Umowa powierzenia przetwarzania danych (art. 28 RODO) – co musi zawierać

W skrócie: Umowę powierzenia zawierasz, gdy inna firma przetwarza dane osobowe w Twoim imieniu i na Twoje polecenie, np. biuro rachunkowe, hosting, dostawca CRM czy agencja marketingowa. Art. 28 ust. 3 RODO wymienia elementy obowiązkowe: przedmiot, czas, charakter i cel przetwarzania, rodzaj danych, kategorie osób oraz 8 obowiązków podmiotu przetwarzającego. Umowa musi mieć formę pisemną, w tym elektroniczną (art. 28 ust. 9). Za jej brak Prezes UODO nakładał kary, m.in. 6,251 mln zł na DPD Polska (decyzja ogłoszona w lutym 2026 r.). Stan prawny: 25 października 2026.

Umowa powierzenia przetwarzania danych osobowych to umowa, w której administrator danych (Twoja firma) zleca innemu podmiotowi przetwarzanie danych w swoim imieniu i określa zasady tego przetwarzania. Wymaga jej art. 28 RODO. Potrzebujesz jej za każdym razem, gdy zewnętrzna firma ma dostęp do danych Twoich klientów, pracowników lub kontrahentów i przetwarza je dla Ciebie, a nie dla siebie.

Kto jest kim: administrator i podmiot przetwarzający

Administrator decyduje o celach i sposobach przetwarzania danych, a podmiot przetwarzający przetwarza je wyłącznie w jego imieniu i na jego udokumentowane polecenie. Sklep internetowy jest administratorem danych klientów. Firma hostingowa, na której serwerach działa sklep, jest podmiotem przetwarzającym.

Administrator może korzystać tylko z takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych (art. 28 ust. 1 RODO). To oznacza, że przed podpisaniem umowy warto zweryfikować kontrahenta, np. ankietą bezpieczeństwa, certyfikatami albo opisem zabezpieczeń.

Powierzenie, udostępnienie czy współadministrowanie?

O tym, czy potrzebujesz umowy powierzenia, decyduje to, kto ustala cel przetwarzania danych. Ten sam dostawca może być podmiotem przetwarzającym w jednej sprawie i odrębnym administratorem w innej.

Sytuacja	Kto decyduje o celu	Jaki dokument
Powierzenie	Ty; dostawca działa na Twoje polecenie	umowa powierzenia (art. 28 RODO)
Udostępnienie innemu administratorowi	odbiorca przetwarza dane we własnym celu	podstawa prawna z art. 6 RODO, obowiązek informacyjny, zwykle zapisy w umowie głównej
Współadministrowanie	Ty i partner wspólnie ustalacie cele i sposoby	uzgodnienia współadministratorów (art. 26 RODO)

Jeśli podmiot przetwarzający zacznie sam decydować o celach i sposobach przetwarzania z naruszeniem RODO, w tym zakresie jest traktowany jak administrator (art. 28 ust. 10 RODO). Przykład: agencja, która wykorzystuje bazę mailingową klienta do promocji własnych usług.

Typowe sytuacje w małej firmie

• Biuro rachunkowe prowadzące księgi i kadry. W praktyce zwykle przyjmuje się, że działa jako podmiot przetwarzający dane pracowników i kontrahentów klienta. Treść usług bywa jednak różna, więc przy szerokim zakresie obsługi warto ocenić to indywidualnie.
• Agencja marketingowa lub social media, która moderuje komentarze, odpowiada na wiadomości albo prowadzi mailing na Twojej bazie. Ten przypadek opisujemy w artykule o umowie z agencją social media.
• Hosting, serwer, poczta firmowa, chmura. Dostawca przechowuje dane, które Ty zbierasz. Duzi dostawcy oferują własne, standardowe umowy powierzenia (DPA), które akceptujesz w panelu.
• System CRM, sklepowy, fakturowy lub do newslettera. Dostawca oprogramowania w modelu SaaS przetwarza dane Twoich klientów na Twoich serwerach lub swoich.
• Freelancer lub software house z dostępem do bazy produkcyjnej. Tu umowa powierzenia często idzie w parze z umową NDA.
• Firma kurierska i podwykonawcy logistyczni. W sprawie DPD Polska Prezes UODO uznał, że brak umów powierzenia z przewoźnikami uczestniczącymi w przewozie przesyłek naruszał art. 28 ust. 3 RODO.

