Umowa powierzenia przetwarzania danych osobowych: wzór i omówienie

Najważniejsze informacje

• Umowa powierzenia danych jest wymagana, gdy zewnętrzny podmiot (np. biuro rachunkowe) przetwarza dane osobowe w twoim imieniu i na twoje polecenie.

• Umowa musi mieć formę pisemną lub elektroniczną i opisywać przedmiot, cel, czas trwania oraz rodzaj danych i kategorie osób.

• Podmiot przetwarzający nie może korzystać z usług podprocesorów bez twojej uprzedniej zgody (szczegółowej lub ogólnej), a po zakończeniu współpracy musi zwrócić lub usunąć dane.

Kiedy potrzebna jest umowa powierzenia danych?

Prowadząc jednoosobową działalność gospodarczą lub małą spółkę z o.o., niemal codziennie obracasz informacjami o innych osobach. Wystarczy, że przekazujesz faktury z danymi kontrahentów zewnętrznej księgowej albo zlecasz naliczanie wynagrodzeń pracowników biuru rachunkowemu. W takich sytuacjach prawo wymaga sformalizowania relacji, a podstawowym narzędziem staje się umowa powierzenia przetwarzania danych osobowych.

Kluczem do zrozumienia tego obowiązku jest podział ról wynikający z art. 28 RODO. Jako przedsiębiorca decydujesz o celach prowadzenia firmy i gromadzisz informacje niezbędne do rozliczeń, dlatego występujesz w roli administratora danych osobowych (ADO). Zewnętrzna księgowa nie staje się ich właścicielem. Działa wyłącznie na twoje zlecenie, w granicach wyznaczonych przez umowę główną, co nadaje jej status podmiotu przetwarzającego (procesora).

Przedsiębiorcy często mylą powierzenie z udostępnieniem danych, choć w praktyce biznesowej są to dwa zupełnie różne procesy:

• Powierzenie danych – procesor działa jak twoje techniczne ramię i przetwarza informacje tylko w twoim imieniu oraz na twoje polecenie. Biuro rachunkowe księgujące dokumenty kosztowe nie decyduje samowolnie, jak wykorzystać zawarte w nich nazwiska czy numery PESEL, dlatego umowa powierzenia danych osobowych jest tutaj bezwzględnie wymagana.

• Udostępnienie danych – odbiorca staje się odrębnym administratorem i przetwarza pozyskane informacje we własnych celach określonych przepisami prawa. Typowym przykładem jest przekazanie deklaracji podatkowej do urzędu skarbowego lub zgłoszenia do ZUS; instytucje te nie są twoimi procesorami i nie podpisujesz z nimi umów powierzenia.

Przepisy unijne precyzują wymogi formalne: umowa powierzenia przetwarzania danych musi mieć formę pisemną lub elektroniczną. Zwykła, ustna deklaracja czy ustalenia w trakcie rozmowy telefonicznej nie spełniają standardów prawnych. Forma pisemna w rozumieniu RODO obejmuje formę elektroniczną (art. 28 ust. 9), więc w praktyce wystarcza podpis kwalifikowany albo zawarcie umowy w systemie, który pozwala utrwalić i odtworzyć jej treść, bez drukowania dokumentów.

Wzór umowy powierzenia przetwarzania danych osobowych

Wzór umowy powierzenia danych osobowych pozwala zabezpieczyć współpracę z zewnętrznymi wykonawcami, takimi jak księgowa czy agencja marketingowa. Dobrze skonstruowany dokument porządkuje wzajemne relacje i jasno wskazuje, kto, za co odpowiada. W przypadku jednoosobowej działalności gospodarczej struktura powinna być zwięzła, pozbawiona rozbudowanych klauzul korporacyjnych, ale zgodna z wymogami prawnymi.

Poniższy szkielet umowy możesz wykorzystać jako punkt wyjścia i uzupełnić swoimi danymi. Zawiera minimum wymagane przez art. 28 ust. 3 RODO, więc nie usuwaj z niego żadnego punktu:

UMOWA POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

zawarta w dniu [Data] r. w [Miejscowość], pomiędzy:

[Twoje Imię i Nazwisko / Nazwa Firmy], z siedzibą w [Adres], NIP: [Numer], REGON: [Numer], zwanym dalej Administratorem,

a

[Nazwa Biura / Podmiotu], z siedzibą w [Adres], NIP: [Numer], KRS/CEIDG: [Numer], zwanym dalej Podmiotem przetwarzającym.§ 1. Przedmiot umowy

1. Administrator powierza Podmiotowi przetwarzającemu dane osobowe do przetwarzania na zasadach określonych w niniejszej Umowie oraz w Umowie Głównej z dnia [Data Umowy Głównej].

