Umowa powierzenia przetwarzania danych osobowych

Umowa powierzenia przetwarzania danych osobowych (ang. Data Processing Agreement, DPA) w Polsce to kontrakt wymagany przez art. 28 rozporządzenia (UE) 2016/679 (RODO) w każdym przypadku, gdy administrator danych osobowych korzysta z usług zewnętrznego podmiotu — tzw. procesora — w zakresie przetwarzania danych. Umowa reguluje prawa i obowiązki obu stron, gwarantuje stosowanie środków bezpieczeństwa wymaganych przez art. 32 RODO oraz zapewnia, że procesor przetwarza dane wyłącznie na udokumentowane polecenie administratora, nie wykraczając poza zakres i cel wynikający z umowy.

Art. 4 pkt 7 RODO definiuje administratora (ADO) jako podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Art. 4 pkt 8 RODO definiuje podmiot przetwarzający (procesor) jako osobę fizyczną lub prawną, która przetwarza dane w imieniu administratora na podstawie umowy. Rozróżnienie między administratorem a procesorem jest kluczowe: firma prowadząca sklep internetowy jest administratorem danych swoich klientów, a firma hostingowa, biuro rachunkowe obsługujące jej księgowość lub dostawca systemu CRM — procesorami, zobowiązanymi do zawarcia DPA. Brak umowy powierzenia stanowi naruszenie RODO i może skutkować administracyjną karą pieniężną nakładaną przez Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Umowa powierzenia musi mieć formę pisemną lub elektroniczną i zawierać elementy wymienione w art. 28 ust. 3 RODO: przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, a także prawa i obowiązki administratora. Kluczowe obowiązki procesora obejmują: przetwarzanie wyłącznie zgodnie z udokumentowanymi poleceniami administratora (art. 28 ust. 3 lit. a), zapewnienie poufności (art. 28 ust. 3 lit. b), stosowanie środków bezpieczeństwa z art. 32 RODO (art. 28 ust. 3 lit. c), przestrzeganie zasad dalszego powierzenia (art. 28 ust. 3 lit. d), pomaganie administratorowi w realizacji praw osób (art. 28 ust. 3 lit. e–f), usuwanie lub zwrotu danych po zakończeniu usług (art. 28 ust. 3 lit. g) oraz umożliwienie przeprowadzenia audytów (art. 28 ust. 3 lit. h).

Szczególną wagę ma kwestia dalszego powierzenia danych (podprocesing). Procesor może korzystać z usług innego podmiotu przetwarzającego wyłącznie za uprzednią pisemną zgodą administratora (art. 28 ust. 2 RODO), a na podprocesora musi nałożyć takie same obowiązki jak wynikające z DPA. Procesor odpowiada za działania podprocesorów jak za własne. Od momentu wejścia w życie RODO (25 maja 2018 r.) Prezes Urzędu Ochrony Danych Osobowych (PUODO) aktywnie egzekwuje ten obowiązek — kary nakładane w związku z brakiem DPA lub jego niewystarczającą treścią sięgają setek tysięcy złotych, a administratorzy pozbawieni umowy powierzenia nie mogą skutecznie odeprzeć zarzutów braku zgodności z RODO podczas kontroli PUODO lub postępowań wszczynanych na wniosek osób, których dane dotyczą.

Umowa powierzenia przetwarzania danych osobowych jest zatem nie tylko wymogiem formalnym, lecz fundamentem systemu zarządzania ryzykiem ochrony danych w każdej organizacji korzystającej z zewnętrznych dostawców usług IT, księgowości, kadr, marketingu lub przechowywania danych. Wzorzec DPA zgodny z art. 28 RODO i wymogami PUODO dla Polski udostępnia forms-legal.com, ułatwiając compliance bez angażowania zewnętrznego prawnika RODO na etapie przygotowania pierwszego dokumentu.

Umowa powierzenia przetwarzania danych osobowych w Polsce jest obowiązkowa w każdej sytuacji, w której administrator korzysta z usług zewnętrznego podmiotu, który w ramach tych usług uzyskuje dostęp do danych osobowych osób fizycznych — niezależnie od skali, branży czy formy prawnej stron.

