Jak wybrać podmiot przetwarzający dane? 12 punktów, które trzeba sprawdzić

Jeżeli firma chce wiedzieć, jak wybrać podmiot przetwarzający dane, nie może poprzestać na podpisaniu umowy powierzenia. Administrator musi sprawdzić, czy dostawca rzeczywiście potrafi chronić dane, reagować na incydenty i wykonywać polecenia zgodnie z RODO. Powinien również umieć wykazać, na jakiej podstawie uznał gwarancje dostawcy za wystarczające.

Praktyczne znaczenie tego obowiązku dobrze pokazuje sprawa opisana przez Prezesa UODO w lipcu 2025 roku. Administrator powierzył zewnętrznej firmie obsługę systemu zawierającego dane pracowników. Umowa powierzenia została zawarta, ale administrator nie zweryfikował dostawcy pod kątem zdolności do zabezpieczenia danych, nie prowadził właściwego nadzoru i nie korzystał z przewidzianych w umowie możliwości audytu. Jedna z nałożonych na administratora kar wyniosła 1 632 063 zł i dotyczyła między innymi nieprawidłowej weryfikacji procesora.

Wniosek dla biznesu jest prosty. Sam dokument nie zastępuje rzeczywistej oceny dostawcy. W tym artykule wyjaśniamy, jak wybrać podmiot przetwarzający dane i jakie dowody zebrać, aby decyzja zakupowa była bezpieczna prawnie, operacyjnie i technologicznie.

Najważniejsze informacje

1. Administrator może korzystać wyłącznie z usług procesorów, którzy zapewniają wystarczające gwarancje zgodności i bezpieczeństwa.
2. Weryfikacja powinna nastąpić przed rozpoczęciem przetwarzania, a jej zakres należy dopasować do rodzaju danych, skali operacji i poziomu ryzyka.
3. Certyfikat, ankieta albo podpisana umowa mogą być elementami oceny, ale żaden z tych dokumentów samodzielnie nie przesądza o prawidłowym wyborze.
4. Administrator powinien znać nie tylko głównego dostawcę, lecz także dalszych procesorów uczestniczących w łańcuchu przetwarzania.
5. Ocena procesora nie kończy się w dniu podpisania umowy. Gwarancje dostawcy trzeba weryfikować w odpowiednich odstępach oraz po istotnych zmianach i incydentach.
6. Cały proces wyboru powinien pozostawić ślad dowodowy, na przykład w postaci ankiety, analizy ryzyka, notatki decyzyjnej, raportu z audytu i zatwierdzonej listy zabezpieczeń.

Dlaczego wybór procesora jest decyzją o ryzyku biznesowym?

Podmiot przetwarzający, często nazywany procesorem, wykonuje operacje na danych osobowych w imieniu administratora. Może to być dostawca hostingu, systemu CRM, chmury, programu kadrowego, platformy mailingowej, archiwum dokumentów, helpdesku, obsługi IT albo zewnętrznego call center.

Zlecenie procesu na zewnątrz nie przenosi całej odpowiedzialności na usługodawcę. Administrator nadal odpowiada za wybór partnera, określenie instrukcji, nadzór nad współpracą oraz zgodność całego procesu z RODO. Artykuł 28 ust. 1 RODO wymaga, aby administrator korzystał wyłącznie z usług takich procesorów, którzy zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.

Europejska Rada Ochrony Danych podkreśla, że zaangażowanie procesora nie może obniżać poziomu ochrony osób, których dane dotyczą. Dotyczy to również sytuacji, w której usługa opiera się na rozbudowanym łańcuchu dalszych dostawców. Im bardziej złożony ekosystem technologiczny, tym ważniejsze stają się przejrzystość, możliwość uzyskania informacji i kontrola nad zmianami.

W praktyce wybór procesora wpływa nie tylko na zgodność z prawem. Błędna decyzja może prowadzić do przerw w działalności, utraty danych, problemów z realizacją praw klientów, kosztownej migracji systemu, sporów kontraktowych i utraty reputacji. Dlatego ocena dostawcy nie powinna być traktowana jako zadanie wyłącznie dla działu prawnego.

