---
title: "Czym jest umowa powierzenia przetwarzania danych (DPA)?"
description: "Umowa powierzenia przetwarzania danych określa, jak dostawca obchodzi się z danymi osobowymi. Sprawdź, kiedy wymaga jej RODO i które klauzule są kluczowe."
canonical: "https://contracko.com/pl/blog/co-to-jest-umowa-powierzenia-danych"
---
# Czym jest umowa powierzenia przetwarzania danych (DPA)?

Source: https://contracko.com/pl/blog/co-to-jest-umowa-powierzenia-danych

[Blog](https://contracko.com/pl/blog)

[Czym jest umowa powierzenia przetwarzania danych (DPA)?](https://contracko.com/pl/blog/co-to-jest-umowa-powierzenia-danych)

# Czym jest umowa powierzenia przetwarzania danych (DPA)?

Budi Voogt 19 maj 2026

Kopiuj dla LLM

Znasz to doskonale: pojawia się nowe narzędzie, zespół je uwielbia, a gdzieś w procesie rejestracji jest pole wyboru z treścią „akceptuję warunki przetwarzania danych”. Zaznaczasz je, bo przecież trzeba, i idziesz dalej. Kilka miesięcy później ktoś z działu prawnego prosi o „umowę powierzenia z tym dostawcą” i nikt nie jest pewien, co właściwie uzgodniono ani gdzie ten dokument leży. Widywałem to w firmach każdej wielkości i prawie nigdy nie chodzi o niedbalstwo. Chodzi o to, że umowy powierzenia są jednymi z najczęściej podpisywanych i najrzadziej czytanych dokumentów w biznesie.

Ten przewodnik ma to dla Ciebie uporządkować. Wyjaśnię, czym właściwie jest umowa powierzenia przetwarzania danych, kiedy wymaga jej RODO i które klauzule naprawdę się liczą, żebyś następnym razem, gdy ktoś zapyta Cię o umowę powierzenia, odpowiedział z pewnością siebie, a nie z gulą w żołądku.

> To praktyczne wskazówki, a nie porada prawna. W Twojej konkretnej sytuacji porozmawiaj z wykwalifikowanym specjalistą ds. ochrony danych.

Po przeczytaniu tego przewodnika:

- Zrozumiesz, czym jest umowa powierzenia i jakie role formalizuje: administratora danych i podmiot przetwarzający
- Będziesz wiedzieć, kiedy RODO zobowiązuje Cię do jej zawarcia
- Rozpoznasz klauzule, które liczą się najbardziej, gdy ją czytasz albo negocjujesz
- Wyłapiesz dwa błędy, które widzę w firmach raz za razem
- Będziesz mieć prosty pierwszy krok dla każdej umowy powierzenia, która leży teraz na Twoim biurku

## Czym właściwie jest umowa powierzenia

Umowa powierzenia przetwarzania danych (DPA), nazywana czasem aneksem o powierzeniu przetwarzania danych, to umowa między administratorem danych a podmiotem przetwarzającym. Administratorem danych jesteś Ty: firma, która decyduje, po co i jak przetwarzane są dane osobowe. Podmiotem przetwarzającym jest dostawca, który obchodzi się z tymi danymi na Twoje polecenie. Umowa powierzenia ustala zasady między wami: co dostawca może robić z danymi, jak ma je chronić i co się dzieje, gdy coś pójdzie nie tak albo relacja się kończy.

Najłatwiej wyobrazić ją sobie jako zestaw barierek ochronnych. Przekazujesz dane osobowe (swoich klientów, pracowników, dostawców) komuś innemu, żeby wykonał dla Ciebie jakąś pracę. Umowa powierzenia to pisemna obietnica, że zrobi tylko tę pracę, tylko w uzgodniony sposób, i że zwróci albo zniszczy dane, gdy praca się skończy.

