Wyciek danych klientów – jak przygotować firmę do audytu prywatności

Jaki jest cel i zakres audytu prywatności?

Audyt prywatności po wycieku danych klientów to uporządkowane sprawdzenie przyczyn incydentu, zakresu ujawnionych danych, luk w RODO, działań wobec UODO oraz środków bezpieczeństwa opisywanych m.in. przez ENISA; podstawowy termin decyzyjny wynosi 72 godziny od stwierdzenia naruszenia, jeżeli występuje ryzyko dla praw lub wolności osób fizycznych (źródło: RODO, art. 33, 2016). Treść ma charakter informacyjny i nie zastępuje konsultacji z prawnikiem.

Po co robić audyt po wycieku?

Audyt nie powinien być pozorną checklistą przygotowaną wyłącznie na wypadek kontroli. Ma ustalić, co faktycznie się stało, kto miał dostęp do danych, czy naruszenie wymagało zgłoszenia do Prezesa UODO, czy należało zawiadomić klientów oraz jakie działania ograniczą powtórzenie incydentu. Jeżeli firma jest już po skardze klienta lub otrzymała pytania od organu, trzeba równolegle ocenić co zrobić po skardze lub kontroli UODO.

• Rozliczalność administratora – firma musi wykazać, że znała ryzyka, podjęła decyzje i zachowała dowody działań zgodnie z art. 5 ust. 2 RODO.
• Zakres naruszenia – audyt ustala, czy wyciek dotyczył samych adresów e-mail, czy także numerów PESEL, historii zakupów, danych płatniczych lub dokumentów umownych.
• Przyczyna techniczna – dział IT sprawdza logi, konta administratorów, MFA, kopie zapasowe, podatności systemów i konfigurację usług takich jak Microsoft 365 lub Google Workspace.
• Przyczyna organizacyjna – zespół audytowy bada szkolenia, instrukcje, podział ról, akceptację dostępów oraz reakcję pracowników po wykryciu incydentu.
• Plan naprawczy RODO – wynik audytu powinien prowadzić do konkretnych terminów, właścicieli zadań i mierzalnych poprawek, a nie tylko do segregatora dokumentów.

Czym różni się audyt RODO od audytu IT?

Audyt RODO bada legalność, rozliczalność administratora, dokumentację, podstawy prawne, retencję danych, relacje z podmiotami przetwarzającymi i komunikację z osobami. Audyt IT koncentruje się na systemach, podatnościach, logach, konfiguracji, kopiach zapasowych oraz reakcji technicznej. Po wycieku oba obszary muszą się spotkać, bo samo naprawienie serwera nie odpowiada na pytanie, czy osoby powinny zostać zawiadomione.

Obszar	Audyt prywatności RODO	Audyt IT
Cel	Ocena zgodności, ryzyka prawnego i rozliczalności administratora.	Ocena bezpieczeństwa infrastruktury, systemów i kont użytkowników.
Dowody	ROPA, rejestr naruszeń, klauzule, zgody, umowy powierzenia i decyzje zarządu.	Logi, konfiguracje, raporty EDR, backupy, testy podatności i historia dostępów.
Wynik	Raport prawno-organizacyjny, ocena ryzyka RODO i plan naprawczy.	Raport techniczny, lista podatności, rekomendacje zabezpieczeń i harmonogram wdrożeń.

Jak określić zakres audytu?

Zakres powinien objąć systemy, procesy, osoby, dostawców, dokumentację i komunikację. Przykład: jeżeli wyciek nastąpił przez źle udostępniony folder Google Drive, audyt nie kończy się na zmianie linku. Trzeba sprawdzić politykę udostępniania plików, historię pobrań, konta byłych pracowników, klauzule dla klientów, rejestr czynności przetwarzania i umowy z dostawcą chmury.

„Administrator jest odpowiedzialny za przestrzeganie zasad i musi móc wykazać ich przestrzeganie.” – Parlament Europejski i Rada UE, RODO, art. 5 ust. 2, 2016

Jakie dokumenty RODO zebrać przed audytem?

