Umowa powierzenia przetwarzania danych z data center — kiedy jest obowiązkowa przy kolokacji, a kiedy przy serwerze dedykowanym
Negocjujesz umowę na kolokację albo serwer dedykowany. Wszystko jest już ustalone — moc, łącze, warunki SLA — i wtedy dział prawny albo inspektor ochrony danych zadaje jedno pytanie: „a gdzie umowa powierzenia?". W tym momencie projekt potrafi stanąć na dwa tygodnie, bo nikt nie umie jednoznacznie odpowiedzieć, czy dostawca infrastruktury jest podmiotem przetwarzającym, czy nie.
Odpowiedź nie zależy od tego, jak nazywa się usługa. Zależy od jednego: czy dostawca ma dostęp do Twoich danych osobowych i czy przetwarza je w Twoim imieniu.
Administrator i podmiot przetwarzający — gdzie przebiega granica
RODO definiuje podmiot przetwarzający jako podmiot, który przetwarza dane osobowe w imieniu administratora (art. 4 pkt 8). Jeżeli tak właśnie jest, art. 28 RODO wymaga zawarcia umowy powierzenia — na piśmie lub w formie elektronicznej, o konkretnie wyliczonej treści.
Kluczowe słowo to „przetwarza". Przetwarzanie w rozumieniu RODO to praktycznie każda operacja na danych — również samo przechowywanie i dostęp. Nie trzeba czytać rekordów w bazie, żeby być podmiotem przetwarzającym. Wystarczy mieć realną możliwość dostania się do nośnika albo do systemu.
Dlatego to samo centrum danych może być wobec jednego klienta podmiotem przetwarzającym, a wobec innego — nie. Decyduje model usługi, nie nazwa w cenniku.
Kolokacja: sprzęt jest Twój, konfiguracja też
Przy kolokacji stawiasz własny serwer w cudzej serwerowni. Dostawca odpowiada za zasilanie, chłodzenie, łącze i ochronę fizyczną — ale nie loguje się do systemu operacyjnego, nie zna haseł i nie administruje aplikacją. Administratorem i jedynym operatorem danych pozostajesz Ty.
Część prawników traktuje taki układ jako usługę „gołej" infrastruktury, przy której powierzenia nie ma. Inni zwracają uwagę, że personel data center dysponuje fizycznym dostępem do urządzenia, a więc teoretyczną możliwością ingerencji — i rekomendują zawarcie umowy powierzenia dla bezpieczeństwa, bo jej koszt jest zerowy, a ryzyko sporu z organem nadzorczym znika.
W praktyce rozsądne podejście brzmi: jeśli ktokolwiek po stronie dostawcy zbliża się do Twojego sprzętu, ureguluj to umownie. Zamiast prowadzić spór doktrynalny, sprawdź, jak dostęp fizyczny jest kontrolowany. W Sprint Data Center dostęp fizyczny do serwera odbywa się w asyście specjalisty, a obiekt korzysta z systemu dostępowego z pełną rejestracją wizyt oraz całodobowego monitoringu (źródło: sprintdatacenter.pl/data-center). To dokładnie ten rodzaj środka, który potem opisujesz w dokumentacji i pokazujesz podczas kontroli.
Osobno warto zapisać w umowie, kto i w jakim trybie może otworzyć szafę — to punkt, który i tak powinien znaleźć się na Twojej checkliście umowy kolokacyjnej i SLA.
Serwer dedykowany z administracją: tu nie ma wątpliwości
Sytuacja zmienia się diametralnie, gdy dostawca administruje systemem. W pakietach administracyjnych Sprint Data Center dostęp administracyjny (root) pozostaje po stronie SDC — to warunek spójności konfiguracji środowiska (źródło: sprintdatacenter.pl/pakiety-administracyjne). Zakres obejmuje m.in. instalację panelu administracyjnego i serwera WWW, aktualizacje systemu, analizę logów, monitoring usług oraz przygotowanie polityki backupu.
