Umowa powierzenia przetwarzania danych ma uporządkować sytuację, w której jeden podmiot przetwarza dane osobowe w imieniu administratora. Nie należy podpisywać jej automatycznie z każdym kontrahentem, który widzi dane lub otrzymuje dokument zawierający dane. Najpierw trzeba ustalić rzeczywiste role stron, cel dostępu oraz to, kto decyduje o celach i zasadniczych sposobach przetwarzania.

Artykuł 28 RODO wymaga, aby relację administratora z podmiotem przetwarzającym regulowała umowa lub inny instrument prawny, który wiąże podmiot przetwarzający. Dokument może mieć formę elektroniczną, ale powinien być konkretny i zgodny z faktyczną usługą. Sama deklaracja zgodności z RODO nie wystarczy, jeśli nie opisano operacji, instrukcji, zabezpieczeń i łańcucha dalszych dostawców.

Role wynikają z faktycznych decyzji stron

Administrator ustala cele i sposoby przetwarzania danych osobowych. Podmiot przetwarzający wykonuje operacje w imieniu administratora i według jego udokumentowanych poleceń. Są to pojęcia funkcjonalne. Nazwa nadana w umowie nie zmieni dostawcy w procesora, jeżeli w praktyce samodzielnie określa własny cel wykorzystania danych. Analogicznie brak słowa „powierzenie” nie usuwa obowiązków, gdy usługa faktycznie polega na przetwarzaniu w imieniu klienta.

Kontrahent może być odrębnym administratorem, współadministratorem albo podmiotem przetwarzającym, a czasem pełnić różne role wobec różnych operacji. Biuro rachunkowe, operator platformy, kancelaria, dostawca badań czy firma marketingowa nie mają jednej roli wyłącznie z powodu nazwy zawodu lub usługi. Należy rozdzielić procesy i sprawdzić, kto rzeczywiście decyduje o celu oraz podstawowych elementach sposobu działania.

Kiedy umowa powierzenia jest potrzebna

Powierzenie występuje wtedy, gdy odrębny podmiot ma przetwarzać dane na rzecz administratora w ramach świadczonej usługi. Typowym przykładem może być hosting bazy klientów, obsługa systemu kadrowego w chmurze albo techniczne wysyłanie wiadomości według listy oraz instrukcji klienta. Dostawca musi być odrębnym podmiotem, a jego czynności powinny służyć celowi określonemu przez administratora.

Nie każda wymiana danych tworzy taką relację. Jeżeli odbiorca otrzymuje dane, aby realizować własny obowiązek prawny lub samodzielnie świadczyć własną usługę w określonym przez siebie celu, może działać jako odrębny administrator. Umowa powierzenia nie zastępuje wtedy ustalenia podstawy udostępnienia i obowiązków informacyjnych. Role warto udokumentować w krótkiej mapie procesu przed przygotowaniem klauzul.

Dokument powinien opisywać konkretną usługę

Artykuł 28 RODO wymaga określenia przedmiotu i czasu trwania przetwarzania, jego charakteru i celu, rodzaju danych osobowych, kategorii osób oraz obowiązków i praw administratora. Te elementy powinny być na tyle precyzyjne, aby strony rozumiały, co wolno robić z danymi. Ogólna formuła „wszystkie dane niezbędne do umowy” utrudnia kontrolę zakresu i ocenę ryzyka.

Opis można umieścić w tabeli albo załączniku, jeśli pozostaje częścią wiążącej umowy i jest aktualizowany wraz z usługą. Warto wskazać systemy, kategorie operacji, częstotliwość, miejsce przetwarzania oraz planowany czas przechowywania. Nie należy kopiować kategorii, których dostawca faktycznie nie potrzebuje. Zasada minimalizacji pozostaje istotna także przy powierzaniu danych.