Dokumenty do audytu RODO powinny pokazać, jakie dane firma przetwarza, na jakiej podstawie, komu je powierza, jak długo je przechowuje i jak reaguje na naruszenia. Bez tego audyt zmienia się w rozmowę opartą na pamięci pracowników, a nie na dowodach.

Jakie dokumenty przygotować w pierwszej kolejności?

Najpierw zbiera się dokumenty, które opisują procesy i obowiązki administratora. W praktyce brak daty obowiązywania dokumentu bywa tak samo problematyczny jak brak samego dokumentu, bo nie wiadomo, czy dana procedura obowiązywała w dniu naruszenia.

• ROPA – rejestr czynności przetwarzania powinien wskazywać kategorie osób, cele, podstawy prawne, odbiorców, terminy usunięcia i środki bezpieczeństwa zgodnie z art. 30 RODO.
• Rejestr naruszeń – dokument powinien zawierać opis incydentu, daty, ocenę ryzyka, decyzję o zgłoszeniu lub braku zgłoszenia oraz dowody działań naprawczych.
• Procedura incydentowa – instrukcja powinna wyjaśniać, kto przyjmuje zgłoszenie, kto ocenia ryzyko, kto kontaktuje się z UODO i kto decyduje o komunikacji z klientami.
• Klauzule informacyjne – dokumenty dla klientów, kontrahentów, pracowników i użytkowników strony powinny być zgodne z rzeczywistymi procesami, a nie kopiowane z poprzedniej wersji biznesu.
• Zgody marketingowe – formularze, logi zgód i treść checkboxów powinny pokazywać datę, kanał i zakres zgody, jeżeli firma opiera komunikację na zgodzie.
• Umowy powierzenia – kontrakty z hostingiem, CRM, mailingiem, księgowością i call center muszą określać zakres, cel, czas i środki bezpieczeństwa przetwarzania.
• Dowody szkoleń – lista obecności, testy wiedzy i instrukcje stanowiskowe pokazują, czy pracownicy byli przygotowani na incydent.

Jak zebrać materiał bez chaosu?

Materiał dowodowy warto ułożyć chronologicznie: wykrycie incydentu, działania techniczne, ocena ryzyka, decyzje prawne, komunikacja i naprawa. Jeżeli firma korzysta z instrukcji procedura wycieku danych krok po kroku, audyt powinien sprawdzić, czy procedura była faktycznie wykonana, a nie tylko zapisana.

1. Ustal jedną osobę koordynującą audyt, ponieważ rozproszone zbieranie plików powoduje duplikaty i sprzeczne wersje dokumentów.
2. Opisz każdy dokument datą obowiązywania, właścicielem, wersją oraz źródłem, ponieważ UODO może pytać o stan na dzień naruszenia.
3. Zabezpiecz logi systemowe przed nadpisaniem, ponieważ wiele systemów SaaS usuwa szczegółowe logi po 30, 60 lub 90 dniach.
4. Oddziel fakty od ocen, ponieważ wiadomość „prawdopodobnie nic się nie stało” nie zastępuje analizy ryzyka RODO.
5. Zachowaj korespondencję z dostawcą IT, ponieważ potwierdzenie zakresu awarii lub błędu konfiguracji może przesądzać o ocenie odpowiedzialności.

Jak sprawdzić rejestr czynności przetwarzania i podstawy prawne?

Rejestr czynności przetwarzania to mapa procesów danych osobowych, charakteryzująca się celem przetwarzania, kategoriami danych, odbiorcami, retencją i środkami bezpieczeństwa. Po wycieku ROPA trzeba skonfrontować z rzeczywistością, bo wiele naruszeń ujawnia procesy, których nikt formalnie nie opisał.

Jak testować ROPA po incydencie?

