Plan kontroli UODO 2026: jakie branże muszą być gotowe?

Bezpieczeństwo danych osobowych przy monitoringu wizyjnym w placówkach medycznych (szczególnie dotyczących dzieci) oraz bezpieczeństwo danych na internetowych platformach dostaw znalazły się wśród priorytetów kontroli UODO zaplanowanych na 2026 rok.

W tych sektorach oraz w kilku innych obszarach kontrolujący sprawdzą, jak przestrzegane są przepisy o ochronie danych osobowych. Plan kontroli uwzględnia obszary, gdzie w ostatnim roku odnotowano poważne incydenty i skargi na naruszenia, uznane przez Prezesa UODO za szczególnie problematyczne.

Kontrolowane sektory w 2026 roku

Na rok 2026 Prezes UODO wytypował pięć głównych obszarów do kontroli sektorowych.

Wśród nich znalazły się:

1. Placówki medyczne – szczególna uwaga organu nadzorczego będzie koncentrowała się na przetwarzaniu danych osobowych z wykorzystaniem monitoringu wizyjnego, zwłaszcza gdy obejmuje on dzieci. Ocenie w toku kontroli będzie podlegać istnienie i prawidłowość podstawy prawnej stosowania monitoringu, a także zasadność i niezbędność jego zastosowania w kontekście ochrony pacjentów oraz bezpieczeństwa placówki, jak również zakresu rejestrowanej przez monitoring przestrzeni.
2. Jednostki prowadzące Biuletyn Informacji Publicznej – analizowany będzie sposób przetwarzania danych osobowych publikowanych w BIP, w szczególności prawidłowość anonimizacji dokumentów zawierających dane osób fizycznych. Kontrolą może zostać również objęte ujawnianie danych w uchwałach, zarządzeniach i protokołach, a także publikacja nagrań oraz transmisji z sesji organów stanowiących jednostek samorządu terytorialnego. Ocenie podlegać będzie zgodność zakresu publikowanych danych z zasadą minimalizacji oraz funkcjonowanie wewnętrznych procedur regulujących publikowanie treści w BIP i nadzór nad osobami odpowiedzialnymi za ich udostępnianie.
3. Branża marketingowa – zakres kontroli obejmie przede wszystkim weryfikację podstaw prawnych przetwarzania danych osobowych w celach marketingowych, w tym kwestie zgód, obowiązków informacyjnych oraz marketingu bezpośredniego. Kontrole mogą dotyczyć także profilowania i automatyzacji działań marketingowych, jak również udostępniania i powierzania danych podmiotom trzecim. Weryfikowane będą także środki techniczne i organizacyjne stosowane w celu ochrony danych osobowych przetwarzanych w tych procesach.
4. Platformy dostawcze online – kontrole skoncentrują się na przetwarzaniu danych osobowych w ramach usług pośrednictwa w sprzedaży towarów i usług realizowanych za pośrednictwem aplikacji online. Ocenie może podlegać prawidłowe przypisanie ról podmiotom uczestniczącym w przetwarzaniu danych. Analizowane będą podstawy prawne przetwarzania danych użytkowników, kurierów i sprzedawców – zwłaszcza danych lokalizacyjnych – a także zakres i zasady profilowania oraz zautomatyzowanego podejmowania decyzji.
5. Wielkoskalowe Systemy UE (SIS/VIS) – w przypadku przetwarzania danych osobowych, w szczególności w Systemie Informacyjnym Schengen oraz Wizowym Systemie Informacyjnym – zakres kontroli może dotyczyć przede wszystkim zgodności przetwarzania z przepisami krajowymi i unijnymi regulującymi ich funkcjonowanie. Oceniane będą m.in. wskazywane podstawy prawne, realizacja zasady minimalizacji i ograniczenia celu, a także mechanizmy nadawania, weryfikowania i cofania uprawnień dostępu do danych.

Jak przygotować się do kontroli UODO?

Celem przygotowania się na kontrolę, warto już teraz przeprowadzić wewnętrzny audyt RODO, m.in. poprzez sprawdzenie dokumentacji, w szczególności czy wszystkie wymagane polityki, rejestry oraz procedury są wdrożone i aktualne, jak również czy i kiedy przeprowadzona została analiza ryzyka procesów przetwarzania w organizacji. Należy też przeszkolić personel z zasad ochrony danych oraz zapewnić, by wyznaczony Inspektor Ochrony Danych był zaangażowany w przygotowania i gotowy do sprawnej współpracy z urzędem.

Przebieg kontroli i konsekwencje

W pierwszej kolejności należy pamiętać, że PUODO nie ma obowiązku informowania o zamiarze przeprowadzenia kontroli, niemniej w rzeczywistości często ma to miejsce. W ramach kontroli kontrolerzy mają prawo m.in. wejść do siedziby firmy, przeglądać dokumenty i systemy oraz żądać od personelu wyjaśnień. Z przeprowadzonej kontroli organ sporządza końcowy protokół kontroli.

W razie stwierdzenia uchybień organ może poprzestać na zaleceniach pokontrolnych (wskazując, co należy poprawić), jak również może wydać decyzję nakazową zobowiązującą do określonych działań naprawczych lub nałożyć dotkliwą karę finansową – nawet do 20 mln euro lub 4% rocznego obrotu firmy. Takie sankcje to jednak ostateczność – celem kontroli jest przede wszystkim wsparcie administratorów w doprowadzeniu do pełnej zgodności z RODO.

W razie pytań, a także pomysłów tematów na kolejne wydania Newsletter’a zapraszamy do kontaktu:

[email protected]