Najpierw sprawdź, czy dostawca rzeczywiście jest procesorem

Zanim firma zacznie oceniać zabezpieczenia i negocjować umowę, powinna prawidłowo określić role stron. Nie każdy kontrahent mający kontakt z danymi jest podmiotem przetwarzającym. Dostawca może działać jako procesor, odrębny administrator albo współadministrator. W ramach jednej współpracy może także występować w różnych rolach wobec poszczególnych operacji.

Procesor działa w imieniu administratora i nie powinien wykorzystywać powierzonych danych do własnych celów. Może samodzielnie dobierać niektóre rozwiązania techniczne, ale zasadnicze cele oraz kluczowe elementy przetwarzania pozostają pod kontrolą administratora.

Jeżeli nie masz pewności, czy w danej relacji potrzebna jest umowa powierzenia, zobacz osobny poradnik BPPZ: Umowa powierzenia przetwarzania danych. Kiedy naprawdę jest potrzebna?. Nowa checklista zaczyna się w momencie, gdy role zostały już określone i wiadomo, że usługodawca ma przetwarzać dane w imieniu Twojej organizacji.

Jak wybrać podmiot przetwarzający dane zgodnie z art. 28 RODO?

RODO nie zawiera jednej, zamkniętej listy dokumentów, które zawsze trzeba uzyskać od procesora. Zakres oceny zależy od konkretnej usługi. Inaczej należy podejść do dostawcy prostego systemu rezerwacji, a inaczej do operatora platformy przetwarzającej dane zdrowotne, numery PESEL lub informacje finansowe tysięcy osób.

EROD wskazuje, że przy ocenie można brać pod uwagę wiedzę specjalistyczną, wiarygodność, zasoby i reputację dostawcy. Znaczenie mogą mieć także polityki bezpieczeństwa, wyniki audytów zewnętrznych, dokumentacja procesów, certyfikaty oraz informacje publicznie dostępne. Najważniejsze jest jednak to, czy zebrane dowody odpowiadają ryzyku konkretnego procesu.

Podobne podejście przedstawił francuski organ nadzorczy CNIL w materiale z czerwca 2025 roku. Przed powierzeniem danych administrator powinien sprawdzić kompetencje techniczne dostawcy, jego wiarygodność, zasoby ludzkie i techniczne oraz ewentualne certyfikaty lub kodeksy postępowania. CNIL podkreśla również, że umowa nie powinna ograniczać się do powtórzenia przepisów RODO. Musi konkretnie określać sposób realizacji obowiązków i poziom bezpieczeństwa wymagany dla danego procesu.

Poniższe 12 punktów tworzy praktyczny schemat weryfikacji. Pokazują one, jak wybrać podmiot przetwarzający dane na podstawie rzeczywistych gwarancji, a nie samych deklaracji.

1. Rola dostawcy i rzeczywisty zakres usługi

Pierwsze pytanie brzmi: co dokładnie dostawca będzie robił z danymi? Nie wystarczy nazwa usługi ani zapis, że kontrahent jest procesorem. Trzeba ustalić rzeczywisty model działania.

Warto opisać, czy dostawca przechowuje dane, ma do nich stały dostęp, wykonuje kopie zapasowe, świadczy wsparcie techniczne, analizuje informacje, wysyła wiadomości, prowadzi rekrutację albo obsługuje płatności. Należy również sprawdzić, czy nie chce wykorzystywać danych do własnych celów, takich jak rozwój produktu, profilowanie, reklama, trenowanie modeli lub budowanie własnych statystyk.

Jeżeli dostawca samodzielnie określa dodatkowe cele, może wychodzić poza rolę procesora. Taka sytuacja wymaga ponownej analizy ról i podstaw prawnych, a nie tylko dopisania kolejnego postanowienia do umowy.

2. Kategorie danych, osoby i skala przetwarzania

Bez dokładnego opisu danych nie da się ocenić, czy zabezpieczenia są adekwatne. Firma powinna ustalić, czy do dostawcy trafią zwykłe dane kontaktowe, dane pracowników, informacje o wynagrodzeniach, numery identyfikacyjne, dane finansowe, lokalizacyjne, zdrowotne albo dane dzieci.

