Jak często szkolić pracowników z ochrony danych osobowych?

Dlaczego to pytanie w ogóle powstaje

Pytanie o częstotliwość pojawia się zwykle w dwóch momentach. Po pierwsze, kiedy organizacja buduje harmonogram szkoleń na kolejny rok i potrzebuje wpisać do niego liczbę. Po drugie, kiedy audytor lub organ pyta, kiedy odbyło się ostatnie szkolenie i kogo objęło. W obu przypadkach oczekiwana jest jedna liczba, a przepisy jej nie zawierają.

Źródłem wątpliwości jest konstrukcja samego RODO. Rozporządzenie wymienia szkolenia personelu wprost tylko w jednym miejscu — jako element monitorowania przestrzegania przepisów prowadzonego przez inspektora (art. 39 ust. 1 lit. b) — a obowiązek administratora buduje wokół rezultatu, nie wokół zdarzenia szkoleniowego. Administrator, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób, wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z rozporządzeniem i aby móc to wykazać, a środki te w razie potrzeby poddaje przeglądom i uaktualnia (art. 24 ust. 1), zapewnić, by osoby działające z jego upoważnienia przetwarzały dane wyłącznie na jego polecenie (art. 29 i art. 32 ust. 4), oraz regularnie testować, mierzyć i oceniać skuteczność tych środków (art. 32 ust. 1 lit. d). Szkolenie jest jednym z narzędzi, którymi te wymagania się realizuje, a nie odrębnym obowiązkiem z własnym terminem.

Ta różnica ma praktyczne następstwo. Organizacja, która pyta „czy wystarczy raz w roku”, pyta o coś, czego nie da się rozstrzygnąć w oderwaniu od jej procesów. Organizacja, która pyta „co musi się wydarzyć, żebyśmy zdążyli przeszkolić ludzi przed zmianą”, zadaje pytanie, na które odpowiedź istnieje.

Co trzeba ustalić przed decyzją

Kogo faktycznie szkolimy

„Wszyscy pracownicy” to kategoria, która najczęściej rozmywa program szkolenia i sprawia, że nikt nie dostaje treści przydatnej w swojej pracy. Punktem wyjścia jest podział na grupy, które przetwarzają dane w różny sposób i ponoszą różne ryzyko. Są to osoby nowo zatrudnione i zmieniające stanowisko, właściciele procesów, zespoły o wysokiej ekspozycji (HR, obsługa klienta, sprzedaż, marketing, rekrutacja), działy IT i bezpieczeństwa, kadra kierownicza oraz inspektor ochrony danych.

Ten podział rozstrzyga o częstotliwości bardziej niż kalendarz. Zespół, w którym w ciągu roku wymienia się jedna trzecia składu, potrzebuje szkolenia wdrożeniowego działającego na bieżąco, a nie jednego wydarzenia w listopadzie.

Co zmieniło się od ostatniego szkolenia

Cykl szkoleniowy powinien reagować na zmiany, które realnie zmieniają sposób przetwarzania danych. W praktyce chodzi o cztery rodzaje zdarzeń. Obejmują one uruchomienie lub istotną przebudowę procesu przetwarzania, wdrożenie nowego systemu albo zmianę dostawcy mającego dostęp do danych, zmianę stanu prawnego lub stanowiska organu wpływającą na obowiązki organizacji oraz zmianę organizacyjną — nową strukturę, przejęcie, centralizację obsługi.

Jeżeli w danym roku żadne z tych zdarzeń nie wystąpiło, powtórzenie tego samego szkolenia „bo minął rok” daje dowód uczestnictwa, ale niewiele zmienia w zachowaniach. Jeżeli wystąpiły trzy, roczny harmonogram jest już nieaktualny w chwili zatwierdzenia.

Co mówią incydenty i zgłoszenia

Najbardziej wiarygodnym wskaźnikiem potrzeb szkoleniowych są zdarzenia, które w organizacji rzeczywiście występują. Błędne adresowanie korespondencji, wysyłka do wielu odbiorców w polu „do wiadomości”, przekazanie dokumentów niewłaściwej osobie, otwarcie załącznika z wiadomości phishingowej, korzystanie z prywatnych narzędzi do przetwarzania danych służbowych — każde z nich wskazuje konkretną grupę i konkretny temat.

W praktyce warto powiązać rejestr naruszeń i wewnętrznych zgłoszeń z planem szkoleń jako stałe wejście, a nie jako doraźną reakcję po głośniejszym zdarzeniu. Jeżeli organizacja dopiero porządkuje sam proces rozpoznawania i oceny takich zdarzeń, ocena incydentów i naruszeń jest krokiem wcześniejszym niż planowanie szkoleń.

