Ochrona danych osobowych
Wdrożenie i audyt zgodności z RODO: rejestr czynności, ocena skutków, procedura naruszeń z terminem 72 godzin. Dwa reżimy kar: do 100 000 zł dla jednostki sektora finansów publicznych, do 20 mln euro dla firmy.
Zgodność i audyty
Zgodność i audyty: procedury wdrożone i sprawdzone.
Wdrażamy i sprawdzamy procedury, których prawo wymaga od firm, jednostek samorządu i instytucji kultury: ochrona danych i inspektor, cyberbezpieczeństwo, dostępność cyfrowa, sygnaliści, przeciwdziałanie praniu pieniędzy. Pracujemy zapobiegawczo, zanim z braku procedury zrobi się sprawa. Część obowiązków ma termin i odpowiedzialność osobistą kierownika, dlatego zaczynamy od ustalenia, które z nich Państwa dotyczą.
Zakres
Siedem obszarów, każdy z własną stroną
Inspektor ochrony danych
Organ i podmiot publiczny wyznacza inspektora niezależnie od skali przetwarzania (poza sądami w zakresie wymiaru sprawiedliwości), osobno urząd gminy, szkoła, ośrodek pomocy społecznej, biblioteka i dom kultury. Sprawdzamy skuteczność wyznaczenia i możliwość łączenia funkcji z innymi zadaniami, a na podstawie umowy pełnimy funkcję inspektora. Rolę, umocowanie i brak konfliktu interesów oceniamy dla danego zlecenia.
Cyberbezpieczeństwo: NIS2 i ustawa o KSC
Nowelizacja obowiązuje od 3 kwietnia 2026 r. Kwalifikację jako podmiot kluczowy albo ważny robi sam podmiot i sam ponosi skutki pomyłki. Wpis do wykazu albo uzupełnienie danych zależnie od kategorii podmiotu, zarządzanie ryzykiem, zgłaszanie incydentów w terminach właściwych dla danej kategorii, audyt.
Dostępność cyfrowa
Dwa reżimy: podmioty publiczne od 2020 r., przedsiębiorcy od 28 czerwca 2025 r. przy usługach i produktach z zamkniętej listy. Deklaracja dostępności do 31 marca każdego roku, żądanie zapewnienia dostępności z terminami 7 dni i dwóch miesięcy.
Sygnaliści
Procedurę zgłoszeń wewnętrznych ustala podmiot z co najmniej 50 osobami wykonującymi pracę zarobkową według stanu na 1 stycznia albo 1 lipca. Konsultacje od 5 do 10 dni, wejście w życie po 7 dniach. Na podstawie umowy możemy obsługiwać przyjmowanie zgłoszeń jako podmiot zewnętrzny; działania następcze prowadzi osoba lub jednostka wskazana w procedurze.
Przeciwdziałanie praniu pieniędzy
Biuro rachunkowe, pośrednik w obrocie nieruchomościami, kantor i lombard są instytucjami obowiązanymi z samego katalogu, a zwykły przedsiębiorca staje się nią w dniu, w którym przyjmie za towar 10 000 euro w gotówce. Ocena ryzyka, procedura pod działalność, CRBR i GIIF.
Audyt prawny
Większość obowiązków ma datę: deklaracja dostępności do 31 marca, raport o dostępności co cztery lata, próg 50 osób badany 1 stycznia i 1 lipca. Audyt ustala, które daty Państwa dotyczą i których nie dotrzymano. Zakres audytu dobieramy do działalności, struktury organizacji i zidentyfikowanych ryzyk, a forma raportu, zalecenia i harmonogram wdrożenia zależą od uzgodnionego zlecenia. Wdrożenie po audycie to odrębne zlecenie.
Progi i terminy
Cztery liczby, od których zależy, czy obowiązek Państwa dotyczy
50 osóbpróg procedury zgłoszeń wewnętrznych, badany 1 stycznia i 1 lipca
72 godzinyna zgłoszenie naruszenia ochrony danych do Prezesa UODO i na zgłoszenie incydentu w systemie cyberbezpieczeństwa
31 marcacoroczny przegląd deklaracji dostępności i co cztery lata raport o stanie dostępności
10 000 eurogotówka przyjęta za towar, od której zwykły przedsiębiorca staje się instytucją obowiązaną
Stan na wrzesień 2026 r. Progi i terminy zmieniają się; aktualne wartości i podstawy prawne podajemy na podstronach.
Jak wygląda wdrożenie
Cztery kroki, w tej kolejności
Najpierw kwalifikacja
Zaczynamy od ustalenia, który reżim Państwa obejmuje: art. 83 RODO czy art. 102 ustawy, podmiot kluczowy czy ważny, podmiot publiczny czy przedsiębiorca z listy. Wynikiem jest kwalifikacja ze wskazaniem przepisu, a sposób przedstawienia wyników ustalamy w zleceniu.
Procedura dostosowana do struktury
Procedurę dostosowujemy do konkretnej działalności, jej skali i schematu organizacyjnego: kto przyjmuje zgłoszenie, kto zgłasza incydent, kto odpowiada. Do umów z dostawcami i wykonawcami wprowadzamy wymagane klauzule.
Szkolenie i wdrożenie
Szkolimy osoby upoważnione i pracowników, przygotowujemy wzory, upoważnienia i dokumenty wyznaczenia osób odpowiedzialnych. Na podstawie umowy możemy przyjmować zgłoszenia sygnalistów jako podmiot zewnętrzny albo pełnić funkcję inspektora ochrony danych. Rolę, umocowanie i brak konfliktu interesów oceniamy dla danego zlecenia, a tych usług nie łączymy automatycznie.
