Stan prawny na: 02.11.2026

Gdy jednostka zaczyna korzystać z systemu rezerwacji w chmurze, dane mieszkańców przestają być przechowywane wyłącznie w urzędzie. Imię i nazwisko osoby rezerwującej, adres e-mail, numer telefonu, historia rezerwacji i płatności trafiają do infrastruktury dostawcy. Jednostka pozostaje administratorem tych danych, a dostawca usługi staje się podmiotem przetwarzającym. Ten układ wymaga umowy, którą potocznie nazywa się umową powierzenia przetwarzania danych, a w kontekście usług SaaS także DPA (z ang. data processing agreement).

Poniżej omawiamy, co według art. 28 RODO powinna zawierać taka umowa i na co warto zwrócić uwagę po stronie jednostki. Tekst ma charakter informacyjny. Nie zastępuje opinii inspektora ochrony danych ani radcy prawnego, którzy oceniają konkretną umowę w kontekście danej jednostki.

Kto jest kim: administrator i podmiot przetwarzający

RODO definiuje administratora jako podmiot, który ustala cele i sposoby przetwarzania danych osobowych (art. 4 pkt 7). Podmiot przetwarzający przetwarza dane w imieniu administratora (art. 4 pkt 8).

W przypadku systemu rezerwacji obiektów to jednostka, która udostępnia obiekty (urząd albo na przykład ośrodek sportu czy dom kultury), decyduje, po co zbiera dane mieszkańców i w jakim zakresie: żeby przyjąć rezerwację, rozliczyć opłatę, skontaktować się w sprawie zmiany terminu. Dostawca systemu udostępnia narzędzie i infrastrukturę, a dane przetwarza wyłącznie po to, żeby usługa działała.

Prostym porównaniem jest archiwum zewnętrzne. Urząd oddaje dokumenty na przechowanie, ale nadal decyduje, co jest w segregatorach, kto może je przeglądać i kiedy trzeba je zniszczyć. Firma archiwizacyjna nie może czytać dokumentów dla własnych celów ani przekazywać ich dalej bez zgody urzędu.

Warto pamiętać o art. 28 ust. 10 RODO: jeżeli podmiot przetwarzający zaczyna sam ustalać cele i sposoby przetwarzania, w tym zakresie staje się administratorem. Umowa powinna więc jasno określać, że dostawca działa wyłącznie na polecenie jednostki.

Kiedy umowa jest potrzebna

Umowa powierzenia jest potrzebna wtedy, gdy dostawca przetwarza dane osobowe w imieniu jednostki. W usłudze chmurowej dzieje się to od chwili, gdy w systemie pojawią się prawdziwe dane mieszkańców lub pracowników. Dane wyłącznie testowe, wymyślone na potrzeby demonstracji, nie są danymi osobowymi realnych osób.

Dlatego prezentacja albo próba na danych wymyślonych i korzystanie z systemu na prawdziwych danych to dwie różne sytuacje. Przed wprowadzeniem pierwszych prawdziwych rezerwacji umowa powinna już obowiązywać.

Osobną kwestią do oceny przez prawnika jest to, kto w strukturze jednostki jest administratorem danych. Jeżeli obiekty prowadzi samodzielna jednostka organizacyjna, może się okazać, że to ona, a nie urząd, powinna zawrzeć umowę albo że potrzebne są odrębne ustalenia dla kilku jednostek. Nie da się tego rozstrzygnąć bez znajomości statutów i sposobu organizacji danej jednostki.

Obowiązkowe elementy umowy według art. 28 ust. 3 RODO

Art. 28 ust. 3 RODO wymaga, żeby umowa określała:

Element Co to oznacza w praktyce systemu rezerwacji
Przedmiot i czas trwania przetwarzania Obsługa rezerwacji obiektów i zapisów na zajęcia przez okres obowiązywania umowy o świadczenie usługi
Charakter i cel przetwarzania Przechowywanie, udostępnianie pracownikom jednostki, wysyłka powiadomień, obsługa płatności
Rodzaj danych osobowych Na przykład imię, nazwisko, e-mail, telefon, dane rezerwacji, dane do faktury
Kategorie osób, których dane dotyczą Mieszkańcy i inne osoby rezerwujące, pracownicy i współpracownicy jednostki korzystający z panelu
Obowiązki i prawa administratora Wydawanie poleceń, kontrola, prawo do informacji

