Audyt RODO — jak go przeprowadzić i udokumentować

Skąd bierze się obowiązek

W RODO nie ma przepisu o brzmieniu „administrator przeprowadza audyt”. Są za to trzy, których bez audytu nie da się wykonać:

• Art. 24 ust. 1 — administrator wdraża odpowiednie środki techniczne i organizacyjne, a następnie poddaje je przeglądom i uaktualnia.
• Art. 32 ust. 1 lit. d — wśród środków bezpieczeństwa wymienia wprost regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych.
• Art. 39 ust. 1 lit. b — do zadań inspektora ochrony danych należy monitorowanie przestrzegania RODO i przepisów krajowych, w tym audyty. Tu słowo pada wprost.

Nad tym wszystkim stoi art. 5 ust. 2: administrator musi być w stanie wykazać przestrzeganie zasad. Przegląd, którego nie udokumentowano, dla rozliczalności nie istnieje — i to jest właściwy powód, dla którego audyt kończy się raportem, a nie rozmową.

Dwa różne audyty — nie mylić

Słowo „audyt” pojawia się w RODO w dwóch zupełnie różnych znaczeniach i pomylenie ich prowadzi do niepotrzebnych sporów z kontrahentami:

Oba mogą korzystać z podobnej listy pytań, ale mają inny przedmiot, innego adresata raportu i inne konsekwencje. Umowa powierzenia powinna przy tym określać, jak audyt u procesora się odbywa — inaczej uprawnienie z przepisu bywa martwe w praktyce.

Co bada audyt — trzy warstwy

Dobry audyt sprawdza zgodność na trzech poziomach i pominięcie któregokolwiek zamienia go w ćwiczenie formalne:

1. RODO — czy istnieją i są aktualne dokumenty wymagane przepisem: rejestr czynności, rejestr naruszeń, umowy powierzenia, klauzule informacyjne, oceny skutków tam, gdzie są wymagane.
2. Przepisy krajowe i sektorowe — ustawa o ochronie danych osobowych oraz regulacje właściwe dla zadania: Kodeks pracy, przepisy o pomocy społecznej, oświatowe, o archiwizacji.
3. Własne procedury — polityka ochrony danych, instrukcje, regulaminy. To warstwa pomijana najczęściej, a najbardziej wymowna: niezgodność z własną procedurą jest niezgodnością tym trudniejszą do obrony, że regułę organizacja ustaliła sobie sama.

Audyt sprawdza przy tym stan faktyczny, nie stan dokumentów. Pytanie nie brzmi „czy mamy procedurę reagowania na naruszenia”, tylko „czy osoba przyjmująca zgłoszenie wie, co zrobić w pierwszej godzinie”.

Lista kontrolna — serce audytu

Audyt bez listy pytań jest rozmową, a nie badaniem. Lista kontrolna daje trzy rzeczy, których inaczej nie ma: powtarzalność (kolejny audyt bada to samo, więc wynik da się porównać), kompletność (nic nie wypada przez zapomnienie) i możliwość podziału pracy między kilka osób.

Cechy listy, która sprawdza się w praktyce:

• Pytania rozstrzygalne. Odpowiedź ma brzmieć „tak”, „nie” albo „nie dotyczy” — a nie „częściowo”. Pytanie, na które nie da się odpowiedzieć jednym słowem, jest zwykle dwoma pytaniami sklejonymi w jedno.
• Podstawa prawna przy każdym pytaniu. Zarówno przepis, jak i paragraf własnej procedury. Bez tego rekomendacja nie ma na czym się oprzeć, a audytowany słusznie pyta „na jakiej podstawie”.
• Podział na obszary — dokumentacja, upoważnienia, bezpieczeństwo, prawa osób, powierzenia, naruszenia. Wynik obszarowy pokazuje, gdzie leży problem; sam wynik ogólny tego nie robi.
• Dopasowanie do jednostki. Lista przepisana z cudzego wzoru zawiera pytania bez zastosowania i pomija te, które w tej jednostce są najważniejsze.

