Co powinna zawierać umowa z zewnętrznym inspektorem ochrony danych?

Dlaczego to pytanie w ogóle powstaje

Rozporządzenie dopuszcza dwie formy pełnienia funkcji. Zgodnie z art. 37 ust. 6 RODO inspektor może być członkiem personelu administratora lub podmiotu przetwarzającego albo wykonywać zadania na podstawie umowy o świadczenie usług. Treści takiej umowy rozporządzenie nie reguluje. Nie wskazuje jej obowiązkowych postanowień ani trybu jej zakończenia, choć art. 38 wyznacza granice obu.

Lukę wypełnia zwykle wzór, który dział zakupów zna najlepiej. Dostawca z dostępem do danych dostaje umowę powierzenia, a dostawca usługi dostaje mierniki jakości i prawo zamawiającego do poleceń. W mojej ocenie oba wzory źle pasują do inspektora. Umowa powierzenia musi przewidywać, że podmiot przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie administratora (art. 28 ust. 3 lit. a RODO). Wyjątek dotyczy obowiązku nałożonego na niego przez prawo Unii lub prawo państwa członkowskiego, któremu podlega. Administrator i podmiot przetwarzający mają natomiast zapewnić, by inspektor nie otrzymywał instrukcji dotyczących wykonywania swoich zadań (art. 38 ust. 3).

Druga przyczyna tkwi w samej konstrukcji funkcji. Ustępy 1–3 i 6 art. 38 RODO formułują przede wszystkim obowiązki administratora i podmiotu przetwarzającego wobec inspektora. W mojej ocenie umowa z zewnętrznym IOD jest naturalnym miejscem, w którym organizacja zapisuje, jak wykonuje te obowiązki wobec osoby spoza swojego personelu.

Umowa powstaje dopiero po wyborze modelu. Kryteria tego wyboru opisuje materiał Zewnętrzny czy wewnętrzny IOD? Co uwzględnić przed decyzją?.

Co trzeba ustalić przed podpisaniem umowy

Kto zostaje wyznaczony i kto pracuje w zespole

Wytyczne Grupy Roboczej Art. 29 dotyczące inspektorów, znane jako WP 243, dopuszczają umowę z osobą fizyczną albo z innym podmiotem spoza organizacji administratora lub podmiotu przetwarzającego. W drugim przypadku wytyczne uznają za konieczne, żeby każdy członek podmiotu sprawującego funkcję spełniał wszystkie odpowiednie wymogi sekcji 4 rozdziału IV RODO. Jako przykład podają unikanie konfliktu interesów przez każdą z tych osób.

Dla przejrzystości prawnej i dobrej organizacji oraz żeby zapobiec konfliktom interesów członków zespołu, wytyczne zalecają wyraźny podział zadań. Zalecają też wyznaczenie jednej wiodącej osoby kontaktowej odpowiedzialnej za każdego klienta. Wskazują przy tym, że te kwestie warto na ogół określić w samej umowie o świadczenie usług.

Ustawa o ochronie danych osobowych wymaga, żeby zawiadomienie Prezesa Urzędu wskazywało imię i nazwisko inspektora oraz jego adres poczty elektronicznej lub numer telefonu (art. 10 ust. 1). W mojej ocenie umowa powinna więc imiennie wskazywać osobę, która zostanie zgłoszona jako inspektor. Zawiadomienie składa podmiot, który wyznaczył inspektora, w terminie 14 dni od dnia wyznaczenia. Zgodnie z art. 10 ust. 2 ustawy zawiadomienia może dokonać pełnomocnik, a do zawiadomienia dołącza się pełnomocnictwo udzielone w formie elektronicznej. Umowa może takie umocowanie przewidzieć.

Te same dane inspektora organizacja udostępnia niezwłocznie po wyznaczeniu na swojej stronie internetowej (art. 11 ustawy). Gdy strony nie prowadzi, udostępnia je w sposób ogólnie dostępny w miejscu prowadzenia działalności.

