Controller
Określa cele i sposoby przetwarzania. Priorytet: ROPA, podstawa prawna, DSAR, DPIA, naruszenia i rozliczalność.
RODO / GDPR dla przedsiębiorców
Prowadzimy organizacje od oceny stosowalności i ról do pełnej gotowości operacyjnej: dokumentacja, incydenty, transfery danych i roadmapa etapów 0-9.
Marki, z którymi pracowaliśmy
zakres wsparcia RODO w realiach 2026
Budujemy zgodność, która działa operacyjnie: od określenia roli regulacyjnej po wdrożone procesy, dokumentację i gotowość na kontrolę.
Joint Controller
Wspólne decydowanie o celach i środkach. Priorytet: umowa współadministrowania, podział odpowiedzialności i spójna informacja dla osób.
Processor
Przetwarza dane na zlecenie administratora. Priorytet: DPA, sub-processor management, bezpieczeństwo i rejestr kategorii przetwarzania.
Podmiot spoza UE
Jeżeli oferujesz usługi osobom w UE lub monitorujesz ich zachowanie, RODO zwykle działa eksterytorialnie i wymaga pełnego frameworku zgodności.
Zgodność, rzetelność, przejrzystość
Czytelna komunikacja i poprawna podstawa prawna dla każdego procesu.
Ograniczenie celu
Dane wykorzystywane tylko do jasno zdefiniowanych i legalnych celów.
Minimalizacja danych
Zakres danych adekwatny do procesu i ryzyka biznesowego.
Prawidłowość
Aktualność danych i procesy korekty błędów.
Ograniczenie przechowywania
Retencja i usuwanie danych zgodnie z celem oraz obowiązkami prawnymi.
Integralność i poufność
Zabezpieczenia techniczne i organizacyjne adekwatne do ryzyka.
Rozliczalność
Dokumentacja i dowody zgodności gotowe do okazania organowi.
Sankcje i ryzyko
Najpoważniejsze naruszenia mogą skutkować karą do 20 mln EUR lub 4% rocznego obrotu, a pozostałe do 10 mln EUR lub 2% obrotu.
Priorytety 2026
Transparentność (art. 12-14), dark patterns, transfery danych i overlap AI Act + RODO to główne punkty egzekwowania.
Skala egzekwowania
Łączna wartość kar w UE przekroczyła 5,88 mld EUR, a nadzór koncentruje się na jakości procesów, nie tylko na formalnych dokumentach.
Stan prawny/materiał: 21 lutego 2026 r.
dokumentacja i procedury: obowiązek -> proces -> deliverable
Projektujemy dokumentację tak, żeby wspierała codzienne decyzje biznesowe i realnie ograniczała ryzyko operacyjne oraz sankcyjne.
W praktyce organizacje najczęściej przegrywają nie na braku pojedynczego dokumentu, ale na niespójnych procesach między biznesem, IT i compliance.
Dlatego porządkujemy cały łańcuch: od ROPA i podstaw prawnych, przez DSAR i DPIA, po transfery SCC/TIA oraz procedury incydentowe.
- Jasny podział odpowiedzialności i SLA dla kluczowych działań
- Spójny zestaw dokumentów dla zarządu, zespołów i audytora
- Deliverables gotowe do użycia od pierwszego dnia wdrożenia
ROPA i mapowanie danych
Inwentaryzacja procesów, kategorii danych i przepływów w organizacji.
Deliverable: Data Mapping Inventory + ROPA
Podstawy prawne i LIA
Przypisanie podstaw art. 6 do każdego procesu i dokumentacja testów równowagi interesów.
Deliverable: Legal Basis Matrix + LIA Pack
Klauzule art. 13/14 i privacy notice
Komplet klauzul dla kanałów i grup osób, w tym transfery i procesy AI.
Deliverable: Privacy Notice Set + Policy
Prawa osób i DSAR
Procedury i formularze dla obsługi dostępu, usunięcia, sprzeciwu i przenoszenia.
Deliverable: DSAR Procedure + Register
DPIA i privacy by design
Oceny skutków dla procesów high-risk, w tym wdrożeń LLM/ML i profilowania.
