Umowa powierzenia przetwarzania danych – jak wdrożyć procedurę krok po kroku

Po co firmie procedura umów powierzenia?

Procedura, w której centralnym dokumentem jest umowa powierzenia przetwarzania danych, to uporządkowany mechanizm decyzji przed zakupem usługi, w trakcie jej używania i po zakończeniu współpracy. W RODO, UODO i wytycznych EDPB kluczowe są nie tylko podpisy, ale także dowód, że administrator danych wybrał procesora danych świadomie; za naruszenia obowiązków z art. 28 RODO kara administracyjna może sięgać 10 mln euro albo 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (źródło: art. 83 ust. 4 RODO, 2016).

W praktyce przy przeglądach dokumentacji firm najczęściej problemem nie jest brak wzoru, lecz brak odpowiedzi na proste pytania: kto sprawdził dostawcę, kto dopuścił wyjątek, gdzie jest aktualny załącznik techniczny i kto potwierdził usunięcie danych po zakończeniu usługi. Tego nie da się naprawić samym plikiem DOCX zapisanym w folderze działu prawnego.

Czy wzór umowy wystarczy?

Nie. Wzór umowy jest tylko jednym elementem. Procedura powierzenia danych powinna wskazywać, kiedy dokument jest potrzebny, kto ocenia rolę dostawcy, jakie informacje muszą znaleźć się w załączniku oraz gdzie trafiają podpisane wersje. Przydatnym punktem odniesienia jest także procedura RODO w firmie, bo powierzenie zwykle łączy się z rejestrem czynności, retencją danych i obsługą naruszeń.

• Sprzedaż – korzystanie z CRM, takiego jak HubSpot lub Pipedrive, może oznaczać przetwarzanie danych leadów przez procesora w chmurze.
• Marketing – newsletter w Mailchimp lub podobnym systemie wymaga sprawdzenia lokalizacji danych, podprocesorów i transferów poza EOG.
• HR – rekrutacja przez zewnętrzną platformę obejmuje CV, historię zatrudnienia, czasem oczekiwania finansowe i dane kontaktowe kandydatów.
• IT – hosting, backup, helpdesk i administracja Microsoft 365 lub Google Workspace zwykle wiążą się z dostępem technicznym do danych.
• Księgowość – biuro rachunkowe może przetwarzać dane pracowników, kontrahentów i osób na umowach cywilnoprawnych w imieniu firmy.

Kto powinien korzystać z procedury?

Z procedury powinny korzystać nie tylko osoby od RODO. Realnie potrzebują jej działy kupujące usługi: marketing, HR, sprzedaż, administracja, IT i właściciele procesów biznesowych. IOD, prawnik lub zarząd powinni wchodzić do sprawy przy ryzyku podwyższonym, a nie po fakcie, gdy usługa już działa produkcyjnie.

Organizacja	Minimalny poziom procedury	Typowe ryzyko
Mała firma usługowa	Lista dostawców, wzór umowy, prosta ankieta bezpieczeństwa i repozytorium podpisanych dokumentów.	Zakup systemu bez sprawdzenia podprocesorów lub brak potwierdzenia usunięcia danych.
Firma z wieloma systemami	Właściciele procesów, macierz ryzyka, obieg akceptacji, przegląd co 12 miesięcy i rejestr wyjątków.	Rozproszone decyzje zakupowe w HR, marketingu, IT i sprzedaży.
Podmiot z danymi szczególnymi	Ocena ryzyka RODO, wymogi MFA, szyfrowanie, logi, SLA, audyt i akceptacja IOD lub zarządu.	Dane zdrowotne, dane dzieci, monitoring, profilowanie albo zdalny dostęp administratora systemu.

„Administrator korzysta wyłącznie z takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.” Parafraza art. 28 ust. 1 RODO, Rozporządzenie (UE) 2016/679, 2016

Krok 1: jak przygotować wykaz procesów i dostawców?

Wykaz procesów i dostawców to robocza mapa sytuacji, charakteryzująca się nazwą usługi, kategoriami danych, kategoriami osób, systemem, lokalizacją danych i czasem przetwarzania. Bez tej mapy administrator danych nie wie, gdzie rzeczywiście występuje procesor danych, a gdzie dochodzi tylko do udostępnienia danych odrębnemu administratorowi.

Od czego zacząć wdrożenie?