Na gruncie RODO to nie jest miły dodatek. Art. 28 wymaga pisemnej umowy, gdy podmiot przetwarzający przetwarza dane osobowe w imieniu administratora. Bez niej obie strony są narażone: administrator, bo nie związał swojego podmiotu przetwarzającego w należyty sposób, a podmiot przetwarzający, bo przetwarza dane bez zgodnego z prawem polecenia. Umowa powierzenia chroni więc wszystkich, co częściowo wyjaśnia, dlaczego organy nadzorcze tak poważnie traktują jej brak.

### Administrator czy podmiot przetwarzający: dlaczego role mają znaczenie

Cała umowa opiera się na tym, kto decyduje o tym, co dzieje się z danymi. Jeśli Twój dostawca działa wyłącznie na Twoje polecenie, jest podmiotem przetwarzającym i potrzebujesz umowy powierzenia. Jeśli dostawca sam decyduje, dla własnych celów, co zrobić z danymi, jest administratorem samodzielnie i relacja podlega innym zasadom. Rozstrzygnięcie tego na wczesnym etapie oszczędza mnóstwo zamieszania później, bo decyduje o tym, które obowiązki spoczywają na której stronie.

W praktyce większość układów typu „dostawca robi coś z naszymi danymi, żebyśmy mogli prowadzić firmę” to relacje między administratorem a podmiotem przetwarzającym, i właśnie w nich umowa powierzenia robi swoją robotę. Jeśli zarządzasz zgodnością w całym stosie dostawców, zajrzyj do naszego materiału o [zarządzaniu umowami dla specjalistów ds. zgodności](https://contracko.com/pl/przypadki-uzycia/compliance-officer), który pokazuje, jak te role wyglądają na co dzień.

## Kiedy jest potrzebna

Umowy powierzenia potrzebujesz zawsze wtedy, gdy inna organizacja przetwarza dla Ciebie dane osobowe. Typowe sytuacje łatwiej rozpoznać niż definicje prawne, więc oto gdzie zwykle się pojawiają:

- Narzędzia SaaS, które przechowują dane klientów lub pracowników, takie jak CRM, helpdesk, system HR albo platforma analityczna
- Dostawcy infrastruktury chmurowej i hostingu
- Usługi płatnicze, kadrowo-płacowe i księgowe
- Platformy marketingowe i dostawcy wysyłki e-maili
- Każdy wykonawca albo agencja, która przetwarza dane osobowe Twoich klientów lub pracowników

Wzorzec jest prosty, gdy już go zobaczysz. Jeśli dostawca dotyka danych osobowych w Twoim imieniu, prawie na pewno potrzebujesz z nim umowy powierzenia. Biorąc pod uwagę, z ilu narzędzi korzysta dzisiejszy zespół, szybko się to sumuje, i to jest jeden z powodów, dla których obowiązki związane z umowami powierzenia rozjeżdżają się po firmie, zanim ktokolwiek to zauważy. Jeśli zarządzasz konkretnie dostawcami oprogramowania, podejście z [zarządzania umowami SaaS](https://contracko.com/pl/przypadki-uzycia/zarzadzanie-umowami-saas) naturalnie łączy się z utrzymywaniem porządku w umowach powierzenia.

## Klauzule, które naprawdę się liczą

Umowa powierzenia może liczyć wiele stron, a większość z nich to zapisy standardowe, które rzadko się zmieniają. Kilka postanowień ma jednak największe znaczenie i to one są pierwsze, które czytam, gdy umowa powierzenia trafia mi przed oczy.

