RODO w małej firmie: klienci, pracownicy i umowy powierzenia

Mała firma zbiera dane klientów, współpracowników i osób zatrudnionych, korzysta z poczty, księgowości albo systemu do obsługi zamówień. RODO nie sprowadza się do zamieszczenia jednego dokumentu na stronie. Trzeba wiedzieć, jakie dane są przetwarzane, po co, kto ma do nich dostęp i na jakiej podstawie.

Stan sprawdzony: 2 listopada 2026 r. Nie jesteśmy kancelarią prawną. Materiał ma charakter informacyjny i edukacyjny, nie jest indywidualną poradą prawną. Właściwe działania zależą od działalności firmy, rodzaju danych, ryzyka i relacji z dostawcami. W razie wątpliwości skonsultuj sprawę ze specjalistą.

Administrator i podmiot przetwarzający

Administrator ustala cele i sposoby przetwarzania danych. Podmiot przetwarzający wykonuje je w imieniu administratora. Nazwa usługi albo samo wystawienie faktury nie przesądza roli: trzeba zbadać, kto o czym decyduje i jakie dane są wykorzystywane. UODO podaje współpracę z biurem księgowym i firmą informatyczną jako przykłady, w których może występować powierzenie. Nie każde przekazanie danych innemu podmiotowi jest powierzeniem.

Przykład: firma zleca obsługę płac zewnętrznemu usługodawcy, który przetwarza określone dane na jej polecenie. W takim zakresie należy ocenić obowiązek umowy z art. 28 RODO. Z kolei przekazanie wymaganych danych organowi publicznemu na podstawie przepisu nie oznacza automatycznie, że urząd jest procesorem firmy. Wyjaśnienia UODO.

Inwentaryzacja danych i podstaw

1. Wypisz procesy: zamówienia, księgowość, zatrudnienie, rekrutację, kontakt, monitoring i marketing, jeżeli firma je prowadzi.
2. Przy każdym zapisz cel, kategorie danych i osób, źródło danych, odbiorców oraz systemy używane do pracy.
3. Ustal podstawę prawną dla konkretnego celu. Zgoda nie jest jedyną podstawą: przykładowo realizacja umowy lub obowiązek prawny mogą wymagać odrębnej oceny.
4. Określ okres przechowywania albo kryteria jego ustalania. Zapisz, kto ma dostęp i kiedy uprawnienia są odbierane.
5. Sprawdź, czy i jaki rejestr czynności przetwarzania jest wymagany, oraz czy należy przeprowadzić dodatkową ocenę ryzyka.

Informacja dla klienta i pracownika

Informacja o przetwarzaniu powinna być dostępna we właściwym czasie i odpowiadać rzeczywistym procesom firmy. Artykuły 13 i 14 RODO określają zakres informacji zależnie od sposobu pozyskania danych. Może on obejmować m.in. tożsamość administratora, cele, podstawy prawne, odbiorców, okres przechowywania oraz prawa osoby. Kopiowanie gotowej polityki bez sprawdzenia jej treści nie dokumentuje zgodności firmy.

Firma powinna umieć przyjąć i rozpatrzyć żądanie dotyczące danych, np. dostępu lub sprostowania. Uprawnienia i wyjątki zależą od żądania i podstawy przetwarzania. Przeszkól osoby przyjmujące takie wiadomości, ustal sposób weryfikacji tożsamości i przekazywania sprawy odpowiedzialnej osobie.

Umowy z dostawcami

Jeśli dostawca działa jako podmiot przetwarzający, wybierz usługę zapewniającą odpowiednie gwarancje i sprawdź wymagany przez RODO dokument. Artykuł 28 określa elementy umowy, w tym przedmiot i czas przetwarzania, charakter i cel, rodzaj danych, kategorie osób oraz obowiązki stron. Znaczenie mają także podwykonawcy, wsparcie przy incydentach, możliwość weryfikacji i zwrot lub usunięcie danych po zakończeniu usługi. UODO o obowiązkach administratora i procesora.

Sprawdź, gdzie dane są przetwarzane i czy dochodzi do przekazania poza Europejski Obszar Gospodarczy. Sam zakup usługi internetowej nie zastępuje analizy transferów, zabezpieczeń ani warunków umowy.

Bezpieczeństwo i naruszenia

Dobierz zabezpieczenia do ryzyka: ogranicz dostęp do osób, które go potrzebują, stosuj odpowiednie uwierzytelnianie, aktualizacje i kopie zapasowe. Ustal procedurę utraty urządzenia, błędnej wysyłki lub nieuprawnionego dostępu. Nie każde zdarzenie musi być zgłaszane organowi, ale każde należy ocenić i udokumentować. Obowiązek zawiadomienia oraz termin zależą od rodzaju naruszenia i ryzyka dla osób.

Lista do przeglądu

• Wykaz procesów, dostawców i systemów jest aktualny.
• Informacje dla osób odpowiadają rzeczywistości, a nie tylko wzorowi.
• Role dostawców i niezbędne umowy zostały ocenione.
• Dostęp, retencja, kopie i postępowanie przy naruszeniu mają przypisaną osobę odpowiedzialną.
• Firma potrafi przyjąć żądanie osoby, której dane dotyczą.

Co zawrzeć w praktycznym rejestrze

Dla każdej czynności zapisz cel przetwarzania, kategorie osób i danych, odbiorców, okresy przechowywania oraz stosowane zabezpieczenia. Taki przegląd pomaga wykryć zbędne dostępy i nieaktualne informacje dla klientów. To, czy formalny rejestr jest wymagany oraz w jakim zakresie, zależy od przepisów i działalności firmy.

Umowa powierzenia nie zastępuje oceny dostawcy. Sprawdź jego podwykonawców, sposób ochrony danych, warunki usunięcia lub zwrotu informacji oraz ewentualne transfery poza EOG. Jeśli dochodzi do naruszenia, firma powinna je ocenić, udokumentować i ustalić, czy wymagane jest zgłoszenie organowi lub zawiadomienie osób.

Przykład z życia firmy

Przedsiębiorca przekazuje dokumenty kadrowe zewnętrznemu biuru. Przed podpisaniem dokumentów obie strony ustalają, kto decyduje o celach i sposobach przetwarzania oraz jakie czynności wykonuje biuro. Od tej oceny zależą wymagane postanowienia i obowiązki każdej strony.

Co zrobić krok po kroku

1. Spisz cele, kategorie danych, odbiorców i okresy przechowywania.
2. Ustal podstawę prawną oraz role każdego dostawcy.
3. Sprawdź wymagane informacje, uprawnienia dostępu i umowy powierzenia.
4. Przetestuj obsługę żądań osób i procedurę naruszeń.

Najczęstsze pytania

Czy każda firma otrzymująca dane musi podpisać umowę powierzenia?

Nie. Najpierw trzeba ustalić, czy działa jako procesor, czy jako odrębny administrator, a następnie dobrać właściwą podstawę i dokumenty.

Czy sama polityka prywatności zapewnia zgodność z RODO?

Nie. Dokument musi odpowiadać praktyce, a firma powinna stosować odpowiednie środki organizacyjne i techniczne.

Źródła