Najpierw trzeba zebrać usługi, które mają dostęp do danych osobowych. Nie należy zaczynać od pytania, czy jest podpisana umowa, lecz od pytania, kto faktycznie widzi, przechowuje, hostuje, analizuje lub usuwa dane. Dobrym źródłem są faktury, lista narzędzi IT, umowy zakupowe, panel płatności kartą i rozmowy z liderami działów.

1. Zbierz faktury z ostatnich 12 miesięcy, ponieważ pokazują dostawców używanych realnie, a nie tylko tych opisanych w politykach.
2. Porównaj faktury z listą systemów IT, ponieważ narzędzie opłacane kartą przez marketing może nie trafić do centralnego rejestru.
3. Zapytaj działy HR, sprzedaży, marketingu i IT o usługi SaaS, ponieważ to one najczęściej inicjują przetwarzanie przez procesora.
4. Sprawdź umowy z biurem rachunkowym, agencją marketingową, hostingiem, helpdeskiem i firmą niszczącą dokumenty.
5. Oznacz procesy wysokiego ryzyka, ponieważ dane zdrowotne, dane dzieci, monitoring i profilowanie wymagają ostrzejszej kontroli.

Jak znaleźć wszystkich procesorów?

Procesorem może być dostawca hostingu, operator backupu, firma skanująca dokumenty, zewnętrzny helpdesk, dostawca CRM, platforma rekrutacyjna albo agencja mailingowa. UODO w materiałach dotyczących podmiotów przetwarzających wskazuje przykładowo usługi przechowywania danych, infrastruktury IT, administracji systemami, archiwizacji i niszczenia nośników jako typowe obszary powierzenia (źródło: UODO, 2024).

Wykaz warto powiązać z rejestr czynności przetwarzania. Jeżeli w rejestrze jest proces „obsługa klientów”, a faktycznie leady trafiają do CRM, systemu mailingowego i narzędzia call center, procedura powinna wymagać trzech ocen dostawcy, a nie jednej ogólnej wzmianki.

Jak opisać przepływ danych?

Opis przepływu danych nie musi być rozbudowanym diagramem. Wystarczy, aby pozwalał ustalić, jakie dane wychodzą poza firmę, kto ma dostęp administracyjny i kiedy dane wracają albo są kasowane. W praktyce jedna tabela w arkuszu jest skuteczniejsza niż opis w polityce, którego nikt nie aktualizuje.

• Kategorie osób – klienci, pracownicy, kandydaci, kontrahenci lub użytkownicy strony muszą być opisani oddzielnie, bo mają różne ryzyka.
• Kategorie danych – imię, nazwisko, e-mail, PESEL, dane płatnicze, dane zdrowotne lub historia reklamacji powinny być wskazane konkretnie.
• System źródłowy – CRM, ERP, poczta, platforma e-commerce lub monitoring powinny mieć przypisanego właściciela biznesowego.
• Lokalizacja danych – EOG, USA albo inny kraj powinny być zapisane przed akceptacją dostawcy i transferu.
• Czas przetwarzania – okres umowy, retencja backupów i termin usunięcia kopii muszą być możliwe do sprawdzenia.

Krok 2: jak kwalifikować role i oceniać dostawcę?

Kwalifikacja roli to decyzja, czy dany podmiot jest administratorem danych, procesorem danych, podprocesorem albo współadministratorem, charakteryzująca się analizą celu, istotnych sposobów przetwarzania i wpływu na dane. Błędna kwalifikacja prowadzi do złej umowy: zamiast powierzenia może być potrzebne udostępnienie danych, umowa współadministracji albo odrębna podstawa prawna.

Czy to administrator, procesor czy współadministrator?

Test jest praktyczny. Jeżeli dostawca wykonuje wyłącznie polecenia firmy, działa na jej danych i nie określa własnego celu, zwykle jest procesorem. Jeżeli sam decyduje, po co przetwarza dane, może być odrębnym administratorem. EDPB w Wytycznych 07/2020 podkreśla, że nazwa w umowie nie przesądza roli, bo liczy się rzeczywista kontrola nad celami i sposobami przetwarzania (źródło: EDPB, 2021).

„Kwalifikacja roli zależy od tego, kto decyduje o celach i istotnych sposobach przetwarzania, a nie od samej etykiety nadanej w kontrakcie.” Parafraza: Europejska Rada Ochrony Danych, Wytyczne 07/2020, 2021

Jak wygląda ankieta bezpieczeństwa dostawcy?

