Ile kosztuje audyt RODO i outsourcing IOD?

Jedno z pierwszych pytań, jakie zadają przedsiębiorcy rozważający wdrożenie RODO, dotyczy kosztów. To naturalne. Problem w tym, że cena audytu czy abonamentu IOD bardzo różni się w zależności od firmy, więc podawanie jednej kwoty wprowadzałoby w błąd. Poniżej wyjaśniamy, z czego składa się koszt, od czego zależy i jak porównywać oferty, żeby nie przepłacić ani nie kupić czegoś, co na kontroli się nie obroni.

Za co płacisz, zamawiając audyt RODO

Dobrze wykonany audyt to nie jest zestaw wzorów dokumentów. To rzetelna ocena tego, jak dane osobowe naprawdę przepływają przez Twoją firmę, i porównanie tego z wymaganiami RODO. W zakres audytu zwykle wchodzą:

• inwentaryzacja procesów przetwarzania danych: skąd dane pochodzą, gdzie są przechowywane i kto ma do nich dostęp,
• ocena podstaw prawnych przetwarzania dla poszczególnych procesów,
• przegląd istniejącej dokumentacji: polityk, klauzul informacyjnych, zgód, umów powierzenia, upoważnień,
• ocena zabezpieczeń technicznych i organizacyjnych, od haseł i kopii zapasowych po zasady dostępu do pomieszczeń,
• raport z oceną ryzyka i wskazaniem konkretnych braków,
• plan naprawczy z priorytetami, czyli co zrobić najpierw, a co może poczekać.

Koszt audytu RODO

Jednorazowy audyt zgodności z RODO to zwykle koszt rzędu kilku tysięcy złotych. Ostateczna cena zależy przede wszystkim od wielkości organizacji, liczby procesów przetwarzania danych oraz tego, czy firma przetwarza dane szczególnych kategorii, na przykład dane o zdrowiu. Mała firma usługowa zapłaci zwykle mniej niż placówka medyczna czy instytucja publiczna z rozbudowaną dokumentacją.

Warto zapytać, czy audyt obejmuje także wdrożenie. Sam audyt wskazuje luki, a ich usunięcie, czyli przygotowanie brakującej dokumentacji i procedur, to osobny etap. Niektóre oferty łączą jedno z drugim, inne rozliczają je osobno, więc przy porównywaniu cen trzeba mieć pewność, że zestawiasz to samo z tym samym.

Koszt outsourcingu IOD

Stały outsourcing Inspektora Ochrony Danych rozliczany jest zwykle w modelu miesięcznego abonamentu. Jego wysokość zależy od zakresu wsparcia i skali przetwarzania danych w firmie. Im więcej procesów, pracowników i systemów, tym więcej pracy po stronie inspektora.

Co zwykle obejmuje abonament

• bieżące doradztwo w sprawach ochrony danych, na przykład przed wdrożeniem nowego systemu albo kampanii marketingowej,
• prowadzenie lub nadzór nad rejestrem czynności przetwarzania,
• obsługa incydentów i naruszeń, w tym ocena, czy trzeba je zgłaszać do UODO,
• udział w ocenie ryzyka i ocenach skutków dla ochrony danych,
• szkolenia pracowników,
• pełnienie roli punktu kontaktowego dla UODO i osób, których dane dotyczą, oraz wsparcie podczas kontroli.

Własny IOD na etacie czy outsourcing

Jest jeszcze jeden powód, dla którego małe i średnie firmy wybierają outsourcing. Inspektor musi działać niezależnie i nie może mieć konfliktu interesów. Gdy w niewielkiej firmie funkcję IOD dostaje osoba, która na co dzień zajmuje się też kadrami, IT albo zarządza, taki konflikt zwykle się pojawia. Zewnętrzny specjalista ten problem rozwiązuje, bo nie podlega nikomu w strukturze firmy.