2. Podmiot przetwarzający zobowiązuje się do przetwarzania danych wyłącznie w celu realizacji Umowy Głównej i na udokumentowane polecenie Administratora.

§ 2. Zakres i cel przetwarzania

1. Szczegółowy wykaz kategorii osób oraz rodzajów powierzonych danych określa Załącznik nr 1 do niniejszej Umowy.

2. Cel, charakter oraz czas trwania przetwarzania wynikają bezpośrednio z postanowień Umowy Głównej.

§ 3. Obowiązki stron i podpowierzenie

1. Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych.

2. Korzystanie z usług dalszych podmiotów przetwarzających (podprocesorów) wymaga uprzedniej zgody Administratora. Aktualna lista podprocesorów stanowi Załącznik nr 2 do Umowy.

3. Podmiot przetwarzający zapewnia, że osoby upoważnione do przetwarzania danych zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi jej zachowania.

4. Podmiot przetwarzający bez zbędnej zwłoki zawiadamia Administratora o naruszeniu ochrony danych, pomaga mu w realizacji praw osób, których dane dotyczą, oraz w wykonywaniu obowiązków z art. 32–36 RODO.

5. Podmiot przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania zgodności z art. 28 RODO i umożliwia przeprowadzanie audytów.

§ 4. Postanowienia końcowe

1. Po zakończeniu świadczenia usług Podmiot przetwarzający zwraca Administratorowi dane lub je usuwa, chyba że przepisy prawa nakazują ich dalsze przechowywanie.

2. Umowę sporządzono w dwóch jednobrzmiących egzemplarzach lub zawarto w formie elektronicznej.

Przeniesienie szczegółowego katalogu danych do odrębnych załączników to prosty sposób na zachowanie czytelności. Jeśli w trakcie współpracy zmieni się oprogramowanie księgowe lub dojdą nowe kategorie pracowników, wystarczy zaktualizować Załącznik nr 1 (zakres danych) lub Załącznik nr 2 (lista podprocesorów), bez konieczności aneksowania całego dokumentu.

Jakie elementy musi zawierać umowa powierzenia?

Każda umowa powierzenia przetwarzania danych osobowych musi spełniać ścisłe wymogi formalne, aby chronić interesy przedsiębiorcy podczas kontroli. Kwestię tę reguluje bezpośrednio art. 28 RODO, który nakłada obowiązek opisania ram współpracy między administratorem a podmiotem przetwarzającym. Pominięcie wymaganych klauzul narusza art. 28 RODO i naraża firmę na zastrzeżenia organu nadzorczego.

Prawidłowo skonstruowana umowa powierzenia danych osobowych obejmuje trzy zasadnicze filary:

• Przedmiot, czas trwania, charakter i cel przetwarzania – klauzula definiuje zakres operacji zlecanych wykonawcy (np. prowadzenie księgowości), wskazuje ramy czasowe tożsame z umową główną oraz określa charakter działań, co zapobiega wykorzystaniu informacji do innych celów biznesowych.

• Rodzaj danych i kategorie osób, których dotyczą – zapis precyzuje, czyje informacje trafiają do procesora (np. pracowników, zleceniobiorców lub klientów) oraz jakie konkretnie typy danych podlegają operacjom (np. numery PESEL, adresy, zarobki czy dane rozliczeniowe).

• Obowiązki i prawa administratora – postanowienia gwarantują zlecającemu kontrolę nad procesem, w tym wyłączne prawo do wydawania udokumentowanych poleceń, żądania wyjaśnień w razie incydentów oraz prawo do weryfikacji sposobu zabezpieczenia danych. Umowa musi też zobowiązać procesora do pomocy w realizacji praw osób, których dane dotyczą (np. dostępu do danych czy ich sprostowania), i w obowiązkach z art. 32–36 RODO oraz do niezwłocznego informowania cię, jeśli twoje polecenie jego zdaniem narusza przepisy.

Taki układ zapisów sprawia, że podmiot przetwarzający pozostaje wyłącznie wykonawcą twoich wytycznych, a granice odpowiedzialności obu stron są jasne od pierwszego dnia współpracy.

