# Umowa powierzenia przetwarzania danych na budowie: wzór Word i PDF

- Adres: https://atestero.pl/wzory/umowa-powierzenia-danych-generalny-wykonawca-podwykonawca
- Aktualizacja: 2026-10-31
- Stan prawny sprawdzony: 2026-10-27
- Pobieranie: bezpłatnie, bez rejestracji

## W skrócie

Umowa powierzenia przetwarzania danych na budowie to pisemna umowa, w której administrator zleca generalnemu wykonawcy albo podwykonawcy przetwarzanie danych w swoim imieniu. Art. 28 ust. 3 RODO wymaga w niej przedmiotu i czasu trwania, charakteru i celu, rodzaju danych, kategorii osób oraz ośmiu obowiązków przetwarzającego. Gdy firma przetwarza dane dla własnych celów, art. 28 nie ma zastosowania.

Wzór ma dwie strony A4. Pierwsza zawiera strony i role, umowę główną, przedmiot, charakter, cel i czas powierzenia, tabelę rodzajów danych i kategorii osób oraz siedem punktów obowiązków przetwarzającego, które pokrywają art. 28 ust. 3 lit. a–h. Druga to zasady podpowierzenia z listą podmiotów, środki bezpieczeństwa z art. 32, zakończenie powierzenia, audyt i podpisy stron. Osoby, których dane dotyczą, informuje osobna [klauzula informacyjna RODO dla pracowników podwykonawcy (DOCX, PDF)](https://atestero.pl/wzory/klauzula-informacyjna-rodo-dla-pracownikow-podwykonawcy).

## Pliki do pobrania

- [Pobierz DOCX (do edycji)](https://atestero.pl/wzory/umowa-powierzenia-danych-generalny-wykonawca-podwykonawca.docx)
- [Pobierz PDF (do wydruku)](https://atestero.pl/wzory/umowa-powierzenia-danych-generalny-wykonawca-podwykonawca.pdf)

## Kiedy generalny wykonawca i podwykonawca potrzebują umowy powierzenia?

Art. 28 RODO dotyczy przetwarzania dokonywanego w imieniu administratora (ust. 1). Administrator samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania. Podmiot przetwarzający przetwarza dane w imieniu administratora (art. 4 pkt 7 i 8). RODO nie opisuje relacji generalnego wykonawcy z podwykonawcą, więc role ocenia się osobno dla każdego zbioru danych. Pytanie brzmi: kto decyduje, po co i jak te dane są przetwarzane.

Poniższe przykłady pomagają w ocenie, ale nie pochodzą z przepisu. Gdy generalny wykonawca przekazuje podwykonawcy dane lokatorów, żeby ekipa umówiła wejście do mieszkań, podwykonawca działa na polecenie i w celu ustalonym przez administratora, co przemawia za powierzeniem. Podobnie gdy podwykonawca prowadzi dla generalnego wykonawcy rejestr wejść według jego zasad. Gdy natomiast generalny wykonawca sprawdza szkolenia i badania pracowników podwykonawcy dla własnych obowiązków BHP, sam ustala cel, więc obie firmy są zwykle odrębnymi administratorami i umowa z art. 28 nie jest potrzebna. Podmiot przetwarzający, który z naruszeniem RODO sam określa cele i sposoby przetwarzania, uznaje się za administratora tego przetwarzania (art. 28 ust. 10).

> **Stan prawny sprawdzony 2026-10-27.** Art. 4 pkt 7–8, art. 28, art. 32 ust. 1, art. 33 ust. 1–2 i art. 83 ust. 4 rozporządzenia (UE) 2016/679 (RODO) sprawdzono w polskim tekście z Publications Office UE, w wersji skonsolidowanej ze sprostowaniami z 2018 i 2021 r. (odczyt 27 października 2026 r.). Wersja skonsolidowana nie wykazuje aktów zmieniających RODO. W wersji po sprostowaniu art. 28 ust. 9 odsyła do ust. 3 i 4. Przepisy nie podają wzoru umowy powierzenia, nie wyznaczają kar umownych ani nie wskazują, które relacje na budowie są powierzeniem. Przykłady z lokatorami i rejestrem wejść są ilustracją autora wzoru, a nie przepisem.

