IOD do umowy powierzenia (art. 28 RODO) i przetargu — kiedy jest wymagany

Coraz więcej dużych podmiotów — banków, ubezpieczycieli, sieci handlowych, urzędów — wymaga w umowach powierzenia przetwarzania danych (art. 28 RODO) oraz w Specyfikacjach Warunków Zamówienia (SWZ) wskazania Inspektora Ochrony Danych po stronie dostawcy. Ten wymóg dotyczy nawet tych firm, na które z art. 37 RODO obowiązek wyznaczenia IOD nie spada. Poniżej wyjaśniamy, kiedy taki wymóg jest zasadny, jak go spełnić formalnie i jak zrobić to najtaniej.

Art. 28 RODO — o czym mówi umowa powierzenia

Za każdym razem, kiedy Twoja firma przetwarza dane osobowe w imieniu innego podmiotu — na jego zlecenie, na jego rzecz, według jego instrukcji — jesteś procesorem (podmiotem przetwarzającym) w rozumieniu art. 4 pkt 8 RODO. Ten drugi podmiot jest administratorem.

Typowe sytuacje procesora:

• Prowadzisz księgowość dla klientów — przetwarzasz dane ich pracowników w ich imieniu.
• Świadczysz usługi IT/hosting/SaaS — przechowujesz i przetwarzasz dane osobowe użytkowników Twoich klientów.
• Prowadzisz obsługę marketingową — wysyłasz kampanie mailingowe do bazy klienta.
• Zajmujesz się zewnętrznymi kadrami i płacami.
• Prowadzisz call center lub obsługę reklamacji dla większego podmiotu.
• Świadczysz usługi ochrony fizycznej z monitoringiem lub kontrolą dostępu.

W każdym takim przypadku art. 28 ust. 3 RODO wymaga zawarcia pisemnej umowy powierzenia, która precyzuje: przedmiot i czas przetwarzania, charakter i cel, rodzaj danych, kategorie osób, prawa i obowiązki stron. To administrator (Twój klient) redaguje treść tej umowy — Ty ją tylko podpisujesz albo negocjujesz.

I to właśnie w tej umowie coraz częściej znajduje się klauzula typu:

„Podmiot przetwarzający zobowiązuje się do wyznaczenia Inspektora Ochrony Danych zgodnie z art. 37 RODO oraz do przekazania Administratorowi jego danych kontaktowych w terminie 14 dni od zawarcia niniejszej umowy."

Dwa różne obowiązki: IOD ustawowy vs IOD kontraktowy

Warto rozdzielić dwa niezależne źródła obowiązku wyznaczenia IOD:

Kiedy kontrahent legalnie wymaga IOD

Administrator ma z art. 28 ust. 1 RODO obowiązek doboru procesora, który zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Wymóg wyznaczenia IOD po stronie procesora jest jednym z takich środków — administratora nie da się zakwestionować za jego wprowadzenie.

Najczęściej wymóg ten pojawia się przy:

• Bankach i ubezpieczycielach — regulacje sektorowe (KNF, wytyczne EBA/EIOPA) każą im szczegółowo weryfikować compliance u dostawców.
• Podmiotach leczniczych i placówkach medycznych — przetwarzają dane szczególne (art. 9 RODO), więc wymagają wysokiego poziomu ochrony od podwykonawców.
• Jednostkach samorządu terytorialnego i urzędach — sektor publiczny sam ma obowiązek IOD i propaguje ten wymóg w łańcuchu dostaw.
• Dużych sieciach handlowych i e-commerce — vendor due diligence przy onboardingu każdego dostawcy IT lub marketingowego.
• Grupach kapitałowych — polityki grupy narzucane globalnie.

Kiedy dostajesz umowę z takim zapisem, masz trzy realne opcje: (1) wyznaczyć IOD, (2) negocjować usunięcie klauzuli — zwykle nieskuteczne, (3) zrezygnować z kontraktu. Opcja pierwsza to najczęściej najtańsze rozwiązanie ekonomiczne.

