Rozporządzenie (UE) 2016/679 · art. 29, 30, 32, 33 · stan prawny na 26 sierpnia 2026
Rejestr czynności, upoważnienia, klauzule informacyjne i umowy powierzenia. Do tego procedura na wypadek naruszenia, bo siedemdziesiąt dwie godziny mijają szybciej, niż się wydaje.
Wykaz braków
Jeżeli zatrudniasz choćby jedną osobę, prowadzisz zapisy online albo masz listę klientów — przetwarzasz dane osobowe i ta lista Cię dotyczy. Wielkość firmy nie zmienia obowiązku, zmienia tylko jego skalę.
7 pozycji bez zaznaczenia. Tyle zobaczy kontrola.
Co grozi
| Brak rejestru, umów powierzenia, zabezpieczeń | do 10 000 000 EUR albo 2% obrotu (art. 83 ust. 4) |
| Przetwarzanie bez podstawy, naruszenie praw osób | do 20 000 000 EUR albo 4% obrotu (art. 83 ust. 5) |
| Odszkodowanie dla osoby, której dane naruszono | bez górnej granicy — droga cywilna (art. 82) |
| Co dzieje się naprawdę w małej firmie | skarga do UODO, kontrola i utrata klienta, który zapytał o umowę powierzenia |
Kwoty z rozporządzenia robią wrażenie i dlatego bywają lekceważone — mała firma zakłada, że jej nie dotyczą. Ryzyko w tej skali wygląda inaczej: postępowanie zaczyna się od skargi byłego pracownika albo klienta, a kończy pytaniem, którego nie da się odłożyć — „proszę pokazać rejestr czynności".
Do tego rzecz, o której łatwo zapomnieć: umowy powierzenia żąda od Ciebie kontrahent. Coraz częściej to on pyta pierwszy, a brak dokumentu bywa powodem, dla którego współpraca się nie zaczyna.
Co dostajesz
Wypełniony dla Twojej firmy: kadry, klienci, marketing, monitoring, rekrutacja — tylko te, które faktycznie prowadzisz, z podstawą i okresem przechowywania.
Wzór imiennego upoważnienia z zakresem oraz rejestr, w którym widać, kto i od kiedy ma dostęp — i komu wygasł po zakończeniu współpracy.
Dla pracownika, dla klienta i na stronę. Pisane jasnym językiem, bo klauzula, której odbiorca nie rozumie, obowiązku nie wykonuje — nawet gdy cytuje wszystkie przepisy.
Komplet dla Twoich dostawców, z listą tego, co sprawdzić w cudzym wzorze, zanim go podpiszesz.
Co robić w pierwszej godzinie, kiedy zgłaszać do UODO, kiedy zawiadomić osoby, i ewidencja, która dokumentuje także zdarzenia niezgłaszane.
Godzina materiału w Akademii OpenSkills. Zaliczenie jest warunkiem wydania upoważnienia — upoważnienie dla osoby nieprzeszkolonej trudno obronić przy incydencie.
Jak to działa
Kogo zatrudniasz, komu sprzedajesz, z jakich systemów korzystasz.
Powstają na Twoich danych, nie na szablonie dla wszystkich branż.
Zespół przechodzi kurs, potem dostaje upoważnienia. W tej kolejności.
Nowy system, nowy pracownik, nowa usługa — rejestr się zmienia.
Cennik
Jednoosobowa działalność z jednym zleceniobiorcą ma te same obowiązki co firma z trzydziestoma osobami — różni je liczba upoważnień i wpisów w rejestrze.
JDG i mała firma — do 3 osób z dostępem do danych
490 zł netto / rok
602,70 zł brutto do zapłaty
Firma z zespołem albo ze sprzedażą online — do 10 osób
990 zł netto / rok
1 217,70 zł brutto do zapłaty
Kilka lokalizacji albo dane szczególnych kategorii — do 30 osób
1 990 zł netto / rok
2 447,70 zł brutto do zapłaty
Ceny netto. Do każdej doliczamy 23% VAT. Faktura po opłaceniu, na dane podane w zamówieniu.
Poznań i okolice
Firmy z Poznania i powiatów poznańskiego, średzkiego, śremskiego, szamotulskiego i obornickiego mogą pokryć wdrożenie ze środków publicznych. Usługa rozwojowa z Bazy Usług Rozwojowych — wkład własny znasz przed startem.
Zobacz, jak to działaPytania, które padają najczęściej
Nie. RODO nie zna progu wielkości — obowiązek zaczyna się od pierwszej danej osobowej, którą przetwarzasz. Lista klientów z adresami e-mail, umowa ze zleceniobiorcą, zapisy przez formularz na stronie: każde z tych trzech to przetwarzanie danych. Różnica między firmą małą a dużą jest w skali dokumentacji, nie w tym, czy jest potrzebna.
Najczęściej nie — w małej firmie IOD jest wymagany rzadko, głównie przy monitorowaniu na dużą skalę albo przetwarzaniu danych szczególnych kategorii. W ramach wdrożenia sprawdzamy to i zapisujemy wynik, bo przy kontroli liczy się nie tylko decyzja, ale i to, że ktoś ją świadomie podjął.
Rejestr czynności ma opisywać to, co robisz naprawdę — jeśli wymienia procesy, których u Ciebie nie ma, i pomija te, które są, nie wykonuje obowiązku. Podobnie klauzula informacyjna: musi wskazywać Twoje podstawy, okresy i odbiorców. Wzór jest dobrym punktem wyjścia i złym punktem dojścia.
Liczysz siedemdziesiąt dwie godziny od stwierdzenia naruszenia i w tym czasie oceniasz ryzyko oraz decydujesz o zgłoszeniu do UODO. Niezależnie od decyzji dokumentujesz każde naruszenie — także to niezgłoszone (art. 33 ust. 5). Procedura, którą dostajesz, prowadzi przez to krok po kroku, bo w pierwszej godzinie nikt nie czyta rozporządzenia.
Biuro jest podmiotem przetwarzającym dla danych, które mu powierzasz — i na to potrzebna jest umowa powierzenia. Ale administratorem swoich danych pozostajesz Ty, więc rejestr, upoważnienia i klauzule są po Twojej stronie. Tego biuro nie zrobi za Ciebie, choćby chciało.
Napisz, ile osób ma dostęp do danych i z jakich systemów korzystasz. Odpowiemy, czego brakuje i ile to potrwa.
Napisz do nas