Umowa powierzenia danych osobowych to dokument wymagany przez RODO zawsze wtedy, gdy jedna firma przekazuje dane osobowe innej firmie do przetwarzania w jej imieniu. Bez tej umowy przekazywanie danych jest niezgodne z przepisami – nawet jeśli odbywa się nieświadomie lub w dobrej wierze.
Czym jest umowa powierzenia danych osobowych?
Umowa powierzenia danych (nazywana też DPA – Data Processing Agreement) to pisemne porozumienie między administratorem danych a podmiotem przetwarzającym. Administrator to firma, która decyduje o celach i sposobach przetwarzania danych. Podmiot przetwarzający to firma, która przetwarza te dane wyłącznie na zlecenie administratora i zgodnie z jego instrukcjami.
Podstawę prawną stanowi art. 28 RODO. Przepis ten wprost nakazuje, aby każde powierzenie danych było udokumentowane w formie umowy lub innego instrumentu prawnego.
Kiedy umowa powierzenia jest obowiązkowa?
Obowiązek zawarcia umowy powstaje wtedy, gdy zewnętrzny podmiot przetwarza dane osobowe w imieniu Twojej firmy. W praktyce dotyczy to bardzo wielu codziennych relacji biznesowych:
- agencja webowa tworząca lub utrzymująca stronę internetową z formularzami kontaktowymi,
- firma hostingowa przechowująca dane na serwerach,
- dostawca systemu CRM, ERP lub e-commerce,
- biuro rachunkowe obsługujące kadry i płace,
- firma kurierska realizująca zamówienia klientów sklepu internetowego,
- dostawca narzędzi e-mail marketingowych.
Jeśli ktoś z zewnątrz ma dostęp do danych Twoich klientów, pracowników lub kontrahentów i przetwarza je na Twoje zlecenie – umowa powierzenia jest konieczna.
Co powinna zawierać umowa powierzenia danych?
RODO określa minimalny zakres treści takiej umowy. Każda umowa powierzenia powinna precyzować:
- przedmiot, czas trwania i charakter przetwarzania,
- cel przetwarzania danych,
- rodzaj danych osobowych i kategorie osób, których dotyczą,
- obowiązki i prawa administratora,
- zasady korzystania z podpowierzenia danych (dalszych podwykonawców),
- zobowiązanie do zachowania poufności przez osoby przetwarzające dane,
- warunki zwrotu lub usunięcia danych po zakończeniu umowy.
Różnica między powierzeniem a udostępnieniem danych
To rozróżnienie ma istotne znaczenie prawne. Powierzenie oznacza, że zewnętrzna firma przetwarza dane wyłącznie według Twoich instrukcji i w Twoim imieniu. Udostępnienie danych to sytuacja odwrotna – inny podmiot otrzymuje dane i przetwarza je we własnym celu, stając się niezależnym administratorem. W przypadku udostępnienia nie zawiera się umowy powierzenia, lecz inaczej dokumentuje podstawę prawną przekazania danych.
Umowa powierzenia danych a strona internetowa
Każda strona internetowa, która zbiera dane osobowe – przez formularze, zapis na newsletter czy sklep WooCommerce – generuje obowiązek zawarcia umów powierzenia z podmiotami obsługującymi tę stronę. Dotyczy to agencji webowej zarządzającej witryną, firmy hostingowej oraz dostawców zewnętrznych wtyczek i integracji przetwarzających dane użytkowników.
Brak takich umów to realne ryzyko naruszenia RODO, które może skutkować upomnieniem lub karą finansową ze strony Urzędu Ochrony Danych Osobowych.
Jak podejść do umowy powierzenia w praktyce?
Pierwszym krokiem jest sporządzenie rejestru czynności przetwarzania i zidentyfikowanie wszystkich podmiotów zewnętrznych, które mają dostęp do danych osobowych w Twojej firmie. Następnie należy zweryfikować, czy z każdym z nich podpisano aktualną umowę powierzenia spełniającą wymogi art. 28 RODO.
Wiele firm obsługujących dane oferuje standardowe wzory umów powierzenia – warto je przeanalizować pod kątem kompletności i dostosować do specyfiki współpracy. W przypadkach wątpliwych rekomendowane jest skonsultowanie treści umowy z prawnikiem specjalizującym się w ochronie danych osobowych.
FAQ - najczęstsze pytania
Czy umowę powierzenia danych można zawrzeć w formie elektronicznej?
Tak, RODO nie wymaga formy pisemnej w tradycyjnym rozumieniu – umowa może zostać zawarta elektronicznie, np. przez akceptację regulaminu lub podpisanie dokumentu podpisem kwalifikowanym. Ważne, żeby jej treść spełniała wymogi art. 28 RODO i była możliwa do udokumentowania.
Co grozi za brak umowy powierzenia danych?
Urząd Ochrony Danych Osobowych może nałożyć karę administracyjną sięgającą nawet 10 mln euro lub 2% rocznego obrotu firmy. W praktyce częściej stosuje się upomnienia i nakazy usunięcia naruszeń, jednak samo ryzyko kontroli i reputacyjne konsekwencje są poważnym argumentem za uregulowaniem tej kwestii.
Czy agencja webowa zawsze jest podmiotem przetwarzającym?
Nie zawsze, ale w większości przypadków – tak. Jeśli agencja ma dostęp do danych zbieranych przez stronę (np. przez formularz kontaktowy, panel CMS czy hosting) i działa na zlecenie klienta, jest podmiotem przetwarzającym i umowa powierzenia jest wymagana. Wyjątkiem jest sytuacja, gdy agencja przetwarza dane we własnym celu i na własną odpowiedzialność.
Czy wzór umowy powierzenia pobrany z internetu jest wystarczający?
Gotowy wzór może być dobrym punktem wyjścia, ale rzadko wystarczy bez modyfikacji. Umowa powinna odpowiadać rzeczywistemu zakresowi współpracy – rodzajowi danych, celowi przetwarzania i ewentualnym podwykonawcom. Warto zweryfikować wzór pod kątem kompletności, zanim go podpiszesz.
Czym różni się umowa powierzenia od klauzuli powierzenia w umowie głównej?
Klauzula powierzenia to po prostu postanowienie wbudowane w treść umowy głównej (np. umowy o usługi IT), które reguluje kwestie przetwarzania danych. Skutek prawny jest taki sam jak osobnej umowy, o ile klauzula spełnia wszystkie wymogi art. 28 RODO. Forma oddzielnego dokumentu jest porządkowym wyborem, nie prawnym wymogiem.
Czy sklep WooCommerce wymaga kilku oddzielnych umów powierzenia?
Tak, zazwyczaj kilku. Sklep korzysta z hostingu, bramki płatności, systemu wysyłki e-mail, narzędzi analitycznych i często z agencji zarządzającej witryną – każdy z tych podmiotów może mieć dostęp do danych klientów. Z każdym z nich, kto przetwarza dane na zlecenie właściciela sklepu, należy podpisać odrębną umowę powierzenia.