Audytor bierze jeden proces i śledzi dane od wejścia do usunięcia. Przykład: formularz kontaktowy na stronie kancelarii, sklepu lub firmy usługowej trafia do CRM, potem do skrzynki handlowca, następnie do systemu fakturowego i newslettera. Jeżeli ROPA opisuje tylko formularz, a pomija CRM i mailing, dokument jest niepełny.

• Cel przetwarzania – każdy proces powinien mieć konkretny cel, np. obsługa zapytania, wykonanie umowy, reklamacja, marketing bezpośredni lub dochodzenie roszczeń.
• Podstawa prawna – audyt powinien rozróżniać art. 6 ust. 1 lit. b RODO dla umowy, lit. c dla obowiązku prawnego i lit. f dla uzasadnionego interesu.
• Minimalizacja danych – formularz kontaktowy nie powinien wymagać numeru PESEL, jeżeli wystarczy imię, e-mail, telefon i opis sprawy.
• Retencja danych – lead sprzedażowy sprzed 6 lat nie powinien bezrefleksyjnie pozostawać w CRM, jeżeli firma nie umie wskazać celu dalszego przechowywania.
• Odbiorcy danych – ROPA powinna wskazywać hosting, operatora poczty, CRM, księgowość, dostawcę newslettera i inne podmioty, które realnie widzą dane.
• Transfer poza EOG – jeżeli dane trafiają do dostawcy z USA lub innego państwa trzeciego, audyt powinien sprawdzić podstawę transferu i zabezpieczenia.

Kiedy podstawa prawna wymaga korekty?

Korekta jest potrzebna, gdy firma deklaruje jedną podstawę, a działa na innej. Klasyczny przykład to checkbox „zgoda na kontakt”, chociaż kontakt następuje w celu obsługi zapytania ofertowego i może opierać się na działaniach przed zawarciem umowy. Przy marketingu trzeba oddzielić RODO od przepisów o komunikacji elektronicznej, dlatego przydatna jest analiza zgoda czy uzasadniony interes.

„Naruszenie należy zgłosić bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin.” – Parlament Europejski i Rada UE, RODO, art. 33, 2016

Jak ocenić umowy powierzenia z dostawcami IT, CRM i marketingu?

Umowa powierzenia to kontrakt między administratorem a podmiotem przetwarzającym, charakteryzujący się określeniem celu, zakresu, czasu, kategorii danych, obowiązków bezpieczeństwa i zasad zwrotu lub usunięcia danych. Po wycieku dostawcy są jednym z pierwszych obszarów kontroli.

Których dostawców sprawdzić jako pierwszych?

Priorytet mają ci dostawcy, którzy mają szeroki dostęp do danych klientów albo mogą tworzyć kopie danych poza głównym systemem. Przykładowo software house z kontem administratora do produkcyjnej bazy danych generuje wyższe ryzyko niż dostawca jednorazowego formularza PDF.

• Hosting – dostawca serwera powinien zapewniać logi, kopie zapasowe, separację środowisk i procedurę zgłaszania incydentów bezpieczeństwa.
• CRM – system taki jak HubSpot, Salesforce lub Livespace powinien mieć role użytkowników, historię aktywności, MFA i możliwość eksportu logów.
• Mailing – narzędzie takie jak Mailchimp lub GetResponse powinno być sprawdzone pod kątem list odbiorców, zgód, eksportów i transferu poza EOG.
• Księgowość – biuro rachunkowe lub system fakturowy przetwarza dane identyfikacyjne, adresowe, podatkowe i płatnicze, często przez wiele lat.
• Call center – dostawca obsługi telefonicznej może przetwarzać nagrania rozmów, reklamacje, dane kontaktowe i notatki konsultantów.
• Software house – wykonawca techniczny może mieć dostęp do baz produkcyjnych, repozytoriów, paneli administracyjnych i kluczy API.

Jakie klauzule muszą być w umowie?

Art. 28 RODO wymaga, aby powierzenie było uregulowane umową lub innym instrumentem prawnym. Audyt powinien sprawdzić nie tylko istnienie umowy, lecz także jej treść: podpowierzenie, audyty, poufność, bezpieczeństwo, zgłaszanie naruszeń i usuwanie danych po zakończeniu usługi (źródło: RODO, art. 28, 2016).

