- Znaczenie
- Umowa powierzenia przetwarzania danych osobowych
- Podstawa prawna
- art. 28 RODO
- Kiedy potrzebna
- Usługodawca przetwarza dane na zlecenie
- Związek z NIS2
- Element zarządzania usługodawcami
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest umowa powierzenia?
Definicja: Umowa powierzenia (pełna nazwa: umowa powierzenia przetwarzania danych osobowych) wiążąco określa, jak usługodawca – na przykład dostawca chmury, usług IT czy obsługi płac – może postępować z danymi osobowymi, które przetwarza na zlecenie firmy. W odróżnieniu od większości pojęć z tego obszaru jest to instrument umowny wywodzący się z prawa ochrony danych osobowych: wymaga jej wprost art. 28 RODO i to on wyznacza jej obowiązkową treść. Za dane odpowiada nadal zlecający jako administrator; usługodawca działa wyłącznie na jego udokumentowane polecenie. Bez ważnej umowy przekazanie mu danych jest niezgodne z prawem – niezależnie od tego, jak bezpiecznie pracuje on od strony technicznej.
Co reguluje umowa powierzenia
- Przedmiot, czas trwania i cel przetwarzania
- Zabezpieczenia danych osobowych (Środki techniczne i organizacyjne)
- Obowiązki przy naruszeniach ochrony danych i przy ich usuwaniu
- Zasady korzystania z podwykonawców (dalsze powierzenie przetwarzania)
- Prawa do kontroli i audytu u usługodawcy
Na przykład: Firma wdraża chmurowe narzędzie do obsługi rekrutacji. Ponieważ dostawca przechowuje w nim imiona i nazwiska, życiorysy oraz dane kontaktowe kandydatów, przetwarza dane osobowe na zlecenie. Zanim oprogramowanie ruszy produkcyjnie, obie strony zawierają umowę powierzenia, w której zapisują miejsca przechowywania danych (hosting w UE), środki techniczne i organizacyjne oraz termin usunięcia danych po zakończeniu rekrutacji. Dopiero wtedy korzystanie z narzędzia jest zgodne z przepisami o ochronie danych.
Umowa powierzenia a bezpieczeństwo łańcucha dostaw
Umowa powierzenia to klasyczne narzędzie zarządzania usługodawcami. Uzupełnia wymagane przez NIS2 Bezpieczeństwo łańcucha dostaw, zapisując wymagania bezpieczeństwa wobec partnerów w sposób wiążący i możliwy do wyegzekwowania. Dzięki temu pojedyncza umowa staje się konkretną dźwignią sterowania obszarem, jakim jest Ryzyko stron trzecich po stronie usługodawcy.
RODO i NIS2 pomyślane razem
Umowa powierzenia wywodzi się z prawa ochrony danych, natomiast NIS2 – w Polsce wdrożona ustawą o krajowym systemie cyberbezpieczeństwa obowiązującą od 3 kwietnia 2026 r. – wymaga zarządzania całym obszarem, jakim jest Łańcuch dostaw. Oba zbiory przepisów zazębiają się: kto i tak musi zawrzeć umowę powierzenia, może od razu wpisać do niej obowiązki zgłaszania incydentów i wymagania bezpieczeństwa, które pokrywają również oczekiwania NIS2 wobec usługodawców. Umowy stają się dzięki temu skutecznym narzędziem bezpiecznego prawnie sterowania ryzykiem po stronie podmiotów trzecich.
Źródło uzupełniające: RODO (UE) 2016/679, art. 28 (EUR-Lex)
Najczęstsze pytania
Kiedy potrzebna jest umowa powierzenia?
Umowa powierzenia przetwarzania danych osobowych jest potrzebna zawsze wtedy, gdy zewnętrzny usługodawca przetwarza dane osobowe na zlecenie i zgodnie z poleceniami firmy – na przykład dostawca chmury, usług IT albo obsługi płac. Za dane odpowiada nadal zlecający jako administrator, usługodawca działa wyłącznie na jego udokumentowane polecenie. Bez ważnej umowy przekazanie danych usługodawcy jest niezgodne z prawem, niezależnie od tego, jak bezpiecznie pracuje on od strony technicznej.
Na jakiej podstawie prawnej opiera się umowa powierzenia?
Umowa powierzenia opiera się na artykule 28 RODO. Przepis ten wiążąco wskazuje, co taka umowa musi regulować: między innymi przedmiot, czas trwania i cel przetwarzania, środki techniczne i organizacyjne, obowiązki przy naruszeniach ochrony danych oraz przy usuwaniu danych, zasady korzystania z podwykonawców, a także prawa do kontroli i audytu. Dopiero taka umowa sprawia, że korzystanie z usługodawcy jest zgodne z przepisami o ochronie danych.
Co umowa powierzenia ma wspólnego z NIS2?
Umowa powierzenia jest dźwignią umowną: pozwala wiążąco i w sposób możliwy do wyegzekwowania zapisać wobec usługodawców wymagania bezpieczeństwa oraz obowiązki informacyjne przy incydentach. Sama wywodzi się z prawa ochrony danych, natomiast dyrektywa NIS2 – którą w Polsce wdraża ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), obowiązująca od 3 kwietnia 2026 r. – wymaga zarządzania całym łańcuchem dostaw. Oba zbiory przepisów zazębiają się: kto i tak zawiera umowę powierzenia, może od razu zakotwiczyć w niej wymagania bezpieczeństwa z NIS2 i w ten sposób bezpiecznie prawnie sterować ryzykiem stron trzecich po stronie usługodawcy.