Ankieta RODO w przetargu – jak ją wypełnić i dlaczego warto mieć IOD
Startujesz w przetargu – na dostawę sprzętu, urządzeń, oprogramowania czy usług – i wraz z dokumentacją dostajesz do wypełnienia „Ankietę dla Podmiotu Przetwarzającego” (zwykle jako załącznik nr 1 do umowy powierzenia). To formularz, którym zamawiający sprawdza, czy Twoja firma wdrożyła środki techniczne i organizacyjne gwarantujące przetwarzanie danych zgodnie z RODO. Co istotne, ankieta bywa wymagana nawet wtedy, gdy realnie nie przetwarzasz danych zamawiającego – wielu zamawiających wysyła ją standardowo do wszystkich wykonawców. Pierwsze pytania dotyczą wprost Inspektora Ochrony Danych (IOD) – i tu wiele firm traci punkty. Poniżej wyjaśniamy, jak wypełnić taką ankietę i dlaczego outsourcing IOD sprawia, że wygląda ona wiarygodnie i zwiększa szanse na kontrakt.
Najważniejsze w jednym zdaniu
Ankieta przetargowa RODO ocenia dojrzałość ochrony danych u dostawcy, a jej pierwsze pytania sprawdzają, czy masz wyznaczonego i zgłoszonego IOD oraz jakie ma kompetencje. Odpowiedź „TAK” z konkretnym kontaktem i kwalifikacjami buduje wiarygodność – a najszybciej i najtaniej uzyskasz ją przez outsourcing IOD.
W skrócie – najważniejsze fakty
- Co to jest: ankieta dla podmiotu przetwarzającego to załącznik do umowy powierzenia (art. 28 RODO), weryfikujący środki techniczne i organizacyjne dostawcy.
- Kogo dotyczy: firm startujących w przetargach (dostawcy sprzętu, urządzeń, IT, SaaS, usług). Ankieta bywa wymagana nawet wtedy, gdy realnie nie przetwarzasz danych zamawiającego.
- Pierwsze pytania: o IOD – czy wyznaczony i zgłoszony do UODO, jakie ma kompetencje, jak zapewniono mu niezależność i zastępstwo.
- Dlaczego to ważne: „NIE” przy pytaniach o IOD osłabia ocenę oferty, nawet jeśli formalnie nie masz obowiązku wyznaczenia IOD.
- Rozwiązanie: outsourcing IOD (od 250 zł netto/mc) – gotowy, udokumentowany inspektor + pomoc w wypełnieniu całej ankiety, uruchamiany w kilka dni.
Czym jest ankieta dla podmiotu przetwarzającego
Gdy wykonawca w ramach realizacji zamówienia będzie przetwarzał dane osobowe w imieniu zamawiającego (administratora), strony zawierają umowę powierzenia przetwarzania danych osobowych na podstawie art. 28 RODO. Coraz częściej do takiej umowy dołączany jest załącznik – ankieta weryfikująca środki techniczne i organizacyjne. Zamawiający chce w ten sposób potwierdzić, że dostawca daje – jak wymaga art. 28 ust. 1 RODO – „wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych”.
Ankieta ma zwykle formę tabeli z kilkunastoma–kilkudziesięcioma pozycjami. Dla każdego elementu zabezpieczenia dostawca opisuje sposób jego zastosowania (konwencja odpowiedzi to najczęściej TAK/NIE + opis) albo uzasadnia odstąpienie od danego środka. Podpisuje ją osoba reprezentująca podmiot przetwarzający. To dokument, który realnie wpływa na ocenę wiarygodności wykonawcy.
Ankieta bez faktycznego przetwarzania danych
W praktyce zamawiający często wysyłają ankietę standardowo do wszystkich wykonawców – także tam, gdzie realizacja kontraktu nie wiąże się z powierzeniem danych (np. dostawa lub instalacja urządzenia bez dostępu do danych osobowych zamawiającego). Nawet w takiej sytuacji formularz i tak trzeba rzetelnie wypełnić i złożyć, a pytania o IOD i wdrożone środki pojawiają się identycznie. Jeżeli realnie nie dochodzi do powierzenia, warto to zaznaczyć w opisie – ale dobrze wypełniona ankieta (z „TAK” przy IOD) i tak wzmacnia Twoją ofertę.
