Umowa powierzenia przetwarzania danych osobowych – co musi zawierać?

Umowa powierzenia przetwarzania danych osobowych to obowiązkowy dokument, gdy powierzasz innemu podmiotowi dane swoich klientów lub pracowników, takie jak imię, nazwisko, adres. Brak tej umowy lub jej nieprawidłowa treść oznacza naruszenie RODO i karę finansową sięgającą nawet 10 milionów euro. W umowie należy także wskazać kategorię osób, których dane są powierzane, np. pracownicy czy klienci.

Każda firma korzystająca z usług księgowego, hostingu czy agencji marketingowej musi zawrzeć umowę powierzenia. Odpowiedzialność za zgodność przetwarzania danych z przepisami RODO spoczywa na administratorze, nawet jeśli dane powierzono innemu podmiotowi. W praktyce sporo firm nie ma prawidłowej dokumentacji lub posiada umowy z istotnymi wadami prawnymi. Ten artykuł pomoże Ci zrozumieć, kiedy potrzebujesz umowy powierzenia, jakie elementy musi zawierać i jak uniknąć najczęstszych błędów, zwracając uwagę na konieczność ochrony danych osobowych oraz przestrzegania przepisów RODO.

Podsumowanie na start

1. Umowa powierzenia jest obowiązkowa przy każdym outsourcingu z dostępem do danych. Jeśli księgowy, hosting lub agencja marketingowa ma dostęp do danych Twoich klientów czy pracowników oraz nie ma własnych celów w przetwarzaniu danych osobowych, musisz mieć umowę powierzenia.
2. Umowa powierzenia przetwarzania danych osobowych musi być dostosowana do realnych warunków biznesowych. Nim zawrzesz taką umowę zastanów się, kto jest kim i czy na pewno przetwarza dane osobowe.
3. Brak umowy = kara pieniężna. PUODO może nałożyć karę nawet gdy dane były przetwarzane bezpiecznie, ale brakowało formalnej umowy.
4. Umowa musi zawierać wszystkie obowiązkowe elementy z art. 28 RODO Pominięcie nawet jednego elementu oznacza wadliwość dokumentu i ryzyko sankcji.
5. Forma elektroniczna jest w pełni legalna. Nie musisz drukować i podpisywać odręcznie – wystarczy wymiana maili z jasną akceptacją warunków lub regulamin umieszczony w internecie.

Czym jest umowa powierzenia przetwarzania danych osobowych?

Umowa powierzenia to dokument regulujący zasady udostępnienia danych osobowych podmiotowi, który przetwarza je w Twoim imieniu. Określa wzajemne obowiązki administratora (tego, kto decyduje o celach przetwarzania) i procesora (tego, kto przetwarza dane na zlecenie). Powołanie się na konkretną umowę lub intencje powierzenia danych jest kluczowe dla zgodności z RODO.

W praktyce oznacza to, że gdy przekazujesz dane swoich klientów na przykład biuru księgowemu, musisz zawrzeć umowę, która zabezpieczy Was obu przed odpowiedzialnością. Administrator decyduje po co i w jakim celu wykorzystywane są dane, podczas gdy podmiot przetwarzający wykonuje konkretne operacje na danych zgodnie z poleceniem administratora. W umowie należy jasno wskazać przyczyny powierzenia danych osobowych a także to, jakie to są dane tj. wskazać kategorie osób, których dane dotyczą oraz rodzaj danych.

💡 Ważne: Samo przekazanie danych bez umowy powierzenia to naruszenie art. 28 RODO. Organ nadzorczy może nałożyć karę nawet gdy dane były przetwarzane bezpiecznie, ale brakowało formalnej podstawy współpracy. Umowa powierzenia może być zawarta także w inny sposób, np. przez akceptację regulaminu przetwarzania danych osobowych.

Kiedy trzeba zawrzeć umowę powierzenia zgodnie z RODO?

Umowa powierzenia jest wymagana zawsze, gdy powierzasz przetwarzanie danych osobowych podmiotowi zewnętrznemu. Nie dotyczy to tylko Twoich pracowników na umowie o pracę – oni otrzymują upoważnienie do przetwarzania danych. Tak samo, osoby które traktujesz jako część swojej organizacji, nawet jeżeli są zatrudnione na B2B lub umowie zlecenia. One też powinny otrzymać upoważnienie.