Czym mierzymy skuteczność

Artykuł 32 ust. 1 lit. d RODO wymienia regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania — jako jeden z przykładowych środków, stosowany w stosownym przypadku. Tam, gdzie szkolenie służy bezpieczeństwu przetwarzania, mieści się w tym zakresie; ogólny wymóg przeglądu i uaktualniania środków wynika natomiast z art. 24 ust. 1. Organizacje stosują w tym celu testy wiedzy po szkoleniu, kontrolowane symulacje phishingu, przegląd zgłoszeń podejrzanych wiadomości, analizę powtarzalności tych samych błędów w kolejnych okresach oraz krótkie sprawdzenia w ramach audytu wewnętrznego.

Wynik pomiaru jest tym, co uzasadnia zmianę częstotliwości. Grupa, która w teście powtarza ten sam błąd, potrzebuje krótszego cyklu i innej formy zajęć — nie kolejnej prezentacji o zasadach ogólnych.

Czym wykażemy, że szkolenie się odbyło

Ciężar wykazania, że środki wdrożono, spoczywa na administratorze (art. 24 ust. 1 in fine), a zasada rozliczalności z art. 5 ust. 2 nakazuje mu wykazać przestrzeganie zasad przetwarzania z art. 5 ust. 1. W praktyce oznacza to, że wartość dowodową ma zestaw. Składają się na niego zakres i program zajęć, lista uczestników z datą, materiały przekazane uczestnikom, wynik testu lub innej formy weryfikacji oraz powiązanie szkolenia z upoważnieniami do przetwarzania danych. Sama lista obecności pokazuje, że ludzie byli — nie pokazuje, czego ich nauczono.

Widać to w praktyce nadzorczej. W decyzji DKN.5131.34.2023 z 13 czerwca 2026 r. Prezes UODO ustalił, że administrator przeprowadził szkolenia dla pracowników dopiero po naruszeniu, a przedłożone raporty ze szkoleń pochodziły z okresu następującego po incydencie. Dowód powstały po zdarzeniu nie zastępuje dowodu z okresu, którego dotyczy postępowanie.

Jakie inne reżimy obejmują tę samą organizację

Część organizacji podlega jednocześnie RODO i przepisom o cyberbezpieczeństwie, a te drugie traktują częstotliwość inaczej. Znowelizowana ustawa o KSC przewiduje, że kierownik podmiotu kluczowego lub ważnego oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzi szkolenie raz w roku kalendarzowym (art. 8e), a udział w szkoleniu podlega udokumentowaniu. Zakres tego szkolenia wyznacza art. 8e ust. 2 przez odesłanie do katalogu obowiązków, za które kierownik odpowiada, a niewykonanie tego obowiązku jest odrębnie sankcjonowane karą pieniężną nakładaną na kierownika — do 300 % jego wynagrodzenia, a w podmiocie publicznym do 100 % (art. 73a); stosowanie przepisów o karach jest odroczone o dwa lata od wejścia nowelizacji w życie. Ministerstwo Cyfryzacji wskazuje obowiązek szkoleniowy kierownika jako jedną ze zmian wprowadzanych nowelizacją. Dla personelu ustawa nie podaje interwału — wśród środków, które ma zapewniać system zarządzania bezpieczeństwem informacji, wymienia edukację z zakresu cyberbezpieczeństwa dla personelu podmiotu oraz podstawowe zasady cyberhigieny (art. 8 ust. 1 pkt 2). Wyjątkiem jest podmiot ważny będący podmiotem publicznym. Załącznik do ustawy wymienia dla niego szkolenie osób zaangażowanych w przetwarzanie informacji jako konkretne działanie — obejmujące rodzaje cyberzagrożeń, zasady cyberhigieny, reagowanie na incydent i świadomość skutków naruszenia — oraz nakazuje przegląd systemu co najmniej raz w roku.

Dobrowolnym punktem odniesienia pozostaje norma ISO/IEC 27001:2022, która w załączniku A przewiduje zabezpieczenie 6.3 dotyczące świadomości, edukacji i szkoleń z zakresu bezpieczeństwa informacji. Stosowanie normy nie jest obowiązkiem prawnym, ale organizacje certyfikowane muszą liczyć się z pytaniem audytora o cykl i skuteczność.

W praktyce oznacza to jedno. Organizacja objęta oboma reżimami nie potrzebuje dwóch niezależnych programów szkoleniowych, tylko jednego planu, w którym twardy termin z KSC wyznacza rytm dla ról kierowniczych, a kryteria z RODO — zakres dla pozostałych grup.

