Stan informacji: 13 września 2026 r. Umowa powierzenia jest potrzebna wtedy, gdy zewnętrzny podmiot przetwarza dane osobowe w imieniu KGW, zgodnie z celami i instrukcjami koła. Nie należy podpisywać umowy powierzenia automatycznie z każdym kontrahentem, który widzi imię i nazwisko na fakturze.

Najpierw ustal role

Administrator decyduje, po co i jak dane są przetwarzane. Podmiot przetwarzający wykonuje operacje na danych na polecenie administratora. Może też wystąpić sytuacja, w której firma jest odrębnym administratorem i sama odpowiada za podstawę przetwarzania.

Przykłady potencjalnego powierzenia

  • firma hostingowa utrzymująca bazę formularzy KGW;
  • dostawca systemu zapisów na wydarzenia;
  • zewnętrzne biuro wykonujące operacje na dokumentach według instrukcji KGW;
  • firma wysyłająca mailing z bazy koła;
  • operator chmury przechowujący dokumenty organizacji.

Firma szkoleniowa nie zawsze jest procesorem

UODO wskazuje, że o powierzeniu decyduje rzeczywisty charakter relacji. Jeżeli firma szkoleniowa samodzielnie określa cele przetwarzania danych uczestników potrzebnych do realizacji własnej usługi, może działać jako odrębny administrator. Jeżeli jedynie obsługuje bazę na polecenie KGW, sytuacja może wyglądać inaczej.

Co powinna regulować umowa?

Art. 28 RODO wymaga m.in. określenia przedmiotu i czasu przetwarzania, jego charakteru i celu, rodzaju danych, kategorii osób oraz praw i obowiązków administratora. Procesor musi zapewnić odpowiednie zabezpieczenia, poufność, zasady dalszego powierzenia, pomoc w realizacji praw osób i postępowanie po zakończeniu usługi.

Sprawdź dostawcę, nie tylko podpis

UODO podkreśla obowiązek kontroli podmiotu przetwarzającego. Sama umowa nie wystarcza, jeśli dostawca np. nie zapewnia rozsądnych zabezpieczeń albo nie potrafi wskazać, gdzie przechowuje dane.

Podwykonawcy

W usługach chmurowych często występują dalsi podwykonawcy. Umowa powinna określać zasady korzystania z kolejnych procesorów i informowania administratora o zmianach.

Koniec współpracy

Trzeba ustalić, czy dane zostaną zwrócone, usunięte czy zachowane z innej podstawy. W praktyce przy zmianie systemu KGW powinno potwierdzić eksport potrzebnych danych i usunięcie niepotrzebnych kopii.

Najczęstszy błąd

Podpisywanie gotowego „RODO” bez ustalenia, jak naprawdę płyną dane. Najpierw mapa procesu, potem kwalifikacja roli, a dopiero na końcu odpowiedni dokument.

Hosting strony i poczty

Dostawca hostingu może mieć techniczny dostęp do danych przechowywanych na serwerze. Warto sprawdzić jego regulamin, warunki powierzenia, lokalizację przetwarzania oraz listę podwykonawców. Profesjonalni dostawcy zwykle oferują odpowiednie postanowienia jako część umowy.

Biuro rachunkowe

Rola biura rachunkowego zależy od zakresu usługi i tego, w jakim celu przetwarza dane. Nie należy automatycznie kwalifikować każdej relacji tak samo. Warto opisać przepływ danych: co otrzymuje biuro, jakie operacje wykonuje, z czyjego polecenia i jakie własne obowiązki prawne realizuje.

Minimalizuj dane przekazywane wykonawcy

Nawet przy poprawnej umowie nie należy przekazywać całej bazy członków firmie, która potrzebuje wyłącznie listy 20 uczestników konkretnego szkolenia. Zakres danych jest równie ważny jak formalna umowa.