Ankieta bezpieczeństwa powinna być krótka, ale konkretna. Dla prostych usług wystarczy 10-15 pytań. Dla hostingu, systemu kadrowego, CRM, monitoringu albo platformy z danymi dzieci lepiej zastosować rozszerzoną ocenę i powiązać ją z ocena ryzyka RODO.

• Lokalizacja danych – dostawca powinien wskazać kraj głównego przetwarzania i kraj przechowywania kopii zapasowych.
• Podprocesorzy – procesor powinien ujawnić kategorie lub listę podprocesorów oraz tryb zgłaszania zmian.
• Szyfrowanie – dane w transmisji powinny być chronione co najmniej TLS 1.2 lub TLS 1.3, a dane w spoczynku szyfrowaniem adekwatnym do ryzyka.
• Dostęp administracyjny – konta uprzywilejowane powinny mieć MFA, logi i zasadę minimalnych uprawnień.
• Kopie zapasowe – dostawca powinien opisać częstotliwość backupu, retencję i test odtworzenia, na przykład raz na 6 lub 12 miesięcy.
• Naruszenia – procesor powinien mieć kanał zgłoszenia incydentu i termin powiadomienia umożliwiający administratorowi ocenę 72 godzin z art. 33 RODO.

Kiedy nie podpisywać umowy?

Nie podpisuje się umowy tylko dlatego, że dział biznesowy chce szybko uruchomić narzędzie. Jeżeli dostawca nie odpowiada na pytania o podprocesorów, odmawia wskazania lokalizacji danych, nie przyjmuje obowiązków z art. 28 RODO albo wyłącza odpowiedzialność za własne zabezpieczenia, trzeba zatrzymać proces albo opisać wyjątek.

Kto zatwierdza wyjątki od standardowego wzoru?

Procedura powinna wskazywać próg decyzyjny. W sprawach niskiego ryzyka wystarczy właściciel procesu i osoba odpowiedzialna za RODO. W sprawach wysokiego ryzyka wyjątek powinien zatwierdzać IOD, dział prawny albo zarząd, zwłaszcza gdy chodzi o transfer poza EOG, brak audytu, ograniczony dostęp do logów albo słabsze SLA.

Krok 3: jak przygotować umowę, załączniki i obieg podpisu?

Umowa i załączniki operacyjne to zestaw dokumentów regulujących przedmiot, czas, cel, zakres danych, kategorie osób, środki bezpieczeństwa, podprocesorów i zasady zakończenia współpracy. Art. 28 RODO wymaga, aby przetwarzanie przez procesora było regulowane umową albo innym aktem prawnym, dlatego sam regulamin usługi rzadko wystarczy bez weryfikacji jego treści.

Co powinno być w umowie powierzenia?

Umowa powinna zawierać pola do indywidualizacji. Jeżeli każdy dostawca otrzymuje identyczny opis „dane klientów i pracowników”, dokument nie pokazuje realnego zakresu powierzenia. Przy hostingu potrzebne są systemy i backupy, przy newsletterze baza odbiorców i statystyki wysyłki, a przy księgowości dokumenty finansowe, kadrowe i podatkowe.

„Umowa powierzenia powinna określać przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób oraz obowiązki i prawa administratora.” Parafraza art. 28 ust. 3 RODO, Rozporządzenie (UE) 2016/679, 2016

• Przedmiot usługi – dokument powinien wskazywać, czy chodzi o hosting, CRM, księgowość, rekrutację, newsletter, helpdesk czy monitoring.
• Czas trwania – umowa powinna określać okres współpracy oraz los danych po jej zakończeniu, w tym backupy.
• Zakres danych – załącznik powinien wymieniać kategorie danych, takie jak e-mail, telefon, PESEL, adres, historia zamówień lub dokumenty kadrowe.
• Kategorie osób – dokument powinien oddzielać klientów, pracowników, kandydatów, kontrahentów i użytkowników strony.
• Środki bezpieczeństwa – załącznik techniczny powinien opisywać MFA, logi, szyfrowanie, kopie zapasowe i zarządzanie dostępem.
• Podprocesorzy – umowa powinna wskazywać zgodę ogólną albo szczegółową oraz sposób informowania o zmianach.

Jak oddzielić część prawną od załącznika technicznego?