Istotna jest także liczba osób, częstotliwość operacji, czas przechowywania i możliwość łączenia danych z innymi zbiorami. Proces obejmujący dziesięć adresów służbowych nie tworzy takiego samego ryzyka jak całodobowa obsługa centralnej bazy klientów.

Te informacje powinny być spójne w analizie ryzyka, opisie usługi, rejestrze czynności oraz umowie powierzenia. Rozbieżności między dokumentami często pokazują, że organizacja nie zrozumiała rzeczywistego procesu.

3. Doświadczenie, wiarygodność i zasoby procesora

Procesor powinien wykazać, że posiada wiedzę, ludzi, narzędzia i procedury potrzebne do bezpiecznego wykonania usługi. Samo zapewnienie handlowca, że firma działa zgodnie z RODO, nie jest wystarczającym dowodem.

Administrator może sprawdzić doświadczenie dostawcy w podobnych projektach, strukturę odpowiedzialności, dostępność zespołu bezpieczeństwa, sposób zapewnienia ciągłości działania oraz historię istotnych incydentów. Warto również zweryfikować, czy procesor potrafi wskazać osobę odpowiedzialną za ochronę danych i bezpieczeństwo usługi.

Certyfikaty, takie jak standardy z rodziny ISO 27000, mogą wspierać ocenę. Nie zastępują jednak analizy zakresu certyfikacji. Certyfikat dotyczący jednego centrum danych nie musi obejmować aplikacji, zespołu lub procesu, z którego będzie korzystać klient.

4. Środki techniczne i organizacyjne

Ogólna deklaracja o stosowaniu odpowiednich zabezpieczeń nie pozwala ocenić ryzyka. Administrator powinien poznać przynajmniej te środki, które mają znaczenie dla powierzanej operacji.

W zależności od usługi należy zapytać o szyfrowanie danych podczas przesyłania i przechowywania, uwierzytelnianie wieloskładnikowe, zarządzanie uprawnieniami, rejestrowanie działań użytkowników, kopie zapasowe, testy odtwarzania, aktualizacje, zarządzanie podatnościami, separację środowisk, testy bezpieczeństwa oraz ochronę urządzeń i sieci.

Trzeba także ustalić, jak często zabezpieczenia są testowane i kto analizuje wyniki. Bez tego lista środków pozostaje opisem intencji, a nie dowodem realnego działania.

Przy procesach o podwyższonym ryzyku pomocny może być audyt zgodności z RODO, obejmujący ocenę dokumentacji, praktyki organizacyjnej i zabezpieczeń związanych z dostawcami.

5. Dostęp personelu i obowiązek poufności

Procesor powinien ograniczać dostęp do danych do osób, które rzeczywiście potrzebują go do wykonania swoich zadań. Należy sprawdzić, jak przyznawane, zmieniane i odbierane są uprawnienia oraz czy dostawca prowadzi ich regularne przeglądy.

Ważne jest również zobowiązanie personelu do zachowania poufności. Administrator nie musi otrzymywać nazwisk wszystkich pracowników procesora, ale powinien wiedzieć, że istnieje skuteczny system upoważnień, szkoleń i odpowiedzialności.

W przypadku wsparcia technicznego warto zapytać, czy administratorzy systemów mają stały dostęp do danych, czy dostęp jest uruchamiany tylko na czas konkretnego zgłoszenia oraz czy każda taka operacja pozostawia ślad w logach.

6. Reagowanie na naruszenia i incydenty

Procesor ma obowiązek zawiadomić administratora o naruszeniu ochrony danych bez zbędnej zwłoki. Sama deklaracja powtórzona z RODO nie wystarczy do sprawnego działania w sytuacji kryzysowej.

Przed wyborem dostawcy trzeba ustalić kanał zgłoszenia, dostępność osób kontaktowych, zakres pierwszego komunikatu i sposób przekazywania aktualizacji. Firma powinna wiedzieć, czy dostawca działa całodobowo, jak zabezpiecza dowody, czy potrafi określić zakres zdarzenia i w jakim czasie przekaże informacje potrzebne do oceny ryzyka.

