Wzory dokumentów
Umowa powierzenia przetwarzania danych na budowie: wzór Word i PDF
Wzór ma dwie strony A4. Pierwsza zawiera strony i role, umowę główną, przedmiot, charakter, cel i czas powierzenia, tabelę rodzajów danych i kategorii osób oraz siedem punktów obowiązków przetwarzającego, które pokrywają art. 28 ust. 3 lit. a–h. Druga to zasady podpowierzenia z listą podmiotów, środki bezpieczeństwa z art. 32, zakończenie powierzenia, audyt i podpisy stron. Osoby, których dane dotyczą, informuje osobna klauzula informacyjna RODO dla pracowników podwykonawcy (DOCX, PDF).
W skrócie
Umowa powierzenia przetwarzania danych na budowie to pisemna umowa, w której administrator zleca generalnemu wykonawcy albo podwykonawcy przetwarzanie danych w swoim imieniu. Art. 28 ust. 3 RODO wymaga w niej przedmiotu i czasu trwania, charakteru i celu, rodzaju danych, kategorii osób oraz ośmiu obowiązków przetwarzającego. Gdy firma przetwarza dane dla własnych celów, art. 28 nie ma zastosowania.
Opracowanie: Jędrzej Poliński · Aktualizacja 31 października 2026 r. · Stan prawny sprawdzony 27 października 2026 r.
Kiedy generalny wykonawca i podwykonawca potrzebują umowy powierzenia?
Art. 28 RODO dotyczy przetwarzania dokonywanego w imieniu administratora (ust. 1). Administrator samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania. Podmiot przetwarzający przetwarza dane w imieniu administratora (art. 4 pkt 7 i 8). RODO nie opisuje relacji generalnego wykonawcy z podwykonawcą, więc role ocenia się osobno dla każdego zbioru danych. Pytanie brzmi: kto decyduje, po co i jak te dane są przetwarzane.
Poniższe przykłady pomagają w ocenie, ale nie pochodzą z przepisu. Gdy generalny wykonawca przekazuje podwykonawcy dane lokatorów, żeby ekipa umówiła wejście do mieszkań, podwykonawca działa na polecenie i w celu ustalonym przez administratora, co przemawia za powierzeniem. Podobnie gdy podwykonawca prowadzi dla generalnego wykonawcy rejestr wejść według jego zasad. Gdy natomiast generalny wykonawca sprawdza szkolenia i badania pracowników podwykonawcy dla własnych obowiązków BHP, sam ustala cel, więc obie firmy są zwykle odrębnymi administratorami i umowa z art. 28 nie jest potrzebna. Podmiot przetwarzający, który z naruszeniem RODO sam określa cele i sposoby przetwarzania, uznaje się za administratora tego przetwarzania (art. 28 ust. 10).
Stan prawny sprawdzony 27 października 2026 r.
Art. 4 pkt 7–8, art. 28, art. 32 ust. 1, art. 33 ust. 1–2 i art. 83 ust. 4 rozporządzenia (UE) 2016/679 (RODO) sprawdzono w polskim tekście z Publications Office UE, w wersji skonsolidowanej ze sprostowaniami z 2018 i 2021 r. (odczyt 27 października 2026 r.). Wersja skonsolidowana nie wykazuje aktów zmieniających RODO. W wersji po sprostowaniu art. 28 ust. 9 odsyła do ust. 3 i 4. Przepisy nie podają wzoru umowy powierzenia, nie wyznaczają kar umownych ani nie wskazują, które relacje na budowie są powierzeniem. Przykłady z lokatorami i rejestrem wejść są ilustracją autora wzoru, a nie przepisem.
Co musi zawierać umowa powierzenia (art. 28 ust. 3)?
Umowa albo inny instrument prawny wiąże przetwarzającego i administratora oraz określa elementy z poniższej listy. W zakresie obowiązków przetwarzającego ma stanowić w szczególności, że przetwarza on dane zgodnie z lit. a–h.
Umowa ma formę pisemną, w tym elektroniczną (ust. 9). Przepis mówi o „umowie lub innym instrumencie prawnym”, więc RODO nie wymaga odrębnego dokumentu. Zapisy można umieścić w załączniku do umowy podwykonawczej. Wzór jest osobnym dokumentem, bo łatwiej go podpisać i zmienić bez ruszania warunków handlowych.
- przedmiot i czas trwania przetwarzania
- charakter i cel przetwarzania
- rodzaj danych osobowych i kategorie osób, których dane dotyczą
- obowiązki i prawa administratora
- lit. a: przetwarzanie wyłącznie na udokumentowane polecenie administratora
- lit. b: zobowiązanie osób upoważnionych do tajemnicy
- lit. c: środki bezpieczeństwa z art. 32
- lit. d: warunki korzystania z innego podmiotu przetwarzającego
- lit. e i f: pomoc przy żądaniach osób oraz przy obowiązkach z art. 32–36
- lit. g: usunięcie lub zwrot danych po zakończeniu usług
- lit. h: informacje do wykazania zgodności oraz audyty i inspekcje
Podpowierzenie, gwarancje i odpowiedzialność
Administrator korzysta wyłącznie z podmiotów, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych (ust. 1). Przetwarzający nie korzysta z innego podmiotu bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. Przy zgodzie ogólnej informuje o zamierzonych zmianach i daje administratorowi możliwość sprzeciwu (ust. 2). Typowy przykład to dostawca chmury, w której przetwarzający trzyma pliki.