Ryzyko	Co sprawdzić w umowie	Przykład problemu
Podpowierzenie	Lista dalszych procesorów i mechanizm sprzeciwu administratora.	CRM korzysta z analityki spoza EOG, a firma nie wie o transferze.
Incydent	Termin powiadomienia administratora i zakres informacji technicznych.	Dostawca informuje po 5 dniach, a termin 72 godzin już biegnie.
Usunięcie danych	Zwrot lub kasowanie danych po zakończeniu umowy oraz potwierdzenie kasowania.	Były dostawca przechowuje eksport bazy klientów przez 2 lata.

Jak audytować zabezpieczenia techniczne i organizacyjne?

Zabezpieczenia techniczne i organizacyjne to środki ochrony danych, charakteryzujące się adekwatnością do ryzyka, stanem wiedzy technicznej, kosztem wdrożenia oraz skutkami dla osób. Po wycieku audyt powinien ustalić, czy środki były realne, znane pracownikom i egzekwowane.

Jak przygotować listę systemów, dostępów i administratorów?

Lista systemów powinna obejmować nie tylko „duże” narzędzia, takie jak CRM czy e-commerce, lecz także pocztę, dyski współdzielone, komunikatory, formularze, integracje API i prywatne eksporty w Excelu. Z mojej praktyki pracy z dokumentacją incydentową wynika, że najczęściej pomijane są konta byłych pracowników, konta serwisowe i foldery udostępnione linkiem publicznym.

• MFA – konta administracyjne w Microsoft 365, Google Workspace, CRM i hostingu powinny mieć wymuszone uwierzytelnianie wieloskładnikowe.
• Uprawnienia – pracownik marketingu nie powinien mieć pełnego eksportu bazy faktur, jeżeli wykonuje wyłącznie wysyłkę newslettera.
• Konta nieaktywne – konto byłego handlowca powinno zostać zablokowane w dniu odejścia, a nie po kwartalnym przeglądzie.
• Logi – system powinien rejestrować logowanie, eksport danych, zmianę ról, reset haseł i pobieranie plików z danymi klientów.
• Kopie zapasowe – backup powinien być testowany, szyfrowany i odseparowany, zwłaszcza przy ryzyku ransomware.
• Retencja danych – automatyczne reguły usuwania powinny obejmować CRM, skrzynki pocztowe, dyski współdzielone i archiwa kampanii.
• Szyfrowanie – laptopy, nośniki USB i eksporty CSV powinny być zabezpieczone, jeżeli zawierają dane klientów lub dokumenty umowne.

Kiedy potrzebna jest ocena skutków dla ochrony danych?

DPIA jest potrzebna, gdy przetwarzanie może powodować wysokie ryzyko dla praw lub wolności osób, zwłaszcza przy dużej skali, profilowaniu, danych szczególnych kategorii, monitoringu lub nowych technologiach (źródło: RODO, art. 35, 2016). Po wycieku audyt powinien sprawdzić, czy DPIA była wymagana wcześniej i czy jej brak nie zwiększył ryzyka.

„Środki bezpieczeństwa dobiera się z uwzględnieniem ryzyka, charakteru danych i stanu wiedzy technicznej.” – Parlament Europejski i Rada UE, parafraza art. 32 RODO, 2016

Jak rozmawiać z pracownikami podczas audytu?

Wywiady z pracownikami są częścią audytu, ponieważ dokumenty pokazują model formalny, a rozmowy pokazują praktykę. Wyciek często nie wynika z jednego błędu, lecz z połączenia pośpiechu, braku instrukcji, nadmiarowych dostępów i niejasnej odpowiedzialności.

Jak prowadzić rozmowy, żeby uzyskać fakty?