Instrukcje, poufność i granice działania procesora

Podmiot przetwarzający powinien działać wyłącznie na udokumentowane polecenie administratora, również w zakresie przekazywania danych do państwa trzeciego lub organizacji międzynarodowej, chyba że obowiązek wynika z prawa. Umowa powinna wskazać, kto może wydawać instrukcje, jak są rejestrowane oraz jak postępować z poleceniem sprzecznym z prawem. Procesor ma obowiązek niezwłocznie poinformować administratora, jeżeli jego zdaniem instrukcja narusza RODO lub inne przepisy o ochronie danych.

Osoby upoważnione do przetwarzania powinny zobowiązać się do zachowania poufności albo podlegać odpowiedniemu ustawowemu obowiązkowi. W praktyce warto ustalić zarządzanie dostępem, szkolenia, rejestrowanie operacji oraz odebranie uprawnień po zmianie roli. Jeżeli procesor zaczyna określać własne cele i sposoby przetwarzania, może zostać uznany za administratora w odniesieniu do tych operacji.

Bezpieczeństwo i pomoc administratorowi wymagają konkretów

Procesor powinien wdrożyć środki wymagane przez artykuł 32 RODO, odpowiednie do ryzyka. Umowa może opisywać wymagane rezultaty bezpieczeństwa, standardy dostępu, szyfrowanie, kopie zapasowe, testy, rejestrowanie zdarzeń i czas zgłoszenia incydentu. Nie zawsze rozsądne jest narzucanie identycznej technologii każdemu dostawcy. Administrator powinien jednak mieć informacje pozwalające ocenić, czy deklarowane gwarancje są wystarczające dla konkretnego procesu.

Podmiot przetwarzający pomaga administratorowi realizować prawa osób, obsługiwać naruszenia, wykonywać obowiązki bezpieczeństwa, oceny skutków i konsultacji z organem, z uwzględnieniem charakteru przetwarzania oraz dostępnych mu informacji. Warto uzgodnić kanał i terminy takiej pomocy, odpowiedzialne osoby oraz zasady kosztów. Sama formuła „procesor pomaga” nie wyjaśnia, co stanie się po żądaniu dostępu lub alarmie bezpieczeństwa.

Dalsi podwykonawcy i transfery to odrębne warstwy

Procesor nie może zaangażować dalszego podmiotu przetwarzającego bez uprzedniego szczegółowego lub ogólnego pisemnego upoważnienia administratora. Przy upoważnieniu ogólnym powinien aktywnie informować o planowanych zmianach, aby administrator mógł zgłosić sprzeciw. Na dalszego procesora trzeba nałożyć zasadniczo te same obowiązki ochrony danych, a pierwszy procesor nadal odpowiada wobec administratora za wykonanie obowiązków przez dalszego dostawcę.

Lista podwykonawców powinna zawierać informacje pozwalające rozpoznać usługę, lokalizację i zakres operacji. Osobno trzeba ocenić przekazywanie danych poza Europejski Obszar Gospodarczy. Standardowe klauzule z decyzji wykonawczej 2021/915 służą relacji z artykułu 28. Nie są same w sobie mechanizmem transferowym z rozdziału V RODO. Nie należy ich mylić ze standardowymi klauzulami transferowymi przyjętymi w decyzji 2021/914.

Praktyczny przykład: dostawca systemu do obsługi klientów

Spółka korzysta z internetowego systemu do zarządzania zgłoszeniami. W systemie znajdują się dane klientów i treść korespondencji. Dostawca utrzymuje środowisko, wykonuje kopie zapasowe i zapewnia wsparcie techniczne według poleceń spółki. Przed podpisaniem strony opisują kategorie danych, osoby, operacje, okres retencji, dostęp administratorów technicznych, procedurę incydentową i listę usług chmurowych.

