Co to jest umowa powierzenia?

Powierzenie przetwarzania danych

1. AdministratorFirma decyduje, po co i jak przetwarza dane klientów lub pracowników.
2. Wybór wykonawcySprawdza, czy wykonawca daje wystarczające gwarancje ochrony danych.
3. Umowa na piśmieStrony zawierają umowę powierzenia, także w formie elektronicznej.
4. Praca na polecenieWykonawca przetwarza dane tylko w ustalonym zakresie, a na koniec je usuwa lub zwraca.

Kto jest kim w umowie powierzenia?

• Administrator danych: podmiot, który sam lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych (art. 4 pkt 7 RODO). Zwykle to firma, której klientów albo pracowników dotyczą dane.
• Podmiot przetwarzający: wykonawca, który przetwarza dane osobowe w imieniu administratora (art. 4 pkt 8 RODO), np. biuro rachunkowe, hosting, dostawca CRM, firma wdrażająca system albo agenta AI.

Podmiot przetwarzający nie decyduje sam, po co używa danych. Jeśli zacznie to robić z naruszeniem RODO, w tym zakresie jest traktowany jak administrator (art. 28 ust. 10).

Kiedy umowa powierzenia jest potrzebna?

Wtedy, gdy zewnętrzna firma przetwarza dane osobowe na zlecenie i w imieniu Twojej firmy. Typowe przykłady w małej firmie:

• biuro rachunkowe i kadrowe;
• hosting strony, sklepu i poczty;
• system CRM, sklep internetowy w abonamencie, system rezerwacji;
• firma IT albo wdrożeniowiec z dostępem do danych klientów;
• dostawca narzędzia AI, do którego trafiają dane klientów lub pracowników.

Umowa powierzenia zwykle nie jest potrzebna, gdy druga strona sama decyduje o celach przetwarzania i jest odrębnym administratorem albo gdy wykonawca w ogóle nie ma dostępu do danych osobowych.

Co musi zawierać umowa powierzenia?

Art. 28 ust. 3 RODO wymaga, żeby umowa określała przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Wykonawca zobowiązuje się w niej m.in. do tego, że:

• przetwarza dane wyłącznie na udokumentowane polecenie administratora;
• osoby z dostępem do danych są zobowiązane do zachowania tajemnicy;
• stosuje odpowiednie środki bezpieczeństwa (art. 32 RODO);
• korzysta z dalszych podwykonawców tylko za zgodą administratora;
• pomaga administratorowi w obsłudze żądań osób, których dane dotyczą, i w obowiązkach z art. 32–36;
• po zakończeniu usług usuwa albo zwraca dane;
• udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyty.

Umowa musi mieć formę pisemną, w tym elektroniczną (art. 28 ust. 9). W praktyce wielu dostawców usług internetowych udostępnia gotową umowę powierzenia, często pod nazwą DPA (Data Processing Agreement), w swoich warunkach albo w panelu klienta.

Umowa powierzenia a narzędzia AI

Gdy do narzędzia AI trafiają dane klientów albo pracowników, np. treść maili, notatki z CRM czy nagrania rozmów, dostawca tego narzędzia zwykle przetwarza je w imieniu firmy. Wtedy trzeba sprawdzić, czy jest z nim umowa powierzenia, gdzie dane są przetwarzane i czy dostawca może ich używać do własnych celów, np. do trenowania modeli. Plany firmowe i dostęp przez API mają zwykle inne warunki niż prywatne konta. AI Act tego nie zmienia: przy danych osobowych nadal obowiązuje RODO, o czym piszemy w przewodniku AI Act w małej firmie.

Co sprawdzić w małej firmie?

1. Spisać firmy zewnętrzne, które mają dostęp do danych klientów lub pracowników.
2. Przy każdej sprawdzić, czy jest umowa powierzenia albo zaakceptowane warunki, które ją zawierają.
3. Zanim dane trafią do wykonawcy, ocenić, czy daje wystarczające gwarancje ich ochrony, i zachować ślad tej oceny. UODO ukarało ośrodek kultury, który powierzył dane biuru rachunkowemu bez pisemnej umowy i bez takiej weryfikacji.
4. Sprawdzić, z jakich podwykonawców korzysta dostawca i czy dane trafiają poza Europejski Obszar Gospodarczy.
5. Zadbać, żeby informacja o odbiorcach danych w polityce prywatności była aktualna (przykład: nasza polityka prywatności).

My podpisujemy umowę powierzenia przed każdym wdrożeniem, które dotyka danych osobowych, np. gdy agent AI pracuje na danych z CRM albo ze skrzynki pocztowej.

To informacja ogólna, nie porada prawna. Stan na 18 października 2026 r.

Najczęstsze pytania

Czy umowa powierzenia musi być podpisana odręcznie?

Nie. Art. 28 ust. 9 RODO wymaga formy pisemnej, w tym elektronicznej. Ważne, żeby umowa miała treść wymaganą w art. 28 ust. 3 i żeby dało się ją później pokazać, np. przy kontroli.

Kto odpowiada za dane, gdy wykonawca popełni błąd?

Administrator nadal odpowiada za wybór wykonawcy i za bezpieczeństwo danych, dlatego powinien go wcześniej sprawdzić. Wykonawca odpowiada za swoje obowiązki z umowy i z RODO, a za swoich podwykonawców odpowiada wobec administratora w pełni (art. 28 ust. 4).

Czy podwykonawca wykonawcy też musi mieć umowę?

Tak. Podmiot przetwarzający może korzystać z dalszego podmiotu tylko za uprzednią pisemną zgodą administratora, szczegółową albo ogólną, i musi nałożyć na niego te same obowiązki ochrony danych (art. 28 ust. 2 i 4 RODO).

Źródła

• Rozporządzenie (UE) 2016/679 (RODO), art. 4 i art. 28, EUR-Lex, tekst polski
• UODO: Powierzenie przetwarzania danych trzeba udokumentować (21.09.2022)