Rozmowa audytowa nie powinna przypominać przesłuchania. Jej celem jest odtworzenie procesu: kto odbiera dane, gdzie je wpisuje, komu przekazuje, kiedy usuwa i jak reaguje na podejrzaną wiadomość. Przykład: konsultant może ujawnić, że od lat wysyła raporty klientów na prywatny adres, bo „tak było szybciej”.

• Obsługa klienta – pracownik powinien umieć wskazać, jak weryfikuje tożsamość klienta przed udzieleniem informacji o sprawie.
• Marketing – osoba wysyłająca newsletter powinna rozumieć różnicę między zgodą marketingową, zapisem na newsletter i kontaktem w sprawie umowy.
• Sprzedaż – handlowiec powinien wiedzieć, kiedy lead w CRM należy usunąć lub zanonimizować, jeżeli kontakt nie prowadzi do umowy.
• HR – dział kadr powinien mieć jasną instrukcję przechowywania CV, dokumentów pracowniczych i danych kandydatów po rekrutacji.
• IT – administrator powinien potwierdzić, kto ma uprawnienia globalne, jak często są przeglądane i jak blokuje się dostęp po odejściu pracownika.

Jak testować procedury bez szukania winnych?

Audyt powinien badać system, nie tylko pojedynczego pracownika. Jeżeli ktoś wysłał plik do złego odbiorcy, trzeba sprawdzić automatyczne podpowiadanie adresów w poczcie, brak szyfrowania załączników, presję czasu i brak zasady podwójnej kontroli przy masowej wysyłce.

1. Poproś pracownika o opis ostatniego podobnego przypadku, ponieważ realny przykład pokazuje więcej niż abstrakcyjna deklaracja znajomości procedury.
2. Sprawdź, czy pracownik wie, komu zgłosić naruszenie, ponieważ brak pierwszego kontaktu wydłuża czas reakcji.
3. Porównaj odpowiedzi działów, ponieważ rozbieżności między IT, marketingiem i obsługą klienta ujawniają luki organizacyjne.
4. Zapisz ustalenia bez personalnych ocen, ponieważ raport audytowy powinien opisywać ryzyka i dowody, a nie etykietować ludzi.

Jak zamienić wyniki audytu w plan naprawczy?

Raport z audytu powinien zawierać ustalenia, dowody, ocenę ryzyka, podstawy prawne i zalecenia. Najważniejsze jest jednak przełożenie go na plan naprawczy RODO z terminami, właścicielami zadań i miernikami wykonania.

Jak powinien wyglądać raport z audytu?

Raport musi być zrozumiały dla zarządu, IOD, IT, HR, marketingu i obsługi klienta. Nie wystarczy zdanie „należy poprawić bezpieczeństwo”. Dobre zalecenie brzmi: „do 7 dni włączyć MFA dla kont administratorów Microsoft 365 i CRM, a do 30 dni wykonać przegląd ról użytkowników”.

• Ustalenie faktyczne – raport powinien wskazywać, co stwierdzono, na podstawie jakiego dokumentu, logu lub rozmowy.
• Ryzyko prawne – opis powinien łączyć fakt z możliwym naruszeniem RODO, np. art. 5, 24, 28, 30, 32, 33 lub 35.
• Ryzyko dla osób – ocena powinna uwzględniać kradzież tożsamości, phishing, dyskryminację, stratę finansową lub naruszenie poufności.
• Zalecenie – każde zalecenie powinno mieć właściciela, termin, priorytet i sposób potwierdzenia wykonania.
• Dowód naprawy – wykonane zadanie powinno mieć potwierdzenie, np. zrzut konfiguracji MFA, nową umowę powierzenia lub protokół szkolenia.

Jak ustalić priorytety 0-7, 30 i 90 dni?

Priorytety powinny wynikać z ryzyka, a nie z łatwości wdrożenia. Najpierw zamyka się luki umożliwiające dalszy wyciek, potem porządkuje dokumentację i dostawców, a na końcu wdraża zmiany systemowe. Przy raportowaniu pomocna jest instrukcja jak udokumentować legalność działań po wycieku.

