Kontrola UODO i pismo z urzędu - jak odpowiedzieć krok po kroku

Na biurku leży koperta z Urzędu Ochrony Danych Osobowych. W środku znak sprawy, kilka pytań o to, jak przetwarzasz czyjeś dane, i termin, który już biegnie. Albo inaczej: urząd zawiadamia, że w Twojej firmie odbędzie się kontrola UODO.

W obu przypadkach najbezpieczniej wychodzi ten, kto odpowiada rzeczowo, w terminie i na piśmie. Poniżej rozpisuję to krok po kroku: skąd się bierze pismo, ile masz czasu, co napisać, jakie dokumenty dołączyć i jak przejść przez kontrolę na miejscu. Po drodze pokażę sprawę, w której przedsiębiorca nie odpisał urzędowi i za samo to dostał karę.

Skarga, zgłoszone naruszenie albo kontrola UODO - od czego zaczyna się sprawa

Pismo albo kontrolerzy w firmie zwykle mają jedno z trzech źródeł.

• Skarga do UODO. Każdy, czyje dane przetwarzasz (klient, pracownik, kandydat do pracy), może poskarżyć się do urzędu, jeśli uważa, że przetwarzając jego dane, naruszasz RODO (art. 77 RODO). Nic go to nie kosztuje, bo urząd działa dla takiej osoby nieodpłatnie (art. 57 ust. 3 RODO). Skarga bywa efektem wcześniejszego żądania, na które firma nie odpowiedziała - o tym piszemy we wpisie Prawo dostępu do danych w firmie: kopia, odmowa i kara za milczenie.
• Zgłoszone naruszenie. Jeśli sam zgłosiłeś urzędowi naruszenie ochrony danych, np. zgubiony laptop z bazą klientów, urząd może dopytać o szczegóły. Ma prawo żądać wszelkich informacji, których potrzebuje (art. 58 ust. 1 lit. a RODO). Jak samo zgłoszenie wygląda, opisujemy w tekście Zgłoszenie naruszenia danych osobowych - procedura 72h.
• Kontrola UODO. Prezes UODO kontroluje według planu kontroli, na podstawie informacji, które do niego dotarły, albo w ramach monitorowania, jak firmy stosują RODO (art. 78 ustawy o ochronie danych osobowych). Kontrole planowe na 2026 r. obejmują m.in. podmioty lecznicze (monitoring wizyjny), firmy marketingowe i internetowe platformy dostaw (Biuletyn UODO 2/2026).

Skarga albo pismo z urzędu nie oznacza jeszcze, że złamałeś przepisy. To początek wyjaśniania, a to, jak ono się skończy, w dużej mierze zależy od Twojej odpowiedzi.

Termin na odpowiedź wyznacza urząd - obowiązek współpracy z art. 31 RODO

RODO nie określa terminu na odpowiedź - wyznacza go urząd w piśmie. W sprawie opisanej niżej było to 7 dni od doręczenia. Wpisz go do kalendarza tego samego dnia, w którym odbierasz list.

Obowiązek odpowiedzi wynika z art. 31 RODO. Administrator, czyli firma, która decyduje, po co i jak przetwarza dane, a także podmiot przetwarzający, który robi to na jej zlecenie (np. biuro rachunkowe), współpracują z urzędem, gdy ten o to poprosi. Na pismo z UODO odpowiadasz zawsze, nawet gdy uważasz skargę za wyssaną z palca.

Nieodebrany list niczego nie załatwia. Jeśli leży na poczcie 14 dni, bo nikt go nie odebrał mimo awiza, uważa się go za doręczony z upływem tego okresu (art. 44 Kodeksu postępowania administracyjnego). Termin na odpowiedź liczy się wtedy tak, jakbyś pismo przeczytał. Jeśli firma ma adres do e-Doręczeń, czyli elektroniczną skrzynkę do oficjalnej korespondencji z urzędami, pismo z urzędu może przyjść właśnie tam, a nie pocztą (art. 39 § 1 tego kodeksu), więc zaglądaj także do tej skrzynki.

Kara za milczenie wobec UODO - sprawa lokalu gastronomicznego

Ta historia pokazuje, ile kosztuje cisza. Pracownica restauracji złożyła skargę do UODO na to, jak pracodawca przetwarza jej dane, w tym prawdopodobnie odciski palców. W grudniu 2021 r. urząd zapytał przedsiębiorcę, na jakiej podstawie, w jakim celu i od kiedy to robi oraz czy przekazał pracownicy informacje wymagane przez art. 13 RODO. Dał na to 7 dni.

Odpowiedzi nie było. Odezwał się tylko inny mężczyzna, który napisał, że list odebrał przypadkiem, a adresat przebywa za granicą. Urząd mu nie uwierzył, bo z potwierdzenia odbioru wynikało, że list odebrał sam przedsiębiorca. W 2024 r. urząd wysłał dwa kolejne pisma, tym razem z ostrzeżeniem o karze. Przedsiębiorca ich nie odebrał, więc uznano je za doręczone. Telefony z urzędu też nic nie dały.