Jeżeli jednak zlecasz dane działania na zewnątrz – wtedy konieczne jest podpisanie umowy powierzenia.

Najczęstsze sytuacje wymagające umowy powierzenia:

W praktyce będziesz potrzebował umowy w relacjach z różnymi podmiotami, którym outsourcujesz wykonanie usług czy działań, które wiążą się z przekazaniem danych osobowych.

Umowa powierzenia dotyczy również usług świadczonych przez te podmioty, takich jak:

• biuro księgowe (usługi związane z dostępem do danych pracowników),
• firma hostingowa (usługi przechowywania danych klientów),
• agencja marketingowa (usługi związane z dostępem do bazy mailingowej),
• firma IT świadcząca wsparcie techniczne,
• podmiot prowadzący archiwizację dokumentów.

Kiedy umowa powierzenia NIE jest potrzebna:

Często pojawia się pytanie, czy w danej sytuacji konieczna jest umowa powierzenia, co wymaga analizy przepisów RODO. Poniżej znajdziecie przykłady różnych sytuacji.

⚠️ Uwaga: Freelancerzy to zwykle podmioty zewnętrzne – wymagają umowy powierzenia, nie upoważnienia. Odmiennie osoby na kontraktach B2B, które traktujesz jako część swojej organizacji – wtedy wystarczy upoważnienie.

Jakie elementy musi zawierać umowa powierzenia?

Art. 28 ust. 3 RODO wskazuje obowiązkowe elementy każdej umowy powierzenia przetwarzania danych. Brak któregokolwiek z nich może być podstawą do nałożenia kary przez UODO.

Lista obowiązkowych elementów:

• ✅ Przedmiot i czas trwania przetwarzania – co dokładnie jest przetwarzane i jak długo.
• ✅ Charakter i cel przetwarzania – w jakim celu podmiot przetwarza dane (np. „w celu świadczenia usług księgowych”) oraz w jaki sposób dane będą przetwarzane.
• ✅ Rodzaj danych osobowych – czy to dane zwykłe czy szczególne kategorie (np. dane o zdrowiu).
• ✅ Kategorie osób – czyje dane są przetwarzane (pracownicy, klienci, kontrahenci).
• ✅ Obowiązki i prawa administratora – w tym prawo do kontroli i audytu.
• ✅ Obowiązki podmiotu przetwarzającego – szczegółowa lista wynikająca z RODO.
• ✅ Warunki korzystania z podprocesorów – zasady dalszego powierzenia.
• ✅ Środki techniczne i organizacyjne – jak dane będą zabezpieczone.
• ✅ Procedura zwrotu lub usunięcia danych – co się dzieje po zakończeniu współpracy.

💡 Warto zapamiętać:

Umowa może być zawarta w formie elektronicznej – nie wymaga podpisu odręcznego. Wystarczy wymiana maili z jasną akceptacją warunków, czy nawet akceptacja regulaminu usługi, gdzie określone są zasady przetwarzania danych osobowych. Ważne, aby zachować dokumentację potwierdzającą zawarcie umowy.

Czym umowa powierzenia różni się od upoważnienia do przetwarzania?

Podstawowa różnica: umowa powierzenia dotyczy podmiotów zewnętrznych, upoważnienie – osób w ramach Twojej organizacji.

📋 Pro tip: W przypadku wątpliwości zastosuj test: czy osoba/firma działa w Twoim imieniu jako część zespołu (upoważnienie), czy jako niezależny podmiot realizujący usługę (umowa)?

Jakie obowiązki ma podmiot przetwarzający (procesor)?

Podmiot przetwarzający ma szereg obowiązków wynikających wprost z RODO. Odpowiedzialność za prawidłowe przetwarzanie danych spoczywa zarówno na administratorze, jak i na podmiocie, któremu dane powierzono. Ich niewypełnienie może skutkować karą zarówno dla procesora, jak i administratora.