Kogo dotyczy – dostawcy w przetargach
Ankieta pojawia się najczęściej tam, gdzie realizacja kontraktu może wiązać się z dostępem do danych osobowych zamawiającego – ale bywa wysyłana również „na zapas” do wszystkich wykonawców. W praktyce dotyczy m.in.:
- dostawców sprzętu, urządzeń i systemów instalowanych u zamawiającego,
- dostawców oprogramowania i usług IT, SaaS, hostingu, integratorów,
- firm świadczących usługi serwisowe i utrzymaniowe z dostępem do infrastruktury,
- wykonawców usług outsourcingu procesów (BPO), call center, archiwizacji, niszczenia dokumentów,
- dostawców do podmiotów publicznych, szpitali, uczelni, banków i ubezpieczycieli.
Jeżeli Twoja oferta trafia do sektora regulowanego (medycyna, finanse, administracja), spodziewaj się, że ankieta będzie szczegółowa, a odpowiedzi będą realnie oceniane, nie tylko archiwizowane.
Pytania o IOD – najczęstszy słaby punkt
Ankiety tego typu prawie zawsze zaczynają się od pytań o Inspektora Ochrony Danych. To nieprzypadkowe – obecność kompetentnego IOD jest dla zamawiającego szybkim wskaźnikiem dojrzałości ochrony danych. Typowe pierwsze pytania brzmią:
| Pytanie z ankiety | Czego oczekuje zamawiający |
|---|---|
| Czy podmiot wyznaczył i poprawnie zgłosił IOD do organu nadzorczego? | Odpowiedź „TAK” + dane kontaktowe IOD. Zgłoszenie do UODO zgodnie z rozdziałem 2 ustawy o ochronie danych osobowych. |
| Jakie formalne kompetencje posiada IOD? | Kierunkowe kursy i szkolenia (z datami), wykształcenie, doświadczenie – potwierdzenie „wiedzy fachowej” z art. 37 ust. 5 RODO. |
| Jak zapewniono IOD włączanie do spraw, niezależność i wsparcie? | Konkretne zapisy z polityk, procedur, pełnomocnictw lub decyzji (art. 38 RODO). |
| Czy wyznaczono osobę zastępującą IOD / zespół wspierający? | Opis ciągłości funkcji IOD (zastępstwo, wsparcie). |
Firma bez IOD musi w tych rubrykach wpisać „NIE” lub tłumaczyć się brakiem obowiązku. Nawet jeśli formalnie IOD nie jest wymagany (art. 37 RODO), taka odpowiedź obniża postrzeganą wiarygodność w zestawieniu z konkurentem, który ma zgłoszonego inspektora z udokumentowanymi kompetencjami.