W czerwcu 2025 r. Prezes UODO nałożył karę w wysokości 18 941 zł, czyli równowartość 4 500 euro (decyzja DKE.561.1.2025 z 23 czerwca 2025 r., w portalu orzeczeń oznaczona jako nieprawomocna). Prezes UODO wspomniał o niej też w Biuletynie UODO 7-8/2025. Z tej sprawy warto zapamiętać trzy rzeczy:

• Ukarano niedostarczenie informacji, a nie pobieranie odcisków. Decyzja stwierdza naruszenie art. 58 ust. 1 lit. a i e RODO: przedsiębiorca nie dał urzędowi informacji ani dostępu do danych, których ten potrzebował. Decyzja nie rozstrzyga, czy odciski pobierano zgodnie z prawem, bo bez wyjaśnień urząd nie mógł rozpatrzyć skargi.
• Wyjazd nie zwalnia z odpowiedzi. Urząd napisał wprost, że przedsiębiorca, który nie mógł działać sam, mógł i powinien był ustanowić pełnomocnika.
• Do końca dało się coś zmienić. W piśmie o wszczęciu postępowania w sprawie kary urząd uprzedzał, że wyjaśnienia mogą ją złagodzić albo doprowadzić do odstąpienia od niej.

Ten ostatni punkt to nie teoria. W rozmowie w Biuletynie UODO z maja 2023 r. zastępca Prezesa UODO mówił o pismach, które zostają bez odpowiedzi: w 2022 r. urząd wszczął 34 postępowania w sprawie kary, a w 22 z nich samo wszczęcie wystarczyło, żeby te podmioty zaczęły współpracować. Skończyło się na upomnieniach zamiast kar.

A jaka jest górna granica? Za niedostarczenie informacji, których żąda urząd, RODO przewiduje karę do 20 mln euro albo do 4% rocznego światowego obrotu firmy, jeśli ta kwota jest wyższa (art. 83 ust. 5 lit. e RODO). Kary UODO mają być skuteczne, proporcjonalne i odstraszające (art. 83 ust. 1 RODO). W sprawie restauracji przedsiębiorca nie przysłał danych finansowych, więc urząd oszacował podstawę kary, biorąc pod uwagę rodzaj i skalę jego działalności (art. 101a ust. 2 ustawy o ochronie danych osobowych). Kara wyniosła ok. 0,02% maksymalnej kwoty, a urząd uznał ją za dolegliwą, ale możliwą do zapłacenia bez zagrożenia dla działalności.

Dane finansowe to zresztą kolejna rzecz, której nie warto przemilczeć. Gdy toczy się już postępowanie w sprawie kary, urząd może ich zażądać, a firma ma na nie 30 dni (art. 101a ust. 1 ustawy o ochronie danych osobowych). Ich niedostarczenie jest przestępstwem (art. 108 ust. 2 tej ustawy).

Limit 20 mln euro albo 4% obrotu nie dotyczy gmin, szkół samorządowych i samorządowych domów kultury, choć odpowiadać na pisma urzędu muszą tak samo. Większość jednostek sektora finansów publicznych, np. gmina, szkoła prowadzona jako jednostka budżetowa czy samodzielny publiczny zakład opieki zdrowotnej, może dostać najwyżej 100 tys. zł kary, a państwowe i samorządowe instytucje kultury, np. biblioteka publiczna albo dom kultury, najwyżej 10 tys. zł (art. 102 ustawy o ochronie danych osobowych w związku z art. 9 ustawy o finansach publicznych).

Odpowiedź na pismo z UODO krok po kroku

Sam schemat jest prosty. Krok trzeci bywa najdłuższy, bo dokumenty trzeba odszukać albo uzupełnić, dlatego zacznij go jak najwcześniej.

Kto podpisuje odpowiedź do urzędu

Odpowiada administrator danych, czyli Twoja firma. W jednoosobowej działalności podpisujesz Ty, w spółce osoby uprawnione do jej reprezentowania. Możesz też działać przez pełnomocnika z pisemnym pełnomocnictwem (art. 32 i 33 Kodeksu postępowania administracyjnego).

Masz inspektora ochrony danych? Włącz go od razu, bo współpraca z urzędem i bycie dla niego punktem kontaktowym to jego zadania (art. 39 ust. 1 lit. d i e RODO). Gdy firma go nie ma, a sprawa jest poważna, pomoc daje zewnętrzny Inspektor Ochrony Danych.