Część prawna powinna być stabilna, a załącznik techniczny aktualizowany łatwiej. Dzięki temu zmiana narzędzia backupu, podprocesora hostingu albo standardu logowania nie wymaga renegocjacji całej umowy, o ile procedura dopuszcza taki tryb. To szczególnie ważne przy umowach z dostawcami IT, gdzie dokumenty bezpieczeństwa zmieniają się częściej niż główne postanowienia.

Czy można uruchomić usługę przed podpisaniem?

Zasada powinna być prosta: usługa z dostępem do danych nie startuje produkcyjnie przed podpisaniem umowy albo formalnym zatwierdzeniem ryzyka. Wyjątek może dotyczyć testu na danych fikcyjnych lub zanonimizowanych. Przy danych rzeczywistych start bez podstawy kontraktowej jest ryzykiem dla administratora danych i dla osób, których dane dotyczą.

1. Właściciel procesu zgłasza nową usługę, zanim dostawca otrzyma dostęp do danych produkcyjnych.
2. Osoba odpowiedzialna za RODO kwalifikuje rolę dostawcy jako procesora, administratora albo podprocesora.
3. Dostawca wypełnia ankietę bezpieczeństwa i przekazuje listę podprocesorów oraz lokalizacji danych.
4. Dział prawny lub IOD akceptuje zmiany w klauzulach dotyczących audytu, naruszeń, transferów i odpowiedzialności.
5. Podpisana umowa, załącznik techniczny, wersja dokumentu i data przeglądu trafiają do centralnego repozytorium.

Jak negocjować podprocesorów i transfery?

Podprocesor nie powinien być traktowany jako techniczny szczegół. Jeżeli procesor korzysta z zewnętrznej chmury, centrum wsparcia lub dostawcy analityki, administrator musi wiedzieć, jakie dane są dalej powierzane. Przy transferach poza EOG trzeba sprawdzić podstawę transferu, środki uzupełniające i aktualność dokumentów dostawcy.

W umowach IT pomocny jest odrębny opis powiązany z tematem umowa z dostawcą IT a RODO, bo tam najczęściej pojawiają się SLA, dostęp zdalny, logi, backup, testy penetracyjne i prawa audytu.

Krok 4: jak monitorować, audytować i zakończyć współpracę?

Monitoring procesora to cykliczne sprawdzanie, czy warunki powierzenia nadal odpowiadają rzeczywistości, charakteryzujące się przeglądem podprocesorów, lokalizacji danych, zabezpieczeń, incydentów i dat retencji. Procedura bez monitoringu działa tylko w dniu podpisania umowy, a RODO wymaga podejścia przez cały okres przetwarzania.

Jak często sprawdzać procesora?

Dla dostawców niskiego ryzyka przegląd co 12 miesięcy jest rozsądnym minimum organizacyjnym. Dla danych szczególnych, dużej skali, monitoringu, systemów kadrowych lub usług krytycznych lepiej zaplanować przegląd co 6 miesięcy albo po każdej istotnej zmianie regulaminu, podprocesora lub lokalizacji danych.

• Lista podprocesorów – administrator powinien sprawdzić, czy pojawił się nowy dostawca hostingu, wsparcia lub analityki.
• Lokalizacja danych – procesor powinien potwierdzić, czy dane nadal są przetwarzane w EOG albo na zaakceptowanej podstawie transferu.
• Środki techniczne – MFA, logi, szyfrowanie i backup powinny odpowiadać ankiecie bezpieczeństwa oraz załącznikowi technicznemu.
• Incydenty – dostawca powinien zgłaszać naruszenia kanałem opisanym w umowie, aby administrator mógł ocenić termin 72 godzin z art. 33 RODO.
• Retencja danych – procesor powinien wykazać, kiedy usuwa dane z systemów aktywnych i kopii zapasowych.

Co zrobić po zakończeniu umowy?

Zakończenie współpracy musi być osobnym krokiem procedury. Wypowiedzenie umowy handlowej nie oznacza automatycznie usunięcia danych z systemu procesora, kont wsparcia, archiwów, logów i backupów. Trzeba żądać zwrotu albo usunięcia danych oraz potwierdzenia wykonania tej czynności.

1. Zablokuj dostępy użytkowników i administratorów, ponieważ aktywne konta po zakończeniu usługi tworzą zbędne ryzyko.
2. Pobierz eksport danych w uzgodnionym formacie, na przykład CSV, XLSX, XML lub kopii bazy, jeśli jest potrzebny do kontynuacji procesu.
3. Zleć usunięcie danych aktywnych, ponieważ retencja po zakończeniu umowy powinna wynikać z dokumentu, a nie z domyślnych ustawień dostawcy.
4. Ustal los kopii zapasowych, ponieważ backup może być kasowany w cyklu 30, 60 albo 90 dni, zależnie od usługi.
5. Uzyskaj potwierdzenie kasacji, ponieważ jest to dowód rozliczalności przy kontroli UODO lub sporze z kontrahentem.