Zakres danych i cel przetwarzania w umowie

Precyzyjne zdefiniowanie celu oraz zakresu przetwarzania to podstawa, która chroni przedsiębiorcę przed zarzutem udostępnienia informacji bez podstawy prawnej. Podmiot zewnętrzny może wykonywać operacje wyłącznie w granicach zadań wynikających z kontraktu głównego. Zapisy w tym punkcie powinny bezpośrednio odzwierciedlać specyfikę twojej działalności gospodarczej oraz charakter powierzanych procesów.

Cel przetwarzania musi wskazywać konkretne czynności operacyjne, a nie ogólne hasła. W relacji z biurem rachunkowym obejmuje on zazwyczaj prowadzenie ksiąg rachunkowych lub podatkowej księgi przychodów i rozchodów, sporządzanie list płac, naliczanie składek ZUS oraz przygotowywanie deklaracji podatkowych. Taki opis uniemożliwia wykonawcy wykorzystanie bazy do celów analitycznych czy marketingowych.

Opisując kategorie danych, należy unikać sformułowań w rodzaju „wszelkie dane przekazane przez klienta”. Prawidłowo przygotowany załącznik porządkuje informacje według grup osób:

• Dane pracowników i zleceniobiorców – imiona, nazwiska, numery PESEL, adresy, numery rachunków bankowych, wysokość wynagrodzenia oraz informacje o zwolnieniach lekarskich niezbędne do rozliczeń płacowych.

• Dane kontrahentów i klientów – nazwy jednoosobowych firm, numery NIP, adresy prowadzenia działalności oraz numery kont widniejące na fakturach sprzedażowych i kosztowych.

Takie wyliczenie wyznacza granice odpowiedzialności i ułatwia wykazanie zgodności z zasadą minimalizacji danych podczas kontroli.

Zabezpieczenia i poufność danych w umowie

Samo przekazanie dokumentacji do biura rachunkowego nie zwalnia cię z dbałości o standardy bezpieczeństwa danych twojej firmy. W umowie powierzenia musisz ustalić reguły chroniące finanse oraz dane kadrowe przed wyciekiem, zniszczeniem lub dostępem osób niepowołanych. Ramy te obejmują procedury techniczne, dyscyplinę personelu i reagowanie na incydenty.

Klauzula bezpieczeństwa powinna regulować trzy kwestie:

• Środki techniczne i organizacyjne – biuro rachunkowe wdraża zabezpieczenia systemów teleinformatycznych, kontrolę dostępu do serwerów oraz fizyczną ochronę archiwów papierowych, co zapewnia bezpieczne przetwarzanie danych elektronicznych i tradycyjnych.

• Zobowiązanie do zachowania tajemnicy – każda osoba upoważniona do pracy z twoją dokumentacją musi zobowiązać się do zachowania tajemnicy (np. w oświadczeniu o poufności) lub podlegać ustawowemu obowiązkowi jej zachowania; zobowiązanie warto rozciągnąć także na okres po zakończeniu współpracy z biurem lub rozwiązaniu stosunku pracy z danym pracownikiem.

• Zgłaszanie naruszeń ochrony danych administratorowi – procesor ma obowiązek zawiadomienia cię o każdym podejrzeniu incydentu bezpieczeństwa bez zbędnej zwłoki, dostarczając opis zdarzenia oraz wskazując podjęte działania naprawcze. Warto wpisać konkretny termin, np. 24 godziny, żeby zdążyć ze zgłoszeniem do UODO.

Dzięki tym postanowieniom wiesz, jak księgowi obchodzą się z poufnymi informacjami, a w razie problemów technicznych zyskujesz czas na podjęcie wymaganych prawem kroków.

Podpowierzenie danych i zwrot lub usunięcie danych

Bezpieczeństwo informacji firmowych zależy w równej mierze od bieżących procedur, jak i od zasad obowiązujących przy angażowaniu zewnętrznych dostawców oraz w momencie zamykania współpracy. Umowa musi regulować, co dzieje się z dokumentacją, kiedy biuro korzysta z usług podwykonawców albo gdy decydujesz się na zmianę księgowej. Brak jasnych reguł w tych obszarach odbiera ci wpływ na to, gdzie ostatecznie trafiają pliki z danymi twoich klientów i pracowników.

