Przepisy RODO pozwalają administratorowi powierzyć przetwarzanie danych osobowych innemu podmiotowi, określanemu jako podmiot przetwarzający lub procesor. Powierzenie może obejmować w zasadzie dowolną czynność przetwarzania danych osobowych, w tym ich zbieranie, porządkowanie, przechowywanie, wykorzystywanie, rozpowszechnianie, usuwanie lub niszczenie. Zgodnie z art. 28 ust. 3 RODO przetwarzanie danych osobowych przez podmiot przetwarzający powinno odbywać się na podstawie umowy lub innego instrumentu prawnego, które wiążą administratora i podmiot przetwarzający i podlegają prawu Unii lub prawu państwa członkowskiego. Powinny one określać: przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, a także prawa i obowiązki administratora. Co istotne powierzenie przetwarzania danych osobowych nie zwalnia administratora od odpowiedzialności za prawidłowość i bezpieczeństwo przetwarzania danych osobowych, ani od obowiązków związanych z ewentualnym wystąpieniem naruszenia ochrony danych.
Art. 28 ust. 1 RODO zobowiązuje administratora do korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Obowiązkiem administratora jest więc zweryfikowanie czy podmiot, któremu zamierza powierzyć przetwarzanie takie gwarancje daje. Zgodnie bowiem ze stanowiskiem prezentowanym przez PUODO wyrażona w art. 5 ust. 2 RODO zasada rozliczalności ma zastosowanie zarówno do przetwarzania realizowanego samodzielnie przez administratora, jak i przetwarzania w jego imieniu przez podmiot przetwarzający, a co za tym idzie administrator musi szczególnie starannie zweryfikować, czy podmiot, któremu zamierza on powierzyć przetwarzanie danych osobowych, dysponuje koniecznymi w tym celu środkami i daje odpowiednie gwarancje przestrzegania obowiązujących przepisów prawa (https://uodo.gov.pl/pl/676/4258, dostęp: 31.08.2026). Weryfikacji takiej administrator powinien dokonać jeszcze przed powierzeniem danemu podmiotowi przetwarzania danych osobowych. Zgodnie z art. 28 ust. 3 lit. h RODO umowa lub instrument prawny, na podstawie którego administrator powierza przetwarzanie danych osobowych innemu podmiotowi powinien zobowiązywać ten podmiot do udostępnienia administratorowi wszelkich informacji niezbędnych do wykazania spełnienia obowiązków związanych z powierzeniem przetwarzania danych osobowych oraz umożliwiać administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji. W ocenie PUODO administrator jest zobowiązany do stałej kontroli, czy podmiot przetwarzający przetwarza dane zgodnie z prawem, a jakiekolwiek postanowienia umowy powierzenia, które w istocie ograniczałyby prawa administratora w tym zakresie, należałoby uznać za niezgodne z RODO. Podobnie należałoby ocenić także utrudnianie lub ograniczanie administratorowi możliwości przeprowadzania kontroli u podmiotu przetwarzającego lub ograniczanie jej zakresu (https://uodo.gov.pl/pl/676/4258, dostęp: 31.08.2026).
Praktyka pokazuje, że brak weryfikacji podmiotu przetwarzającego czy zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą może stanowić podstawę do nałożenia na administratora administracyjnej kary pieniężnej (por. decyzja PUODO z dnia 22 stycznia 2022 r., DKN.5130.2215.2020). W ocenie PUODO samo podpisanie umowy powierzenia przetwarzania danych osobowych bez dokonania odpowiedniej oceny podmiotu przetwarzającego nie może bowiem być uznane jako realizacja obowiązku przeprowadzenia postępowania weryfikującego podmiot przetwarzający pod kątem spełnienia przez niego wymogów RODO, a z obowiązku przeprowadzenia takiej oceny nie zwalnia nawet fakt wieloletniej współpracy i korzystania z usług danego podmiotu przetwarzającego przed dniem 25 maja 2018 r., tj. przed rozpoczęciem stosowania przepisów RODO (tamże).
Warto też podkreślić, że to administrator jest odpowiedzialny za realizację obowiązków związanych z wystąpieniem naruszenia ochrony danych. W przypadku otrzymania od podmiotu przetwarzającego informacji o zaistnieniu incydentu dotyczącego danych osobowych powierzonych do przetwarzania, administrator powinien dokonać analizy pod kątem ryzyka naruszenia praw lub wolności osób fizycznych, która jest niezbędna do oceny, czy doszło do naruszenia ochrony danych osobowych skutkującego koniecznością zgłoszenia naruszenia PUODO i zawiadomienia osób, których dotyczy naruszenie (por. https://uodo.gov.pl/pl/138/4538, dostęp: 31.08.2026). Jeżeli zgodnie z przepisami RODO taka konieczność powstanie, to właśnie administrator będzie zobowiązany do dokonania niezbędnego zgłoszenia i zawiadomień. Zgodnie z treścią art. 28 ust. 3 lit. f RODO umowa lub instrument prawny będący podstawą powierzenia przetwarzania danych osobowych powinny nakładać na podmiot przetwarzający obowiązek pomagania administratorowi w wywiązaniu się z tych obowiązków. Należy jednak przyjąć, że nie mogą one przenosić w całości tych obowiązków na podmiot przetwarzający, a w szczególności nie mogą przenosić na ten podmiot odpowiedzialności za ich prawidłowe wykonanie.
Stwierdzenie naruszenia ochrony danych w przypadku powierzenia ich przetwarzania innemu podmiotowi może dawać podstawę do odpowiedzialności zarówno administratora, jak i podmiotu przetwarzającego. Dotyczy to zarówno odpowiedzialności administracyjnej, jak i odszkodowawczej. Na możliwość stosowania administracyjnych kar pieniężnych zarówno wobec administratora, jak i podmiotu przetwarzającego wskazuje m.in. art. 83 ust. 3 RODO, a potwierdza ją praktyka PUODO (tak m.in. Decyzja PUODO z dnia 22 stycznia 2022 r., DKN.5130.2215.2020, w której PUODO zastosował administracyjną karę pieniężną jednocześnie wobec obu stron umowy powierzenia przetwarzania danych osobowych). Art. 82 ust. 1 RODO stanowi, że każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów RODO, ma prawo uzyskać odszkodowanie za poniesioną szkodę od administratora lub podmiotu przetwarzającego.
W przypadku odpowiedzialności administracyjnej przesłanki zastosowania kary pieniężnej, jak i okoliczności wpływające na jej wymiar powinny być brane pod uwagę osobno dla każdego z podmiotów uczestniczących w przetwarzaniu danych osobowych. W przypadku odpowiedzialności odszkodowawczej, zgodnie z art. 82 ust. 4 RODO, jeżeli w przetwarzaniu danych osobowych uczestniczy zarówno administrator, jak i podmiot przetwarzający, ponoszą oni odpowiedzialność solidarną za całą szkodę, tak by zapewnić osobie, której dane dotyczą, rzeczywiste uzyskanie odszkodowania. Administrator lub podmiot przetwarzający może uwolnić z tej odpowiedzialności, jeżeli udowodni, że w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody.
r.pr. Grzegorz Lubeńczuk
Kancelaria Wyrzykowscy
Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej, podatkowej ani jakiejkolwiek innej formy doradztwa. Wszelkie przedstawione w nim treści wyrażają osobiste poglądy autora oraz jego wiedzę na temat omawianych zagadnień. Autor ani wydawca nie ponoszą odpowiedzialności za ewentualne skutki wynikające z zastosowania się do informacji zawartych w artykule bez konsultacji z odpowiednim specjalistą.