Ile kosztuje obsługa RODO w firmie i od czego zależy cena?

fot. Timur Shakerzianov • Unsplash License

Trzy usługi pod jedną nazwą

Pierwsza usługa to diagnoza – obejmuje sprawdzenie, jakie dane osobowe firma przetwarza, na jakiej podstawie prawnej, w jakich systemach je trzyma, komu je udostępnia i czy dokumentacja opisuje to, co dzieje się naprawdę. Druga to wdrożenie: przygotowanie lub poprawienie dokumentów, procedur i umów, szkolenia zespołu, zmiany w konfiguracji narzędzi. Trzecia to utrzymanie, czyli stały inspektor ochrony danych albo okresowe przeglądy, które wyłapują zmiany w firmie, zanim zrobi to kontrola lub incydent.

Cenniki publikowane przez firmy doradcze dają orientacyjny obraz rynku. Audyt w firmie z sektora MŚP kosztuje zwykle od 2,5 do około 8,5 tys. zł, a w dużych organizacjach nawet kilkadziesiąt tysięcy. Pełne wdrożenie wycenia się najczęściej na 10–50 tys. zł. Abonament za zewnętrznego inspektora ochrony danych lub stałą obsługę zaczyna się w okolicach 1,3–1,5 tys. zł miesięcznie, a w złożonych strukturach dochodzi do kilku, a nawet kilkunastu tysięcy.

Stała obsługa inspektora ochrony danych nie jest obowiązkowa w każdej firmie. RODO wymaga wyznaczenia IOD w trzech przypadkach:

• organom publicznym,
• firmom, których główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę,
• firmom, które na dużą skalę przetwarzają dane szczególnych kategorii, na przykład o zdrowiu.

Agencja, która na zlecenie wielu marek buduje profile behawioralne użytkowników, może się w tej definicji zmieścić. Kilkunastoosobowa agencja PR z reguły się nie zmieści. Brak obowiązku wyznaczenia IOD nie zwalnia z pozostałych przepisów, ale pozwala wybrać tańszy model utrzymania, na przykład przegląd raz lub dwa razy w roku zamiast miesięcznego abonamentu.

Co naprawdę wpływa na pracochłonność audytu RODO?

Liczba pracowników to tylko przybliżenie nakładu pracy. Tak traktuje ją np. kalkulator kosztów IOD M3M Data Protection.

Weźmy dwie firmy. Czterdziestoosobowy producent opakowań, sprzedający wyłącznie innym przedsiębiorstwom, przetwarza głównie dane pracowników, kandydatów do pracy i osób kontaktowych u kontrahentów. Piętnastoosobowa agencja PR prowadzi natomiast:

• bazę kilkuset dziennikarzy i newsletter,
• rekrutacje,
• listy uczestników wydarzeń oraz zdjęcia i nagrania z tych wydarzeń,
• konkursy organizowane dla marek,
• współpracę z influencerami i freelancerami.

Do tego dochodzi kilkanaście narzędzi w chmurze: CRM, system mailingowy, dysk, komunikator, narzędzie do monitoringu mediów. Dla części klientów agencja jest podmiotem przetwarzającym dane w ich imieniu, co oznacza osobne obowiązki i osobne umowy. Mniejsza firma ma tu więcej procesów, więcej systemów i więcej relacji z dostawcami. Jej audyt potrwa dłużej, a wdrożenie będzie obszerniejsze.

Cenę podnoszą też:

• dane o zdrowiu lub dane biometryczne,
• monitoring wizyjny,
• profilowanie klientów,
• korzystanie z narzędzi, których dostawcy przekazują dane poza Europejski Obszar Gospodarczy,
• większa liczba oddziałów.

Obniża ją dobry stan wyjściowy: aktualny rejestr czynności przetwarzania, zawarte umowy powierzenia i ktoś w firmie, kto wie, gdzie leżą dane.

Czego nie widać w ofercie

Audyt wymaga zwykle kilku rozmów z osobami odpowiedzialnymi za procesy i udostępnienia dokumentów. Przy wdrożeniu tego czasu jest więcej, bo ktoś musi zatwierdzać procedury, zmieniać formularze i pilnować terminów.