**Hosting i chmura obliczeniowa.** Każda firma, która przechowuje bazę danych klientów, pracowników lub kontrahentów na serwerze zewnętrznym (IaaS, SaaS, PaaS) — np. AWS, Google Cloud, Microsoft Azure, OVH — musi zawrzeć DPA z dostawcą, ponieważ ma on dostęp do danych osobowych w ramach świadczenia usługi. Dostawcy usług chmurowych zazwyczaj udostępniają gotowe DPA, jednak administrator musi je przeanalizować pod kątem zgodności z RODO.

**Biuro rachunkowe i obsługa kadrowa.** Przekazanie danych pracowników lub kontrahentów do biura rachunkowego (do celów naliczania wynagrodzeń, ZUS, podatku dochodowego) lub do firmy kadrowej — wymaga DPA, ponieważ biuro jest procesorem danych przetwarzanych w imieniu administratora-pracodawcy.

**Systemy CRM, marketing automation, newsletter.** Korzystanie z platform do zarządzania relacjami z klientami (Salesforce, HubSpot, Pipedrive) lub systemów do wysyłki newsletterów (MailerLite, GetResponse, Freshmail) wiąże się z przetwarzaniem przez te podmioty danych kontaktowych klientów — wymaga zawarcia DPA z każdym dostawcą.

**Firmy kurierskie i logistyczne.** Przekazanie adresów dostawy klientów firmie kurierskiej (InPost, DPD, DHL, Poczta Polska) wymaga DPA — dane te są przetwarzane przez kuriera wyłącznie w celu realizacji zlecenia administratora-sprzedawcy.

**Typowe sytuacje wymagające DPA:** - wdrożenie nowego oprogramowania SaaS (systemu ERP, CRM, kadrowego) - podpisanie umowy z biurem rachunkowym lub kancelarią kadrową - outsourcing IT lub helpdesk z dostępem do danych użytkowników - korzystanie z usług agencji marketingowej operującej bazą klientów - wdrożenie systemu HR z dostępem podmiotu zewnętrznego - korzystanie z wirtualnego biura przechowującego korespondencję - transfer danych do zagranicznego podmiotu z grupy kapitałowej

**Wyjątek — odrębny administrator.** Gdy firma korzysta z usług banku, ubezpieczyciela lub podmiotu działającego w swoim własnym imieniu (jako odrębny administrator), nie jest wymagane DPA, lecz ewentualnie umowa o współadministrowanie (art. 26 RODO) lub samo powiadomienie o przekazaniu danych odbiorcy. Kluczowe jest ustalenie roli: jeśli podmiot przetwarza dane wyłącznie na polecenie i w imieniu administratora — jest procesorem, jeśli sam decyduje o celach — jest odrębnym administratorem. PUODO wydaje wytyczne pomocnicze w tym zakresie, a błędna kwalifikacja roli ma istotne konsekwencje prawne.

Umowa powierzenia przetwarzania danych osobowych w Polsce musi zawierać wszystkie elementy wymagane przez art. 28 ust. 3 RODO, a jej treść powinna być wystarczająco szczegółowa, aby można ją było egzekwować zarówno w stosunkach między stronami, jak i przed PUODO.

**1. Przedmiot, charakter i cel przetwarzania.** Opis usługi, w związku z którą dochodzi do przetwarzania danych (np. hosting bazy danych, obsługa kadrowa, wysyłka newsletterów) oraz cel przetwarzania, który musi być zgodny z celem Administratora. Ogólne sformułowania (np. „przetwarzanie w związku z umową główną”) bez wskazania konkretnego charakteru operacji (np. „przechowywanie, tworzenie kopii zapasowych, przesyłanie”) są niewystarczające.

**2. Czas trwania przetwarzania.** Określenie okresu, przez który procesor jest upoważniony do przetwarzania — zazwyczaj czas trwania umowy głównej lub konkretna data końcowa. Po upływie okresu procesor musi usunąć lub zwrócić dane (art. 28 ust. 3 lit. g RODO).

