Umowa powierzenia: z kim ją podpisać, z kim nie i co musi zawierać

Test na jedno pytanie: kto decyduje, po co i jak?

RODO rozróżnia dwie role. Administrator to ten, kto ustala cele i sposoby przetwarzania (art. 4 pkt 7). Podmiot przetwarzający to ten, kto przetwarza dane w imieniu administratora (art. 4 pkt 8). Pytanie brzmi: czy ta firma robi z danymi wyłącznie to, co jej zleciłem, czy ma własny cel? Biuro rachunkowe liczy pensje Twoich pracowników, bo Ty mu to zleciłeś. Bank prowadzi rachunek na podstawie własnych przepisów i własnej umowy z Tobą. Pierwsze to powierzenie, drugie nie.

Z kim mała firma naprawdę potrzebuje umowy powierzenia

• Biuro rachunkowe: dostaje dane pracowników, zleceniobiorców i klientów z faktur i przetwarza je na Twoje polecenie.
• Hosting strony i dostawca poczty: na ich serwerach leżą wiadomości z formularza, baza sklepu i cała korespondencja z klientami.
• CRM, program do fakturowania online, system do newslettera: narzędzia w chmurze z danymi klientów.
• Firma informatyczna: serwis komputerów, administrator serwera, wdrożeniowiec sklepu.
• Firma kurierska w zakresie danych zamówień: gdy integracja pobiera z Twojego sklepu adresy i telefony odbiorców.

Z większością tych firm nie podpisujesz osobnego papieru. Dostawcy narzędzi w chmurze mają warunki powierzenia w regulaminie usługi, który akceptujesz przy zakładaniu konta. Art. 28 ust. 9 dopuszcza formę pisemną, w tym elektroniczną, więc taki zaakceptowany dokument wystarczy.

Z kim umowy powierzenia nie podpisujesz

• ZUS, urząd skarbowy, inspekcja pracy, sąd: dostają dane, bo nakazuje to prawo, a nie Twoje polecenie. Organy publiczne otrzymujące dane w ramach postępowania nie są nawet odbiorcami w rozumieniu art. 4 pkt 9 RODO.
• Bank i operator płatności: prowadzą rachunek i rozliczają transakcje na podstawie własnych przepisów, jako osobni administratorzy.
• Kontrahent, który dostaje dane do własnych celów: na przykład partner, któremu przekazujesz kontakt do klienta, żeby sam zawarł z nim umowę. To udostępnienie między administratorami, a nie powierzenie.
• Twoi pracownicy i zleceniobiorcy: działają z Twojego upoważnienia (art. 29 RODO), nie na podstawie umowy powierzenia.

Art. 28 ust. 10 dodaje jeszcze jedno: podmiot przetwarzający, który sam zacznie ustalać cele i sposoby, staje się administratorem tego przetwarzania.

Co musi zawierać umowa powierzenia: checklista z art. 28 ust. 3

Najpierw część opisowa: przedmiot i czas trwania przetwarzania, charakter i cel, rodzaj danych i kategorie osób, obowiązki i prawa administratora. Potem osiem obowiązków podmiotu przetwarzającego, które umowa ma wyrażać wprost. Podmiot przetwarzający:

1. przetwarza dane wyłącznie na Twoje udokumentowane polecenie, także przy przekazywaniu poza EOG (lit. a);
2. zobowiązuje swoje osoby do zachowania tajemnicy (lit. b);
3. stosuje środki bezpieczeństwa z art. 32 (lit. c);
4. przestrzega zasad podpowierzenia: kolejny podwykonawca tylko za Twoją zgodą szczegółową albo ogólną z prawem sprzeciwu (lit. d oraz ust. 2 i 4);
5. pomaga Ci odpowiadać na żądania osób (lit. e);
6. pomaga przy bezpieczeństwie, zgłaszaniu naruszeń i ocenie skutków (lit. f, art. 32-36);
7. po zakończeniu usługi usuwa albo zwraca dane i kasuje kopie, chyba że prawo każe je przechowywać (lit. g);
8. udostępnia informacje potrzebne do wykazania zgodności i pozwala na audyt (lit. h).

Pełny tekst art. 28 znajdziesz w rozporządzeniu 2016/679 w serwisie EUR-Lex (stan na październik 2026). Obowiązki z art. 28 należą do grupy, za którą art. 83 ust. 4 przewiduje karę do 10 000 000 EUR albo do 2% rocznego światowego obrotu, przy czym stosuje się kwotę wyższą.

Jak to uporządkować w jeden wieczór

Wypisz wszystkie firmy, które mają dostęp do danych Twoich klientów i pracowników, i przy każdej odpowiedz na pytanie z testu wyżej. Dla tych, które przetwarzają na Twoje polecenie, znajdź istniejące warunki powierzenia albo wyślij własny wzór. Ta lista to jednocześnie kolumna odbiorców w rejestrze czynności przetwarzania, więc zrobisz dwie rzeczy naraz. Jeśli wolisz dostać gotowy wzór umowy powierzenia razem z resztą dokumentów, zobacz dokumentację RODO dla firmy: w razie kontroli jesteśmy po Twojej stronie.

Najczęstsze pytania