Nie każda współpraca to powierzenie. Kancelaria prawna, bank czy firma kurierska doręczająca Twoją przesyłkę bywają odrębnymi administratorami, bo działają na podstawie własnych obowiązków zawodowych i ustawowych.

Obowiązkowe elementy umowy powierzenia (art. 28 ust. 3 RODO)

Umowa powierzenia musi określać przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Dodatkowo RODO wymaga, by podmiot przetwarzający zobowiązał się, że:

1. przetwarza dane wyłącznie na udokumentowane polecenie administratora, także przy przekazywaniu danych do państwa trzeciego,
2. zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy,
3. stosuje środki bezpieczeństwa wymagane przez art. 32 RODO,
4. przestrzega warunków korzystania z usług innego podmiotu przetwarzającego (podpowierzenie),
5. pomaga administratorowi w realizacji praw osób, których dane dotyczą, np. dostępu czy usunięcia danych,
6. pomaga administratorowi w wywiązaniu się z obowiązków z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków),
7. po zakończeniu usług usuwa lub zwraca dane, zależnie od decyzji administratora,
8. udostępnia administratorowi informacje potrzebne do wykazania zgodności i umożliwia audyty oraz inspekcje.

Umowa musi mieć formę pisemną, przy czym RODO wprost dopuszcza formę elektroniczną (art. 28 ust. 9). Akceptacja DPA dużego dostawcy w panelu administracyjnym albo podpis elektroniczny spełniają ten wymóg.

Zapisy, które warto dodać poza minimum

• Termin zgłaszania naruszeń. RODO wymaga, by podmiot przetwarzający zgłosił naruszenie administratorowi bez zbędnej zwłoki (art. 33 ust. 2). W umowie warto wpisać konkretną liczbę godzin, np. 24 lub 36, bo administrator ma 72 godziny na zgłoszenie do UODO.
• Załącznik ze środkami bezpieczeństwa – szyfrowanie, kopie zapasowe, kontrola dostępu.
• Miejsce przetwarzania danych i zasady transferu poza Europejski Obszar Gospodarczy.
• Zasady audytu – termin zawiadomienia, koszty, możliwość zastąpienia audytu raportem lub certyfikatem.
• Odpowiedzialność – odesłanie do art. 82 RODO i ewentualne regresy między stronami.

Komisja Europejska przyjęła standardowe klauzule umowne dla umów między administratorami a podmiotami przetwarzającymi (decyzja wykonawcza 2021/915). Możesz z nich skorzystać zamiast pisać umowę od zera.

Podpowierzenie: kiedy podwykonawca może dostać dane

Podmiot przetwarzający może przekazać dane dalej tylko za uprzednią szczegółową lub ogólną pisemną zgodą administratora (art. 28 ust. 2 RODO). Przy zgodzie ogólnej musi informować o zamiarze dodania lub zmiany dalszego podmiotu, a administrator może zgłosić sprzeciw.

Dalszy podmiot przetwarzający musi przyjąć te same obowiązki ochrony danych, co pierwszy, w umowie lub innym akcie prawnym (art. 28 ust. 4). Jeśli nie wywiąże się z nich, pełną odpowiedzialność wobec administratora ponosi pierwotny podmiot przetwarzający. W praktyce agencja, która korzysta z zewnętrznego narzędzia do mailingu, potrzebuje umowy z klientem i umowy z dostawcą narzędzia.

Brak umowy dalszego powierzenia kosztował podmiot przetwarzający realne pieniądze. W sprawie wycieku danych pracowników McDonald’s Polska Prezes UODO ukarał nie tylko administratora, ale też podmiot przetwarzający, 24/7 Communication sp. z o.o., łącznie kwotą 183 858 zł. Jednym z naruszeń było korzystanie z usług innej firmy bez umowy dalszego powierzenia, podpisanej dopiero w trakcie postępowania (komunikat UODO z lipca 2025 r.).