Jeżeli ktoś ma uprawnienia roota na maszynie, na której leżą dane osobowe Twoich klientów lub pracowników — przetwarza te dane w Twoim imieniu. Umowa powierzenia jest wtedy obowiązkowa, bez dyskusji. To samo dotyczy zarządzanego backupu, zarządzanego odtwarzania po awarii i każdej usługi, w której technik dostawcy wykonuje operacje na Twoim systemie.
Sam serwer dedykowany bez usługi administracyjnej jest bliżej modelu kolokacyjnego — ale i tutaj trzeba ustalić, czy dostawca nie zachowuje dostępu przez konsolę zarządzania sprzętem.
Co musi znaleźć się w umowie — minimum z art. 28 ust. 3 RODO
Umowa powierzenia to nie jednoakapitowa klauzula w załączniku. Art. 28 ust. 3 RODO wylicza elementy obowiązkowe:
- przedmiot i czas trwania przetwarzania, jego charakter i cel,
- rodzaj danych osobowych oraz kategorie osób, których dane dotyczą,
- przetwarzanie wyłącznie na udokumentowane polecenie administratora,
- zobowiązanie do zachowania poufności przez osoby upoważnione do przetwarzania,
- wdrożenie środków bezpieczeństwa wymaganych przez art. 32 RODO,
- zasady dalszego powierzenia (podprocesorów) — zgoda administratora i przeniesienie tych samych obowiązków,
- pomoc administratorowi w realizacji praw osób oraz obowiązków z art. 32–36, w tym przy zgłaszaniu naruszeń,
- usunięcie lub zwrot danych po zakończeniu świadczenia usługi,
- udostępnienie informacji niezbędnych do wykazania zgodności i umożliwienie audytów.
Brak choćby jednego z tych elementów oznacza, że umowa nie spełnia wymogu ustawowego — a odpowiada za to administrator, czyli Ty.
„Wystarczające gwarancje" — jak zweryfikować dostawcę przed podpisem
Art. 28 ust. 1 RODO nie pozwala wybrać dowolnego podmiotu przetwarzającego. Administrator ma korzystać wyłącznie z podmiotów zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Innymi słowy: sam wybór dostawcy podlega ocenie i trzeba go udokumentować.
Co realnie sprawdzić:
- Certyfikaty systemów zarządzania. Sprint Data Center posiada m.in. ISO 27001, ISO 22301 i ISO 9001, a także NATO AQAP 2210 oraz Świadectwo Bezpieczeństwa Przemysłowego Pierwszego Stopnia wydane przez ABW (źródło: sprintdatacenter.pl/data-center). Certyfikat nie zastępuje umowy, ale jest najtańszym dowodem „gwarancji" w rozumieniu art. 28 ust. 1 — szerzej pisaliśmy o tym we wpisie o ISO 27001 i SZBI w praktyce, a wymagania sektorów regulowanych rozłożyliśmy na czynniki pierwsze w tekście o certyfikatach przy danych wrażliwych i niejawnych.
- Lokalizację przetwarzania. Serwerownia w Polsce oznacza brak transferu do państwa trzeciego i prostszą dokumentację — temat rozwinęliśmy we wpisie o suwerenności danych.
- Środki fizyczne i organizacyjne. Kontrola dostępu z rejestracją wizyt, monitoring, systemy detekcji i gaszenia pożaru — to elementy, które wprost wpisujesz do opisu środków z art. 32.
- Prawo do audytu i tryb jego wykonania. Ustalcie z góry, czy audyt oznacza wizytę u dostawcy, czy przekazanie raportu z certyfikacji — inaczej zapis pozostanie martwy.
- Ścieżkę zgłaszania naruszeń. Dostawca musi informować Cię „bez zbędnej zwłoki", żebyś zdążył ze swoimi 72 godzinami wobec organu nadzorczego.
