Przewodnik po RODO dla niemieckich firm: lista kontrolna i kluczowe wymagania

Kary za naruszenie RODO (w Niemczech: DSGVO) osiągnęły w 2025 r. rekordowy poziom. Ponieważ NIS2, unijny AI Act i DORA wprowadzają kolejne wymagania, niemieckie firmy mierzą się z coraz bardziej złożonym otoczeniem regulacyjnym. Oto praktyczna lista kontrolna.

Kluczowe obowiązki wynikające z DSGVO

1. Podstawa prawna przetwarzania

Każda czynność przetwarzania danych wymaga podstawy prawnej: zgody, umowy, obowiązku prawnego lub prawnie uzasadnionego interesu.

2. Inspektor ochrony danych (IOD)

Obowiązkowy w firmach, w których co najmniej 20 pracowników regularnie przetwarza dane osobowe. Musi być niezależny i podlegać bezpośrednio kierownictwu.

3. Zgłaszanie naruszeń

72 godziny na powiadomienie organu nadzorczego. Jeśli ryzyko jest wysokie, należy powiadomić także osoby, których dane dotyczą.

4. Prawa osób, których dane dotyczą

Wnioski trzeba rozpatrzyć w ciągu 1 miesiąca: dostęp, sprostowanie, usunięcie („prawo do bycia zapomnianym”), przenoszenie danych.

5. Rejestr czynności przetwarzania

Prowadź pisemny rejestr obejmujący cel, kategorie danych, odbiorców i okresy przechowywania.

Lista kontrolna zgodności

• Zidentyfikuj wszystkie czynności przetwarzania danych osobowych
• Udokumentuj podstawę prawną każdej czynności
• Powołaj IOD, jeśli jest to wymagane (20+ pracowników)
• Wdróż środki techniczne i organizacyjne (TOM)
• Przygotuj i aktualizuj polityki prywatności
• Ustal procedury zgłaszania naruszeń
• Przeprowadzaj oceny skutków (DPIA) dla przetwarzania wysokiego ryzyka
• Zadbaj o umowy powierzenia przetwarzania danych (AVV)
• Przeszkol wszystkich pracowników z ochrony danych
• Wdróż procedury obsługi wniosków osób, których dane dotyczą

Kary

Poziom naruszenia	Maksymalna kara
Niższy próg	10 mln EUR lub 2% rocznego obrotu
Wyższy próg	20 mln EUR lub 4% rocznego obrotu

Nowe wymagania

Dyrektywa NIS2 (2024–2025)

Szerszy zakres, obowiązkowe zgłaszanie incydentów, odpowiedzialność kierownictwa za cyberbezpieczeństwo.

Unijny AI Act (stosowany od sierpnia 2026 r.)

Klasyfikacja systemów AI według ryzyka, wymogi przejrzystości, obowiązkowy nadzór człowieka.

DORA (sektor finansowy, styczeń 2025 r.)

Ramy zarządzania ryzykiem ICT, testy cyfrowej odporności operacyjnej.

Bezpieczna dokumentacja zgodności

Udostępniając dokumenty dotyczące zgodności — oceny skutków dla ochrony danych, raporty o naruszeniach, rejestry przetwarzania danych pracowników — korzystaj z bezpiecznych kanałów. LOCK.PUB pozwala przekazywać poufne informacje w notatkach chronionych hasłem. W Pro możesz ustawić notatkę tak, by otworzyła się tylko raz — po wyświetleniu link przestaje się otwierać, więc udostępnione rejestry nie stają się ryzykiem dla danych.

Przechowuj listy kontrolne DSGVO i poufne dokumenty wewnętrzne bezpiecznie dzięki linkom LOCK.PUB chronionym hasłem, którym możesz ustawić datę wygaśnięcia (Pro), zamiast wysyłać je jako niezaszyfrowane załączniki e-mail.

---

Zgodność z DSGVO nie jest opcjonalna — to wymóg prawa. Zacznij od powyższej listy kontrolnej, powołaj IOD, jeśli jest wymagany, i dokumentuj wszystko.