaczenie, ponieważ utrwala ustalenia dokonane podczas kontroli. Nie należy więc traktować jego podpisania jako czystej formalności.

Kontrolowany ma 7 dni od przedstawienia protokołu na jego podpisanie albo wniesienie pisemnych zastrzeżeń.  Jeżeli zastrzeżenia są zasadne, kontrolujący może zmienić albo uzupełnić odpowiednią część protokołu. Może także wykonać dodatkowe czynności kontrolne. Jeżeli ich nie uwzględni, powinien przekazać kontrolowanemu informację wraz z uzasadnieniem.  Dlatego warto wykorzystać dostępny termin na spokojne porównanie protokołu z dokumentami oraz przebiegiem czynności.

Co dzieje się po zakończeniu kontroli

Sama kontrola nie oznacza jeszcze nałożenia kary. Jej podstawowym zadaniem jest ustalenie stanu faktycznego. Jeżeli zebrane informacje wskazują na możliwe naruszenie przepisów, Prezes UODO wszczyna odrębne postępowanie administracyjne. Wynika to wprost z art. 90 ustawy.  Dopiero w tym postępowaniu organ dokonuje oceny prawnej i może zastosować środki przewidziane w RODO.

W zależności od sprawy może to oznaczać między innymi upomnienie, nakaz dostosowania procesów albo ograniczenie przetwarzania. W określonych przypadkach organ może też nałożyć administracyjną karę pieniężną. Ważne jest więc rozróżnienie dwóch etapów. Kontrola służy przede wszystkim ustaleniu faktów. Postępowanie administracyjne prowadzi do rozstrzygnięcia.

Rola IOD i prawnika podczas kontroli

IOD może odegrać podczas kontroli ważną rolę. Zna dokumentację organizacji, wcześniejsze analizy i przyjęte rozwiązania dotyczące ochrony danych. Może więc wyjaśnić sposób działania systemu zgodności i wspierać komunikację z organem. Trzeba jednak zachować właściwy podział odpowiedzialności.

IOD doradza i monitoruje zgodność, ale nie zastępuje administratora ani zarządu. Nie powinien także przejmować odpowiedzialności za decyzje biznesowe organizacji. Wsparcie prawnika jest szczególnie przydatne przy analizie zakresu kontroli i przygotowywaniu stanowiska. Może mieć również duże znaczenie przy zastrzeżeniach do protokołu oraz późniejszym postępowaniu.

Jak przygotować firmę, zanim rozpocznie się kontrola

Najgorszym momentem na porządkowanie całego systemu RODO jest dzień rozpoczęcia kontroli. Dlatego warto wcześniej ustalić prostą procedurę działania. Organizacja powinna wiedzieć, kto przyjmuje kontrolujących, kto kontaktuje się z zarządem i kto odpowiada za dokumenty. Dobrze także określić sposób angażowania IOD, działu IT oraz prawnika.

Dokumentacja powinna być aktualna i zgodna z praktyką. UODO wskazuje między innymi na znaczenie RCP, procedur, analizy ryzyka i umów powierzenia.  Warto wcześniej zweryfikować także zabezpieczenia techniczne, zasady aktualizacji systemów i wykonywania kopii zapasowych. UODO rekomenduje również sprawdzenie wdrożenia zaleceń z wcześniejszych audytów. Dobrym narzędziem przygotowawczym pozostaje audyt RODO. Pozwala przeprowadzić własną ocenę zanim zrobi to organ nadzorczy.

Najczęstsze błędy podczas kontroli UODO

Brak ustalonej procedury. Pracownicy nie wiedzą, kogo powiadomić ani kto może przekazywać dokumenty.

Niezweryfikowanie upoważnienia. Organizacja nie sprawdza zakresu kontroli i od początku działa bez ustalonych ram.

Chaotyczne przekazywanie dokumentów. Brakuje rejestru materiałów udostępnionych kontrolującym.

Nadmierne wyjaśnienia. Odpowiedzi wykraczają daleko poza pytania i przedmiot kontroli.

Utrudnianie czynności. Brak współpracy może prowadzić do poważnych konsekwencji prawnych.

Automatyczne podpisanie protokołu. Organizacja nie wykorzystuje siedmiu dni na sprawdzenie ustaleń i ewentualne zastrzeżenia.

Porządkowanie RODO dopiero podczas kontroli. Dokumentacja powinna odzwierciedlać wcześniejszą i rzeczywistą praktykę.

Kontrola UODO — praktyczna checklista

• Sprawdź upoważnienie i dokument kontrolującego, zwłaszcza zakres oraz przewidywany czas kontroli.
• Powiadom osoby odpowiedzialne, w tym zarząd, IOD i w razie potrzeby prawnika.
• Wyznacz osobę koordynującą kontrolę i komunikację z UODO.
• Zapewnij kontrolującym warunki do wykonywania czynności zgodnie z ustawą.
• Prowadź rejestr przekazywanych dokumentów, kopii i informacji.
• Udzielaj rzeczowych i precyzyjnych wyjaśnień odpowiadających zakresowi kontroli.
• Zaangażuj pracowników znających kontrolowane procesy i systemy.
• Dokładnie przeanalizuj protokół przed jego podpisaniem.
• W razie potrzeby skorzystaj z siedmiodniowego terminu na zastrzeżenia.
• Po kontroli przygotuj się na dalsze postępowanie, jeżeli organ stwierdzi możliwość naruszenia.

Potrzebujesz wsparcia podczas kontroli UODO?

Kontrola UODO ma formalnie określony przebieg. W praktyce jednak sposób organizacji działań po stronie kontrolowanego może mieć duże znaczenie. W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont wspieramy organizacje zarówno przed rozpoczęciem kontroli, jak i podczas jej prowadzenia.

Pomagamy zweryfikować zakres kontroli, uporządkować komunikację z organem i przygotować niezbędne wyjaśnienia. Analizujemy również protokół oraz przygotowujemy zastrzeżenia do jego treści. W razie wszczęcia dalszego postępowania zapewniamy także wsparcie prawne i reprezentację przed Prezesem UODO. Możemy również wcześniej przeprowadzić audyt i przygotować organizację na ewentualną kontrolę.