Warianty według ról

Grupa	Co uruchamia szkolenie	Rytm stosowany w praktyce	Czym wykazać
Nowo zatrudnieni i zmieniający stanowisko	Nadanie dostępu do danych, zmiana zakresu obowiązków	Przed dopuszczeniem do przetwarzania, nie w cyklu rocznym	Powiązanie szkolenia z upoważnieniem i datą nadania dostępu
Zespoły o wysokiej ekspozycji (HR, obsługa klienta, sprzedaż)	Zmiana procesu, powtarzalne błędy, wnioski z incydentów	Krótsze formy częściej niż raz w roku, dopasowane do procesu	Program tematyczny, wyniki testów, zestawienie zgłoszeń
Właściciele procesów	Uruchomienie procesu, DPIA, zmiana dostawcy	Przy zmianie oraz okresowo	Notatka z warsztatu, decyzje procesowe, ślad w dokumentacji procesu
Działy IT i bezpieczeństwa	Zmiana architektury, nowe zagrożenia, wnioski powłamaniowe	Ciągłe podnoszenie kompetencji, niezależnie od cyklu ogólnego	Plan rozwoju kompetencji, certyfikaty, ćwiczenia
Kadra kierownicza	Odpowiedzialność zarządcza, obowiązki z KSC	Wymóg ustawowy przy KSC — raz w roku kalendarzowym; przy RODO ustalany przez organizację	Zaświadczenie, program, dokumentacja udziału
Inspektor ochrony danych	Zmiany prawne, wytyczne organów, praktyka nadzorcza	Stałe aktualizowanie wiedzy	Udział w szkoleniach i konferencjach, zasoby zapewniane przez administratora na podstawie art. 38 ust. 2 RODO

Obowiązek zapewnienia inspektorowi zasobów niezbędnych do utrzymania jego wiedzy fachowej wynika wprost z art. 38 ust. 2 RODO; wytyczne dotyczące inspektorów ochrony danych (WP243 rew.01), zatwierdzone przez Europejską Radę Ochrony Danych, rozwijają go, wskazując ciągłe szkolenie jako element tych zasobów. To wymaganie dotyczy roli IOD, nie personelu — jeżeli organizacja rozważa również sposób obsadzenia tej funkcji, właściwym punktem wyjścia jest wsparcie zewnętrznego IOD/DPO.

Najczęstsze błędy

• Traktowanie rocznego cyklu jako obowiązku prawnego. Roczny interwał jest praktyką organizacyjną. Powoływanie się na niego jako na wymóg RODO wprowadza w błąd zarząd i utrudnia obronę stanowiska w razie kontroli.
• Jedno szkolenie dla wszystkich ról. Materiał wystarczająco ogólny, żeby pasował do każdego działu, zwykle nie zmienia zachowania w żadnym z nich.
• Zatrzymanie się na liście obecności. Dowód uczestnictwa bez zakresu, materiałów i weryfikacji wiedzy pokazuje, że szkolenie się odbyło, ale nie to, czego dotyczyło.
• Szkolenie jako jedyna odpowiedź na incydent. Po naruszeniu wynikającym z błędu człowieka szkolenie jest jednym z działań naprawczych, a nie zamiennikiem zmiany procesu lub zabezpieczenia technicznego.
• Brak powiązania z rejestrem czynności i upoważnieniami. Bez tego powiązania nie da się wykazać, że osoby przetwarzające dane w konkretnym procesie zostały przeszkolone w jego zakresie.

Wnioski i dalsze kroki

Pytanie „jak często” prowadzi do harmonogramu, który starzeje się szybciej niż organizacja. Praktyczniej jest ustalić dwie rzeczy naraz. Są to minimalny rytm bazowy, który utrzymuje świadomość w całej organizacji, oraz lista zdarzeń, które uruchamiają szkolenie poza harmonogramem. Pierwsza część daje przewidywalność, druga — reakcję na zmianę.

Kolejność działań, która sprawdza się przy porządkowaniu tego obszaru.

Po przejściu tej sekwencji odpowiedź na pytanie z tytułu przestaje być liczbą, a staje się zasadą, którą organizacja potrafi uzasadnić i wykazać.

Materiały powiązane

• Jak ustalić, czy organizacja musi wyznaczyć IOD? — rola, której zadaniem jest monitorowanie przestrzegania przepisów, w tym działań zwiększających świadomość i szkoleń personelu (art. 39 ust. 1 lit. b).
• Czy każde naruszenie ochrony danych trzeba zgłosić? — jak oceniać zdarzenia, których wnioski powinny trafiać do planu szkoleń.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), tekst skonsolidowany — EUR-Lex: eur-lex.europa.eu (dostęp: 17.08.2026)
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — Dziennik Ustaw: dziennikustaw.gov.pl (dostęp: 17.08.2026)
• Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa — Ministerstwo Cyfryzacji, Portal Gov.pl, publikacja 14.04.2026: gov.pl (dostęp: 17.08.2026)
• Obowiązki administratorów związane z naruszeniami ochrony danych osobowych, wersja 1.0 (czerwiec 2019) — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• WSA: pracownik nie może zastępować administratora w realizacji jego obowiązków, komunikat z 11.04.2022 — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• Decyzja Prezesa UODO DKN.5131.34.2023 z 13 czerwca 2026 r. (nieprawomocna) — baza orzeczeń UODO: orzeczenia.uodo.gov.pl (dostęp: 17.08.2026)
• Wytyczne dotyczące inspektorów ochrony danych (WP243 rew.01), zatwierdzone przez Europejską Radę Ochrony Danych, tłumaczenie na stronie UODO: uodo.gov.pl (dostęp: 17.08.2026)
• ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements: iso.org (dostęp: 17.08.2026)