Na podmiot dalszy nakłada się te same obowiązki ochrony danych co w umowie z administratorem. Jeśli go nie wypełni, pełna odpowiedzialność wobec administratora spoczywa na pierwotnym przetwarzającym (ust. 4). Gwarancje można wykazywać m.in. zatwierdzonym kodeksem postępowania lub certyfikacją (ust. 5), a umowa może opierać się w całości lub w części na standardowych klauzulach umownych, które może przyjąć Komisja albo organ nadzorczy (ust. 6–8). Art. 28 nie wyznacza kar umownych. Przepisy o odpowiedzialności i karach (art. 82–84) działają niezależnie (ust. 10), a własne zapisy o odpowiedzialności strony wpisują w umowie.
Co grozi za brak umowy powierzenia?
Obowiązki z art. 28 należą do obowiązków administratora i podmiotu przetwarzającego z art. 25–39. Ich naruszenie podlega administracyjnej karze pieniężnej do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą (art. 83 ust. 4 lit. a). To górna granica z przepisu. Wysokość kary w konkretnej sprawie ustala organ nadzorczy.
Przetwarzający, który stwierdzi naruszenie ochrony danych, zgłasza je administratorowi bez zbędnej zwłoki (art. 33 ust. 2). Administrator zgłasza naruszenie organowi nadzorczemu w miarę możliwości w ciągu 72 godzin od stwierdzenia, chyba że ryzyko naruszenia praw lub wolności osób jest mało prawdopodobne (art. 33 ust. 1). Dlatego wzór ma pole na czas, w jakim przetwarzający informuje administratora o incydencie. Zakres danych, które generalny wykonawca w ogóle powinien zbierać od podwykonawcy, opisuje poradnik o RODO i dokumentach pracowników podwykonawcy.
Wzór, narzędzie czy poradnik?
Wzór pobierasz, gdy potrzebujesz gotowego dokumentu do wypełnienia i podpisu. Gdy chcesz najpierw zrozumieć, co dokument powinien zawierać i dlaczego, zacznij od poradnika.
- Poradnik: RODO a dokumenty pracowników podwykonawcy: co może zbierać generalny wykonawca. Wyjaśnienie zasad, podstaw prawnych i typowych sytuacji, bez pliku do pobrania.
Co zawiera dokument
Poniżej pola, które znajdziesz w pliku. Podpowiedź pokazuje, co w nie wpisać.
| Nr | Pole | Co wpisać |
|---|---|---|
| 01 | Strony i role | Administrator i podmiot przetwarzający: nazwa, siedziba, KRS lub NIP, reprezentacja, kontakt (art. 4 pkt 7 i 8). |
| 02 | Umowa główna i budowa | Numer i data umowy o roboty budowlane, nazwa i adres budowy. |
| 03 | Przedmiot i charakter przetwarzania | Jakie czynności na jakich danych, np. przechowywanie, wgląd, kontakt z osobami (art. 28 ust. 3). |
| 04 | Cel i czas trwania | Po co administrator powierza dane i do kiedy; miejsce przetwarzania. |
| 05 | Rodzaj danych i kategorie osób | Tabela: kategoria osób, rodzaj danych, uwagi (art. 28 ust. 3). |
| 06 | Obowiązki przetwarzającego | Siedem punktów obejmujących lit. a–h: polecenie, tajemnica, art. 32, podpowierzenie, pomoc, usunięcie, audyt. |
| 07 | Podpowierzenie | Brak, zgoda ogólna z terminem na sprzeciw albo szczegółowa; lista podmiotów dalszych (art. 28 ust. 2 i 4). |
| 08 | Środki bezpieczeństwa | Szyfrowanie, upoważnienia, kopie zapasowe, testowanie, czas zgłoszenia incydentu (art. 32 ust. 1). |
| 09 | Zakończenie, audyt, odpowiedzialność | Termin usunięcia lub zwrotu danych, tryb audytu, zapisy o odpowiedzialności i karach umownych. |
Pytania o dokument: Umowa powierzenia przetwarzania danych na budowie: wzór Word i PDF
Odpowiedzi opisują praktykę i podstawy prawne.
01Czy generalny wykonawca musi zawrzeć z podwykonawcą umowę powierzenia danych?
Tylko gdy jedna strona przetwarza dane w imieniu drugiej (art. 28 ust. 1). Gdy każda firma przetwarza dane dla własnych celów, na przykład generalny wykonawca sprawdza dokumenty pracowników podwykonawcy dla obowiązków BHP, strony są zwykle odrębnymi administratorami i umowa z art. 28 nie jest potrzebna. Role ocenia się dla każdego zbioru danych (art. 4 pkt 7 i 8).
02Czy umowa powierzenia może być w formie elektronicznej?
Tak. Umowa ma formę pisemną, w tym elektroniczną (art. 28 ust. 9). Przepis mówi też o „innym instrumencie prawnym”, więc zapisy mogą być częścią większej umowy, na przykład załącznikiem do umowy podwykonawczej. RODO nie opisuje, jak utrwalić formę elektroniczną, więc strony ustalają to same.
03Czy podwykonawca może powierzyć dane dalej?
Tylko za uprzednią szczegółową lub ogólną pisemną zgodą administratora (art. 28 ust. 2). Przy zgodzie ogólnej przetwarzający informuje o zamiarze dodania lub zastąpienia podmiotu i daje administratorowi czas na sprzeciw. Na podmiot dalszy przechodzą te same obowiązki, a za ich niewykonanie odpowiada wobec administratora pierwotny przetwarzający (ust. 4).