Kontrola i spór
W toku kontroli sporządzamy zastrzeżenia do protokołu i odpowiedź na wystąpienie pokontrolne, a w postępowaniu o karę reprezentujemy Państwa przed organem i sądem administracyjnym.
Dla kogo
Trzy rodzaje podmiotów, trzy zestawy obowiązków
Te same ustawy nakładają różne obowiązki i różne kary, zależnie od tego, kim Państwo są. Dlatego pierwszym krokiem jest kwalifikacja.
- FirmaKary za naruszenie RODO do 20 mln euro. Dostępność cyfrowa od 28 czerwca 2025 r., ale tylko przy usługach i produktach z listy. Instytucją obowiązaną firma staje się od 10 000 euro w gotówce, a procedurę dla sygnalistów ustala od 50 osób.
- Jednostka samorządu terytorialnegoInspektor ochrony danych zawsze, kary Prezesa UODO do 100 000 zł. Do wykazu podmiotów kluczowych i ważnych wpisuje ją z urzędu Minister Cyfryzacji, a dane uzupełnia się w 6 miesięcy od wezwania. Dostępność stron od 2020 r. Obowiązek wobec sygnalistów ustala się dla właściwego podmiotu lub jednostki, z uwzględnieniem zwolnienia dla jednostek organizacyjnych gmin i powiatów poniżej 10 000 mieszkańców.
- Instytucja kulturyInspektor ochrony danych zawsze, także w domu kultury i bibliotece. Kary Prezesa UODO do 10 000 zł. Pozostałe obowiązki jak w jednostce publicznej, ale procedury ustala instytucja, nie organizator. Status konkretnej instytucji, w tym zakres zwolnienia z obowiązku wobec sygnalistów, wymaga osobnej analizy.
Formy współpracy
Audyt, wdrożenie albo stała opieka
Audyt i wdrożenie to dwa odrębne zlecenia: najpierw ustalenie, co jest, czego brakuje i jakie terminy biegną, w formie uzgodnionej w zleceniu, potem procedury, dokumenty i szkolenia. Stała opieka to pełnienie funkcji inspektora ochrony danych albo przyjmowanie zgłoszeń sygnalistów jako podmiot zewnętrzny, na podstawie umowy.
Spotykamy się w Katowicach przy Placu Oddziałów Młodzieży Powstańczej 5/8 i w Zawierciu przy ul. 3 Maja 33. Kontrole, postępowania o karę i skargi do sądów administracyjnych prowadzimy w całej Polsce.
Pytania i odpowiedzi
Pięć pytań, od których zaczyna się większość rozmów
Czy nasza jednostka musi wyznaczyć inspektora ochrony danych?
Organ lub podmiot publiczny wyznacza inspektora bez badania skali przetwarzania, z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości (art. 37 ust. 1 lit. a RODO). Obowiązek ma osobno urząd gminy, szkoła, ośrodek pomocy społecznej, biblioteka i dom kultury. Wyznaczenie zgłasza się Prezesowi UODO w terminie 14 dni, a dane inspektora publikuje na stronie internetowej.
Od ilu osób trzeba mieć procedurę zgłoszeń wewnętrznych dla sygnalistów?
Od 50 osób wykonujących pracę zarobkową według stanu na 1 stycznia albo 1 lipca danego roku (art. 23 ust. 1 ustawy o ochronie sygnalistów). W finansach, przeciwdziałaniu praniu pieniędzy, bezpieczeństwie transportu i ochronie środowiska obowiązek jest bez względu na liczbę osób. Ustawa przewiduje zwolnienie dla jednostek organizacyjnych gmin i powiatów poniżej 10 000 mieszkańców, ale status konkretnej jednostki, na przykład instytucji kultury, wymaga osobnej analizy.
Do kiedy trzeba złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych?
Termin zależy od kategorii podmiotu i dnia, w którym spełnił on przesłanki. Dla podmiotów, które spełniały je 3 kwietnia 2026 r., w dniu wejścia w życie nowelizacji ustawy o KSC, termin na wniosek upływał 3 października 2026 r. Podmioty publiczne, w tym jednostki samorządowe, Minister Cyfryzacji wpisuje z urzędu, a one uzupełniają dane w ciągu 6 miesięcy od wezwania. Kwalifikację przeprowadza sam podmiot i sam ponosi skutki pomyłki.
Czy dostępność cyfrowa dotyczy także firm?
Tak, od 28 czerwca 2025 r., ale wyłącznie przy usługach i produktach z zamkniętej listy ustawowej. Podmioty publiczne odpowiadają za dostępność stron od 23 września 2020 r., a aplikacji mobilnych od 23 czerwca 2021 r. Terminy, kary i organy są w obu reżimach inne.
Kiedy zwykła firma staje się instytucją obowiązaną według ustawy o przeciwdziałaniu praniu pieniędzy?
W dniu, w którym przyjmie za towar 10 000 euro w gotówce. Biuro rachunkowe, pośrednik w obrocie nieruchomościami, kantor, lombard i firma zakładająca spółki są instytucjami obowiązanymi z samego katalogu z art. 2 ust. 1 ustawy. Obowiązki powstają z mocy prawa i nikt o nich nie zawiadamia.
Porozmawiajmy o tym, które obowiązki Państwa dotyczą.
KatowicePlac Oddziałów Młodzieży Powstańczej 5/8
Zawiercieul. 3 Maja 33
Telefon535 204 359
E-mailsekretariat@oca.com.pl