## Co musi zawierać umowa powierzenia (art. 28 ust. 3)?

Umowa albo inny instrument prawny wiąże przetwarzającego i administratora oraz określa elementy z poniższej listy. W zakresie obowiązków przetwarzającego ma stanowić w szczególności, że przetwarza on dane zgodnie z lit. a–h.

Umowa ma formę pisemną, w tym elektroniczną (ust. 9). Przepis mówi o „umowie lub innym instrumencie prawnym”, więc RODO nie wymaga odrębnego dokumentu. Zapisy można umieścić w załączniku do umowy podwykonawczej. Wzór jest osobnym dokumentem, bo łatwiej go podpisać i zmienić bez ruszania warunków handlowych.

1. przedmiot i czas trwania przetwarzania
2. charakter i cel przetwarzania
3. rodzaj danych osobowych i kategorie osób, których dane dotyczą
4. obowiązki i prawa administratora
5. lit. a: przetwarzanie wyłącznie na udokumentowane polecenie administratora
6. lit. b: zobowiązanie osób upoważnionych do tajemnicy
7. lit. c: środki bezpieczeństwa z art. 32
8. lit. d: warunki korzystania z innego podmiotu przetwarzającego
9. lit. e i f: pomoc przy żądaniach osób oraz przy obowiązkach z art. 32–36
10. lit. g: usunięcie lub zwrot danych po zakończeniu usług
11. lit. h: informacje do wykazania zgodności oraz audyty i inspekcje

## Podpowierzenie, gwarancje i odpowiedzialność

Administrator korzysta wyłącznie z podmiotów, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych (ust. 1). Przetwarzający nie korzysta z innego podmiotu bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. Przy zgodzie ogólnej informuje o zamierzonych zmianach i daje administratorowi możliwość sprzeciwu (ust. 2). Typowy przykład to dostawca chmury, w której przetwarzający trzyma pliki.

Na podmiot dalszy nakłada się te same obowiązki ochrony danych co w umowie z administratorem. Jeśli go nie wypełni, pełna odpowiedzialność wobec administratora spoczywa na pierwotnym przetwarzającym (ust. 4). Gwarancje można wykazywać m.in. zatwierdzonym kodeksem postępowania lub certyfikacją (ust. 5), a umowa może opierać się w całości lub w części na standardowych klauzulach umownych, które może przyjąć Komisja albo organ nadzorczy (ust. 6–8). Art. 28 nie wyznacza kar umownych. Przepisy o odpowiedzialności i karach (art. 82–84) działają niezależnie (ust. 10), a własne zapisy o odpowiedzialności strony wpisują w umowie.

## Co grozi za brak umowy powierzenia?

Obowiązki z art. 28 należą do obowiązków administratora i podmiotu przetwarzającego z art. 25–39. Ich naruszenie podlega administracyjnej karze pieniężnej do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą (art. 83 ust. 4 lit. a). To górna granica z przepisu. Wysokość kary w konkretnej sprawie ustala organ nadzorczy.

Przetwarzający, który stwierdzi naruszenie ochrony danych, zgłasza je administratorowi bez zbędnej zwłoki (art. 33 ust. 2). Administrator zgłasza naruszenie organowi nadzorczemu w miarę możliwości w ciągu 72 godzin od stwierdzenia, chyba że ryzyko naruszenia praw lub wolności osób jest mało prawdopodobne (art. 33 ust. 1). Dlatego wzór ma pole na czas, w jakim przetwarzający informuje administratora o incydencie. Zakres danych, które generalny wykonawca w ogóle powinien zbierać od podwykonawcy, opisuje poradnik o [RODO i dokumentach pracowników podwykonawcy](https://atestero.pl/baza-wiedzy/rodo-a-dokumenty-pracownikow-podwykonawcy).