Dowody i ocena zgodności

Odpowiedź bez dowodu jest opinią audytora. Do odpowiedzi twierdzącej warto dołączać dowód — zrzut ekranu ustawień, skan podpisanego upoważnienia, fragment rejestru, potwierdzenie szkolenia. Przy kolejnym audycie widać wtedy nie tylko że było zgodnie, ale też na jakiej podstawie tak uznano.

Przy wyniku liczbowym jest jedna pułapka, która potrafi przekłamać cały raport: co zrobić z odpowiedziami „nie dotyczy”. Pytanie o umowy powierzenia u administratora, który nikomu danych nie powierza, nie jest ani spełnione, ani niespełnione. Wliczone jako niespełnione — zaniża wynik i każe „naprawiać” coś, czego nie ma. Wliczone jako spełnione — zawyża go i nagradza za brak działalności.

Poprawnie: zgodność to stosunek odpowiedzi twierdzących do sumy twierdzących i przeczących, a „nie dotyczy” zostaje poza podstawą obliczenia. Obszar złożony z samych „nie dotyczy” nie ma zera procent — nie ma podstawy obliczenia i tak należy go opisać.

Plan naprawczy — bez niego audyt jest kosztem

Audyt bez wdrożonych rekomendacji jest kosztem, a nie efektem. To zdanie warto powtórzyć zarządowi przed zleceniem badania, a nie po nim.

Każda odpowiedź przecząca powinna kończyć się rekomendacją, a każda rekomendacja — trzema rozstrzygnięciami: kto ma to zrobić, do kiedy i w jakim jest to stanie. Rekomendacja bez osoby i terminu nie jest zadaniem, tylko uwagą — a uwagi nie da się rozliczyć.

Warto rozróżnić dwa stany, które wyglądają podobnie, a znaczą co innego: „do realizacji” to zadanie, które ktoś przyjął, a brak statusu to niezgodność, o której nikt jeszcze nie zdecydował. Ta druga kategoria jest w praktyce najgroźniejsza — rekomendacje trafiają do raportu i tam zostają, bo formalnie „są w dokumencie”.

Wdrażanie trwa miesiącami, więc plan naprawczy żyje dłużej niż sam audyt i musi dać się prowadzić po jego zamknięciu. Naturalną miarą postępu jest porównanie z poprzednim badaniem: procent zgodności w punktach procentowych oraz liczba rekomendacji wciąż otwartych.

Kto audytuje i jak często

Najczęściej inspektor ochrony danych — monitorowanie przestrzegania przepisów należy do jego zadań wprost. Jest jednak granica, o której łatwo zapomnieć: inspektor nie powinien oceniać obszaru, w którym sam podejmował decyzje operacyjne, bo audytowałby własną pracę. W takich miejscach lepszy jest audytor zewnętrzny albo osoba z innej komórki.

Częstotliwości przepisy nie ustalają — mówią o regularności. Praktyka to cykl roczny, uzupełniony badaniem doraźnym po istotnej zmianie: wdrożeniu nowego systemu, reorganizacji, poważnym naruszeniu albo kontroli organu.

Ważniejsza od częstotliwości jest porównywalność. Audyt prowadzony co roku na tych samych pytaniach pokazuje kierunek — czy jednostka się poprawia. Audyt za każdym razem układany od nowa daje pojedynczy obrazek bez tła i nie odpowiada na pytanie, które zwykle najbardziej interesuje kierownictwo.

Najczęstsze pytania

W praktyce

Jak wygląda audyt w SZODO

Moduł Audyt różni się od pozostałych jedną rzeczą: nie prowadzi ewidencji, tylko bada tę, którą już prowadzisz. Badanie idzie w czterech etapach — lista kontrolna, dane audytu, odpowiedzi, raport — a każdy zapisuje się natychmiast, więc pracę można przerwać i wrócić do niej następnego dnia.

Lista kontrolna, którą układasz sam

To jest miejsce, w którym aplikacja najbardziej ustępuje pola użytkownikowi. Własne obszary, własne pytania, własna kolejność, własna podstawa prawna przy każdym pytaniu — a podstawą może być zarówno „art. 30 ust. 1 RODO”, jak i „§ 12 Polityki Ochrony Danych z 4 marca 2024 r.”, bo audyt bada także procedury wewnętrzne.