W umowie warto określić krótszy termin operacyjny, który umożliwi administratorowi dochowanie własnych obowiązków. Należy również ustalić zasady współpracy przy analizie zdarzenia, komunikacji z UODO i osobami, których dane dotyczą.

7. Dalsi podwykonawcy i cały łańcuch przetwarzania

W usługach chmurowych, SaaS i outsourcingu główny dostawca często korzysta z kolejnych podmiotów. Mogą one zapewniać hosting, wysyłkę wiadomości, wsparcie, analitykę, obsługę zgłoszeń albo kopie zapasowe.

Administrator powinien znać tożsamość procesorów i dalszych procesorów, ich lokalizację oraz rolę. EROD wskazuje, że informacje o nazwie, adresie i danych kontaktowych podmiotów uczestniczących w łańcuchu powinny być stale dostępne i aktualne.

Umowa może przewidywać zgodę szczegółową albo ogólną na angażowanie dalszych procesorów. Przy zgodzie ogólnej dostawca powinien informować o planowanych zmianach z odpowiednim wyprzedzeniem, aby administrator mógł ocenić nowy podmiot i zgłosić sprzeciw.

Nie wystarczy link do listy dostawców, która może zmienić się bez powiadomienia. Firma powinna ustalić, w jaki sposób otrzyma informację o zmianie i co może zrobić, jeżeli nowy podmiot nie spełnia jej wymagań.

8. Lokalizacja danych i transfery poza EOG

Trzeba ustalić, gdzie dane będą przechowywane, skąd może być świadczone wsparcie i czy dostęp z państwa trzeciego będzie oznaczał międzynarodowy transfer danych. Pytanie o lokalizację serwera nie zawsze daje pełną odpowiedź. Dane mogą znajdować się w Polsce, ale być dostępne dla zespołu albo podwykonawcy spoza Europejskiego Obszaru Gospodarczego.

Jeżeli dochodzi do transferu, należy wskazać właściwy mechanizm prawny i ocenić warunki jego stosowania. W zależności od sytuacji może to być decyzja stwierdzająca odpowiedni poziom ochrony, standardowe klauzule umowne lub inny instrument przewidziany w rozdziale V RODO.

Więcej o tym zagadnieniu wyjaśniamy w artykule BPPZ dotyczącym transferu danych osobowych poza EOG.

9. Pomoc w realizacji praw osób i obowiązków administratora

Procesor powinien pomagać administratorowi w obsłudze wniosków o dostęp, usunięcie, sprostowanie, ograniczenie i przeniesienie danych. Dlatego warto sprawdzić, czy system umożliwia wyszukanie danych konkretnej osoby, eksport informacji, ograniczenie operacji i trwałe usunięcie rekordów.

Istotna jest także pomoc przy analizie ryzyka, ocenie skutków dla ochrony danych, konsultacjach z organem oraz wykazywaniu zgodności. Dostawca, który nie potrafi przekazać opisu procesu i zabezpieczeń, może uniemożliwić administratorowi wykonanie jego własnych obowiązków.

Przed podpisaniem umowy dobrze jest przeprowadzić prosty test. Należy poprosić dostawcę o opis sposobu realizacji przykładowego wniosku osoby oraz wskazanie czasu potrzebnego na przygotowanie odpowiedzi.

10. Retencja, usuwanie i zwrot danych

Firma powinna wiedzieć, co stanie się z danymi po zakończeniu współpracy. Umowa musi przewidywać usunięcie albo zwrot danych, zależnie od decyzji administratora, chyba że prawo wymaga ich dalszego przechowywania.

Weryfikacja powinna objąć nie tylko główną bazę, lecz także kopie zapasowe, archiwa, logi, środowiska testowe i pliki eksportowane podczas wsparcia. Należy ustalić, w jakim terminie dane zostaną usunięte, czy dostawca potwierdzi wykonanie operacji oraz jak postąpi z kopiami, których nie można usunąć natychmiast z przyczyn technicznych.

Warto również sprawdzić możliwość przeniesienia danych do innego usługodawcy. Brak czytelnego formatu eksportu może stworzyć ryzyko uzależnienia od jednego dostawcy i utrudnić zakończenie współpracy.