1. W ciągu 0-7 dni zablokuj nieaktywne konta, włącz MFA, zabezpiecz logi, odetnij publiczne linki i potwierdź zakres danych.
2. W ciągu 0-7 dni podejmij decyzję o zgłoszeniu do UODO i zawiadomieniu osób, jeżeli ryzyko lub wysokie ryzyko tego wymaga.
3. W ciągu 30 dni popraw ROPA, rejestr naruszeń, procedurę incydentową, klauzule informacyjne i wzory komunikatów dla klientów.
4. W ciągu 30 dni podpisz lub zaktualizuj umowy powierzenia z hostingiem, CRM, mailingiem, księgowością i call center.
5. W ciągu 90 dni wykonaj przegląd retencji, role-based access control, cykliczne szkolenia i test procedury incydentowej.
6. W ciągu 90 dni oceń, czy proces wymaga DPIA, nowej analizy ryzyka lub zmian w architekturze systemów.

„Incident reporting supports the understanding and analysis of the EU cybersecurity ecosystem.” – ENISA, Incident Reporting, dostęp 2026

Kiedy audyt powinien prowadzić prawnik lub IOD?

Wsparcie prawnika lub inspektora ochrony danych jest szczególnie potrzebne, gdy audyt dotyczy ryzyka prawnego, komunikacji z UODO, danych wrażliwych, sporów z klientami albo odpowiedzialności dostawców. Sam dział IT nie powinien samodzielnie rozstrzygać, czy naruszenie wymaga zgłoszenia.

Kiedy wystarczy wewnętrzny zespół?

Wewnętrzny zespół może przeprowadzić wstępną diagnozę, jeżeli incydent jest prosty, dobrze udokumentowany i nie obejmuje danych wysokiego ryzyka. Przykładem jest pojedynczy e-mail wysłany omyłkowo do stałego kontrahenta, szybko usunięty i oceniony pod kątem niskiego ryzyka. Nawet wtedy decyzja powinna trafić do rejestru naruszeń.

• IOD – inspektor ochrony danych powinien opiniować ocenę ryzyka, komunikację z osobami i zgodność działań z procedurami.
• Prawnik – kancelaria powinna ocenić ryzyko sporu, zakres odpowiedzialności, treść zawiadomień i sposób kontaktu z UODO.
• Zarząd – osoby decyzyjne powinny zatwierdzić priorytety, budżet naprawczy i komunikację kryzysową.
• IT – administratorzy powinni dostarczyć logi, potwierdzenia konfiguracji, raporty bezpieczeństwa i techniczne przyczyny incydentu.

Kiedy potrzebna jest kancelaria?

Kancelaria jest wskazana, gdy sprawa może skutkować kontrolą UODO, roszczeniami klientów, odpowiedzialnością kontraktową, konfliktem z procesorem albo ryzykiem administracyjnej kary pieniężnej. RODO przewiduje wysokie maksymalne pułapy kar, w tym do 10 mln EUR albo 2 procent obrotu oraz do 20 mln EUR albo 4 procent obrotu zależnie od rodzaju naruszenia (źródło: RODO, art. 83, 2016).

• Dane szczególnych kategorii – informacje o zdrowiu, poglądach, związkach zawodowych lub biometrii zwiększają ryzyko i wymagają ostrożnej analizy.
• Dane finansowe – numery rachunków, historia płatności, kredyty i dokumenty dochodowe mogą prowadzić do strat majątkowych lub phishingu.
• Duża skala – wyciek obejmujący tysiące klientów wymaga uporządkowanej komunikacji, dowodów i kontroli ryzyka reputacyjnego.
• Spór z dostawcą – jeżeli hosting, CRM lub software house opóźnia informacje, potrzebna jest analiza umowy i odpowiedzialności.
• Pismo z UODO – odpowiedź do organu powinna być spójna z raportem, rejestrem naruszeń, logami i wcześniejszymi decyzjami firmy.