Umowa może też przewidzieć zastępstwo. Na podstawie art. 11a ust. 1 ustawy podmiot, który wyznaczył inspektora, może wyznaczyć osobę zastępującą go w czasie nieobecności. Uwzględnia przy tym kryteria z art. 37 ust. 5 i 6 RODO. Zgodnie z art. 11a ust. 3 wyznaczenie zastępcy wymaga zawiadomienia w trybie art. 10 ustawy i udostępnienia jego danych zgodnie z art. 11.

Do zastępcy stosuje się odpowiednio przepisy dotyczące inspektora w związku z wykonywaniem jego obowiązków w czasie nieobecności (art. 11a ust. 2). W mojej ocenie umowa powinna więc obejmować zastępcę tymi samymi gwarancjami co inspektora.

Co umowa z zewnętrznym IOD musi zabezpieczyć

Artykuł 38 RODO nie tworzy katalogu postanowień umownych. Sprawozdanie Europejskiej Rady Ochrony Danych z przeglądu przeprowadzonego w 2023 r. sugeruje, że organizacja i inspektor mogą sformalizować obowiązki inspektora oraz warunki ich wykonywania w piśmie określającym zakres zaangażowania. W mojej ocenie ustępy art. 38 da się przełożyć na konkretne zapisy. Poniższe zestawienie jest porządkiem autorskim.

• Włączanie w sprawy. Zgodnie z art. 38 ust. 1 inspektor ma być właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych. Umowa może wskazać, kto po stronie organizacji informuje inspektora o nowych procesach, ocenach skutków i naruszeniach. Przy ocenie skutków administrator konsultuje się z inspektorem, co nakazuje art. 35 ust. 2.
• Dostęp, zasoby i czas. Na podstawie art. 38 ust. 2 organizacja zapewnia inspektorowi zasoby niezbędne do wykonania zadań oraz dostęp do danych osobowych i operacji przetwarzania. Zapewnia mu też zasoby niezbędne do utrzymania wiedzy fachowej, więc w mojej ocenie umowa powinna rozstrzygać, kto ponosi ten koszt. Według UODO dostęp zewnętrznego inspektora do danych niezbędnych do wykonywania jego zadań wynika z przepisów prawa, w tym z art. 38 ust. 2. Wytyczne WP 243 uznają za dobrą praktykę określenie czasu potrzebnego na wykonywanie funkcji.
• Kontakt z osobami, których dane dotyczą. Osoby te mogą kontaktować się z inspektorem we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących im na mocy rozporządzenia (art. 38 ust. 4). Umowa może ustalić kanał i czas obsługi takich zapytań.
• Podległość. Inspektor podlega bezpośrednio najwyższemu kierownictwu administratora lub podmiotu przetwarzającego (art. 38 ust. 3). Wytyczne podają jako przykład takiej podległości roczne sprawozdanie z działań inspektora sporządzane dla najwyższego kierownictwa. W mojej ocenie umowa powinna wskazywać najwyższe kierownictwo jako adresata raportów inspektora.
• Poufność. Inspektor jest zobowiązany do zachowania tajemnicy lub poufności co do wykonywania swoich zadań zgodnie z prawem Unii lub prawem państwa członkowskiego (art. 38 ust. 5). Według wytycznych ten obowiązek nie wyłącza kontaktu inspektora z organem nadzorczym w celu uzyskania porady.
• Inne zadania. Inspektor może wykonywać inne zadania i obowiązki, a organizacja zapewnia, by nie powodowały one konfliktu interesów (art. 38 ust. 6).

Obowiązki z art. 38 ust. 1–3 i 6 ciążą na organizacji z mocy prawa także wtedy, gdy umowa ich nie wymienia. Tak samo obowiązek poufności z art. 38 ust. 5 ciąży na inspektorze bez względu na treść umowy. Administrator wdraża przy tym odpowiednie środki, aby przetwarzanie było zgodne z rozporządzeniem i aby móc to wykazać (art. 24 ust. 1). W mojej ocenie zapis w umowie ułatwia to wykazanie w części dotyczącej inspektora.