**3. Rodzaj i kategorie danych osobowych.** Dokładne wskazanie danych powierzanych do przetwarzania (imię, nazwisko, PESEL, dane kontaktowe, dane finansowe itp.) oraz kategorii osób, których dane dotyczą (klienci, pracownicy, kontrahenci). Precyzja jest niezbędna, ponieważ procesor nie może przetwarzać danych wykraczających poza zakres DPA.

**4. Obowiązki i prawa Administratora.** Wyłączne prawo do wydawania poleceń procesorowi, prawo do przeprowadzania audytów (art. 28 ust. 3 lit. h RODO), prawo do zgody lub odmowy na korzystanie z podprocesorów (art. 28 ust. 2 RODO) oraz prawo do żądania usunięcia danych po zakończeniu umowy.

**5. Obowiązki Procesora (art. 28 ust. 3 RODO).** Przetwarzanie wyłącznie na polecenie (lit. a), zachowanie tajemnicy przez upoważnione osoby (lit. b), stosowanie środków bezpieczeństwa z art. 32 RODO (lit. c), przestrzeganie zasad podprocesingu (lit. d), pomoc w realizacji praw osób (lit. e), pomoc w zapewnieniu bezpieczeństwa, OCT, uprzednich konsultacjach (lit. f), usunięcie lub zwrot danych (lit. g) i umożliwienie audytów (lit. h).

**6. Środki bezpieczeństwa (art. 32 RODO).** Opis technicznych i organizacyjnych środków bezpieczeństwa stosowanych przez procesora: szyfrowanie, pseudonimizacja, kontrola dostępu, testy penetracyjne, procedury tworzenia kopii zapasowych, certyfikacja ISO 27001. Środki muszą być adekwatne do ryzyka naruszenia praw i wolności osób fizycznych.

**7. Dalsze powierzenie — podprocesing (art. 28 ust. 2 i 4 RODO).** Wyraźne wskazanie, czy procesor może korzystać z podprocesorów i na jakich zasadach: ogólna zgoda (z prawem wniesienia sprzeciwu) lub każdorazowa zgoda. Lista zatwierdzonych podprocesorów powinna być dołączona jako załącznik. Procesor nakłada na podprocesorów takie same obowiązki jak wynikające z DPA. Narzędzie do generowania zgodnych wzorów DPA dla Polski — forms-legal.com — umożliwia wybór modelu zgody ogólnej lub indywidualnej.

**8. Naruszenia ochrony danych (art. 33 RODO).** Obowiązek procesora niezwłocznego (w ciągu 24 godzin) zgłaszania administratorowi wszelkich naruszeń, wraz z opisem charakteru naruszenia, kategoriami i przybliżoną liczbą osób i wpisów, możliwymi konsekwencjami i proponowanymi środkami zaradczymi. Administrator ma 72 godziny na zgłoszenie naruszenia do PUODO (art. 33 RODO) — 24-godzinny termin dla procesora daje mu bufor na weryfikację.

**9. Odpowiedzialność i odszkodowanie (art. 82 RODO).** Klarowne postanowienia o odpowiedzialności stron: procesor odpowiada wobec administratora za szkody wynikające z naruszenia DPA lub RODO. Wobec osoby, której dane dotyczą, administrator i procesor odpowiadają solidarnie. Warto uregulować zasady regresu między stronami na wypadek, gdy administrator zostanie zobowiązany do zapłaty odszkodowania za naruszenie będące wyłącznie winą procesora.

Umowę powierzenia przetwarzania danych osobowych w Polsce wypełnia się przez dostosowanie wzoru do konkretnej relacji biznesowej między administratorem a procesorem — mechaniczne kopiowanie gotowych szablonów bez weryfikacji treści prowadzi do dokumentów niezgodnych ze stanem faktycznym.

**Krok 1: Dane stron.** Wpisz pełną firmę, adres siedziby i numer NIP oraz KRS lub CEIDG zarówno administratora, jak i procesora. Dane muszą być identyczne z danymi rejestrowymi — rozbieżności mogą utrudnić egzekucję umowy. Wskaż osoby uprawnione do reprezentacji zgodnie z dokumentami rejestrowymi.