Deliverable: DPIA Register + PbD Checklist
DPA, SCC i TIA
Porządkujemy łańcuch processorów i transfery poza EOG z kontrolą ryzyka.
Deliverable: DPA/SCC Pack + Transfer Register
outsourcing IOD / DPO i governance danych
Model dla organizacji, które potrzebują stałego nadzoru eksperckiego, wsparcia dla zarządu i praktycznych decyzji na styku prawa, IT oraz operacji.
Pomagamy ocenić, czy DPO jest obowiązkowy (monitoring na dużą skalę, dane szczególne, sektor publiczny) i wdrażamy model działania dopasowany do skali organizacji.
- Wyznaczenie roli DPO i zakresu odpowiedzialności
- Niezależność funkcji i brak konfliktów interesów
- Wsparcie incydentowe i raportowanie do zarządu
- Priorytetyzacja działań i nadzór nad roadmapą 0-9
Model operacyjny DPO
Ustalamy rytm współpracy, kanały eskalacji i standardy decyzji dla projektów biznesowych.
Naruszenia i 72 godziny
Projektujemy procedurę naruszeń od zgłoszenia wewnętrznego do decyzji o notyfikacji PUODO.
Nadzór ciągły
Prowadzimy cykliczne przeglądy zgodności, KPI i plan działań naprawczych.
szkolenia i audyty RODO
Budujemy kompetencje i mierzalną gotowość: osobne ścieżki dla zarządu, compliance, HR, marketingu i IT oraz audyt roczny z planem naprawczym.
Zarząd
Governance, odpowiedzialność i decyzje ryzyka.
Compliance / DPO
ROPA, DPIA, transfery SCC/TIA, DSAR, naruszenia.
HR
Dane pracownicze, rekrutacja, monitoring i retencja.
Marketing / IT
Cookies, dark patterns, profilowanie, AI i art. 22.
Wszyscy pracownicy
Awareness, red flags i szybkie zgłaszanie incydentów.
Audyt roczny
Pełny przegląd zgodności i plan działań na kolejny okres.
Privacy Notice Audit
Weryfikacja klauzul informacyjnych pod priorytet EDPB 2026.
Audyt bezpieczeństwa i transferów
Kontrola DPA, SCC/TIA, DSAR SLA i skuteczności procedur incydentowych.
harmonogram kluczowych dat RODO
Plan prac opieramy o terminy i trendy, które realnie wpływają na priorytety compliance oraz budżet organizacji.
25 maja 2018
Start pełnego stosowania RODO w UE.
Q4 2025
Digital Omnibus: kierunek uproszczeń i standaryzacji.
wrzesień 2025
Potwierdzenia dotyczące transferów i adequacy (w tym DPF).
2026 (CEA transparentność)
Skoordynowane kontrole EDPB dla obowiązków informacyjnych art. 12-14.
2 sierpnia 2026
Pełne obowiązki AI Act dla systemów high-risk i silny overlap z RODO.
2031
Horyzont dla części zmian systemowych i adequacy w wybranych reżimach.
Stan prawny/materiał: 21 lutego 2026 r.
roadmapa wdrożenia RODO: etapy 0-9
Każdy etap kończymy konkretnym rezultatem, żeby zarząd i zespoły miały kontrolę nad postępem oraz ryzykiem.
Etap 0 - stosowalność i rola
Cel: Ustalenie, czy i jak RODO dotyczy organizacji.
Co robimy: Oceniamy działalność, zakres danych i role Controller / Joint Controller / Processor.
Deliverable: Applicability Assessment
Etap 1 - data mapping i ROPA
Cel: Zbudowanie pełnej mapy przetwarzania danych.
Co robimy: Inwentaryzujemy procesy, systemy, przepływy i okresy retencji.
Deliverable: Data Mapping + ROPA
Etap 2 - podstawy prawne i klauzule
Cel: Ujednolicenie legalności przetwarzania i transparentności.
Co robimy: Mapujemy podstawy prawne, przygotowujemy LIA i pełny zestaw klauzul art. 13/14.
Deliverable: Legal Basis Matrix + Notice Set
Etap 3 - prawa osób (DSAR)
Cel: Terminowa i powtarzalna obsługa żądań osób.