Jakie dokumenty przygotować

Pytania zależą od sprawy. Restauratora urząd pytał, na jakiej podstawie, w jakim celu i od kiedy przetwarza dane, a na takie pytania trudno odpowiedzieć bez dokumentów. Odpowiedź opierasz na tych podstawowych:

• rejestr czynności przetwarzania - w jakich celach przetwarzasz dane, czyje i jakie, komu je przekazujesz i kiedy planujesz je usunąć (art. 30 RODO); to pierwszy dokument, który Biuletyn UODO 2/2026 radzi przejrzeć przed kontrolą;
• upoważnienia - kto w firmie i do jakich danych ma dostęp; każda taka osoba przetwarza dane tylko na Twoje polecenie (art. 29 RODO);
• klauzule informacyjne - tam, gdzie zbierasz dane: w formularzu na stronie, przy umowie, przy zatrudnieniu (art. 13 RODO); o kopię takiej klauzuli urząd pytał restauratora;
• rejestr naruszeń - obowiązkowy dla naruszeń, które się zdarzyły, także tych niezgłoszonych urzędowi (art. 33 ust. 5 RODO); gdy żadnego nie było, warto go mieć choćby pusty;
• umowy powierzenia - z każdym, kto przetwarza dane w Twoim imieniu, np. z biurem rachunkowym, hostingiem czy firmą IT (art. 28 ust. 3 RODO).

Jeśli czegoś brakuje, termin z pisma rzadko wystarczy, żeby to nadrobić. Tu przydaje się porządnie przygotowana dokumentacja RODO, a o tym, dlaczego sama polityka na stronie to za mało, przeczytasz we wpisie Polityka prywatności to nie jest całe RODO - co jeszcze musi mieć Twoja firma.

Czego nie pisać w odpowiedzi

• Ogólników w stylu „przetwarzamy dane zgodnie z RODO”. Urząd pyta o fakty i ich oczekuje.
• Samego „skarga jest bezpodstawna” bez wyjaśnienia, dlaczego. Nawet jeśli masz rację, urząd musi to sprawdzić na podstawie Twoich informacji.
• Udawania, że dokument był, skoro go nie było. Lepiej napisać wprost, czego brakowało, co już przygotowałeś i od kiedy obowiązuje.

Kontrolerzy w firmie - jak przejść kontrolę UODO na miejscu

Kontrola na miejscu to coś innego niż pismo, ale zasada jest ta sama: współpracujesz i dokumentujesz. Przed kontrolą planową Biuletyn UODO 2/2026 radzi zebrać dokumenty wskazane w zawiadomieniu o kontroli, zapewnić obecność osób, które znają procesy i systemy, przygotować kontrolerom miejsce do pracy i przejrzeć dokumentację, czy zgadza się z tym, co naprawdę dzieje się w firmie.

• Sprawdź upoważnienie. Kontroler pokazuje imienne upoważnienie i legitymację służbową (art. 81 ustawy o ochronie danych osobowych). W upoważnieniu jest m.in. zakres kontroli i przewidywany termin jej zakończenia.
• Wskaż na piśmie, kto reprezentuje firmę. Masz obowiązek pisemnie wskazać, kto reprezentuje firmę w trakcie kontroli (art. 83 ust. 2 ustawy).
• Wiedz, czego kontroler może żądać. Może wejść do pomieszczeń w godzinach 6-22, przejrzeć dokumenty związane z zakresem kontroli wpisanym w upoważnienie, obejrzeć urządzenia i systemy, w których przetwarzasz dane, zażądać wyjaśnień i przesłuchać pracowników jako świadków (art. 84 i 86 ustawy).
• Kopie robisz Ty. Kopie i wydruki dokumentów przygotowuje firma i potwierdza je za zgodność z oryginałem (art. 84 ust. 2 i 3).
• Pilnuj protokołu. Kontrola trwa najwyżej 30 dni od okazania upoważnienia (art. 89). Na podpisanie protokołu albo złożenie pisemnych zastrzeżeń masz 7 dni od przedstawienia go do podpisu (art. 88 ust. 4). Brak reakcji w tym czasie uznaje się za odmowę podpisania (art. 88 ust. 7). Przeczytaj protokół dokładnie, bo to w nim kontroler opisuje stan faktyczny ustalony w kontroli (art. 88 ust. 2).

Utrudnianie kontroli to już przestępstwo: grozi za nie grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat (art. 108 ust. 1 ustawy). A jeśli z ustaleń kontroli wyjdzie, że mogło dojść do naruszenia, Prezes UODO wszczyna postępowanie (art. 90).

Najczęstsze pytania o kontrolę UODO

Pamiętaj

Pismo z UODO i kontrola UODO to dopiero pytania, a nie wyrok. Odpowiedź w terminie, konkretna i z dokumentami, daje Ci wpływ na to, jak sprawa się skończy. Milczenie ten wpływ odbiera.

Jeśli list już leży na biurku albo chcesz mieć dokumenty gotowe, zanim przyjdzie - napisz albo zadzwoń. Podpowiemy, od czego zacząć, i pomożemy uporządkować dokumentację tak, żeby następne pismo nie było problemem.