**Krok 2: Precyzyjne określenie zakresu przetwarzania.** Opisz cel i charakter przetwarzania zgodny z umową główną — np. „przechowywanie i tworzenie kopii zapasowych bazy danych klientów sklepu internetowego administratora w celu realizacji umów sprzedaży”. Wskaż dokładne kategorie danych (imię, nazwisko, adres e-mail, adres dostawy, historia zakupów) i kategorie osób (klienci sklepu). Unikaj ogólnych sformułowań — PUODO ocenia zawartość merytoryczną DPA, a nie tylko sam fakt jego zawarcia.

**Krok 3: Czas trwania.** Ustal okres przetwarzania powiązany z umową główną lub z konkretnym projektem. Dodaj postanowienie, że po zakończeniu umowy procesor usuwa lub zwraca dane w określonym terminie (np. 30 dni) i wystawia potwierdzenie usunięcia.

**Krok 4: Środki bezpieczeństwa.** Zaznacz środki stosowane przez procesora na podstawie jego polityki bezpieczeństwa. Warto dołączyć jako załącznik zestawienie środków technicznych i organizacyjnych (TOMs — Technical and Organisational Measures) lub odesłać do certyfikatu ISO 27001 procesora. Im bardziej szczegółowy opis, tym lepiej — ogólne deklaracje „stosowania odpowiednich środków” nie są wystarczające dla wykazania zgodności z art. 32 RODO.

**Krok 5: Podpowierzenie.** Zdecyduj, czy dajesz procesorowi ogólną zgodę na korzystanie z podprocesorów (z prawem wniesienia sprzeciwu) czy wymagasz każdorazowej zgody. Dołącz lub zażądaj dostarczenia listy aktualnych podprocesorów wraz ze wskazaniem kraju i zakresu przetwarzania. Upewnij się, że DPA nakłada na procesora obowiązek informowania o planowanych zmianach podprocesorów.

**Krok 6: Naruszenia i audyty.** Ustal termin zgłaszania naruszeń przez procesora (rekomendowane 24 godziny), formę zgłoszenia (e-mail na wskazany adres) i tryb przeprowadzania audytów (np. raz w roku, z 14-dniowym powiadomieniem, w godzinach pracy). Upewnij się, że procesor akceptuje prawo administratora do wglądu w dokumentację i infrastrukturę.

**Krok 7: Podpisanie.** DPA wymaga podpisu obu stron przed faktycznym przekazaniem danych procesorowi. W relacjach B2B dopuszczalne jest zawarcie umowy elektronicznie (podpisem kwalifikowanym lub przez akceptację w systemie). Umowę należy archiwizować przez czas trwania relacji z procesorem plus minimum 3 lata po jej zakończeniu, z uwagi na możliwe postępowanie przed PUODO.

Umowa powierzenia przetwarzania danych osobowych w Polsce musi spełniać wymogi art. 28 RODO jako lex specialis regulującego relację administrator–procesor.

**Art. 28 ust. 1 RODO — wybór procesora.** Administrator korzysta wyłącznie z podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, tak aby przetwarzanie spełniało wymogi RODO. Oznacza to, że administrator powinien przeprowadzić due diligence procesora (np. sprawdzić certyfikat ISO 27001, politykę bezpieczeństwa, referencje) przed podpisaniem DPA.

**Art. 28 ust. 3 RODO — obligatoryjna treść DPA.** Umowa musi zawierać wszystkie elementy wymienione w art. 28 ust. 3 lit. a–h: przetwarzanie wyłącznie na polecenie, zachowanie tajemnicy, stosowanie środków bezpieczeństwa, zasady podprocesingu, pomoc w realizacji praw, pomoc w zakresie bezpieczeństwa/OCT, usuwanie lub zwrot danych, umożliwienie audytów. Brak któregokolwiek elementu powoduje, że DPA jest niezgodne z RODO.

**Art. 28 ust. 4 RODO — podprocesing.** Procesor może korzystać z usług innego podmiotu przetwarzającego wyłącznie za uprzednią pisemną zgodą administratora (szczegółową lub ogólną). Na podprocesora muszą być nałożone takie same obowiązki jak na procesora wynikające z DPA. Procesor odpowiada wobec administratora za działania podprocesorów.

