RODO obowiązuje w Polsce od maja 2018 r., ale w 2026 r. UODO nadal nakłada kary na małe firmy — średnia kara dla MŚP w 2025 to 35 tys. zł (dane UODO za Q3 2025). Większość problemów dotyczy nie procedur prawnych, a strony IT: nieszyfrowane dyski, wspólne hasła, brak backupu. Ten artykuł to praktyczna checklista 12 punktów IT pod RODO, które musisz spełnić.
Checklista 12 punktów IT pod RODO
1. Rejestr czynności przetwarzania (RCP)
Dokument w którym opisujesz: jakie dane osobowe zbierasz, w jakim celu, jak długo przechowujesz, kto ma dostęp. Dla małych firm wystarczy arkusz w Excel/Google Sheets. Krytyczne — UODO żąda go w pierwszej kolejności po skardze klienta.
2. Szyfrowanie dysków
Włącz BitLocker (Windows Pro) lub FileVault (Mac) na wszystkich laptopach. Kradzież laptopa z niezaszyfrowanym dyskiem = naruszenie ochrony danych = obowiązek zgłoszenia do UODO w 72h.
3. Hasła + 2FA
Każdy pracownik ma własne hasło. Menedżer haseł (Bitwarden, 1Password) — koszt 3–5 €/użytkownika. 2FA (Microsoft Authenticator, Google Authenticator) na: poczta firmowa, panel administracyjny, banking, narzędzia z danymi klientów.
4. Kopie zapasowe + szyfrowanie kopii
Zasada 3-2-1: 3 kopie danych, na 2 różnych nośnikach, 1 offsite. Kopia musi być szyfrowana — jeśli backup wycieknie, też jest naruszeniem. Szczegóły: Kopie zapasowe firmowych danych.
5. Polityka retencji danych
Jak długo trzymasz dane? Faktury — 5 lat (księgowość). CV kandydatów — max 6 mc po zakończeniu rekrutacji (jeśli nie wyrazili zgody dłużej). Klienci nieaktywni — 3 lata po ostatnim kontakcie. Stwórz politykę i konsekwentnie czyść stare dane.
6. Kontrola dostępów (zasada najmniejszych uprawnień)
Recepcjonistka nie potrzebuje dostępu do faktur. Marketing nie potrzebuje listy pracowników. Skonfiguruj uprawnienia tak, by każdy widział tylko to, co potrzebne. Pełny audyt dostępów co 6 miesięcy.
7. Offboarding pracownika w 24h
Procedura odejścia: blokada konta firmowego, change passwords współdzielonych narzędzi, zwrot sprzętu, usunięcie z grup. W 24h max. Pracownik z dostępem do bazy klientów po odejściu = poważne ryzyko.
8. Logi i monitoring
Zapisuj kto, kiedy, do jakich danych miał dostęp. Microsoft 365 ma audit log gratis (90 dni, lub 1 rok w wyższych planach). Google Workspace — Admin Audit Log. To podstawowe narzędzie żeby udowodnić w razie incydentu, że „wiedzieliśmy co się dzieje”.
9. Umowy powierzenia z dostawcami
Każdy dostawca, który dotyka Twoje dane (księgowa, agencja marketingu, firma IT) musi mieć umowę powierzenia (art. 28 RODO). Solverte standardowo dostarcza tę umowę przy podpisywaniu współpracy.
10. Plan reakcji na incydent
Kto dzwoni do kogo, jeśli wykryjemy naruszenie? Jak ocenimy skalę? Kto zgłasza do UODO (w 72h)? Spisz to w 1-stronicowym dokumencie. To plan, nie literatura.
11. Klauzule informacyjne
Strona internetowa: polityka prywatności + cookie banner. Formularze: klauzula o przetwarzaniu danych. Stopka mailowa: standardowa klauzula dla klientów.
12. IODO — czy potrzebujesz?
IOD (Inspektor Ochrony Danych) jest obowiązkowy dla: instytucji publicznych, firm przetwarzających „na dużą skalę” lub szczególne kategorie danych (zdrowie, biometria). Mała firma usługowa zwykle nie potrzebuje IODO. Ale procedury i checklista — tak, zawsze.
Najczęstsze błędy RODO w MŚP
- Wspólne hasło do Wi-Fi pracowników i gości — gość widzi sieć firmową
- CV w skrzynce na poczcie 5 lat po rozmowie kwalifikacyjnej
- Niezabezpieczony serwer NAS w biurze ze wszystkimi danymi
- Brak procedury usunięcia danych klienta na żądanie („prawo do bycia zapomnianym”)
- Brak rejestru zgód marketingowych
Audyt RODO + IT w Solverte
Robimy audyt RODO + IT łączony dla firm z Katowic i GZM. Sprawdzamy techniczne aspekty (12 punktów wyżej) + przegląd dokumentów + szkolenie zespołu. Pakiet od 2500 zł, raport w 5 dni roboczych. Zapytaj o ofertę lub zacznij od pełnego audytu bezpieczeństwa IT.
Najczęściej zadawane pytania (FAQ)
Czy mała firma w Polsce musi mieć IODO?
Nie, IODO (Inspektor Ochrony Danych) jest obowiązkowy tylko dla instytucji publicznych, firm przetwarzających dane na dużą skalę lub szczególne kategorie danych (zdrowie, biometria). Mała firma usługowa zwykle nie potrzebuje IODO, ale procedury i checklista RODO są obowiązkowe.
Co to jest rejestr czynności przetwarzania (RCP)?
RCP to dokument w którym opisujesz: jakie dane osobowe zbierasz, w jakim celu, jak długo przechowujesz i kto ma dostęp. Dla małych firm wystarczy arkusz w Excel. UODO żąda go w pierwszej kolejności po skardze klienta.
Czy SMS może być MFA pod RODO?
Nie. SMS nie jest bezpiecznym drugim składnikiem (SIM-swap to atak w 10 minut). Pod RODO i zgodnie z najlepszymi praktykami używaj Microsoft Authenticator, Google Authenticator albo kluczy YubiKey.
Jaka jest średnia kara UODO dla MŚP w 2025?
Średnia kara UODO dla MŚP w 2025 wynosiła około 35 000 zł (dane UODO Q3 2025). Większość problemów wynika z braków technicznych: nieszyfrowane dyski, wspólne hasła, brak backupu — nie z procedur prawnych.