Osobną pozycją jest praca informatyków. Ktoś musi ograniczyć nadmiarowe uprawnienia, skonfigurować okresy przechowywania danych w narzędziach i usunąć dane, które firma trzyma „na wszelki wypadek” od lat. Jeśli IT obsługuje firma zewnętrzna, te godziny pojawią się na jej fakturze, a nie na fakturze doradcy od RODO. Im dłużej nikt nie sprzątał, tym więcej trzeba zrobić. Stare bazy powiększają przy tym skalę ewentualnego wycieku.

Najczęściej niedoszacowany koszt to umowy powierzenia przetwarzania danych. Taka umowa jest potrzebna z każdym dostawcą, który przetwarza dane w imieniu firmy: od systemu mailingowego po freelancera montującego materiał z udziałem uczestników wydarzenia. Granica bywa szersza, niż się wydaje. W lutym 2026 roku Prezes UODO ukarał DPD Polska kwotą ponad 6,2 mln zł właśnie za brak takich umów z zewnętrznymi przewoźnikami. Spółka argumentowała, że przewóz paczek nie jest przetwarzaniem danych. Urząd uznał jednak, że przewoźnicy mieli przy załadunku dostęp do etykiet z danymi adresatów, więc umowy były wymagane. Łączna kara, obejmująca też drugie naruszenie dotyczące środków organizacyjnych, przekroczyła 11 mln zł. W agencji, która zleca montaż, druk, obsługę eventów i fotografię, lista podwykonawców do sprawdzenia bywa długa.

RODO z 2018 roku wymaga poprawek

Wiele firm wdrożyło RODO w pośpiechu wiosną 2018 roku i od tamtej pory do dokumentów nie wracało. Tymczasem od tamtej pory:

• zespoły przeszły na pracę zdalną,
• pliki trafiły do chmury,
• pojawiły się nowe narzędzia marketingowe i asystenci AI,
• połowa osób wymienionych w procedurach już w firmie nie pracuje.

Dokumentacja opisuje organizację, która nie istnieje.

Dlatego utrzymanie jest osobnym kosztem, a nie wydatkiem jednorazowym. RODO wymaga regularnego testowania i oceniania skuteczności zabezpieczeń (art. 32 ust. 1 lit. d) oraz zdolności do wykazania, że przepisy są przestrzegane (art. 5 ust. 2). Urząd coraz częściej to sprawdza. W 2025 roku Prezes UODO nałożył kary na łącznie ponad 64 mln zł, wobec niespełna 14 mln zł rok wcześniej. Najczęstsze zarzuty dotyczyły niewystarczających zabezpieczeń organizacyjnych i technicznych oraz niezgłaszania naruszeń.

Jak zamienić widełki w konkretny budżet

Rozsądna kolejność zaczyna się od diagnozy, bo dopiero ona pokazuje, ile jest do zrobienia. Dobry audyt kończy się listą ustaleń uporządkowanych według ryzyka. Dzięki temu wydatki można rozłożyć w czasie: najpierw to, co grozi incydentem lub karą, później sprawy porządkowe. Przykładowo warszawska M3M Data Protection wycenia podstawowy audyt zgodności z RODO od 4 tys. zł netto. W małej organizacji trwa on 1–2 tygodnie, w średniej lub wielooddziałowej 3–4 tygodnie, a raport dzieli ustalenia na krytyczne, istotne i porządkowe. Bywa, że po takiej diagnozie zamiast pełnego wdrożenia wystarczy kilka punktowych poprawek, co zmienia budżet bardziej niż jakakolwiek negocjacja stawki.

Dwie oferty z podobną ceną mogą obejmować zupełnie inny zakres prac. Dlatego przed wyborem wykonawcy dobrze sprawdzić:

• Jak wygląda audyt? Czy obejmuje rozmowy z pracownikami i sprawdzenie używanych systemów, czy opiera się głównie na ankiecie wypełnianej przez firmę?
• Co obejmuje abonament? Czy w cenie jest obsługa naruszeń, wsparcie podczas kontroli UODO i określona liczba godzin konsultacji?
• Co oznacza „cena od”? Wykonawca powinien wskazać, co mieści się w podanej kwocie i za jakie prace trzeba będzie zapłacić dodatkowo.

Pakiet gotowych dokumentów będzie tańszy od audytu, ale nie pokaże, że dane nadal znajdują się w starym CRM-ie, były pracownik ma aktywne konto albo z jednym z podwykonawców nie zawarto wymaganej umowy. To właśnie takie problemy mogą wyjść dopiero podczas sprawdzania tego, jak firma rzeczywiście przetwarza dane.