## Co zawiera dokument

| Pole | Co wpisać |
| --- | --- |
| Strony i role | Administrator i podmiot przetwarzający: nazwa, siedziba, KRS lub NIP, reprezentacja, kontakt (art. 4 pkt 7 i 8). |
| Umowa główna i budowa | Numer i data umowy o roboty budowlane, nazwa i adres budowy. |
| Przedmiot i charakter przetwarzania | Jakie czynności na jakich danych, np. przechowywanie, wgląd, kontakt z osobami (art. 28 ust. 3). |
| Cel i czas trwania | Po co administrator powierza dane i do kiedy; miejsce przetwarzania. |
| Rodzaj danych i kategorie osób | Tabela: kategoria osób, rodzaj danych, uwagi (art. 28 ust. 3). |
| Obowiązki przetwarzającego | Siedem punktów obejmujących lit. a–h: polecenie, tajemnica, art. 32, podpowierzenie, pomoc, usunięcie, audyt. |
| Podpowierzenie | Brak, zgoda ogólna z terminem na sprzeciw albo szczegółowa; lista podmiotów dalszych (art. 28 ust. 2 i 4). |
| Środki bezpieczeństwa | Szyfrowanie, upoważnienia, kopie zapasowe, testowanie, czas zgłoszenia incydentu (art. 32 ust. 1). |
| Zakończenie, audyt, odpowiedzialność | Termin usunięcia lub zwrotu danych, tryb audytu, zapisy o odpowiedzialności i karach umownych. |

## Najczęstsze pytania

### Czy generalny wykonawca musi zawrzeć z podwykonawcą umowę powierzenia danych?

Tylko gdy jedna strona przetwarza dane w imieniu drugiej (art. 28 ust. 1). Gdy każda firma przetwarza dane dla własnych celów, na przykład generalny wykonawca sprawdza dokumenty pracowników podwykonawcy dla obowiązków BHP, strony są zwykle odrębnymi administratorami i umowa z art. 28 nie jest potrzebna. Role ocenia się dla każdego zbioru danych (art. 4 pkt 7 i 8).

### Czy umowa powierzenia może być w formie elektronicznej?

Tak. Umowa ma formę pisemną, w tym elektroniczną (art. 28 ust. 9). Przepis mówi też o „innym instrumencie prawnym”, więc zapisy mogą być częścią większej umowy, na przykład załącznikiem do umowy podwykonawczej. RODO nie opisuje, jak utrwalić formę elektroniczną, więc strony ustalają to same.

### Czy podwykonawca może powierzyć dane dalej?

Tylko za uprzednią szczegółową lub ogólną pisemną zgodą administratora (art. 28 ust. 2). Przy zgodzie ogólnej przetwarzający informuje o zamiarze dodania lub zastąpienia podmiotu i daje administratorowi czas na sprzeciw. Na podmiot dalszy przechodzą te same obowiązki, a za ich niewykonanie odpowiada wobec administratora pierwotny przetwarzający (ust. 4).

## Źródła

- [Rozporządzenie (UE) 2016/679 (RODO), polski tekst w EUR-Lex (ELI)](https://eur-lex.europa.eu/eli/reg/2016/679/oj/pol)
- [RODO, tekst skonsolidowany ze sprostowaniami z 2018 i 2021 r. (EUR-Lex)](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:02016R0679-20160504)

## Poradniki do tego wzoru

- [RODO a dokumenty pracowników podwykonawcy: co może zbierać generalny wykonawca](https://atestero.pl/baza-wiedzy/rodo-a-dokumenty-pracownikow-podwykonawcy)
- [Umowa podwykonawcza na roboty budowlane: co powinna zawierać](https://atestero.pl/baza-wiedzy/umowa-podwykonawcza-co-powinna-zawierac)
- [Dokumenty podwykonawcy do umowy i przetargu: lista, ważność, pakiet startowy](https://atestero.pl/baza-wiedzy/dokumenty-podwykonawcy-do-umowy-i-przetargu)

Źródło: Atestero, „Umowa powierzenia przetwarzania danych na budowie: wzór Word i PDF”, https://atestero.pl/wzory/umowa-powierzenia-danych-generalny-wykonawca-podwykonawca (aktualizacja 2026-10-31).