Artykuł nie jest indywidualną poradą prawną. Przy konkretnym wycieku danych klientów należy ocenić dokumenty, logi, umowy, charakter danych i realne ryzyko dla osób, najlepiej z udziałem prawnika lub IOD.

Najczęściej zadawane pytania

Czy audyt prywatności po wycieku jest obowiązkowy?

RODO nie nakazuje każdej firmie wykonania czynności nazwanej „audytem”, ale nakłada obowiązek rozliczalności, bezpieczeństwa i dokumentowania naruszeń. Audyt prywatności jest praktycznym sposobem zebrania dowodów, uporządkowania decyzji i przygotowania planu naprawczego. Przy poważnym incydencie brak takiej analizy może utrudnić obronę stanowiska przed UODO.

Czy audyt powinien robić dział IT?

Dział IT jest konieczny, bo bez logów, konfiguracji i wiedzy o systemach nie da się ustalić przyczyny technicznej. Sam dział IT nie powinien jednak samodzielnie oceniać podstaw prawnych, obowiązku zgłoszenia, komunikacji z klientami i umów powierzenia. Najbezpieczniejszy model łączy IT, IOD, zarząd i prawnika.

Jakie dokumenty są najważniejsze przy audycie?

Najczęściej kluczowe są ROPA, rejestr naruszeń, procedura incydentowa, umowy powierzenia, klauzule informacyjne, logi i dowody działań naprawczych. W firmach sprzedażowych istotne będą też zgody marketingowe, CRM i historia eksportów. W usługach profesjonalnych trzeba dodatkowo sprawdzić dokumenty klienta, załączniki e-mail i dyski współdzielone.

Czy trzeba sprawdzać dostawców zewnętrznych?

Tak, ponieważ wyciek może powstać w łańcuchu dostaw, a nie wyłącznie w systemach administratora. Szczególnie ważny jest hosting, mailing, CRM, biuro rachunkowe, software house i call center. Audyt powinien obejmować umowę powierzenia, podpowierzenie, transfer poza EOG, terminy zgłaszania incydentów i usuwanie danych po zakończeniu usługi.

Jak długo powinien trwać audyt?

W małej firmie wstępna diagnoza może zająć kilka dni, a pełny audyt od 2 do 4 tygodni. Po poważnym incydencie nie należy czekać na pełny raport przed zabezpieczeniem kont, logów i danych. Działania natychmiastowe powinny ruszyć od razu, a raport może być uzupełniany etapami.

Czy raport z audytu pokazywać UODO?

To zależy od treści żądania organu i strategii procesowej. Raport może być ważnym dowodem rozliczalności, ale może też zawierać informacje o lukach, sporach z dostawcą lub niepewnych ustaleniach. Przed przekazaniem raportu warto skonsultować jego zakres, załączniki i sposób opisania działań naprawczych.

Źródła i literatura

Jak korzystać ze źródeł przy audycie?

Źródła powinny być traktowane jako podstawa do oceny konkretnego stanu faktycznego, a nie gotowa odpowiedź dla każdej firmy. Ten sam incydent może wymagać innej reakcji, jeżeli dotyczy danych dzieci, danych zdrowotnych, dużej skali albo dostawcy spoza EOG.

Które akty i wytyczne są podstawowe?

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO, szczególnie art. 4 pkt 12, art. 5, art. 24, art. 28, art. 30, art. 32, art. 33, art. 35 i art. 83.
2. EUR-Lex – oficjalna wersja Rozporządzenia 2016/679 dostępna pod adresem https://eur-lex.europa.eu/eli/reg/2016/679/oj.
3. Urząd Ochrony Danych Osobowych – materiały i poradniki dotyczące naruszeń ochrony danych osobowych, zgłaszania naruszeń i analizy ryzyka, dostęp 2026.
4. Europejska Rada Ochrony Danych – Guidelines 01/2021 on Examples regarding Data Breach Notification, wersja przyjęta w 2021 r.
5. ENISA – materiały dotyczące incident reporting, cyber crisis management i środków bezpieczeństwa organizacyjnego oraz technicznego, dostęp 2026.