| Klauzula | Czego dotyczy | Dlaczego ma znaczenie |
| --- | --- | --- |
| Przedmiot i czas trwania | Co jest przetwarzane, po co, jak długo oraz jakie kategorie danych i osób, których dane dotyczą, są objęte | Wyznacza zakres wszystkiego innego; jeśli jest niejasny, resztę trudno wyegzekwować |
| Przetwarzanie na udokumentowane polecenie | Podmiot przetwarzający działa na Twoje polecenie, a nie z własnej inicjatywy | Trzyma dostawcę w granicach, które wyznaczyłeś |
| Środki bezpieczeństwa | Odpowiednie środki techniczne i organizacyjne, takie jak szyfrowanie i kontrola dostępu | Tu zapobiega się naruszeniom albo je zaprasza |
| Poufność | Każdy, kto ma dostęp, jest zobowiązany do zachowania poufności danych | Rozciąga Twoją ochronę na poszczególnych pracowników |
| Podprocesorzy | Czy i jak dostawca korzysta z własnych podprocesorów oraz Twoje prawo do informacji i sprzeciwu | Nowe podmioty mogą po cichu dołączyć do łańcucha przetwarzania Twoich danych |
| Pomoc | Podmiot przetwarzający pomaga Ci odpowiadać na żądania osób, których dane dotyczą, i wywiązywać się z obowiązków | Zachowujesz możliwość terminowej realizacji praw |
| Zgłaszanie naruszeń | Podmiot przetwarzający informuje Cię bez zbędnej zwłoki, gdy dojdzie do naruszenia | Twój własny zegar sprawozdawczy często zależy od jego zegara |
| Usunięcie albo zwrot | Na koniec umowy dane są usuwane albo zwracane na Twoje polecenie | Nie pozwala danym zalegać tam, gdzie nie masz już kontroli |
| Audyty | Możesz zweryfikować zgodność przez audyty, inspekcje albo dokumenty | Zamienia powyższe obietnice w coś, co możesz sprawdzić |
| Przekazywanie danych do państw trzecich | Jeśli dane opuszczają EOG, istnieje skuteczny mechanizm przekazywania | Brakujący albo nieaktualny mechanizm czyni przekazanie niezgodnym z prawem |

Jeśli nie przeczytasz niczego więcej, przeczytaj uważnie klauzule o bezpieczeństwie, podprocesorach, zgłaszaniu naruszeń i przekazywaniu danych do państw trzecich. Z mojego doświadczenia wynika, że właśnie w tych czterech miejscach szablony dostawców różnią się najbardziej i właśnie tam cicha słabość może Cię później drogo kosztować. Gdy wprowadzasz umowę powierzenia do narzędzia takiego jak [analiza umów z AI](https://contracko.com/pl/funkcje/analiza-umow-ai), to są dokładnie te postanowienia, które warto wyeksponować jako pierwsze.

### Uwaga o przekazywaniu danych do państw trzecich

Spośród wszystkich klauzul ta wydaje się najmniej stabilna. Podstawa prawna przekazywania danych osobowych przez granice zmieniała się w ostatnich latach więcej niż raz, a umowa powierzenia, która przypięła zgodność do konkretnego mechanizmu, może stracić aktualność, choć nikt nie zmienił w niej ani słowa. Jeśli Twój dostawca przetwarza dane poza EOG, sprawdź, czy mechanizm przekazywania, na którym się opiera (często standardowe klauzule umowne), nadal obejmuje Twoje rzeczywiste przepływy danych. Utrzymywanie tego pod nadzorem to część szerszej higieny [oprogramowania do zgodności z RODO](https://contracko.com/pl/rozwiazania/oprogramowanie-do-zgodnosci-z-rodo), a nie jednorazowa kontrola.

## Częste błędy

Dwa błędy pojawiają się znacznie częściej niż inne i oba w danym momencie wydają się zupełnie zrozumiałe.

Pierwszy to podpisanie umowy powierzenia dostawcy bez jej przeczytania. Szablon przychodzi, wygląda standardowo, a pod presją terminu zostaje zatwierdzony. Kłopot polega na tym, że „standardowe” szablony po cichu faworyzują stronę, która je napisała, więc możesz skończyć, akceptując słabe warunki bezpieczeństwa, szerokie prawa do podprocesorów albo okno zgłaszania naruszeń mierzone w tygodniach, a nie w dniach. Kilka minut czytania oszczędza dużo żalu.