Kluczowe obowiązki procesora:

1. Przetwarzanie wyłącznie na udokumentowane polecenie – procesor nie może wykorzystywać danych do własnych celów,
2. Zapewnienie poufności – wszystkie osoby mające dostęp do danych muszą być zobowiązane do zachowania tajemnicy,
3. Wdrożenie środków bezpieczeństwa – technicznych i organizacyjnych odpowiednich do ryzykam
4. Prowadzenie rejestru czynności przetwarzania – dokumentowanie wszystkich operacji na danych,
5. Współpraca przy realizacji praw osób – pomoc w obsłudze wniosków o dostęp, usunięcie, sprostowanie danych,
6. Zgłaszanie naruszeń – informowanie administratora o incydentach bez zbędnej zwłoki,
7. Umożliwienie audytów – administrator ma prawo kontrolować sposób przetwarzania,
8. Usunięcie lub zwrot danych – po zakończeniu świadczenia usług.

⚠️ Ważne: Jeśli procesor przekroczy swoje uprawnienia i zacznie przetwarzać dane we własnym celu, sam staje się administratorem i ponosi pełną odpowiedzialność (RODO).

5 błędów w umowach powierzenia, które mogą kosztować Cię karę

Większość umów powierzenia przetwarzania danych osobowych zawiera istotne braki prawne, które podczas kontroli UODO mogą skutkować karą finansową. Oto pięć najczęstszych nieprawidłowości, które spotykam w dokumentacji klientów. Warto zwrócić szczególną uwagę na uwagi i zastrzeżenia dotyczące treści umowy powierzenia.

1. Brak wskazania konkretnego celu i charakteru przetwarzania

Często umowy zawierają ogólne sformułowanie, że „podmiot przetwarzający będzie przetwarzał dane w związku z umową główną”. Taki zapis nie spełnia wymogów RODO, które wymagają precyzyjnego określenia celu przetwarzania.

W praktyce: Administrator powierza dane księgowemu, ale umowa nie precyzuje, że chodzi o przetwarzanie danych pracowników w celu rozliczeń kadrowo-płacowych. Podczas kontroli UODO weryfikuje, w jakim dokładnie celu podmiot ma dostęp do danych. Brak jasnego wskazania w umowie oznacza naruszenie art. 28 RODO.

💡 Pro tip: Zawsze wskaż konkretną umowę współpracy i cel biznesowy. Zamiast „w związku z współpracą” napisz „w celu świadczenia usług hostingowych na podstawie umowy z dnia X”.

2. Automatyczna zgoda na dalsze powierzenie (sub-procesory)

„Podmiot przetwarzający może korzystać z usług podwykonawców” – taki ogólny zapis nie zabezpiecza odpowiednio interesów administratora. Brak mechanizmu kontroli nad dalszym powierzeniem naraża administratora na odpowiedzialność za działania podmiotów, których nie zna.

Przykładowo: procesor przekazuje dane do firmy spoza EOG bez Twojej wiedzy. W razie incydentu to administrator ponosi główną odpowiedzialność wobec UODO i osób, których dane dotyczą.

⚠️ Uwaga: RODO dopuszcza ogólną zgodę, ale wymaga mechanizmu informowania i sprzeciwu. Podmiot przetwarzający musi informować o zamiarze dodania nowego podprocesora z odpowiednim wyprzedzeniem (rekomendowane minimum 7-14 dni).

3. Brak klauzuli o czasie trwania przetwarzania

Wiele umów pomija kwestię okresu, przez który procesor może przetwarzać dane. Jest to istotne naruszenie wymagań art. 28 ust. 3 RODO.

Przepisy wymagają jasnego wskazania czasu trwania przetwarzania. Może to być:

• konkretna data („do 31.12.2025”),
• określony okres („przez 24 miesiące”),
• wskazane zdarzenie („do zakończenia umowy głównej plus 30 dni”).

💼 Przykład z praktyki: Agencja marketingowa kończy współpracę z klientem, jednak były podwykonawca nadal ma dostęp do bazy danych. Przyczyną jest brak określenia w umowie powierzenia momentu wygaśnięcia uprawnień do przetwarzania.

4. Ogólnikowe zapisy o zabezpieczeniach technicznych

“Podmiot przetwarzający zapewnia odpowiednie środki bezpieczeństwa” – takie sformułowanie może pod kątem przepisów byłoby wystarczające, ale w praktyce, pod kątem bezpieczeństwa danych jest niewystarczające. Warto skonkretyzować jakie środki techniczne i organizacyjne są wymagane, aby zapewnić odpowiednią ochronę danych osobowych zgodnie z przepisami RODO.