Dostawca wykorzystuje zagregowane dane o działaniu usługi do własnych analiz. Ten dodatkowy cel wymaga osobnej oceny roli i podstawy, zamiast automatycznego objęcia go instrukcją klienta. Spółka sprawdza też lokalizacje podwykonawców i mechanizmy transferowe. Przykład pokazuje metodę analizy, nie przesądza roli konkretnego dostawcy bez zapoznania się z architekturą i warunkami usługi.

Lista przygotowawcza do umowy powierzenia

  • Narysuj przepływ danych i wskaż, kto decyduje o celu każdej operacji.
  • Opisz usługę, systemy, charakter czynności i czas przetwarzania.
  • Wymień kategorie osób oraz danych, bez niepotrzebnych pozycji na zapas.
  • Zbierz opis zabezpieczeń i dowody wystarczających gwarancji dostawcy.
  • Ustal osoby uprawnione do instrukcji oraz kanał ich dokumentowania.
  • Przygotuj listę dalszych procesorów, usług i lokalizacji.
  • Sprawdź transfery poza EOG i podstawę każdego z nich.
  • Ustal obsługę praw osób, incydentów, audytów i zmian w usłudze.
  • Wybierz zasady zwrotu albo usunięcia danych po zakończeniu usługi.

Przy przeglądzie przydają się również warunki usługi, dokumentacja bezpieczeństwa, schemat architektury i informacje o retencji kopii zapasowych. Nie należy przesyłać rzeczywistych baz danych tylko po to, aby przygotować opis kategorii.

Najczęstsze błędy przy powierzaniu danych

  • Podpisanie umowy przed ustaleniem, czy kontrahent faktycznie jest procesorem.
  • Opisanie przedmiotu jako wszystkich danych związanych ze współpracą.
  • Brak aktualnej listy dalszych procesorów i informacji o zmianach.
  • Uznanie samej certyfikacji lub deklaracji dostawcy za pełną ocenę gwarancji.
  • Brak terminów dla zgłoszenia naruszenia i pomocy przy prawach osób.
  • Połączenie klauzul z artykułu 28 z mechanizmem transferowym bez osobnej analizy.
  • Brak wykonalnej procedury usunięcia danych i kopii po zakończeniu umowy.

Częstym problemem jest także sprzeczność między dokumentem a warunkami technicznymi dostawcy. Jeżeli standardowa usługa nie pozwala wykonać uzgodnionego audytu, skrócić retencji albo zablokować niektórych lokalizacji, sama klauzula nie tworzy praktycznej kontroli. Rozbieżność trzeba rozwiązać przed uruchomieniem przetwarzania.

Wnioski i zakres pierwszej rozmowy

Skuteczna umowa powierzenia zaczyna się od poprawnego przypisania ról. Następnie opisuje realną usługę, instrukcje, zabezpieczenia, pomoc, podwykonawców, transfery, kontrolę i zakończenie przetwarzania. Wzór może uporządkować pracę, lecz powinien zostać uzupełniony informacjami o konkretnym procesie oraz dostawcy.

W pierwszej wiadomości wystarczy opisać usługę, strony, kategorie danych, systemy, lokalizacje i znanych podwykonawców. Pełne rekordy klientów, dane logowania i klucze techniczne nie są potrzebne do wstępnej oceny. Po potwierdzeniu zakresu można uzgodnić bezpieczny sposób przekazania umowy, załączników technicznych oraz informacji wymagających ograniczonego dostępu.

Źródła i data weryfikacji

Źródła sprawdzono 18 lipca 2026 r. Linki prowadzą do tekstów urzędowych lub materiałów instytucji publicznych. Przy konkretnej sprawie zawsze trzeba sprawdzić aktualny stan prawny i pełny kontekst.

Powiązany obszar pomocy: RODO i ochrona danych.

Ważna informacjaPublikacja ma charakter ogólny i informacyjny. Nie stanowi porady prawnej ani zapewnienia określonego wyniku. Przepisy i ich interpretacje mogą się zmieniać, a każda sytuacja wymaga odrębnej analizy.