11. Prawo do informacji, kontroli i audytu

Procesor powinien udostępniać informacje potrzebne do wykazania zgodności oraz umożliwiać audyty i inspekcje. W praktyce trzeba sprawdzić, czy umowne prawo kontroli można rzeczywiście wykonać.

Niektóre standardowe regulaminy ograniczają audyt do przedstawienia certyfikatu, przewidują bardzo wysokie opłaty albo pozwalają na kontrolę wyłącznie raz na kilka lat. Takie warunki mogą być niewystarczające, zwłaszcza po incydencie lub pojawieniu się sygnałów o niezgodności.

Model kontroli powinien odpowiadać skali usługi. Przy popularnym dostawcy chmurowym rozsądne może być oparcie części oceny na niezależnych raportach audytowych. Przy dedykowanym systemie przetwarzającym dane wysokiego ryzyka konieczna może być szczegółowa weryfikacja dokumentacji, testów i konfiguracji.

12. Stały nadzór, zmiany i plan wyjścia

Obowiązek korzystania wyłącznie z procesorów zapewniających wystarczające gwarancje ma charakter ciągły. Administrator powinien ustalić termin ponownej oceny oraz zdarzenia uruchamiające dodatkowy przegląd.

Takimi zdarzeniami mogą być istotny incydent, zmiana infrastruktury, nowy dalszy procesor, transfer do innego państwa, przejęcie dostawcy, rozszerzenie zakresu danych, wdrożenie funkcji AI albo znacząca zmiana regulaminu.

Warto także przygotować plan wyjścia. Powinien on określać sposób odzyskania danych, wsparcie przy migracji, terminy usunięcia kopii, odpowiedzialność za ciągłość działania i procedurę na wypadek niewypłacalności albo nagłego zakończenia usługi.

Jak udokumentować weryfikację podmiotu przetwarzającego?

Firma powinna udokumentować nie tylko to, jak wybrać podmiot przetwarzający dane, lecz także kto zatwierdził dostawcę i na podstawie jakich dowodów. Dobra ocena procesora powinna prowadzić do jasnej decyzji, którą można później odtworzyć. Nie chodzi o tworzenie rozbudowanej dokumentacji dla każdej drobnej usługi. Chodzi o zachowanie dowodu, że firma zidentyfikowała ryzyka, zadała właściwe pytania i świadomie zaakceptowała warunki współpracy.

Praktyczna karta oceny dostawcy może zawierać:

1. nazwę usługi i właściciela biznesowego procesu;
2. opis roli dostawcy;
3. kategorie danych i osób;
4. skalę, cel i czas przetwarzania;
5. poziom ryzyka;
6. listę otrzymanych dokumentów i odpowiedzi;
7. najważniejsze zabezpieczenia;
8. wykaz dalszych procesorów i lokalizacji;
9. stwierdzone braki oraz uzgodnione działania;
10. decyzję o akceptacji, akceptacji warunkowej albo odrzuceniu;
11. osobę zatwierdzającą;
12. termin następnego przeglądu.

Dowodem mogą być ankieta, protokół spotkania, raport z audytu, analiza ryzyka, korespondencja z dostawcą, kopie certyfikatów i notatka z decyzji. Ważne, aby dokumentacja pokazywała tok rozumowania, a nie tylko końcowe zaznaczenie pola „zgodne z RODO”.

Organizacje, które regularnie kupują usługi technologiczne, powinny włączyć ocenę procesora do procesu zakupowego. BPPZ wspiera firmy w ramach projektowego doradztwa prawnego, między innymi przy ocenie dostawców, negocjowaniu warunków ochrony danych i porządkowaniu odpowiedzialności między działami.