Powierzenie i NIS2 to jedna rozmowa, nie dwie
Jeżeli Twoja firma podlega ustawie o krajowym systemie cyberbezpieczeństwa wdrażającej dyrektywę NIS2, ten sam dostawca pojawi się w Twoich dokumentach drugi raz — tym razem jako element łańcucha dostaw, który trzeba ocenić pod kątem ryzyka. Terminy są konkretne: zgłoszenie do wykazu podmiotów kluczowych i ważnych do 3 października 2026 r., a pełne wdrożenie obowiązków do 3 kwietnia 2027 r. Szczegóły opisaliśmy we wpisie o NIS2 i ustawie o KSC.
Praktyczna rada: zrób jeden przegląd dostawców, nie dwa. Ta sama ankieta bezpieczeństwa obsłuży wymagania RODO i wymagania z zakresu zarządzania ryzykiem dostawcy, a przy okazji przygotuje Cię do zgłaszania incydentów w wymaganych terminach.
Podsumowanie
Reguła jest prosta: im więcej dostawca robi na Twoim systemie, tym pewniejsze jest powierzenie. Czysta kolokacja to obszar dyskusyjny, w którym umowa i tak się opłaca — kosztuje tylko podpis. Serwer objęty pakietem administracyjnym to powierzenie bez żadnych wątpliwości. W obu przypadkach papier ma pokrywać rzeczywistość, a rzeczywistość musi być kontrolowalna i udokumentowana.
Planujesz kolokację serwerów albo przeniesienie środowiska na serwer dedykowany? Skontaktuj się z nami — ustalimy realny zakres dostępu do Twoich danych i przygotujemy dokumentację, która przejdzie audyt.
FAQ – najczęściej zadawane pytania o umowę powierzenia z data center
Czy przy zwykłej kolokacji muszę podpisać umowę powierzenia?
Przepisy nie dają tu jednoznacznej odpowiedzi, bo dostawca nie loguje się do Twojego systemu. Ponieważ jednak personel ma fizyczny dostęp do urządzenia, bezpieczniej jest zawrzeć umowę powierzenia lub przynajmniej precyzyjnie uregulować zasady dostępu do szafy. Koszt jest żaden, a ryzyko sporu z organem nadzorczym znika.
Czy pakiet administracyjny oznacza powierzenie danych?
Tak. Jeżeli dostawca utrzymuje dostęp administracyjny do serwera i wykonuje na nim operacje — aktualizacje, backup, analizę logów — przetwarza dane w imieniu administratora. Umowa powierzenia zgodna z art. 28 RODO jest w takim układzie obowiązkowa.
Czy certyfikat ISO 27001 zastępuje umowę powierzenia?
Nie. Certyfikat jest dowodem na „wystarczające gwarancje" z art. 28 ust. 1 RODO i bardzo ułatwia weryfikację dostawcy, ale nie zwalnia z obowiązku zawarcia umowy o treści wymaganej przez art. 28 ust. 3. To dwa uzupełniające się elementy, nie alternatywa.
Czy jedna umowa wystarczy dla RODO i dla NIS2?
Umowa powierzenia realizuje wymagania RODO. Obowiązki wynikające z ustawy o KSC dotyczące łańcucha dostaw to odrębna analiza ryzyka, choć oparta na tych samych informacjach o dostawcy. Najefektywniej przeprowadzić jeden przegląd i wykorzystać jego wyniki w obu procesach.
Kto odpowiada, jeśli dojdzie do wycieku po stronie dostawcy?
Administrator odpowiada za wybór podmiotu przetwarzającego zapewniającego wystarczające gwarancje oraz za zgłoszenie naruszenia organowi nadzorczemu. Podmiot przetwarzający odpowiada za działanie niezgodne z umową lub z poleceniami administratora. Dlatego tak istotne są zapisy o niezwłocznym informowaniu o incydentach.
Artykuł powstał z wykorzystaniem narzędzi sztucznej inteligencji (AI) pod nadzorem zespołu Sprint Data Center. Grafika ilustracyjna została wygenerowana przez AI.