Co robimy: Projektujemy procedurę, formularze, weryfikację tożsamości i rejestr DSAR.
Deliverable: DSAR Procedure + Register
Etap 4 - DPIA i privacy by design
Cel: Ocena i redukcja ryzyka high-risk processing.
Co robimy: Wdrażamy DPIA, checklisty PbD i standard AI DPIA dla procesów opartych o LLM/ML.
Deliverable: DPIA Pack + PbD Checklist
Etap 5 - DPA i łańcuch processorów
Cel: Kontraktowe uporządkowanie dostawców przetwarzających dane.
Co robimy: Aktualizujemy DPA, role, sub-processor management i due diligence.
Deliverable: DPA Pack + Processor Register
Etap 6 - transfery danych
Cel: Bezpieczne transfery poza EOG.
Co robimy: Mapujemy transfery, wdrażamy SCC i TIA oraz proces monitoringu adequacy.
Deliverable: Transfer Register + TIA
Etap 7 - naruszenia i 72 godziny
Cel: Sprawna reakcja na incydenty danych osobowych.
Co robimy: Budujemy procedurę naruszeń, eskalację, szablony notyfikacji i rejestr.
Deliverable: Breach Procedure + Register
Etap 8 - DPO i integracja regulacyjna
Cel: Spójne governance dla RODO i regulacji pokrewnych.
Co robimy: Projektujemy model DPO oraz mapę RODO + AI Act + DORA + NIS2 + AML.
Deliverable: DPO Model + Alignment Matrix
Etap 9 - szkolenia, audyt, doskonalenie
Cel: Utrzymanie zgodności i gotowości na kontrolę.
Co robimy: Wdrażamy program szkoleń, audyt roczny i cykl działań naprawczych.
Deliverable: Annual Audit + Action Plan
integracja RODO z innymi regulacjami
Tworzymy jeden operacyjny framework zgodności, żeby unikać duplikacji i konfliktów między wymaganiami.
RODO + AI Act
DPIA, art. 22, transparentność i ludzki nadzór dla systemów AI.
RODO + DORA
Spójne zarządzanie incydentami ICT i naruszeniami danych osobowych.
RODO + NIS2
Wspólne standardy bezpieczeństwa, eskalacja i nadzór cyber.
RODO + AML
Zgodna retencja, legal basis i proporcjonalność przetwarzania dla obowiązków AML.
RODO + DSA/DMA
Transparentność profilowania, reklamy i danych użytkowników platform.
RODO + e-Privacy
Consent management, cookies i eliminacja dark patterns.
pakiety usług RODO
Dobieramy zakres prac do etapu organizacji: od szybkiej diagnozy po pełne wdrożenie i model stałego utrzymania zgodności.
RODO Readiness Scan
Dla kogo: Firmy, które chcą szybko ocenić punkt startowy.
Co dostajesz: Gap matrix i roadmapę priorytetów.
Kiedy warto: Przed większym wdrożeniem lub audytem.
Privacy Notice Audit (EDPB 2026)
Dla kogo: Organizacje z wieloma kanałami kontaktu i profilowaniem.
Co dostajesz: Audyt klauzul art. 12-14 i rekomendacje wdrożeniowe.
Kiedy warto: Przed kampaniami marketingowymi i kontrolą.
RODO Full Implementation Project
Dla kogo: Firmy budujące pełen system zgodności.
Co dostajesz: Komplet procedur, dokumentacji i model governance.
Kiedy warto: Przy wejściu na nowy rynek lub skali operacji.
DPIA Factory (w tym AI)
Dla kogo: Zespoły wdrażające high-risk procesy i AI.
Co dostajesz: Pakiet DPIA, rejestr ryzyk i rekomendacje zabezpieczeń.
Kiedy warto: Przy projektach scoringowych, profilowaniu i automatyzacji.
DPA & Transfer Review Package
Dla kogo: Organizacje z rozbudowanym ekosystemem dostawców.
Co dostajesz: Przegląd DPA, SCC/TIA i mapę transferów poza EOG.
Kiedy warto: Po zmianach vendorów, narzędzi lub jurysdykcji.