Sygnały ostrzegawcze podczas wyboru procesora

Nie każda niepełna odpowiedź oznacza, że dostawcę trzeba odrzucić. Powtarzające się uniki powinny jednak uruchomić dokładniejszą weryfikację. Szczególną ostrożność warto zachować, gdy dostawca:

1. nie potrafi jasno opisać swojej roli i sposobu korzystania z danych;
2. odmawia przekazania informacji o zabezpieczeniach, zasłaniając się wyłącznie tajemnicą przedsiębiorstwa;
3. nie podaje listy dalszych procesorów albo zmienia ją bez powiadomienia;
4. nie wskazuje lokalizacji danych i zasad dostępu spoza EOG;
5. proponuje ogólną umowę bez opisu procesu, kategorii danych i środków bezpieczeństwa;
6. nie ma procedury zgłaszania naruszeń lub nie deklaruje czasu reakcji;
7. nie umożliwia eksportu i usunięcia danych po zakończeniu współpracy;
8. chce wykorzystywać dane klienta do własnych, szeroko opisanych celów;
9. ogranicza prawo audytu w sposób, który czyni je praktycznie niewykonalnym;
10. traktuje certyfikat jako odpowiedź na każde pytanie, niezależnie od zakresu usługi.

Czy każdą firmę trzeba audytować w ten sam sposób?

Nie. Weryfikacja powinna być proporcjonalna. RODO wymaga oceny gwarancji każdego procesora, ale intensywność i forma sprawdzenia zależą od ryzyka.

Przy usłudze o ograniczonym zakresie wystarczające mogą być ankieta, analiza umowy, opis zabezpieczeń i podstawowe informacje o dostawcy. Przy dużej skali, danych szczególnych kategorii, systemach krytycznych lub skomplikowanym łańcuchu podwykonawców potrzebne mogą być dodatkowe dokumenty, raporty z testów, spotkanie techniczne albo audyt.

Niskie ryzyko nie oznacza braku obowiązku weryfikacji. Oznacza jedynie, że odpowiednie środki i dowody mogą być prostsze. Firma powinna umieć wyjaśnić, dlaczego zastosowany poziom kontroli był adekwatny.

Kto powinien uczestniczyć w wyborze dostawcy?

Najlepsze decyzje powstają na styku kilku funkcji. Właściciel biznesowy zna cel usługi i jej znaczenie operacyjne. IT potrafi ocenić architekturę, dostęp i zabezpieczenia. Dział prawny lub compliance analizuje role, umowę i transfery. Zakupy porównują warunki handlowe oraz pilnują procesu zatwierdzania. IOD może doradzać i monitorować zgodność, zachowując niezależność swojej funkcji.

W małej firmie wszystkie te perspektywy może łączyć kilka osób. Ważne, aby ocena nie kończyła się na cenie i prezentacji sprzedażowej. Jeżeli organizacja nie ma jeszcze procedury wyboru dostawców, jej przygotowanie może być elementem szerszego wdrożenia RODO.

Wybór procesora nie kończy się na podpisie

Odpowiedź na pytanie, jak wybrać podmiot przetwarzający dane, nie sprowadza się do znalezienia wzoru umowy. Administrator powinien rozumieć usługę, sprawdzić gwarancje dostawcy, ocenić zabezpieczenia, poznać łańcuch dalszych procesorów i zachować dowody swojej decyzji.

Największym błędem jest założenie, że znana marka, długa współpraca albo podpisana umowa automatycznie oznaczają zgodność. Praktyka UODO pokazuje, że organ sprawdza również rzeczywistą ocenę ryzyka i nadzór nad procesorem.

Dobrze przeprowadzona weryfikacja nie ma blokować zakupów. Powinna pozwolić organizacji podjąć świadomą decyzję, określić warunki brzegowe i uniknąć sytuacji, w której problemy wychodzą na jaw dopiero po naruszeniu danych albo kontroli.

Wybór i weryfikacja podmiotu przetwarzającego – FAQ

Źródła:

1. RODO – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.
2. EROD – Wytyczne 07/2020 dotyczące administratorów i podmiotów przetwarzających.
3. EROD – Opinia 22/2024 dotycząca procesorów i dalszych procesorów.
4. UODO – Odpowiedzialność administratora i podmiotu przetwarzającego.
5. UODO – Decyzja DKN.5130.4179.2020.
6. Komisja Europejska – Standardowe klauzule umowne 2021/915.

Shadow AI w firmie. Jak ograniczyć ryzyko naruszenia RODO?

AI zmienia skalę cyberataków. Skutki dla bezpieczeństwa firm.

Kontrola UODO bez chaosu. Jak przygotować firmę, dokumenty i pracowników?

zobacz więcej