Administrator danych osobowych czy podmiot przetwarzający – jaka jest różnica?
Udostępnij
Jeśli firma przetwarza dane osobowe wspólnie z dostawcą, strony muszą najpierw zrozumieć swoje role wynikające z RODO. To faktyczny proces przetwarzania oraz to, kto określa cele i sposoby jego realizacji, jest decydujące – a nie etykieta, którą strony wpisały w umowie.
Dane zweryfikowane 1 października 2026 r.
Kim jest administrator danych osobowych?
Administrator danych osobowych określa cele i istotne środki przetwarzania danych osobowych. W typowej relacji z klientem jest to na przykład firma, która decyduje, dlaczego dane klientów są gromadzone, jakie dane są potrzebne i jak długo będą wykorzystywane.
Zazwyczaj to organizacja jest administratorem danych – a nie poszczególni pracownicy, menedżerowie czy właściciele systemów, którzy pracują z tymi danymi.
Kim jest podmiot przetwarzający?
Podmiot przetwarzający przetwarza dane osobowe w imieniu administratora danych i znajduje się poza organizacją administratora. Szwedzki organ nadzorczy IMY wymienia jako przykłady firmy przechowujące dane lub obsługujące wysyłki dla zleceniodawcy, a także firmy oferujące usługi w chmurze, które przetwarzają i przechowują dane osobowe dla klienta.
Podmiot przetwarzający może przetwarzać dane zgodnie z udokumentowanymi instrukcjami administratora danych i jednocześnie ma własne obowiązki wynikające z RODO, m.in. w zakresie bezpieczeństwa oraz, w niektórych przypadkach, prowadzenia rejestru czynności przetwarzania i wyznaczania inspektora ochrony danych.
Trzy przykłady
| Sytuacja | Prawdopodobny podział ról |
|---|---|
| Firma korzysta z usługi w chmurze do przechowywania swojego rejestru klientów. | Firma jest zazwyczaj administratorem danych klientów, a dostawca chmury jest podmiotem przetwarzającym w ramach usług świadczonych dla klienta. |
| Biuro rachunkowe przetwarza dane dla klienta, ale ma również własne zobowiązania prawne dotyczące określonych czynności przetwarzania. | Role mogą się różnić w zależności od rodzaju przetwarzania. Ten sam dostawca może być podmiotem przetwarzającym w jednym procesie i samodzielnym administratorem w innym. |
| Dwie organizacje wspólnie ustalają, dlaczego i w jaki sposób ma odbywać się przetwarzanie. | Zamiast relacji administrator–podmiot przetwarzający może dojść do współadministrowania danymi. |
Kiedy potrzebna jest umowa powierzenia przetwarzania danych?
Gdy administrator danych powierza przetwarzanie podmiotowi przetwarzającemu, przetwarzanie musi zostać uregulowane umową lub innym instrumentem prawnym zgodnie z art. 28 RODO. Umowa powinna określać m.in. przedmiot i czas trwania, charakter i cel przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz prawa i obowiązki stron.
Podmiot przetwarzający nie może swobodnie angażować podprzetwarzających. IMY wskazuje, że wymagana jest uprzednia zgoda, a obowiązki muszą zostać przeniesione na podprzetwarzającego.
Zobacz nasz szczegółowy przewodnik: Umowa powierzenia przetwarzania danych – kiedy jest potrzebna i co powinna zawierać?
Kiedy nie mamy do czynienia z relacją z podmiotem przetwarzającym?
To, że dwie firmy wymieniają się danymi osobowymi, nie oznacza automatycznie, że jedna z nich jest podmiotem przetwarzającym. Jeśli obie strony samodzielnie określają własne cele, obie mogą być odrębnymi administratorami danych. Jeśli wspólnie określają cele i sposoby przetwarzania, może dojść do współadministrowania danymi.
Praktyczne pytanie kontrolne brzmi zatem: Kto decyduje, dlaczego dane są przetwarzane i jakie są istotne ramy tego przetwarzania? Tytuł umowy powinien odzwierciedlać rzeczywistość, a nie kreować rolę, której strony w praktyce nie pełnią.
Czy potrzebujesz wzoru PUB/DPA?
Wzór PUB/DPA 2026 dostępny w Mallbutiken został opracowany zgodnie z art. 28 RODO i zawiera m.in. instrukcje, kwestie bezpieczeństwa, podprzetwarzanie, incydenty, usuwanie danych i kwestie dotyczące państw trzecich.
Cena: 99 SEK.
Zobacz pakiet wzorów PUB/DPA 2026Powiązane przewodniki
Umowy SaaS – co powinny zawierać? · SLA w umowach SaaS · AI, cyberbezpieczeństwo i umowy IT