Drugi to podpisanie raz i zapomnienie. Umowa powierzenia to żywe zobowiązanie, a nie jednorazowy podpis. Podprocesorzy się zmieniają, zasady przekazywania danych się przesuwają, nadchodzą coroczne przeglądy i nic z tego nie wysyła Ci przypomnienia. Umowa cicho się psuje, podczas gdy wszyscy zakładają, że jest w porządku. Jest to blisko związane z szerszymi [ryzykami w zarządzaniu umowami](https://contracko.com/pl/blog/ryzyka-w-zarzadzaniu-umowami), które pojawiają się zawsze, gdy zobowiązania żyją dłużej niż uwaga im poświęcona.

Trzymanie każdej umowy powierzenia razem z umową z dostawcą, której dotyczy, ze śledzonymi terminami przeglądów i warunkami dotyczącymi podprocesorów, to coś, co zamienia zarchiwizowany PDF w rzeczywistą zgodność. Dokładnie do tego służy [zarządzanie umowami powierzenia przetwarzania danych](https://contracko.com/pl/rozwiazania/zarzadzanie-umowami-powierzenia-danych) w Contracko, oparte na [repozytorium umów](https://contracko.com/pl/funkcje/repozytorium-umow), dzięki czemu umowa powierzenia i umowa, którą reguluje, nigdy się nie rozjeżdżają.

## Szybki pierwszy krok

Jeśli masz teraz przed sobą umowę powierzenia, najszybszym sposobem, żeby ją zrozumieć, jest przepuszczenie jej przez [analizator umowy o udostępnianie danych](https://contracko.com/pl/tools/analiza-umowy-o-udostepnianie-danych). W kilka sekund wydobywa on warunki dozwolonego użycia, obowiązki w zakresie bezpieczeństwa, okresy przechowywania, okna zgłaszania naruszeń i postanowienia związane z RODO, więc wiesz, co podpisujesz, zanim to podpiszesz. Możesz go wypróbować bezpłatnie i daje Ci jasny obraz klauzul, o których pisałem powyżej, bez konieczności przedzierania się przez każdą stronę samodzielnie.

Stąd naturalnym kolejnym krokiem jest utrzymywanie tej wiedzy na bieżąco, zamiast pozwolić jej wyblaknąć. Najspokojniejszy sposób, jaki znam, to dać każdej umowie powierzenia własne miejsce, wyciągnąć z niej kluczowe daty i pozwolić systemowi przypomnieć Ci, gdy coś wymaga uwagi. To różnica między umową powierzenia, która Cię chroni, a taką, która tylko leży w folderze.

Contracko to platforma hostowana w UE, Twoje dane pozostają zaszyfrowane przy dostępie opartym na rolach, a dostawcy AI, z których korzystamy, nie trenują na Twoich umowach, więc czytanie i przechowywanie wrażliwych umów nie tworzy nowego ryzyka. Jeśli chcesz zobaczyć, jak pasuje do Twojego stosu narzędzi, dobrym punktem startu jest pełny [przegląd rozwiązań](https://contracko.com/pl/rozwiazania), a bezpłatny okres próbny czeka, kiedy będziesz gotowy.

Odezwij się, jeśli masz pytania. Każdą wiadomość czytam sam i zawsze chętnie pomogę Ci ogarnąć trudną umowę powierzenia.

## Zacznij korzystać z Contracko

Pożegnaj kłopoty z zarządzaniem umowami i subskrypcjami. Contracko pomoże Ci zachować porządek, dotrzymywać terminów i mieć wszystko pod kontrolą. Zacznij upraszczać już dziś.

[Zacznij 7-dniowy bezpłatny okres próbny](https://app.contracko.com/register?appLanguage=pl)

Umów demo