Osobna umowa czy klauzula w umowie głównej?

Umowa powierzenia może być osobnym dokumentem, załącznikiem do umowy o świadczenie usług albo rozdziałem tej umowy. RODO nie narzuca formy dokumentu, liczy się kompletność elementów z art. 28 ust. 3. Osobny dokument jest wygodniejszy, gdy zmienia się zakres danych albo lista podwykonawców, bo nie trzeba wtedy aneksować całej umowy handlowej.

Częsty błąd to jedno zdanie w umowie głównej w rodzaju „Wykonawca zobowiązuje się przetwarzać dane zgodnie z RODO”. Takie zdanie nie spełnia wymogów art. 28 ust. 3, bo nie określa przedmiotu, charakteru i celu przetwarzania, rodzaju danych ani obowiązków podmiotu przetwarzającego.

Odpowiedzialność podmiotu przetwarzającego wobec osób

Osoba, której dane dotyczą, może żądać odszkodowania od administratora albo podmiotu przetwarzającego (art. 82 ust. 1 RODO). Podmiot przetwarzający odpowiada za szkodę tylko wtedy, gdy nie dopełnił obowiązków nałożonych na podmioty przetwarzające albo działał poza zgodnymi z prawem instrukcjami administratora lub wbrew nim (art. 82 ust. 2 RODO). Dlatego dokładnie opisane polecenia w umowie powierzenia chronią obie strony: administrator wie, czego wymagać, a podmiot przetwarzający może wykazać, że działał zgodnie z instrukcjami.

Podmiot przetwarzający prowadzi też własny rejestr kategorii czynności przetwarzania dokonywanych w imieniu administratorów (art. 30 ust. 2 RODO), z zastrzeżeniem wyjątku dla małych podmiotów z art. 30 ust. 5.

Co zrobić po zakończeniu współpracy

Po zakończeniu usług podmiot przetwarzający usuwa albo zwraca dane, zależnie od decyzji administratora, i usuwa istniejące kopie, chyba że prawo nakazuje ich przechowywanie (art. 28 ust. 3 lit. g RODO). W praktyce warto zażądać pisemnego potwierdzenia usunięcia danych oraz odebrać dostępy do systemów. Przy zmianie biura rachunkowego lub dostawcy CRM zaplanuj migrację danych przed wypowiedzeniem umowy, żeby nie zostać bez dokumentacji.

Kary za brak umowy powierzenia

Naruszenie obowiązków z art. 28 RODO jest zagrożone administracyjną karą pieniężną do 10 mln euro albo do 2% rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 83 ust. 4 lit. a RODO). Kara może dotyczyć zarówno administratora, jak i podmiotu przetwarzającego.

Przykłady potwierdzone w komunikatach Prezesa UODO:

• DPD Polska sp. z o.o. – 6,251 mln zł za brak umów powierzenia z przewoźnikami (część kary łącznej ponad 11 mln zł, komunikat z 23 lutego 2026 r., sygn. DKN.5112.1.2023),
• 24/7 Communication sp. z o.o. jako podmiot przetwarzający – łącznie 183 858 zł, m.in. za brak umowy dalszego powierzenia (sygn. DKN.5130.4179.2020),
• Sułkowicki Ośrodek Kultury – 2,5 tys. zł za powierzenie danych bez umowy na piśmie i bez sprawdzenia gwarancji podmiotu przetwarzającego.

Decyzje UODO mogą być zaskarżone do sądu administracyjnego, dlatego nie każda z nich musi być prawomocna. Dla małej firmy wniosek jest prosty: kara za brak umowy powierzenia nie jest problemem wyłącznie korporacji, a uzupełnienie dokumentacji kosztuje znacznie mniej niż postępowanie przed UODO.

Umowa powierzenia z perspektywy agencji i freelancera

Jeśli to Ty świadczysz usługi i dostajesz dostęp do danych klienta, umowa powierzenia chroni także Ciebie. Określa, czego klient od Ciebie oczekuje, jakie środki bezpieczeństwa masz stosować i w jakim terminie zgłaszasz incydenty. Bez niej łatwiej o zarzut, że działałeś poza poleceniami administratora.