Gdzie kończą się ramy współpracy, a zaczyna instrukcja

Zgodnie z art. 38 ust. 3 zdanie pierwsze administrator i podmiot przetwarzający zapewniają, by inspektor nie otrzymywał instrukcji dotyczących wykonywania swoich zadań. Motyw 97 RODO dotyczy inspektorów wyznaczanych obowiązkowo. Wskazuje, że powinni oni być w stanie wykonywać obowiązki i zadania w sposób niezależny bez względu na to, czy są pracownikami administratora.

Wytyczne WP 243 przekładają ten wymóg na przykłady. Jako zakazane polecenia wymieniają wskazanie wyniku sprawy, sposobu jej rozpoznania albo tego, czy skontaktować się z organem nadzorczym. Inspektor nie może też zostać zobligowany do przyjęcia określonego stanowiska w sprawie z zakresu prawa ochrony danych, na przykład określonej wykładni przepisów. Niezależność nie daje mu przy tym uprawnień decyzyjnych wykraczających poza zadania z art. 39.

Sprawozdanie EROD odnosi ten wymóg wprost do umów. Organizacje korzystające z zewnętrznego inspektora powinny pilnować, żeby relacja umowna nie zawierała bezpośrednio ani pośrednio instrukcji dotyczących wykonywania jego zadań. Jeden z organów nadzorczych natrafił na umowę powierzenia zawartą z zewnętrznym inspektorem. Wskazał, że traktowanie inspektora jak podmiotu przetwarzającego może prowadzić do naruszenia wymogów niezależności z art. 38 ust. 3.

W mojej ocenie tę samą ostrożność trzeba zachować przy upoważnieniu do przetwarzania danych. Zgodnie z art. 29 RODO osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych przetwarza je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. Upoważnienie może określać zakres dostępu inspektora do danych, ale nie powinno wiązać go poleceniami co do sposobu wykonywania zadań z art. 39.

W praktyce umowa z zewnętrznym IOD dotyka tej granicy w postanowieniach, które pojawiają się w każdej umowie usługowej. Poniższe zestawienie jest moją oceną, a nie wyliczeniem z przepisów ani wytycznych.

Postanowienie	Mieści się w ramach współpracy	Staje się instrukcją
Czas pracy	wymiar godzin, dni dostępności, czas reakcji na zgłoszenie	wskazanie, którym sprawom inspektor ma poświęcać mniej uwagi
Opinie	termin wydania opinii i jej forma	wskazanie wyniku albo wykładni, którą opinia ma przyjąć
Kontakt z organem	informowanie zarządu o kontaktach z UODO	wymóg zgody zamawiającego na konsultację z organem
Raportowanie	termin i forma sprawozdania dla zarządu	uzgadnianie treści sprawozdania z działem, którego sprawy dotyczy
Mierniki usługi	terminowość, dostępność, kompletność dokumentacji	mierniki albo kary umowne powiązane z treścią stanowisk inspektora

Jak umowa z zewnętrznym IOD może się zakończyć

Zgodnie z art. 38 ust. 3 zdanie drugie inspektor nie jest odwoływany ani karany przez administratora ani podmiot przetwarzający za wypełnianie swoich zadań. Wytyczne WP 243 przy umowie z podmiotem zewnętrznym wskazują, że równie ważne jest objęcie ochroną z RODO każdej z osób pełniących funkcję. Podają dwa przykłady. Pierwszy to brak nieuzasadnionego rozwiązania umowy o świadczenie usług z powodu działań w roli inspektora. Drugi to brak nieuzasadnionego zwolnienia któregokolwiek członka zespołu wykonującego zadania inspektora.