**Art. 29 RODO — działanie pod nadzorem administratora.** Podmiot przetwarzający i każda osoba działająca pod jego nadzorem, która ma dostęp do danych osobowych, przetwarza je wyłącznie na polecenie administratora, chyba że wymagają tego przepisy prawa UE lub państwa członkowskiego.

**Art. 32 RODO — bezpieczeństwo przetwarzania.** Zarówno administrator, jak i procesor wdrażają odpowiednie środki techniczne i organizacyjne, uwzględniając stan wiedzy technicznej, koszt wdrożenia, charakter przetwarzania i ryzyko naruszenia praw i wolności osób fizycznych. Środki obejmują pseudonimizację i szyfrowanie, zapewnienie ciągłości przetwarzania, regularne testowanie i ocenę skuteczności środków.

**Art. 33 RODO — zgłaszanie naruszeń.** Administrator zgłasza naruszenia ochrony danych do PUODO w terminie 72 godzin od ich stwierdzenia — procesor ma obowiązek niezwłocznie (w DPA: 24 godziny) poinformować administratora, aby ten miał czas na weryfikację i zgłoszenie. Naruszenia o niskim ryzyku dla osób nie wymagają zgłoszenia do PUODO, lecz muszą być dokumentowane wewnętrznie.

**Ustawa o ochronie danych osobowych z 10.05.2018 r.** Prezes Urzędu Ochrony Danych Osobowych (PUODO) nadzoruje przestrzeganie RODO w Polsce i może nałożyć karę administracyjną zarówno na administratora, jak i na procesora (art. 83 RODO). PUODO kontroluje DPA w toku postępowań, badając kompletność treści umowy, faktyczne stosowanie deklarowanych środków bezpieczeństwa i procedury reagowania na naruszenia.

Umowy powierzenia przetwarzania danych osobowych zawierają w Polsce szereg typowych błędów, które prowadzą do niezgodności z art. 28 RODO i narażają obie strony na odpowiedzialność wobec PUODO.

**Brak DPA w ogóle.** Najpoważniejszy błąd — korzystanie z usług zewnętrznych podmiotów mających dostęp do danych osobowych bez zawarcia jakiejkolwiek umowy powierzenia. PUODO regularnie karze administratorów za brak DPA z biurami rachunkowymi, dostawcami hostingu lub systemów CRM.

**Ogólnikowa treść bez konkretnych kategorii danych i osób.** DPA, w którym „przedmiot przetwarzania” opisany jest jedną lakoniczną linią, nie spełnia wymogów art. 28 ust. 3 RODO. Konieczne jest precyzyjne wskazanie kategorii danych i osób, zakresu operacji przetwarzania i czasu trwania.

**Brak postanowień o podprocesingu.** Pominięcie zasad dalszego powierzenia przy jednoczesnym korzystaniu przez procesora z podprocesorów (np. dostawca CRM korzysta z serwerów AWS) stanowi naruszenie art. 28 ust. 4 RODO.

**Brak klauzuli dotyczącej usuwania lub zwrotu danych.** Art. 28 ust. 3 lit. g RODO wymaga, aby po zakończeniu świadczenia usług procesor usunął lub zwrócił wszelkie dane. Pominięcie tej klauzuli lub brak określonego terminu usunięcia jest częstą luką w DPA.

**Brak prawa do audytu.** Wyłączenie lub nadmierne ograniczenie prawa administratora do przeprowadzenia audytu u procesora narusza art. 28 ust. 3 lit. h RODO i uniemożliwia realizację zasady rozliczalności z art. 5 ust. 2 RODO.

**Zawarcie DPA po faktycznym przekazaniu danych.** DPA musi być zawarta przed przekazaniem danych procesorowi — zawarcie umowy „z mocą wsteczną” po naruszeniu nie konwaliduje braku zgodności za okres poprzedni i może zostać wzięte pod uwagę przez PUODO jako okoliczność obciążająca.