Administrator systemu informatycznego w firmie handlowej odbiera pismo informujące o wszczęciu kontroli przez Prezesa Urzędu Ochrony Danych Osobowych, a w dziale prawnym nikt wcześniej nie uczestniczył w podobnym postępowaniu. Taka sytuacja wywołuje niepewność, ponieważ przebieg kontroli różni się od tego, czego wiele osób mogłoby się spodziewać na podstawie ogólnej wiedzy o RODO. Ochrona danych osobowych podlega w Polsce nadzorowi tego właśnie organu, który dysponuje konkretnymi uprawnieniami kontrolnymi określonymi w przepisach. W dalszej części tekstu wyjaśniamy, jak przebiega kontrola Prezesa UODO, jakich dokumentów może żądać organ oraz jak firma powinna się przygotować, zanim kontrolerzy pojawią się na miejscu.
Skąd bierze się kontrola Prezesa UODO?
Kontrola może zostać wszczęta na podstawie skargi osoby, której dane dotyczą, zgłoszenia naruszenia ochrony danych przez samą firmę, albo z inicjatywy własnej organu w ramach planowych działań kontrolnych obejmujących określone branże. Prezes UODO publikuje zwykle roczny plan kontroli sektorowych, jednak część postępowań wynika z bieżących zgłoszeń, których nie sposób przewidzieć z wyprzedzeniem.
Najczęstsze powody wszczęcia postępowania
Nie każda skarga skutkuje formalną kontrolą, ale pewne kategorie zgłoszeń regularnie prowadzą do wszczęcia postępowania wyjaśniającego. Do sytuacji, które najczęściej inicjują kontrolę, należą:
- skargi osób fizycznych dotyczące niezrealizowania ich praw, na przykład prawa do usunięcia danych;
- zgłoszenia naruszenia ochrony danych osobowych, które organ chce zweryfikować pod kątem kompletności zgłoszenia;
- kontrole sektorowe obejmujące konkretną branżę, na przykład sektor finansowy czy medyczny;
- informacje przekazane przez media dotyczące potencjalnego wycieku danych na dużą skalę;
- skargi pracowników dotyczące sposobu przetwarzania ich danych przez pracodawcę.
Jak przebiega kontrola krok po kroku?
Kontrola Prezesa UODO rozpoczyna się od doręczenia firmie upoważnienia do jej przeprowadzenia, które określa zakres oraz przedmiot planowanych czynności. Kontrolerzy mają prawo wstępu do pomieszczeń, w których przetwarzane są dane osobowe, a także dostępu do dokumentacji, systemów informatycznych oraz nośników danych związanych z zakresem kontroli.
Dokumenty, których może zażądać organ
Zakres żądanych dokumentów zwykle obejmuje rejestr czynności przetwarzania, polityki ochrony danych, umowy powierzenia przetwarzania oraz dokumentację dotyczącą zgłoszonych wcześniej naruszeń, dlatego firma powinna mieć te materiały uporządkowane jeszcze przed rozpoczęciem jakiejkolwiek kontroli. Brak aktualnej dokumentacji w momencie kontroli utrudnia wykazanie zgodności z przepisami, nawet jeśli firma faktycznie stosuje odpowiednie zabezpieczenia w praktyce.
Jak przygotować firmę zawczasu na wypadek kontroli?
Przygotowanie do potencjalnej kontroli sprawdza się najlepiej, gdy zaczyna się długo przed otrzymaniem jakiegokolwiek pisma od organu. Doradztwo w zakresie ochrony danych osobowych na tym etapie koncentruje się na uporządkowaniu dokumentacji oraz przeprowadzeniu wewnętrznego audytu, który pozwala wychwycić braki, zanim zrobi to kontroler.
| Element przygotowania | Dlaczego ma znaczenie |
|---|---|
| Aktualny rejestr czynności przetwarzania | podstawowy dokument, którego brak budzi natychmiastowe wątpliwości organu |
| Procedury reagowania na naruszenia | pozwalają wykazać, że firma posiada system zarządzania incydentami |
| Umowy powierzenia z podwykonawcami | potwierdzają odpowiednie uregulowanie przekazywania danych na zewnątrz |
| Dokumentacja szkoleń pracowniczych | świadczy o budowaniu świadomości w organizacji, nie tylko o dokumentach na papierze |
Rola przedstawiciela firmy podczas kontroli
Podczas kontroli warto wyznaczyć osobę odpowiedzialną za koordynację kontaktu z kontrolerami, najlepiej we współpracy z inspektorem ochrony danych, jeśli firma go powołała, oraz z zewnętrznym doradcą prawnym. Spójna komunikacja pozwala uniknąć sytuacji, w której różni pracownicy udzielają sprzecznych wyjaśnień dotyczących tych samych procesów przetwarzania danych.
Co dzieje się po zakończeniu kontroli?
Po zakończeniu czynności kontrolnych organ sporządza protokół, do którego firma może zgłosić zastrzeżenia w wyznaczonym terminie. Kancelaria prawna RODO wspiera zwykle klientów na tym etapie, pomagając przygotować rzeczową odpowiedź odnoszącą się do ustaleń kontrolerów, zanim sprawa przejdzie do dalszego postępowania administracyjnego.
Wsparciem w tego rodzaju sprawach zajmuje się między innymi zespół kancelarii JDP Drapała Chomiuk & Partners, gdzie tematyką ochrony danych osobowych zajmuje się między innymi Krzysztof Brant, radca prawny i senior associate. Podobne doświadczenie w obsłudze kontroli UODO mają też inne kancelarie specjalizujące się w tym obszarze, dlatego przy wyborze doradcy warto sprawdzić, czy zespół obsługiwał już podobne postępowania w danej branży.
Jakie konsekwencje może przynieść stwierdzone naruszenie?
Jeżeli kontrola wykaże naruszenie przepisów RODO, Prezes UODO może nałożyć na firmę karę finansową, której wysokość zależy od skali naruszenia, liczby osób dotkniętych incydentem oraz działań podjętych przez firmę w celu naprawienia sytuacji. Organ bierze pod uwagę również to, czy firma współpracowała podczas kontroli oraz czy podobne naruszenie miało już miejsce wcześniej.
- Zebranie pełnej dokumentacji potwierdzającej podjęte działania naprawcze po wykryciu nieprawidłowości.
- Konsultacja z prawnikiem specjalizującym się w postępowaniach przed Prezesem UODO co do dalszej strategii.
- Przygotowanie odpowiedzi na protokół pokontrolny, uwzględniającej wszystkie istotne okoliczności sprawy.
- Wdrożenie rekomendowanych zmian w procedurach jeszcze przed wydaniem ostatecznej decyzji organu.
Firma, która traktuje wyniki kontroli jako punkt wyjścia do realnej poprawy procesów, a nie wyłącznie problem do przetrwania, zyskuje w oczach organu wiarygodność, która może mieć znaczenie przy ustalaniu wysokości ewentualnej kary. Widoczne zaangażowanie w naprawę sytuacji bywa doceniane inaczej niż bierne oczekiwanie na decyzję.
Kontrola Prezesa UODO, choć budzi naturalny niepokój, przebiega w miarę przewidywalnie dla firm, które na co dzień dbają o porządek w dokumentacji i procesach przetwarzania danych. Organizacje traktujące zgodność z RODO jako stały element zarządzania, a nie jednorazowy projekt zamknięty po pierwszym wdrożeniu, znacznie spokojniej podchodzą do momentu, w którym otrzymują pismo o wszczęciu postępowania kontrolnego.