Przetargi publiczne i SWZ — praktyka

W zamówieniach publicznych, w których przedmiotem świadczenia jest przetwarzanie danych osobowych (usługi IT, hosting, kadrowo-płacowe, ochrona danych, digitalizacja, telefonia biznesowa, dostawa oprogramowania SaaS, monitoring), zamawiający coraz częściej wprowadza do SWZ następujące typy wymogów:

• Wymóg wyznaczenia IOD po stronie wykonawcy jako warunek udziału w postępowaniu (art. 112 ustawy Pzp) lub jako element wymogów bezpieczeństwa.
• Obowiązek załączenia do oferty zaświadczenia UODO o zgłoszeniu IOD lub oświadczenia w tej sprawie.
• Wymóg wskazania IOD w projekcie umowy powierzenia stanowiącym załącznik do SWZ.

Krajowa Izba Odwoławcza (KIO) w orzeczeniach z lat 2020–2024 wielokrotnie potwierdziła, że takie wymogi są dopuszczalne, o ile są proporcjonalne do przedmiotu zamówienia i nie ograniczają konkurencji ponad miarę. W praktyce oznacza to, że mikrofirma bez IOD zostanie wykluczona — i nie da się tego skutecznie zaskarżyć.

Rozwiązanie jest proste: zawierasz umowę outsourcingu IOD przed złożeniem oferty, dostajesz numer zgłoszenia z UODO i dane kontaktowe IOD, i te informacje wpisujesz do oferty. Rocznie kosztuje Cię to 3000 zł netto (pakiet Starter), a kontrakt może być wart 100 000 zł i więcej.

Jak formalnie spełnić wymóg

Proces zajmuje 3–7 dni roboczych:

1. Zawarcie umowy outsourcingu IOD — z zewnętrzną firmą lub konkretnym Inspektorem Ochrony Danych. Umowa powinna precyzować zakres obowiązków, dostępność, czas reakcji na incydent i wynagrodzenie.
2. Zgłoszenie IOD do Prezesa UODO — obowiązek z art. 10 ustawy o ochronie danych osobowych. Zgłoszenia dokonuje administrator (Twoja firma) w formularzu elektronicznym na stronie uodo.gov.pl. Termin: 14 dni od wyznaczenia. Otrzymujesz automatycznie generowany numer zgłoszenia.
3. Publikacja danych kontaktowych IOD — dodajesz je do klauzul informacyjnych na stronie internetowej, w regulaminach, umowach i formularzach. Wymóg z art. 37 ust. 7 RODO.
4. Przekazanie danych IOD administratorowi — kontrahent, który tego wymaga, dostaje krótkie oświadczenie (wystarczy jedna strona) zawierające: imię i nazwisko IOD, dane kontaktowe (e-mail i telefon), numer zgłoszenia w UODO, datę wyznaczenia.
5. Ewentualnie: zaświadczenie o zgłoszeniu — jeżeli SWZ tego wymaga, IOD może wystąpić do UODO o wydanie oficjalnego zaświadczenia (bezpłatnie, termin ok. 7 dni).

Najtańsze rozwiązanie dla mikrofirmy

Dla firm, dla których wymóg wyznaczenia IOD wynika wyłącznie z umowy powierzenia lub SWZ (a nie z art. 37 RODO), realną opcją ekonomiczną jest pakiet Starter za 250 zł netto miesięcznie. Zawiera on wszystko, czego wymaga typowy kontrahent:

• Wskazanie z imienia i nazwiska konkretnego IOD (spółka lub osoba fizyczna).
• Zgłoszenie IOD do Prezesa UODO wraz z numerem zgłoszenia.
• Publikację danych kontaktowych IOD dla podmiotów danych.
• Gotowość IOD do współpracy w razie incydentu (72 h).
• 1 godzinę konsultacji miesięcznie na bieżące pytania.

Roczny koszt: 3 000 zł netto. Dla porównania — pojedynczy kontrakt z siecią handlową lub bankiem może być wart 50–500 tys. zł rocznie. Ekonomicznie: bezdyskusyjne.

Najczęściej zadawane pytania