Ochrona nie jest bezwarunkowa. Wytyczne wskazują, że inspektora można odwołać w uzasadnionych sytuacjach z przyczyn innych niż wykonywanie jego zadań. Odbywa się to jak w przypadku każdego innego pracownika albo zleceniobiorcy, na podstawie krajowego prawa umów, pracy i prawa karnego. Jako przykłady wytyczne podają ciężkie przewinienia, takie jak kradzież albo nękanie. UODO dodaje, że przepis należy odnosić do obiektywnie prawidłowego wykonywania zadań. Nie chroni on inspektora, który nie wywiązuje się z nich należycie. Poza zakazem odwołania za wypełnianie zadań rozporządzenie nie określa przyczyn ani trybu odwołania.

Stanowisko UODO pozwala moim zdaniem zaliczyć do nich także nienależyte wykonywanie usługi, o ile da się je sprawdzić. Chodzi na przykład o terminowość, dostępność albo naruszenie poufności. Wytyczne przychylnie oceniają starania organizacji o stabilną umowę i gwarancje przed nieuzasadnionym odwołaniem, bo to zwiększa szansę na niezależne działanie inspektora.

Zakończenie współpracy uruchamia obowiązek po stronie organizacji. Artykuł 10 ust. 4 ustawy wymaga zawiadomienia Prezesa Urzędu o odwołaniu inspektora i o każdej zmianie danych z zawiadomienia. Termin wynosi 14 dni od dnia zaistnienia zmiany lub odwołania. W mojej ocenie zakończenie umowy mieści się w tym obowiązku. Rekomenduję okres wypowiedzenia wystarczający na wyznaczenie następcy oraz zapis o przekazaniu dokumentacji pracy inspektora.

Usługi dodatkowe u tego samego dostawcy

Usługodawca pełniący funkcję inspektora bywa angażowany także do innych zadań, na przykład do przygotowania dokumentacji albo procedur. UODO wskazuje, że możliwość wykonywania zadań innych niż określone w RODO ogranicza zakaz konfliktu interesów z art. 38 ust. 6. Wytyczne WP 243 podają przykład takiego konfliktu. Może on powstać, gdy zewnętrzny inspektor zostanie poproszony o reprezentowanie administratora lub podmiotu przetwarzającego przed sądem w sprawie dotyczącej ochrony danych osobowych.

Sprawozdanie EROD zwraca uwagę na szersze ryzyko. Zadania dodatkowe mogą doprowadzić do sytuacji, w której zewnętrzny inspektor monitoruje własne działania. W innej sprawie jeden z organów nadzorczych ustalił, że zewnętrzny inspektor pełnił funkcję jednocześnie u administratora i u jego podmiotu przetwarzającego. Według sprawozdania taka sytuacja może rodzić konflikt interesów, bo inspektor monitoruje wtedy oba podmioty o różnych obowiązkach i interesach. W mojej ocenie podobnej analizy wymaga sytuacja, w której firma inspektora sama przetwarza dane klienta jako podmiot przetwarzający.

Wytyczne dopuszczają powierzenie inspektorowi przez administratora lub podmiot przetwarzający prowadzenia rejestru czynności przetwarzania. Obowiązek prowadzenia rejestru pozostaje jednak przy administratorze albo podmiocie przetwarzającym. Wytyczne uznają też, że zależnie od rodzaju działalności oraz rozmiaru i struktury organizacji dobrą praktyką może być wprowadzenie zabezpieczeń do wewnętrznych zasad organizacji. Ta praktyka obejmuje też zadbanie o to, żeby umowa o świadczenie usług była wystarczająco precyzyjna i szczegółowa, aby uniknąć konfliktu interesów. Rekomenduję więc opisywać usługi dodatkowe w odrębnej części umowy albo w odrębnej umowie.

Najczęstsze błędy

• Umowa powierzenia dołączona do umowy o świadczenie usług. Według UODO umowa, której przedmiotem jest wykonywanie zadań inspektora, nie jest umową powierzenia przetwarzania.

• Podporządkowanie inspektora dyrektorowi działu. Przepis art. 38 ust. 3 wymaga bezpośredniej podległości najwyższemu kierownictwu.

• Klauzula poufności zamykająca kontakt z organem. Wytyczne wskazują, że obowiązek poufności nie wyłącza kontaktu inspektora z organem nadzorczym w celu uzyskania porady.