Jak szkolić pracowników, żeby procedura działała?

Szkolenie powinno być krótkie i zadaniowe. Osoba z marketingu nie musi znać całej teorii RODO, ale musi wiedzieć, że przed podłączeniem nowego narzędzia newsletterowego trzeba zgłosić dostawcę, sprawdzić podprocesorów i nie importować bazy przed akceptacją. Taki komunikat jest skuteczniejszy niż 40-stronicowa polityka.

Kiedy skonsultować sprawę z prawnikiem?

Konsultacja jest wskazana przy danych szczególnych, danych dzieci, dużej skali, transferach poza EOG, sporze z procesorem, odmowie audytu albo nietypowych klauzulach odpowiedzialności. Ten artykuł ma charakter informacyjny i nie zastępuje indywidualnej porady prawnika, bo ocena zależy od procesów, dokumentów i faktycznego przepływu danych w konkretnej firmie.

Źródła i literatura

Jakie akty i wytyczne zostały wykorzystane?

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r., w szczególności art. 28, art. 30, art. 33 i art. 83: EUR-Lex.
2. Urząd Ochrony Danych Osobowych, materiały dotyczące pojęć „administrator”, „współadministrator” i „podmiot przetwarzający”: uodo.gov.pl.
3. Urząd Ochrony Danych Osobowych, wskazówki dotyczące obowiązków administratora i podmiotu przetwarzającego oraz art. 30 RODO: uodo.gov.pl.
4. Europejska Rada Ochrony Danych, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, wersja 2.0, 2021: edpb.europa.eu.
5. European Data Protection Board, rekomendacje i wytyczne dotyczące transferów oraz stosowania RODO: edpb.europa.eu.

Najczęściej zadawane pytania

Czy procedura powierzenia danych jest obowiązkowa?

RODO nie narzuca jednego dokumentu o nazwie „procedura powierzenia danych”. Wymaga jednak rozliczalności oraz korzystania z procesorów, którzy dają wystarczające gwarancje bezpieczeństwa. Procedura pomaga wykazać, że firma nie wybierała dostawców przypadkowo.

Kto powinien zatwierdzać umowy powierzenia?

Najczęściej robi to właściciel procesu razem z osobą odpowiedzialną za ochronę danych, działem prawnym albo IOD. Przy wyższym ryzyku, danych szczególnych, transferach poza EOG lub istotnych odstępstwach od wzoru decyzję powinien podejmować zarząd albo osoba formalnie upoważniona.

Czy każdy aneks wymaga ponownego audytu dostawcy?

Nie każdy aneks wymaga pełnej oceny od początku. Ponowną ocenę powinny uruchamiać zmiany zakresu danych, kraju przetwarzania, podprocesorów, zabezpieczeń lub celu usługi. Zmiana adresu firmy albo numeru rachunku zwykle nie wymaga audytu RODO.

Jak długo przechowywać umowy powierzenia?

Umowy trzeba przechowywać co najmniej przez okres współpracy oraz przez czas, w którym może pojawić się kontrola, reklamacja, roszczenie lub potrzeba wykazania zgodności. Termin powinien wynikać z polityki retencji danych i charakteru procesu. Dla usług krytycznych warto zachować również wersje załączników technicznych.

Czy można używać jednego wzoru dla wszystkich dostawców?

Można mieć jeden wzór bazowy, ale nie powinien on zastępować indywidualnego opisu usługi. Hosting, księgowość, newsletter i rekrutacja obejmują różne dane, różne kategorie osób i różne ryzyka. Najbezpieczniej trzymać wspólną część prawną oraz osobne załączniki operacyjne.

Kiedy skonsultować procedurę z prawnikiem?

Konsultacja jest szczególnie potrzebna przy danych w dużej skali, danych dzieci, danych zdrowotnych, monitoringu, profilowaniu i dostawcach spoza EOG. Prawnik powinien też ocenić sporne klauzule odpowiedzialności, audytu, naruszeń i podprocesorów. Ten materiał nie jest indywidualną poradą prawną.