W tej części porozumienia musisz zagwarantować sobie trzy uprawnienia:

• Zgoda administratora na kolejnego podprocesora – biuro rachunkowe nie może przekazać baz do zewnętrznego dostawcy oprogramowania chmurowego, serwerowni czy firmy niszczącej dokumenty bez twojej uprzedniej, pisemnej lub elektronicznej akceptacji.

• Zwrot lub usunięcie danych po rozwiązaniu umowy – z chwilą zakończenia świadczenia usług wykonawca ma obowiązek zwrócić ci kompletną dokumentację lub skasować wszelkie kopie cyfrowe, chyba że przepisy prawa podatkowego i rachunkowego nakazują mu czasowe przechowanie określonych deklaracji.

• Prawo kontroli i audytu po stronie administratora – jako zlecający zachowujesz uprawnienie do weryfikacji, czy procesor oraz jego podwykonawcy faktycznie stosują uzgodnione zabezpieczenia, w tym do żądania wyjaśnień lub przeprowadzenia inspekcji procedur.

Taki podział uprawnień daje ci kontrolę nad łańcuchem przetwarzania informacji oraz gwarantuje, że po wygaśnięciu relacji biznesowej twoje bazy nie pozostaną w rękach podmiotów trzecich.

Jak wypełnić umowę powierzenia krok po kroku?

Wdrożenie wzoru umowy powierzenia w działalności gospodarczej wymaga przejścia przez kilka etapów formalnych. Prawidłowe uzupełnienie dokumentu sprawia, że chroni on firmę w trakcie kontroli, zamiast być martwym formularzem w segregatorze. Całą procedurę zamkniesz w czterech krokach:

Jak wypełnić umowę krok po kroku

1. Ustalenie ról stron i zakresu powierzenia – w komparycji wpisz dokładne dane rejestrowe swojej firmy (zgodne z CEIDG lub KRS) jako Administratora oraz pełne dane biura rachunkowego jako Podmiotu przetwarzającego, co eliminuje spory kompetencyjne dotyczące tego, kto wydaje polecenia.

2. Powiązanie z umową o świadczenie usług księgowych – wskaż dokładną datę i numer kontraktu głównego, z którego wynika obsługa finansowa, ponieważ umowa powierzenia stanowi porozumienie wykonawcze i nie funkcjonuje bez odniesienia do głównej relacji biznesowej.

3. Uzupełnienie załączników do wzoru – wpisz w Załączniku nr 1 kategorie danych oraz osób (np. pracownicy, kontrahenci), a w Załączniku nr 2 wymień dostawców oprogramowania księgowego czy chmurowego, zapobiegając rozmyciu odpowiedzialności za bazy informacyjne.

4. Podpis i przechowywanie umowy w dokumentacji RODO – złóż podpis na egzemplarzu papierowym lub użyj kwalifikowanego podpisu elektronicznego na wspólnym pliku PDF, po czym przechowuj podpisany dokument w wewnętrznej teczce RODO, a powierzenie uwzględnij w rejestrze czynności przetwarzania.

Uporządkowana w ten sposób dokumentacja stanowi dowód spełnienia obowiązków prawnych i chroni cię przed zarzutem braku nadzoru nad zewnętrznymi wykonawcami.

Błędy i ryzyka przy umowie powierzenia danych

Wzór dokumentu traci moc ochronną, jeśli przedsiębiorca potraktuje go powierzchownie lub popełni błędy na etapie wdrożenia. W relacjach z biurem rachunkowym brak staranności może prowadzić do konsekwencji finansowych i prawnych podczas kontroli Urzędu Ochrony Danych Osobowych (UODO). Wielu właścicieli firm zakłada, że samo przekazanie segregatorów czy dostępów do systemów zdejmuje z nich formalny ciężar nadzoru. W rzeczywistości to zlecający ponosi główną odpowiedzialność za poprawność prawną całego procesu.

Do uchybień i ryzyk, które regularnie pojawiają się w małych firmach, należą:

• Brak umowy lub umowa niepełna – współpraca oparta na ustnym zaufaniu lub pominięcie warunków z art. 28 RODO to podstawa do nałożenia administracyjnej kary pieniężnej przez Prezesa UODO, która może dotknąć zarówno procesora, jak i administratora. Za naruszenie obowiązków z art. 28 RODO kara sięga do 10 mln euro lub 2% rocznego światowego obrotu (art. 83 ust. 4 RODO).