• Zlecenie reprezentacji przed sądem w sprawach ochrony danych. Wytyczne WP 243 wskazują ją jako przykład sytuacji, w której może powstać konflikt interesów.

• Zapis przenoszący na inspektora odpowiedzialność za zgodność przetwarzania. Według wytycznych inspektor nie odpowiada osobiście za niezgodność z wymogami ochrony danych, a zgodność jest obowiązkiem administratora lub podmiotu przetwarzającego.

• Brak osoby wskazanej imiennie. Bez niej organizacja nie ma danych do zawiadomienia wymaganego przez art. 10 ust. 1 ustawy.

Wnioski i dalsze kroki

Umowa z zewnętrznym IOD nie przenosi na usługodawcę obowiązków, które art. 38 nakłada na administratora i podmiot przetwarzający. W mojej ocenie jej wartość polega na tym, że pokazuje, jak organizacja te obowiązki wykonuje. Oddziela też ramy współpracy od instrukcji. Najwięcej ryzyka kryje się w postanowieniach przejętych z typowych umów usługowych, czyli w miernikach, akceptacjach i klauzulach poufności.

Pięć kroków, które porządkują przygotowanie umowy.

1. Wskaż imiennie osobę zgłaszaną jako inspektor, osobę wiodącą i skład zespołu usługodawcy.
2. Opisz przedmiot umowy przez zadania z art. 39 ust. 1 i oddziel od nich usługi dodatkowe.
3. Zapisz, jak organizacja zapewnia włączanie inspektora, dostęp do danych i podległość najwyższemu kierownictwu.
4. Przejrzyj mierniki, akceptacje i klauzulę poufności pod kątem ukrytych instrukcji.
5. Opisz przyczyny i okres wypowiedzenia, przekazanie dokumentacji i to, kto składa zawiadomienia do Prezesa Urzędu.

Materiały powiązane

• Zewnętrzny czy wewnętrzny IOD? Co uwzględnić przed decyzją? — wybór modelu, który poprzedza umowę.
• Kto nie może pełnić funkcji inspektora ochrony danych? — konflikt interesów i pozostałe podstawy wykluczenia kandydata.
• Jakich informacji zarząd powinien oczekiwać od IOD? — raportowanie inspektora po podpisaniu umowy.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 24 ust. 1, art. 28 ust. 3, art. 29, art. 35 ust. 2, art. 37 ust. 5 i 6, art. 38 oraz art. 39 — eur-lex.europa.eu (dostęp: 19.09.2026).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja ogłoszona w Dz.U. UE L 119 z 4 maja 2016 r. — motyw 97 — eur-lex.europa.eu (dostęp: 19.09.2026).
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, tekst ujednolicony ze stanem na 6 maja 2026 r. — art. 10, 11 i 11a — isap.sejm.gov.pl (dostęp: 19.09.2026).
• Urząd Ochrony Danych Osobowych, Czy z zewnętrznym IOD należy zawrzeć umowę powierzenia? — uodo.gov.pl (dostęp: 19.09.2026).
• Urząd Ochrony Danych Osobowych, Jakie gwarancje niezależności zostały przyznane IOD w przepisach RODO? — uodo.gov.pl (dostęp: 19.09.2026).
• Grupa Robocza Art. 29, Wytyczne dotyczące inspektorów ochrony danych (WP 243 rew. 01), przyjęte 13 grudnia 2016 r., ostatnio zmienione 5 kwietnia 2017 r. — sekcje 2.5, 3.2–3.5 i 4.3 oraz pytania 12 i 13 — wersja polska: uodo.gov.pl, wersja angielska: ec.europa.eu (dostęp: 19.09.2026).
• Europejska Rada Ochrony Danych, 2023 Coordinated Enforcement Action. Designation and Position of Data Protection Officers, przyjęte 16 stycznia 2024 r. — sekcje 4.5.1 i 4.5.2 — edpb.europa.eu (dostęp: 19.09.2026).