Ten sam przepis wymienia obowiązki podmiotu przetwarzającego. Dostawca ma w szczególności:

  • a) przetwarzać dane wyłącznie na udokumentowane polecenie administratora, także w zakresie przekazywania danych do państw trzecich, chyba że obowiązek przetwarzania wynika z prawa;
  • b) zapewnić, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy lub podlegają ustawowemu obowiązkowi tajemnicy;
  • c) podejmować środki bezpieczeństwa wymagane na mocy art. 32 RODO;
  • d) przestrzegać warunków korzystania z usług dalszego podmiotu przetwarzającego (art. 28 ust. 2 i 4);
  • e) pomagać administratorowi w wywiązywaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO), na przykład żądania dostępu do danych lub ich usunięcia;
  • f) pomagać administratorowi w wywiązywaniu się z obowiązków z art. 32-36 RODO, w tym przy zgłaszaniu naruszeń i ocenie skutków dla ochrony danych;
  • g) po zakończeniu świadczenia usług usunąć lub zwrócić wszelkie dane osobowe, zależnie od decyzji administratora, oraz usunąć istniejące kopie, chyba że prawo nakazuje ich przechowywanie;
  • h) udostępniać administratorowi informacje niezbędne do wykazania spełnienia obowiązków oraz umożliwiać przeprowadzanie audytów, w tym inspekcji.

Przepis dodaje, że podmiot przetwarzający niezwłocznie informuje administratora, jeżeli jego zdaniem wydane mu polecenie narusza RODO lub inne przepisy o ochronie danych.

Podwykonawcy, czyli dalsze powierzenie

Usługa chmurowa prawie zawsze korzysta z usług innych firm: dostawcy serwerów, operatora poczty wysyłającego powiadomienia, operatora płatności. Część z nich może przetwarzać dane mieszkańców jako dalsze podmioty przetwarzające.

Art. 28 ust. 2 RODO stanowi, że podmiot przetwarzający nie korzysta z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. Przy zgodzie ogólnej dostawca informuje administratora o zamierzonych zmianach dotyczących dodania lub zastąpienia podwykonawców, a administrator może wyrazić sprzeciw.

Art. 28 ust. 4 RODO wymaga, żeby na dalszy podmiot nałożono te same obowiązki ochrony danych, które wynikają z umowy z administratorem. Jeśli dalszy podmiot nie wywiąże się z obowiązków, pełna odpowiedzialność wobec administratora spoczywa na pierwotnym podmiocie przetwarzającym.

Dla jednostki praktyczne pytania brzmią:

  • Czy umowa zawiera aktualną listę podwykonawców wraz z ich rolą i miejscem przetwarzania danych?
  • W jaki sposób i z jakim wyprzedzeniem dostawca informuje o zmianach?
  • Co się dzieje, jeśli jednostka zgłosi sprzeciw?

Warto przy tym odróżnić podwykonawców przetwarzających dane w imieniu dostawcy od podmiotów, które mogą działać jako odrębni administratorzy, co bywa przedmiotem analizy przy operatorach płatności. Tę kwalifikację powinien ocenić prawnik.

Na co gmina powinna zwrócić uwagę w praktyce

Przepis wyznacza minimum. Przy ocenie konkretnej umowy z dostawcą usługi SaaS warto sprawdzić także:

Miejsce przetwarzania danych. Umowa powinna jasno wskazywać, gdzie dane są przechowywane, a jeżeli przewiduje przekazanie do państwa trzeciego, na jakiej podstawie (rozdział V RODO). Ogólne deklaracje z materiałów reklamowych nie wystarczą; liczy się treść umowy i jej załączników.

Opis środków bezpieczeństwa. Art. 32 RODO nie podaje zamkniętej listy zabezpieczeń, tylko wymaga środków odpowiednich do ryzyka. Dobrą praktyką jest załącznik opisujący stosowane środki: kontrolę dostępu, szyfrowanie transmisji, kopie zapasowe, sposób rozdzielenia danych różnych klientów, rejestrowanie dostępu.