Od czego zależy ostateczna cena

• Wielkość organizacji i liczba pracowników mających dostęp do danych osobowych
• Liczba i złożoność procesów przetwarzania danych
• Czy firma przetwarza dane szczególnych kategorii (dane o zdrowiu, biometryczne)
• Zakres oczekiwanego wsparcia: jednorazowy audyt czy stała, comiesięczna opieka
• Branża i poziom regulacji sektorowych (na przykład ochrona zdrowia, sektor publiczny)
• Stan obecnej dokumentacji: im więcej trzeba przygotować od zera, tym więcej pracy

Jak wygląda to w praktyce: trzy przykłady

• Mała firma usługowa z kilkoma pracownikami zwykle potrzebuje audytu i uporządkowania dokumentacji, a potem doraźnego wsparcia, gdy pojawi się konkretna sprawa. Stały abonament nie zawsze jest tu konieczny.
• Firma średniej wielkości z działem HR, monitoringiem i kilkoma systemami IT dostaje zwykle największą wartość z połączenia audytu i stałej opieki inspektora, bo zmian jest dużo i trzeba je na bieżąco oceniać.
• Placówka medyczna przetwarza dane o zdrowiu, więc często ma obowiązek wyznaczenia IOD, a zakres dokumentacji jest szerszy. To zwykle najbardziej pracochłonny przypadek.

Na co uważać, porównując oferty

• Bardzo niska cena audytu często oznacza gotowy pakiet wzorów bez analizy Twoich procesów. Na kontroli UODO liczy się, czy dokumentacja odzwierciedla to, co faktycznie dzieje się w firmie.
• Brak pisemnego raportu z audytu. Bez niego nie masz dowodu, że zadbałeś o zgodność, ani listy rzeczy do poprawy.
• Niejasny zakres abonamentu: ile godzin doradztwa, czy w cenie jest obsługa incydentów, czy wsparcie podczas kontroli kosztuje dodatkowo.
• Brak informacji, kto konkretnie będzie Twoim inspektorem i jakie ma doświadczenie.
• Obietnice „stuprocentowej gwarancji” braku kar. Zgodność z RODO ogranicza ryzyko, ale nikt uczciwy nie obiecuje, że żadna kontrola ani skarga Ci się nie przydarzy.

A ile kosztuje brak zgodności

Dla porównania z kosztem usług warto pamiętać o drugiej stronie rachunku. Maksymalne kary za naruszenie RODO sięgają 20 mln euro, a w praktyce nawet kilkadziesiąt tysięcy złotych bywa dotkliwe dla małej firmy. Do tego dochodzą koszty obsługi postępowania, ewentualne roszczenia osób, których dane wyciekły, i utrata zaufania klientów. Więcej o systemie kar piszemy w osobnym artykule.

Dokładną wycenę przygotowujemy zawsze indywidualnie, po bezpłatnej rozmowie, podczas której poznajemy specyfikę Twojej działalności. Dzięki temu proponujemy realny zakres, a nie uniwersalny pakiet, który albo nie wystarczy, albo będzie przepłacony.

Czy audyt RODO trzeba powtarzać?

RODO nie narzuca częstotliwości, ale zasada rozliczalności wymaga, żeby dokumentacja odpowiadała rzeczywistości. Gdy firma wdraża nowy system, zmienia dostawców albo uruchamia nowy rodzaj działalności, dokumentację trzeba zaktualizować. Wiele firm robi przegląd raz w roku albo po każdej większej zmianie.

Czy mogę zamówić sam audyt, bez stałego abonamentu?

Tak. Audyt jest usługą jednorazową i wielu klientów zaczyna właśnie od niego, a o stałej opiece decyduje później, gdy widzi skalę potrzeb. Decyzja o abonamencie nie jest warunkiem zamówienia audytu.

Czy wycena jest bezpłatna?

Tak. Zaczynamy od bezpłatnej, 30-minutowej rozmowy, podczas której poznajemy Twoją firmę, a dopiero potem przygotowujemy konkretną ofertę. Nie ponosisz żadnych kosztów, zanim nie zdecydujesz się na współpracę.