Zaczyna się jedną z trzech dróg, do wyboru i do łączenia:

• gotowa lista startowa — audyt podstawowy zgodności z RODO (38 pytań w 11 obszarach), bezpieczeństwo danych (32 pytania) albo realizacja praw osób (23 pytania), każda z wpisanymi podstawami prawnymi; po wgraniu to już Twoja lista i poprawiasz ją do woli,
• import z arkusza — cztery kolumny, wymagana tylko treść pytania,
• od zera — gdy jednostka ma własną metodykę badania.

Listę można skopiować do innego administratora danych jako niezależną kopię, więc urząd, ośrodek pomocy i rada gminy badają się każde po swojemu, zaczynając od wspólnej podstawy. A ponieważ audyt przepisuje pytania do siebie, późniejsza zmiana listy nie rusza już przeprowadzonych badań — raport sprzed roku pozostaje dokładnie tym, co wtedy oceniano.

Wynik, który da się porównać

Zgodność liczona jest tak, jak opisano wyżej — „nie dotyczy” zostaje poza podstawą obliczenia, a obszar złożony z samych takich odpowiedzi dostaje adnotację „brak podstawy obliczenia” zamiast zera procent. Raport PDF ma sześć części: informacje o audycie, podsumowanie zgodności z wykresem i paskami obszarowymi, szczegółowe odpowiedzi, wykaz rekomendacji, załączone dowody i miejsce na podpisy.

Przy dwóch zatwierdzonych audytach dochodzi zestawienie porównawcze: zmiana zgodności w punktach procentowych i wykaz rekomendacji wciąż otwartych. To jest dokument, który najlepiej rozmawia z kierownictwem.

Plan naprawczy prowadzony po audycie

Wszystkie niezgodności ze wszystkich audytów danego administratora zbierają się w jedną listę zadań — bo dla osoby, która ma je wdrożyć, to jest jedna lista, a nie kilka dokumentów do otwierania po kolei. Przy każdej pozycji ustawia się status, termin i osobę odpowiedzialną, a liczniki „otwarte / po terminie / bez planu / zrealizowane” zawężają widok jednym kliknięciem.

Brak statusu jest tu osobną kategorią, a nie pustym polem: znaczy „niezgodność, o której nikt jeszcze nie zdecydował”. Plan naprawczy wolno prowadzić także w audycie już zatwierdzonym — to jedyne, co w zamkniętym dokumencie da się zmienić, i wynika wprost z tego, że wdrażanie trwa dłużej niż badanie.

Asystent AI — proponuje rekomendację, oceny nie wystawia

Po podłączeniu Asystenta AI dochodzą dwie rzeczy: projekt rekomendacji przy odpowiedzi przeczącej oraz projekt treści raportu (cel działań, regulacje prawne, metodyka). Obie oszczędzają najwięcej czasu tam, gdzie pisania jest najwięcej, a treść i tak wymaga redakcji.

Granica jest wyraźna i wynika ze sposobu działania modułu:

• Asystent nie odpowiada za Ciebie na pytania listy kontrolnej — ocena zgodności jest ustaleniem audytora, opartym na dowodach, których model nie widzi,
• wypełnia wyłącznie pola puste i nie zapisuje niczego sam: propozycję czytasz, poprawiasz i dopiero wtedy zapisujesz odpowiedź,
• do dostawcy modelu trafia treść pytania, podstawa prawna, komentarz audytora i nazwa administratora — żadnych danych osobowych,
• Asystent jest opcjonalny: moduł działa w całości bez niego, a organizacja podłącza go własnym kluczem.

Pod raportem audytowym podpisuje się audytor i administrator danych, nie program. Asystent skraca redagowanie i podpowiada, czego nie wzięto pod uwagę — odpowiedzialności za ocenę zgodności nie przejmuje.

Demonstracja jest wypełniona danymi fikcyjnej gminy i otwiera się jednym kliknięciem, bez zakładania konta. Raport audytowy PDF i zestawienie porównawcze można w niej wygenerować od razu — razem z pięcioma innymi dokumentami opisanymi w poradniku.