Wróć do bloga
Audyty i pentesty

RODO i audyt bezpieczeństwa - co musisz wiedzieć?

Publikacja: 2024-11-01Aktualizacja: 2026-07-273 minKrzysztof Jaroński

RODO a obowiązek audytu bezpieczeństwa

Rozporządzenie RODO (GDPR) nie nakłada bezpośredniego obowiązku przeprowadzania usługi ani procedury o nazwie „audyt bezpieczeństwa IT” w określonym cyklu. Wymaga natomiast wdrożenia odpowiednich środków technicznych i organizacyjnych chroniących dane osobowe oraz — w art. 32 ust. 1 lit. d — regularnego testowania, mierzenia i oceny skuteczności tych środków.

W praktyce oznacza to, że musisz zapewniać i w razie potrzeby wykazywać, że zabezpieczenia działają. Audyt bezpieczeństwa IT (lub inna forma oceny: przegląd, test, DPIA) może być narzędziem do tej oceny — ale sama nazwa „audyt” nie wynika wprost z RODO. Pełny zakres typowego audytu opisuję w artykule Audyt bezpieczeństwa IT – co obejmuje?.

Kluczowe wymagania RODO

Art. 32 - Bezpieczeństwo przetwarzania

Administrator danych musi wdrożyć środki zapewniające:

  • Pseudonimizację i szyfrowanie danych
  • Ciągłą poufność, integralność i dostępność systemów
  • Zdolność do szybkiego przywrócenia danych po incydencie
  • Regularne testowanie i ocenę skuteczności zabezpieczeń

Art. 35 - Ocena skutków dla ochrony danych (DPIA)

Wymagana przy przetwarzaniu danych wysokiego ryzyka:

  • Profilowanie i automatyczne podejmowanie decyzji
  • Przetwarzanie danych wrażliwych na dużą skalę
  • Systematyczne monitorowanie miejsc publicznych

Audyt jako narzędzie oceny skuteczności środków RODO

Co może obejmować ocena (audyt) pod kątem RODO?

1. Inwentaryzacja danych

  • Jakie dane są przetwarzane?
  • Gdzie są przechowywane?
  • Kto ma do nich dostęp?

2. Podstawy prawne przetwarzania

  • Zgody użytkowników
  • Umowy
  • Prawnie uzasadniony interes

3. Środki bezpieczeństwa

  • Szyfrowanie
  • Kontrola dostępu
  • Kopie zapasowe
  • Procedury reagowania na incydenty

4. Prawa osób

  • Prawo do informacji
  • Prawo do usunięcia danych
  • Prawo do przenoszenia danych
  • Prawo do sprzeciwu

5. Umowy powierzenia

  • Weryfikacja procesorów danych
  • Zgodność umów z RODO
  • Kontrola podwykonawców

Kary za brak zgodności

RODO przewiduje surowe kary:

  • Do 10 mln EUR lub 2% rocznego obrotu (niższe naruszenia)
  • Do 20 mln EUR lub 4% rocznego obrotu (poważne naruszenia)

Przykłady kar w Polsce:

  • Brak odpowiednich zabezpieczeń: 100 000 - 500 000 PLN
  • Niewłaściwe przetwarzanie danych: 50 000 - 200 000 PLN
  • Brak zgłoszenia naruszenia: 20 000 - 100 000 PLN

Jak często oceniać skuteczność środków?

RODO nie podaje sztywnego harmonogramu „audytu co 12 miesięcy”. Częstotliwość oceny powinna wynikać z ryzyka i zmian w przetwarzaniu. Sensowne praktyki:

  • Pełna ocena / audyt: gdy rośnie ryzyko, zmienia się zakres przetwarzania lub co jakiś czas jako review (np. rocznie w firmach z dużą ekspozycją),
  • Po zmianach w systemach: zawsze, gdy dotykają danych osobowych,
  • Po incydencie: natychmiast,
  • Przed wdrożeniem nowych rozwiązań: gdy przetwarzasz nowe kategorie danych lub nowe procesy.

Dokumentacja oceny

Ocena skuteczności środków warto, by była udokumentowana:

  • Raport z przeprowadzonego audytu
  • Lista zidentyfikowanych niezgodności
  • Plan działań naprawczych
  • Harmonogram wdrożenia zmian

Podsumowanie

RODO wymaga odpowiednich środków bezpieczeństwa i oceny ich skuteczności — nie musi to być usługa o nazwie „audyt bezpieczeństwa IT”. Niezależna ocena (audyt, test, przegląd) bywa jednak najlepszym sposobem, by wykazać due diligence i znaleźć luki zanim staną się incydentem. Szerszy kontekst techniczny: audyt bezpieczeństwa IT – co obejmuje.

Potrzebujesz oceny bezpieczeństwa pod RODO? Skontaktuj się ze mną — omówimy zakres bez mylenia nazwy usługi z obowiązkiem prawnym.