Biblioteka klauzul

Klauzula: Ochrona danych, wyjaśniona

Klauzula ochrony danych opisuje, jak postępuje się z danymi osobowymi; gdy jedna strona jest podmiotem przetwarzającym według UK GDPR, art. 28 ust. 3 wymaga wskazanych warunków dla takiego podmiotu.

Ostatnia aktualizacja 28 października 2026

Co robi klauzula: ochrona danych?

Gdy dostawca przetwarza dane osobowe dla klienta, który jest administratorem, art. 28 UK GDPR mówi, że przetwarzanie musi być uregulowane umową. Art. 28 ust. 3 wymienia warunki dla podmiotu przetwarzającego, które ta umowa musi zawierać. To samo UK GDPR obowiązuje w Szkocji. Stanowe przepisy o prywatności w USA to inny reżim. Te warunki zapisujemy na jednej wspólnej stronie.

Co musi zawierać umowa powierzenia z art. 28?

Umowa musi być wiążąca i określać przedmiot, czas trwania, charakter i cel przetwarzania, rodzaje danych osobowych i osób, których dane dotyczą, oraz prawa administratora. Art. 28 ust. 3 wymaga następnie warunków dla podmiotu przetwarzającego w lit. a–h: udokumentowane polecenia, poufność, bezpieczeństwo, podmioty przetwarzające dalej, pomoc, usunięcie lub zwrot oraz audyt.

Kiedy strona jest podmiotem przetwarzającym, a nie administratorem?

Administrator decyduje o celach i sposobach przetwarzania. Podmiot przetwarzający przetwarza w imieniu administratora. Studio, które przechowuje listę klientów zleceniodawcy, by wysyłać jego maile, jest zwykle podmiotem przetwarzającym. Studio, które buduje własną listę marketingową, jest administratorem tej listy. Wskaż rolę dla każdego zbioru danych, żeby art. 28 miał zastosowanie tylko tam, gdzie powinien.

Czy podmiot przetwarzający może powołać dalsze podmioty przetwarzające?

Tylko za uprzednią szczegółową lub ogólną pisemną zgodą administratora. Przy zgodzie ogólnej podmiot przetwarzający musi informować administratora o zamierzonych dodaniach lub zmianach, by ten mógł wyrazić sprzeciw. Te same obowiązki ochrony danych muszą być przekazane dalej. Pierwotny podmiot przetwarzający pozostaje w pełni odpowiedzialny wobec administratora za dalszy podmiot. Zapisz w klauzuli sposób udzielania zgody.

Co dzieje się z danymi po zakończeniu pracy?

Art. 28 ust. 3 lit. g mówi, że według wyboru administratora podmiot przetwarzający usuwa lub zwraca dane osobowe po zakończeniu usług i usuwa kopie, chyba że prawo krajowe wymaga ich przechowywania. Połącz to z poufnością i zapisem o zwrocie lub zniszczeniu dla poufnych plików niebędących danymi osobowymi. Wskaż, jak długo można przechowywać logi, jeśli wymaga tego prawo.

Przykładowe brzmienie

Przykład · nasze własne sformułowanie

Gdy Dostawca przetwarza dane osobowe dla Klienta jako podmiot przetwarzający, Dostawca: będzie przetwarzał te dane wyłącznie na udokumentowane polecenie Klienta; zapewni, że osoby upoważnione do ich przetwarzania są związane poufnością; zastosuje środki bezpieczeństwa wymagane przez art. 32 UK GDPR; nie powoła dalszego podmiotu przetwarzającego bez uprzedniej pisemnej zgody Klienta; pomoże Klientowi przy żądaniach osób, których dane dotyczą, oraz przy art. 32–36; według wyboru Klienta usunie lub zwróci dane po zakończeniu usług, chyba że prawo krajowe wymaga ich przechowywania; oraz udostępni informacje potrzebne do wykazania zgodności i umożliwi audyty.

Prostym językiem

Jeśli dostawca obsługuje dane osobowe dla klienta, robi tylko to, co klient udokumentował, zachowuje je w poufności, dba o bezpieczeństwo i nie angażuje innego podmiotu przetwarzającego bez pisemnej zgody. Pomaga przy prawach osób i obowiązkach bezpieczeństwa, a po zakończeniu pracy usuwa lub zwraca dane, chyba że prawo każe zachować kopię, i pozwala klientowi to sprawdzić.

