- RODO może dotyczyć również firmy spoza UE, która kieruje ofertę do osób w UE lub monitoruje ich zachowanie, przy spełnieniu warunków rozporządzenia.
- Administrator i podmiot przetwarzający pełnią różne role; dostawców trzeba ocenić według rzeczywistej relacji.
- Przekazanie danych poza EOG wymaga osobnego sprawdzenia odpowiedniego mechanizmu i warunków.
- Przetwarzanie transgraniczne i organ wiodący mają konkretne definicje, nie wynikają wyłącznie z liczby krajów dostawy.
Jak uporządkować dane klientów z kilku państw, sprawdzić role dostawców, właściwy organ i przekazywanie danych poza Europejski Obszar Gospodarczy.
Stan sprawdzony: 2 listopada 2026 r. Nie jesteśmy kancelarią prawną. Tekst ma charakter informacyjny i edukacyjny, nie stanowi indywidualnej porady prawnej. Przed podjęciem decyzji sprawdź przepisy właściwe dla miejsca i rodzaju działalności oraz skonsultuj sprawę z prawnikiem lub innym odpowiednim specjalistą.
Kiedy RODO może dotyczyć firmy
Rozporządzenie ma zastosowanie między innymi do przetwarzania danych w związku z działalnością jednostki organizacyjnej w UE, niezależnie od miejsca samego przetwarzania. Może też obejmować określone działania firmy spoza UE, która oferuje towary lub usługi osobom w UE albo monitoruje ich zachowanie na tym obszarze. Sam fakt, że strona jest technicznie dostępna z innego kraju, nie powinien być jedyną podstawą oceny kierowania oferty.
Sprawdź model sprzedaży, języki, rynki, waluty, dostawę i działania marketingowe. Zależnie od sytuacji mogą pojawić się dodatkowe obowiązki dotyczące przedstawiciela w UE. Firma prowadząca działalność w UK powinna osobno ocenić także przepisy brytyjskie.
Mapa danych i role dostawców
Rozpisz drogę danych od formularza zamówienia przez płatność, dostawę, księgowość i obsługę reklamacji po usunięcie lub archiwizację. Dla każdego celu ustal zakres danych, podstawę prawną, okres przechowywania i osoby z dostępem. Informacje dla klientów powinny odpowiadać rzeczywistym procesom i być zrozumiałe dla odbiorców.
Administrator ustala cele i sposoby przetwarzania, a podmiot przetwarzający działa w jego imieniu. Gdy dostawca jest procesorem, art. 28 RODO wymaga odpowiedniej umowy lub innego aktu prawnego spełniającego warunki rozporządzenia. Nie każdy odbiorca danych jest procesorem; role trzeba ustalić na podstawie faktycznej relacji.
Organ nadzorczy przy działalności transgranicznej
Mechanizm organu wiodącego ma znaczenie dla transgranicznego przetwarzania w rozumieniu RODO. EROD wyjaśnia, że przy ustalaniu organu wiodącego istotne są między innymi miejsce głównej jednostki i miejsce podejmowania decyzji o celach oraz sposobach przetwarzania. Nie wystarczy wskazać państwa, w którym firma ma najwięcej klientów.
Organ wiodący współpracuje z innymi zainteresowanymi organami. Właściwość w konkretnym przypadku wymaga oceny struktury firmy i charakteru przetwarzania. Przedsiębiorstwo bez jednostki w EOG nie powinno zakładać, że mechanizm działa identycznie jak dla firmy z główną jednostką w EOG.
Transfer poza EOG i naruszenia
Dostawca chmury lub wsparcia technicznego może uzyskiwać dostęp do danych z kraju poza EOG. Ustal, czy dochodzi do transferu w rozumieniu przepisów, do kogo i na jakiej podstawie. Może być potrzebna decyzja stwierdzająca odpowiedni stopień ochrony lub odpowiednie zabezpieczenia oraz dalsza ocena okoliczności. Samo wskazanie adresu serwera nie zawsze rozstrzyga dostęp i transfery.
Przy naruszeniu bezpieczeństwa udokumentuj zdarzenie, oceń ryzyko dla osób oraz sprawdź, czy wymagane jest zgłoszenie organowi lub poinformowanie osób. EROD wyjaśnia również, że procesor powinien zawiadomić administratora o naruszeniu bez zbędnej zwłoki. Przy przetwarzaniu transgranicznym sprawdź właściwy organ.
Przykład: sprzedaż w kilku państwach
Sklep z siedzibą w Polsce sprzedaje w kilku krajach UE i korzysta z dostawcy poczty spoza EOG. Właściciel nie powinien ograniczać się do jednej polityki prywatności. Najpierw ustala cele i role podmiotów, następnie sprawdza dokumenty dostawcy, ewentualny transfer, właściwy organ i sposób przyjmowania żądań klientów.
Jak sprawdzić dostawcę przed podpisaniem umowy
Poproś dostawcę o opis usług, podwykonawców, lokalizacji przetwarzania i dostępu serwisowego. Sprawdź, czy przetwarza dane wyłącznie na polecenie firmy, czy dla części czynności sam ustala cele. Jedna usługa może obejmować różne role dla różnych procesów, dlatego nie wystarczy etykieta w umowie.
Przeczytaj zasady bezpieczeństwa, usuwania danych, pomocy przy żądaniach i naruszeniach oraz warunki zmiany podwykonawców. Jeżeli dane trafiają poza EOG albo są stamtąd udostępniane, ustal mechanizm transferu i dokumenty potrzebne w konkretnej sytuacji.
Po zakończeniu współpracy sprawdź, co dzieje się z danymi w aktywnym systemie i kopiach, kiedy zostaną zwrócone lub usunięte oraz czy istnieje obowiązek dalszego przechowywania określonych informacji. Zapisz odpowiedzialną osobę i termin kontroli.
Najczęstsze pytania
Czy RODO dotyczy wyłącznie firm z siedzibą w UE?
Nie. W określonych sytuacjach obejmuje także podmioty spoza UE, na przykład kierujące ofertę do osób w UE.
Czy każdy zagraniczny dostawca automatycznie oznacza bezprawny transfer?
Nie. Trzeba ustalić, czy dochodzi do transferu, jakie mechanizmy i warunki mają zastosowanie oraz jakie zabezpieczenia zapewniono.
Powiązane poradniki
Źródła
| Dokument | Co zawiera |
|---|---|
| Komisja Europejska: zastosowanie RODO | Zakres terytorialny i podmioty objęte przepisami. |
| EROD: organ ochrony danych | Przetwarzanie transgraniczne i organ wiodący. |
| EROD: transfery międzynarodowe | Warunki przekazywania danych poza EOG. |
| EROD: naruszenia danych | Ocena naruszeń i zgłoszenia. |
Komentarze (0)
Brak komentarzy. Bądź pierwszy!