Naruszenia ochrony danych. Zgodnie z art. 33 ust. 2 RODO podmiot przetwarzający po stwierdzeniu naruszenia bez zbędnej zwłoki zgłasza je administratorowi. To jednostka ocenia, czy naruszenie trzeba zgłosić organowi nadzorczemu. Umowa powinna określać kanał zgłoszenia i minimalny zakres informacji.

Zakończenie umowy. Trzeba ustalić, w jakim formacie jednostka może wyeksportować dane przed zakończeniem usługi, w jakim terminie dostawca je usunie i jak potwierdzi usunięcie, w tym z kopii zapasowych.

Audyty. Prawo do audytu wynika z art. 28 ust. 3 lit. h. Umowa może określać tryb: zapowiedź, częstotliwość, możliwość przeprowadzenia audytu przez podmiot zewnętrzny, rozliczenie kosztów. Ograniczenia trybu nie powinny w praktyce wyłączać samego uprawnienia.

Pomoc przy żądaniach mieszkańców. Warto sprawdzić, czy system i umowa pozwalają odpowiedzieć na żądanie dostępu, sprostowania lub usunięcia danych w terminie wynikającym z art. 12 RODO.

Rejestr czynności. Art. 30 ust. 2 RODO wymaga od podmiotu przetwarzającego prowadzenia rejestru kategorii czynności przetwarzania dokonywanych w imieniu administratora. Jednostka z kolei uwzględnia powierzenie we własnym rejestrze czynności.

Forma umowy i standardowe klauzule

Art. 28 ust. 9 RODO wymaga formy pisemnej, przy czym obejmuje ona także formę elektroniczną. Sposób zawarcia umowy i reprezentacji jednostki (kto podpisuje, czy potrzebna jest kontrasygnata skarbnika) wynika z przepisów ustrojowych i wewnętrznych regulacji, dlatego warto ustalić go z prawnikiem.

Umowa powierzenia może być odrębnym dokumentem albo częścią umowy o świadczenie usługi. Art. 28 ust. 7 RODO pozwala Komisji Europejskiej określić standardowe klauzule umowne dla relacji administrator-podmiot przetwarzający. Komisja przyjęła takie klauzule w decyzji wykonawczej (UE) 2021/915. Ich stosowanie nie jest obowiązkowe, ale mogą służyć jako punkt odniesienia przy ocenie umowy zaproponowanej przez dostawcę.

Lista kontrolna przed podpisaniem

  1. Czy wiadomo, który podmiot w jednostce jest administratorem danych przetwarzanych w systemie?
  2. Czy umowa określa przedmiot, czas, charakter i cel przetwarzania, rodzaj danych i kategorie osób?
  3. Czy zawiera wszystkie obowiązki z art. 28 ust. 3 lit. a-h RODO?
  4. Czy lista podwykonawców jest aktualna, a tryb zmian i sprzeciwu jasny?
  5. Czy wskazano miejsce przetwarzania danych i podstawę ewentualnego przekazania poza EOG?
  6. Czy załącznik opisuje środki bezpieczeństwa?
  7. Czy określono tryb zgłaszania naruszeń?
  8. Czy wiadomo, jak wyeksportować dane i kiedy zostaną usunięte po zakończeniu umowy?
  9. Czy inspektor ochrony danych jednostki zaopiniował umowę?
  10. Czy umowa obowiązuje przed wprowadzeniem pierwszych prawdziwych danych?

W usłudze ZAJMIJ.TO wzór umowy powierzenia i lista podmiotów podprzetwarzających są opublikowane na zajmij.to, więc inspektor ochrony danych może ocenić je przed jakąkolwiek decyzją. Umowę zawiera administrator konta jednostki, akceptując ją w panelu po pierwszym zalogowaniu, razem z pozostałymi dokumentami usługi; system zapisuje zaakceptowaną wersję i wysyła jej PDF. Zabezpieczenia usługi opisujemy na stronie bezpieczeństwo danych i RODO w systemie rezerwacji.

Wyślij zgłoszenie

Źródła

Powiązane wpisy