Art. 32 RODO wskazuje na konieczność określenia przynajmniej:

• pseudonimizacji lub szyfrowania danych,
• zobowiązania do zachowania tajemnicy przez personel,
• regularnego testowania środków zabezpieczających,
• procedur przywracania dostępności danych.

🔐 Pro tip: Warto dodać załącznik techniczny określający minimalne wymagania: np. szyfrowanie transmisji, zabezpieczenie baz danych, uwierzytelnianie dwuskładnikowe, politykę zarządzania hasłami.

5. Brak procedury obsługi naruszeń

Procesor ma obowiązek zgłosić naruszenie „bez zbędnej zwłoki”, jednak brak sprecyzowania tego terminu może prowadzić do przekroczenia 72-godzinnego terminu raportowania do UODO.

Nieokreślony czas reakcji procesora może spowodować, że administrator nie zdąży wypełnić swoich obowiązków informacyjnych wobec organu nadzorczego.

📋 Rozwiązanie: Należy wskazać konkretny termin, np. „niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia naruszenia”. Konieczne jest też określenie kanału komunikacji oraz zakresu informacji wymaganych w pierwszym zgłoszeniu.

Dalsze powierzenie (sub-procesory) – jak to działa?

Dalsze powierzenie przetwarzania danych to sytuacja, gdy Twój procesor korzysta z usług kolejnego podmiotu. Na przykład: biuro księgowe korzysta z zewnętrznego archiwum, a hosting używa usług centrum danych.

Dwa modele zgody na podpowierzenie:

1. Zgoda szczegółowa – administrator wyraża zgodę na każdego konkretnego podprocesora:

• większa kontrola nad przepływem danych,
• wymaga aktualizacji umowy przy każdej zmianie,
• zalecana przy danych wrażliwych.

2. Zgoda ogólna – administrator zgadza się z góry na korzystanie z podprocesorów:

• procesor musi informować o planowanych zmianach,
• administrator ma prawo sprzeciwu (zwykle 7-30 dni),
• bardziej elastyczna dla obu stron.

Odpowiedzialność przy dalszym powierzeniu:

💡 Ciekawostka: Procesor odpowiada za swojego podprocesora tak, jakby sam wykonywał jego działania. Dlatego wybór podwykonawców powinien być przemyślany i udokumentowany.

Co się dzieje po zakończeniu współpracy?

Zakończenie umowy powierzenia uruchamia konkretne obowiązki związane z powierzonymi danymi. Ignorowanie tej kwestii to częsty błąd skutkujący przedłużoną odpowiedzialnością.

Procesor ma dwa warianty postępowania:

1. Zwrot danych – przekazanie administratorowi wszystkich danych wraz z kopiami.
2. Usunięcie danych – trwałe zniszczenie wszystkich danych i ich kopii.

Wybór należy do administratora i powinien być wskazany w umowie. W praktyce warto określić termin realizacji – np. „w ciągu 30 dni od zakończenia umowy”.

Checklista działań po zakończeniu umowy:

• podjęcie decyzji: zwrot czy usunięcie danych,
• przekazanie dyspozycji procesorowi na piśmie,
• otrzymanie potwierdzenia wykonania (protokół zniszczenia/zwrotu),
• weryfikacja usunięcia danych z systemów backupowych,
• aktualizacja rejestru czynności przetwarzania,
• archiwizacja dokumentacji przez okres przedawnienia roszczeń.

⚠️ Uwaga: Niektóre przepisy mogą wymagać zachowania danych mimo zakończenia umowy (np. dokumentacja księgowa). Umowa powinna przewidywać takie wyjątki.

FAQ – Najczęstsze pytania o umowę powierzenia

Najczęstsze wątpliwości dotyczą formy zawarcia umowy (elektroniczna jest legalna), kar za jej brak (do 10 mln euro; przestrzeganie przepisów dotyczących umów powierzenia jest kluczowe dla uniknięcia sankcji), obowiązku wobec freelancerów (tak, potrzebują umowy – jej zawarcie jest wymagane przez przepisy RODO) oraz czasu przechowywania dokumentacji (minimum 3-6 lat).

Czy umowa powierzenia wymaga formy pisemnej?