Przegląd ankiety – co trzeba wykazać
Poza IOD ankieta obejmuje pełen przekrój środków technicznych i organizacyjnych. Poniżej najczęstsze bloki tematyczne – warto przygotować odpowiedzi zawczasu:
| Obszar | Co trzeba wykazać w ankiecie |
|---|---|
| Dokumentacja RODO | Wdrożona polityka bezpieczeństwa, procedury, instrukcje i rejestry normujące przetwarzanie danych (z nazwami dokumentów i zakresem). |
| Uznane standardy | Wdrożone rozwiązania, np. normy ISO (27000, 29000, 31000), zatwierdzone kodeksy postępowania (art. 40 RODO) lub certyfikacja (art. 42 RODO), jeśli dotyczy. |
| Incydenty i ciągłość | Wdrożone i testowane mechanizmy obsługi incydentów oraz plany ciągłości działania (tak/nie/w trakcie + komentarz). |
| Systemy informatyczne | Dla każdego systemu: zakres danych, lokalizacja, przepływy, szyfrowanie/pseudonimizacja, uwierzytelnianie, kopie zapasowe, logi, separacja danych różnych administratorów, retencja, rozdział środowisk test/produkcja, zasady serwisu i dostępu, zabezpieczenie poczty. |
| Podpowierzenie | Zakres ewentualnego podpowierzenia, nadzór nad podwykonawcą, transfery poza EOG i mechanizmy zabezpieczeń. |
| Audyty i ryzyko | Okresowe audyty zgodności (metody, standardy), szacowanie ryzyka / ocena skutków (DPIA), historia kontroli organu nadzorczego. |
| Ludzie i dostęp | Zapoznanie personelu z przepisami, upoważnienia, klauzule poufności (także po ustaniu współpracy), zasady nadawania i dokumentowania dostępu. |
| Bezpieczeństwo fizyczne | Kontrola dostępu do stref i pomieszczeń (w tym serwerowni), zasady przesyłania nośników (elektronicznych i papierowych), obsługa wielu administratorów. |
Jak widać, ankieta to w praktyce mini-audyt zgodności. Wypełnienie jej rzetelnie wymaga aktualnej dokumentacji i osoby, która potrafi przełożyć praktykę firmy na język RODO – czyli właśnie IOD.
Dlaczego IOD poprawia wynik ankiety
Posiadanie Inspektora Ochrony Danych – najczęściej w modelu outsourcingu IOD – realnie podnosi jakość i wiarygodność ankiety z kilku powodów:
- Odpowiedź „TAK” na pytania o IOD – z kontaktem, kwalifikacjami i zapisami o niezależności. To otwiera ankietę mocnym punktem.
- Spójna dokumentacja – IOD dba, by polityki, rejestry, upoważnienia i procedury istniały i były aktualne, więc kolejne rubryki wypełniasz konkretami, a nie ogólnikami.
- Profesjonalny język odpowiedzi – inspektor formułuje opisy tak, jak oczekuje tego oceniający, powołując konkretne artykuły RODO.
- Gotowość na pytania o incydenty, ciągłość i ryzyko – IOD prowadzi te obszary na bieżąco, więc masz co wpisać.
- Podpis i wiarygodność – obecność zewnętrznego, udokumentowanego IOD sygnalizuje zamawiającemu dojrzałość organizacyjną.
Przewaga w przetargu
Przy porównywalnych ofertach zamawiający wybiera dostawcę, który budzi mniejsze ryzyko. Kompletnie i wiarygodnie wypełniona ankieta RODO – z „TAK” przy pytaniach o IOD – bywa właśnie tym języczkiem u wagi. Outsourcing IOD to inwestycja, która zwraca się przy pierwszym wygranym kontrakcie.
Jak wypełnić ankietę krok po kroku
- Zbierz dokumentację RODO – polityka bezpieczeństwa, rejestry czynności (RCPD), procedury, upoważnienia, klauzule poufności. To materiał źródłowy do odpowiedzi.
- Wskaż IOD i kompetencje – potwierdź wyznaczenie i zgłoszenie do UODO, podaj kontakt oraz kursy/szkolenia z datami.
- Opisz systemy IT – dla każdego systemu: zakres danych, lokalizacja, szyfrowanie, dostęp, kopie zapasowe, logi, separacja, retencja, serwis. Przepływy najlepiej pokazać diagramem.
- Uzupełnij incydenty i ciągłość – wskaż wdrożone i testowane procedury; jeśli coś jest „w trakcie”, dodaj krótki komentarz.
- Opisz obszar ludzi i dostępu – szkolenia, upoważnienia, poufność, zasady nadawania i dokumentowania dostępu.
- Skonsultuj całość z IOD – inspektor sprawdza spójność, uzupełnia braki i pomaga podpisać dokument przed złożeniem oferty.
Najczęstsze błędy
- Puste lub ogólnikowe pola – „stosujemy odpowiednie środki” bez konkretów obniża ocenę.