• Sprawdź, czy lista narzędzi, z których korzystasz (hosting, poczta, system do mailingu, AI do tworzenia treści), jest zgodna z zakresem podpowierzenia.
• Nie zgadzaj się na nieograniczone audyty na miejscu bez zapowiedzi; ustal termin zawiadomienia i podział kosztów.
• Ogranicz odpowiedzialność umowną do rozsądnej kwoty, pamiętając, że wobec osób, których dane dotyczą, i tak odpowiadasz na zasadach art. 82 RODO.
• Upewnij się, że wiesz, co zrobić z danymi po zakończeniu współpracy: usunąć czy zwrócić.

Jak wdrożyć umowy powierzenia w firmie – krok po kroku

1. Spisz wszystkich dostawców, którzy mają dostęp do danych osobowych (księgowość, IT, hosting, narzędzia SaaS, agencje).
2. Przy każdym ustal, czy działa na Twoje polecenie (powierzenie), czy we własnym celu (udostępnienie).
3. U dużych dostawców zaakceptuj ich DPA i zapisz kopię wraz z datą.
4. Z mniejszymi firmami zawrzyj umowę powierzenia według własnego wzoru.
5. Wpisz podmioty przetwarzające do rejestru czynności przetwarzania i zaktualizuj politykę prywatności w części o odbiorcach danych.
6. Raz w roku sprawdź, czy lista dostawców i umów jest aktualna.

Jeśli prowadzisz sklep internetowy, sprawdź też, czy regulamin sklepu i polityka prywatności są spójne z listą Twoich podmiotów przetwarzających. Szerszy kontekst obowiązków e-commerce znajdziesz w przewodniku prawo dla sklepu internetowego.

Kiedy skonsultować się z prawnikiem

Jeśli przetwarzasz dane wrażliwe, przekazujesz dane poza EOG albo nie wiesz, czy partner jest podmiotem przetwarzającym czy współadministratorem, skorzystaj z porady prawnej online.

Najczęściej zadawane pytania

Kiedy potrzebna jest umowa powierzenia przetwarzania danych?

Gdy inna firma przetwarza dane osobowe w Twoim imieniu i na Twoje polecenie, np. biuro rachunkowe, hosting, dostawca CRM albo agencja prowadząca mailing na Twojej bazie. Wymaga tego art. 28 RODO.

Czy umowa powierzenia może być zawarta elektronicznie?

Tak. RODO wymaga formy pisemnej, ale wprost dopuszcza formę elektroniczną (art. 28 ust. 9). Wystarczy np. akceptacja DPA w panelu dostawcy albo podpis elektroniczny.

Czy biuro rachunkowe potrzebuje umowy powierzenia?

Zwykle tak, bo biuro przetwarza dane pracowników i kontrahentów klienta w jego imieniu. Przy nietypowym zakresie usług warto ocenić rolę biura indywidualnie.

Czym różni się powierzenie od udostępnienia danych?

Przy powierzeniu odbiorca przetwarza dane na Twoje polecenie i w Twoim celu. Przy udostępnieniu odbiorca staje się odrębnym administratorem i przetwarza dane we własnym celu.

Czy podmiot przetwarzający może przekazać dane podwykonawcy?

Tylko za uprzednią szczegółową lub ogólną pisemną zgodą administratora. Podwykonawca musi przyjąć te same obowiązki, a za jego błędy pełną odpowiedzialność ponosi pierwotny podmiot przetwarzający.

Jaka kara grozi za brak umowy powierzenia?

Do 10 mln euro lub 2% światowego obrotu (art. 83 ust. 4 RODO). Prezes UODO nałożył m.in. 6,251 mln zł na DPD Polska za brak umów powierzenia z przewoźnikami.

Podstawa prawna

• Art. 4 pkt 7–8, 26, 28, 32–33, 82 i 83 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) (Dz.Urz. UE L 119 z 4.05.2016)
• Decyzja wykonawcza Komisji (UE) 2021/915 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych między administratorami a podmiotami przetwarzającymi
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2019 poz. 1781 t.j.)