RODO Compliance as a Service
Dla kogo: Firmy potrzebujące stałego wsparcia compliance.
Co dostajesz: Cykliczny nadzór, aktualizacje dokumentacji i wsparcie incydentowe.
Kiedy warto: Po wdrożeniu, w modelu utrzymania zgodności.
ekspert prowadzący obszar RODO
W projektach RODO łączymy perspektywę prawną, operacyjną i technologiczną, aby szybciej przejść od ryzyk do mierzalnych rezultatów.
Wsparcie eksperckie od etapu diagnozy
- Priorytetyzacja ryzyk i decyzji zarządczych
- Szybkie domknięcie krytycznych luk compliance
- Stałe wsparcie na styku biznesu, IT i prawa
Atuty zespołu Legal Geek
- Doświadczenie w projektach RODO dla e-commerce, IT i fintech
- Integracja RODO z AI Act, DORA, NIS2 i AML
- Wsparcie przy incydentach oraz kontrolach organu
Kontakt w sprawie RODO
Zofia Babicka-Klecor
Założycielka
Prawniczka, ekspertka e-commerce
Zofia jest założycielką Legal Geeka oraz ekspertem w zakresie praw konsumentów i świadczenia usług drogą elektroniczną. Jest autorką artykułów o prawnych aspektach e-handlu oraz biznesu w Internecie. W Legal Geeku jako Partner odpowiada za obszar e-commerce i ochrony danych osobowych.
LinkedIn
FAQ: najczęstsze pytania zarządu i zespołów
Poniżej zebraliśmy pytania, które najczęściej pojawiają się przy projektach wdrożeniowych i audytowych.
Czy każda firma podlega RODO?
Jeżeli przetwarzasz dane osobowe osób fizycznych, RODO co do zasady ma zastosowanie niezależnie od wielkości firmy.
Kiedy DPIA jest obowiązkowe?
Gdy proces może powodować wysokie ryzyko, np. profilowanie, monitoring na dużą skalę lub rozwiązania AI przetwarzające dane osobowe.
Co oznacza termin 72 godziny?
To maksymalny czas na zgłoszenie naruszenia do organu po stwierdzeniu incydentu spełniającego przesłanki notyfikacji.
Jak zorganizować DSAR w praktyce?
Potrzebne są: procedura, formularz, weryfikacja tożsamości, rejestr spraw i jasne SLA między działami.
Czy SCC i TIA są nadal wymagane?
Tak, przy transferach poza EOG na SCC konieczna jest ocena ryzyka transferu (TIA) i bieżący monitoring zmian.
Jak połączyć AI i art. 22 RODO?
Trzeba ocenić wpływ zautomatyzowanych decyzji, zapewnić transparentność i wdrożyć adekwatny nadzór człowieka.
Kiedy DPO jest obowiązkowy?
M.in. gdy działalność obejmuje regularne monitorowanie na dużą skalę lub przetwarzanie szczególnych kategorii danych na dużą skalę.
Czy da się wdrożyć RODO etapami?
Tak. Najpierw diagnoza i luki krytyczne, potem roadmapa 0-9 z priorytetami biznesowymi.
Jak wygląda gotowość na kontrolę?
Organizacja ma aktualną dokumentację, działające procedury, rejestry decyzji i potwierdzony cykl audytu oraz szkoleń.
materiały RODO na każdym etapie wdrożenia
Zostawiamy praktyczne materiały, które pomagają szybciej wystartować z diagnozą, uporządkować dokumentację i przygotować zespół do działań operacyjnych.
Przewodnik prawny RODO
Start dla etapów 0-2: zakres stosowalności, role i podstawowe obowiązki administratora.
Pobierz przewodnikInfografika i checklista
Szybka lista kontrolna do etapów 1-4: ROPA, klauzule, prawa osób i DPIA.
Pobierz checklistęWebinary i praktyka wdrożeń
Materiały dla etapów 5-9: transfery, naruszenia, governance i integracja z AI Act.
Zobacz webinaryskontaktuj się w sprawie wdrożenia RODO
Dobierzemy właściwy etap prac: diagnoza, wdrożenie docelowe albo model utrzymania zgodności i wsparcia incydentowego.