Na co zwrócić uwagę?

Punkt	Uważaj na	Wnioskuj o
Role	Załącznik o podmiocie przetwarzającym doklejony do umowy, w której obie strony są administratorami.	Zdanie, które wskazuje rolę dla każdego zbioru danych.
Polecenia	„Przetwarzaj, jak potrzeba do usług” bez udokumentowanych poleceń.	Załącznik z przedmiotem, czasem trwania, rodzajami danych i osobami, których dane dotyczą.
Dalsze podmioty przetwarzające	Wolna ręka w powoływaniu kogokolwiek albo milczenie.	Uprzednia pisemna zgoda, przekazanie obowiązków dalej i dalsza odpowiedzialność.
Koniec zlecenia	Brak zapisu o usunięciu lub zwrocie.	Wybór administratora, z wyjątkiem dla zgodnego z prawem przechowywania.
Limit	Zwolnienie z odpowiedzialności za dane bez limitu przy małym honorarium albo limit, który pochłania naruszenie.	Wskazane miejsce wobec limitu odpowiedzialności i zwolnienia z odpowiedzialności.

W jakich umowach się pojawia?

Lex umieszcza tę klauzulę między innymi w:

Umowa o świadczenie usług ()
Umowa o wykonanie strony internetowej
Umowa konsultingowa

Co mówi prawo?

Przetwarzanie przez podmiot przetwarzający musi być uregulowane umową, która wiąże ten podmiot i określa przedmiot oraz czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych i kategorie osób, których dane dotyczą, a także obowiązki i prawa administratora, w tym warunki dla podmiotu przetwarzającego wymienione w art. 28 ust. 3 lit. a–h.
Źródło: UK GDPR, Article 28(3)Sprawdzono 28 października 2026Czeka na weryfikację prawnika

Przygotuj ramowa umowa o świadczenie usług z tą klauzulą

Bezpłatnie dla drugiej strony

Lex przygotowuje projekt prostym językiem obok brzmienia prawnego. Udostępnij jeden link; obie strony uzgadniają i podpisują.

Najczęstsze pytania

Co oznacza klauzula ochrony danych?

Opisuje, jak postępuje się z danymi osobowymi w ramach umowy. Gdy jedna strona przetwarza dane osobowe dla drugiej jako podmiot przetwarzający według UK GDPR, art. 28 wymaga, by to przetwarzanie było uregulowane umową zawierającą wskazane warunki dla takiego podmiotu.

Co musi zawierać umowa z podmiotem przetwarzającym według art. 28 UK GDPR?

Przedmiot, czas trwania, charakter i cel przetwarzania, rodzaje danych i osób, których dane dotyczą, oraz warunki dla podmiotu przetwarzającego z art. 28 ust. 3 lit. a–h, w tym udokumentowane polecenia, poufność, bezpieczeństwo, dalsze podmioty przetwarzające, pomoc, usunięcie lub zwrot oraz audyt.

Kiedy dostawca jest podmiotem przetwarzającym?

Gdy przetwarza dane osobowe w imieniu klienta, zamiast samodzielnie decydować o celach i sposobach. Klauzula powinna wskazywać rolę dla każdego zbioru danych. Art. 28 dotyczy relacji z podmiotem przetwarzającym.

Czy podmiot przetwarzający może korzystać z dalszych podmiotów przetwarzających?

Tylko za uprzednią szczegółową lub ogólną pisemną zgodą administratora. Te same obowiązki muszą być przekazane dalej, a pierwotny podmiot przetwarzający pozostaje w pełni odpowiedzialny wobec administratora za dalszy podmiot.

Co dzieje się z danymi osobowymi po zakończeniu umowy?

Według wyboru administratora podmiot przetwarzający usuwa je lub zwraca i usuwa kopie, chyba że prawo krajowe wymaga przechowywania. Zapisz ten wybór w klauzuli.

Źródła

UK GDPR, Article 28(3)Sprawdzono 28 października 2026Czeka na weryfikację prawnika

Wzory z tą klauzulą

Inne klauzule

Słownik

Rozstrzygające jest brzmienie prawneOstatnia weryfikacja 28 października 2026Czeka na weryfikację prawnika