• Zbyt ogólny opis zakresu danych – posługiwanie się sformułowaniami typu „dane niezbędne do rozliczeń” uniemożliwia wykazanie zasady minimalizacji, co podczas audytu rodzi podejrzenie bezprawnego przetwarzania nadmiarowych informacji o pracownikach lub kontrahentach.

• Pominięcie zapisów o podprocesorach i naruszeniach – brak procedury powiadamiania o incydentach odbiera przedsiębiorcy szansę na zgłoszenie wycieku do Prezesa UODO bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO), a brak kontroli nad podwykonawcami biura (np. dostawcami chmury) tworzy luki w bezpieczeństwie.

• Odpowiedzialność administratora mimo powierzenia – przekazanie danych księgowym nie zwalnia przedsiębiorcy z odpowiedzialności przed osobami, których dane dotyczą, oraz organami nadzorczymi; jeśli umowa nie precyzuje zasad regresu i odszkodowań za błędy wykonawcy, dochodzenie roszczeń na drodze cywilnej staje się trudne.

Wyeliminowanie tych braków przed podpisaniem dokumentacji pozwala zachować kontrolę nad firmowymi bazami i chroni twoją firmę przed karami finansowymi.

FAQ

Kiedy przedsiębiorca musi zawrzeć umowę powierzenia danych osobowych?

Przedsiębiorca musi zawrzeć umowę powierzenia, gdy zewnętrzny podmiot przetwarza dane osobowe w jego imieniu i na jego polecenie. Dotyczy to np. biura rachunkowego, które obsługuje faktury kontrahentów, albo firmy naliczającej wynagrodzenia pracowników. Procesor nie decyduje sam o celach przetwarzania.

Czym różni się powierzenie danych od udostępnienia danych innym podmiotom?

Powierzenie danych oznacza zlecenie przetwarzania podmiotowi, który działa wyłącznie na polecenie administratora, a udostępnienie oznacza przekazanie danych innemu, odrębnemu administratorowi.

• Powierzenie – procesor, np. księgowa, nie decyduje o celach wykorzystania danych i wymaga umowy powierzenia.

• Udostępnienie – odbiorca, np. ZUS lub urząd skarbowy, przetwarza dane we własnych celach określonych przepisami prawa.

Jakie elementy musi zawierać umowa powierzenia danych osobowych zgodnie z RODO?

Zgodnie z RODO umowa musi określać przedmiot, czas trwania, charakter i cel przetwarzania oraz rodzaj danych i kategorie osób. Dokument musi mieć formę pisemną lub elektroniczną. Obowiązkowe są też zapisy o prawach i obowiązkach administratora, poufności, środkach technicznych i organizacyjnych, podprocesorach, pomocy administratorowi (prawa osób, naruszenia), audytach oraz zwrocie lub usunięciu danych po zakończeniu współpracy.

Dlaczego podprocesorzy wymagają zgody administratora w umowie powierzenia?

Zgoda administratora na podprocesorów jest konieczna, aby zachować kontrolę nad tym, gdzie trafiają dane i kto ma do nich dostęp. Biuro rachunkowe nie może bez uprzedniej zgody (szczegółowej lub ogólnej) przekazać baz do zewnętrznych dostawców oprogramowania chmurowego, serwerowni czy firm niszczących dokumenty. Przy zgodzie ogólnej biuro musi informować o planowanej zmianie podprocesora, a ty możesz się jej sprzeciwić.

Co powinno się stać z danymi po zakończeniu współpracy z biurem rachunkowym?

Po zakończeniu współpracy biuro ma obowiązek zwrócić dokumentację lub usunąć kopie cyfrowe danych. Wyjątkiem są sytuacje, w których przepisy podatkowe i rachunkowe nakazują czasowe przechowywanie określonych dokumentów. Biuro musi też zachować tajemnicę zawodową, a administrator powinien odwołać upoważnienia i cofnąć dostępy do systemów.

Jak przedsiębiorca może zabezpieczyć się przed odpowiedzialnością za błędy podmiotu przetwarzającego?

Przedsiębiorca zabezpiecza się przez precyzyjne zapisy w umowie dotyczące regresu, odszkodowań oraz prawa do kontroli i audytu. Ważne jest jasne określenie obowiązków procesora, takich jak wdrażanie zabezpieczeń i zgłaszanie naruszeń administratorowi bez zbędnej zwłoki. Bez takich klauzul dochodzenie roszczeń może być trudne.