Nie, umowa może być zawarta również w formie elektronicznej. RODO dopuszcza formę elektroniczną, co w praktyce oznacza nawet wymianę maili z jasną akceptacją warunków. Ważne jest zachowanie dowodów zawarcia umowy. Umowa powierzenia może być także zawarta w inny sposób, jak np. akceptacji regulaminu.

Jakie są konsekwencje za brak właściwej umowy powierzenia?

Brak umowy lub jej nieprawidłowa treść to naruszenie art. 28 RODO. Kara może wynieść do 10 milionów euro lub 2% całkowitego rocznego światowego obrotu. W Polsce UODO nakłada kary od kilkudziesięciu tysięcy do kilkuset tysięcy złotych, w zależności od skali naruszenia.

Czy z freelancerem też muszę mieć umowę powierzenia?

Tak, freelancer to podmiot zewnętrzny wymagający umowy powierzenia. Wyjątkiem byłaby sytuacja, gdy freelancer nie ma żadnego dostępu do danych osobowych. W praktyce sporo freelancerów (np. programiści) potrzebuje takiej umowy.

Czy umowa powierzenia obejmuje przekazywanie danych za granicę?

Transfer danych poza EOG wymaga dodatkowych zabezpieczeń. Sama standardowa umowa powierzenia nie wystarcza – potrzebne są dodatkowe kwestie, jak np. weryfikacja czy została wydana decyzja komisji wskazująca na zapewnienie odpowiedniego stopnia ochrony czy standardowe klauzule umowne lub inne mechanizmy z rozdziału V RODO.

Co zrobić, gdy procesor naruszył ochronę danych?

Procesor musi niezwłocznie poinformować administratora o naruszeniu. Administrator ma 72 godziny na zgłoszenie do UODO (jeśli naruszenie niesie ryzyko). Kluczowa jest szybka komunikacja i współpraca w minimalizowaniu skutków.

Podsumowanie – najważniejsze informacje

Umowa powierzenia jest obowiązkowa przy każdym outsourcingu z danymi osobowymi, musi zawierać wszystkie elementy z art. 28 RODO, może być zawarta elektronicznie, a jej brak grozi karą do 10 mln euro.

• Umowa powierzenia jest obowiązkowa gdy przekazujesz dane osobowe podmiotowi zewnętrznemu (np. księgowemu, hostingowi, agencji), czyli gdy dane powierzył innemu podmiotowi.
• Musi zawierać wszystkie elementy z art. 28 RODO – przedmiot, cel, czas trwania, kategorie danych i osób, obowiązki stron.
• Forma elektroniczna jest dopuszczalna – nie musisz drukować i podpisywać odręcznie.
• Procesor odpowiada za swoich podprocesorów – wybieraj partnerów świadomie.
• Po zakończeniu współpracy dane muszą być zwrócone lub usunięte – określ to w umowie.
• Brak umowy = kara do 10 mln euro – nie warto ryzykować.

Podsumowując, zapewnienie zgodności z RODO to rzecz administratora, który odpowiada za to, komu dane powierzył.

Zabezpiecz swoją firmę przed karami RODO

Profesjonalne przygotowanie dokumentacji RODO, w tym prawidłowych umów powierzenia, chroni przed karami sięgającymi setek tysięcy złotych – warto skonsultować się z prawnikiem specjalizującym się w ochronie danych osobowych.

Nieprawidłowa umowa powierzenia to jedno z najczęstszych naruszeń wykrywanych podczas kontroli UODO. Profesjonalne przygotowanie dokumentacji RODO to inwestycja, która chroni przed karami sięgającymi setek tysięcy złotych.

Zdjęcie dodane przez Mateusz Haberny

Autor tekstu

Arkadiusz Szczudło

Jestem adwokatem i CEO w kancelarii Creativa Legal, mentorem i twórcą internetowym. Specjalizuję się w bezproblemowej obsłudze prawnej klientów z sektora technologicznego m.in. startupy, SaaS, spółki technologiczne, agencje marketingowe, czy e-commerce B2C/B2B. Jako prawnik, jak i przedsiębiorca, koncentruję się na wyznaczonym celu, starając się przewidzieć potencjalne zagrożenia w jego osiągnięciu. To z kolei sprawia, że trudno jest mnie zaskoczyć – a co za tym idzie – moich klientów.

Poznaj autora