- „NIE” przy IOD bez wyjaśnienia – jeśli nie masz obowiązku, i tak warto rozważyć IOD; brak inspektora to sygnał ryzyka.
- Nieaktualna dokumentacja – powoływanie się na polityki, których realnie nie ma lub nie są wdrożone.
- Deklaracje niezgodne ze stanem faktycznym – ankietę podpisuje osoba reprezentująca podmiot; nieprawda naraża na odpowiedzialność i utratę kontraktu.
- Pominięcie podpowierzenia i transferów poza EOG – częsty brak przy dostawcach korzystających z chmury.
Najczęściej zadawane pytania
Co to jest ankieta dla podmiotu przetwarzającego w przetargu?
To załącznik do umowy powierzenia przetwarzania danych osobowych (art. 28 RODO), którym zamawiający weryfikuje, czy dostawca wdrożył odpowiednie środki techniczne i organizacyjne zgodne z RODO. Zawiera zwykle kilkanaście–kilkadziesiąt pytań o IOD, politykę bezpieczeństwa, obsługę incydentów, ciągłość działania, zabezpieczenia systemów IT, upoważnienia i kontrolę dostępu.
Dostajemy ankietę, choć nie przetwarzamy danych zamawiającego. Czy trzeba ją wypełnić?
Tak. Wielu zamawiających wysyła ankietę standardowo do wszystkich wykonawców – także tam, gdzie realizacja kontraktu nie wiąże się z powierzeniem danych (np. dostawa lub instalacja urządzenia bez dostępu do danych osobowych). Formularz i tak trzeba rzetelnie wypełnić i złożyć. Jeżeli realnie nie dochodzi do powierzenia danych, warto to zaznaczyć w opisie, ale pytania o IOD i wdrożone środki pojawiają się identycznie – a dobra odpowiedź wzmacnia ofertę.
Czy do przetargu trzeba mieć wyznaczonego IOD?
Prawo nie zawsze tego wymaga – obowiązek wynika z art. 37 RODO i dotyczy części podmiotów. Jednak ankiety przetargowe pytają wprost, czy wyznaczono i zgłoszono IOD do UODO oraz jakie ma kompetencje. Odpowiedź „NIE” osłabia ocenę, nawet gdy formalnie nie masz obowiązku. Dlatego firmy startujące w przetargach często decydują się na outsourcing IOD.
Jak outsourcing IOD pomaga wygrać przetarg?
Dostajesz gotowego, udokumentowanego Inspektora Ochrony Danych z potwierdzonymi kompetencjami, zgłoszonego do UODO. Dzięki temu w ankiecie odpowiadasz „TAK” na pytania o IOD, podajesz kontakt i kwalifikacje, a inspektor pomaga wypełnić pozostałe pola. To podnosi wiarygodność oferty i zmniejsza ryzyko odrzucenia na etapie weryfikacji podmiotu przetwarzającego.
Ile kosztuje IOD dla firmy startującej w przetargach?
Outsourcing IOD zaczyna się od ok. 250 zł netto miesięcznie w pakiecie Starter dla podmiotów o ograniczonej skali przetwarzania. Dla firm z sektora regulowanego wycena jest indywidualna. To koszt nieporównywalnie niższy niż wartość utraconego kontraktu.
Czy zdążę uzyskać IOD przed terminem składania oferty?
Tak. Outsourcing IOD można uruchomić szybko – wyznaczenie inspektora, zgłoszenie do UODO i przygotowanie dokumentów do ankiety realizuje się zwykle w kilka dni roboczych, a w trybie pilnym z dnia na dzień.
Masz przetarg i ankietę RODO do wypełnienia?
Uruchomimy dla Ciebie outsourcing IOD, zgłosimy inspektora do UODO i pomożemy wypełnić ankietę dla podmiotu przetwarzającego tak, aby wyglądała wiarygodnie i wzmacniała ofertę. Działamy również w trybie pilnym – przed terminem składania ofert. Pakiet Starter od 250 zł netto/mc.
Zapytaj o IOD do przetargu → Zobacz cennik outsourcingu IOD