Powierzenie czy udostępnienie danych? Jak legalnie dzielić dane osobowe w grupie kapitałowej

Jeśli Twoja firma działa w grupie kapitałowej, prędzej czy później pojawi się prośba w stylu: „dodajcie nas do systemu, mamy przecież DPA”. Brzmi rozsądnie. Ale w większości przypadków jest nieprawdziwe. Jeśli spółka-matka wchodzi do danych po to, żeby policzyć własne marże, kontrolować koszty lub nadzorować wynagrodzenia — nie działa na Twoje polecenie. Działa jako odrębny administrator. A to oznacza zupełnie inny dokument, inną podstawę prawną i inny zakres danych.

Błędna kwalifikacja ról — administrator, podmiot przetwarzający, współadministrator — to jeden z najczęściej powtarzających się błędów w dokumentacji RODO wewnątrz grup kapitałowych. Decyzje Prezesa Urzędu Ochrony Danych Osobowych (PUODO) dokumentują powtarzalne naruszenia art. 28 RODO: brak pisemnej umowy powierzenia, niepełne określenie kategorii danych, zawieranie dokumentacji dopiero po incydencie (UODO — kilka naruszeń RODO powodem kary).

W tym artykule pokażę, jak na jednym pytaniu — „czyj to cel?” — oprzeć poprawną kwalifikację ról. Przejdziemy przez wybór właściwego instrumentu (DPA czy porozumienie o udostępnianiu), zawężenie zakresu danych, obowiązek informacyjny, retencję i konfigurację narzędzi. Bez teorii — z konkretnymi krokami do wdrożenia.

Podstawowe pojęcia, zanim zaczniesz

Zanim przejdziemy do szczegółów, warto uporządkować trzy pojęcia, które decydują o tym, jaki dokument musisz przygotować.

Każde z tych pojęć ma charakter funkcjonalny — wynika z tego, co podmioty faktycznie robią z danymi, nie z nazwy podpisanej umowy. UODO odwołuje się w swoich decyzjach do Wytycznych EROD 07/2020, potwierdzając, że administrator nie musi nawet mieć fizycznego dostępu do danych, żeby być administratorem (UODO — Który podmiot należy uznać za administratora).

DPA (Data Processing Agreement) — umowa powierzenia przetwarzania danych z art. 28 RODO. Reguluje wyłącznie sytuację, w której procesor przetwarza dane na polecenie administratora.

Porozumienie o udostępnianiu — dokument regulujący przekazanie danych między dwoma odrębnymi administratorami, z których każdy przetwarza je do własnych celów.

Jedno pytanie, które rozstrzyga wybór dokumentu

Zanim nadasz komukolwiek dostęp do systemu innej spółki z grupy, odpowiedz na jedno pytanie: „czyj to cel?”

Odpowiedź decyduje o wszystkim:

Nadzór właścicielski, kontrola marż, rozliczanie kosztów, weryfikacja warunków zatrudnienia — to cele spółki-właściciela. Nie cele spółki, która prowadzi system. DPA reguluje wyłącznie przetwarzanie na polecenie. Jeśli spółka-matka patrzy w dane do własnych celów — DPA jest niewłaściwym narzędziem, niezależnie od tego, jak szeroko jest napisane.

Wyrok TSUE w sprawie Fashion ID (C-40/17, 29 lipca 2019 r.) potwierdza, że współadministrowanie może obejmować tylko wyodrębniony etap łańcucha przetwarzania i nie rozciąga się na operacje, których celów ani sposobów podmiot faktycznie nie ustala (EUR-Lex — wyrok TSUE C-40/17). Sama przynależność do grupy kapitałowej, wspólna marka czy techniczne korzystanie z tego samego systemu nie tworzą automatycznie współadministrowania.

Dlaczego istniejące DPA zwykle nie wystarcza

Typowe „wzajemne” DPA w grupach kapitałowych opisuje zakres danych jako „dane kontaktowe i podstawowe personelu stron i ich klientów”. Tymczasem system rekrutacyjno-ewidencyjny zawiera:

1. CV kandydatów (często z danymi szczególnej kategorii z art. 9 RODO)
2. Stawki godzinowe i informacje o dostępności
3. Dane o podwykonawstwie
4. Profile LinkedIn i historię aktywności

Ten zakres wykracza daleko poza literalne brzmienie standardowego DPA. Wyciągnij obowiązujące DPA i porównaj opis kategorii danych z tym, co faktycznie widać w systemie. Jeśli umowa mówi o „danych kontaktowych”, a w systemie są CV i stawki — umowa tego nie obejmuje.

Ryzyka przy błędnej kwalifikacji ról w grupie kapitałowej

Błędne zakwalifikowanie odbiorcy jako procesora zamiast odrębnego administratora może uruchomić kilka naruszeń RODO równocześnie. Naruszenie art. 6 ust. 1 RODO podlega art. 83 ust. 5 lit. a RODO — maksymalna kara wynosi do 20 000 000 euro lub do 4% całkowitego rocznego światowego obrotu (RODO — art. 83).

a) Ryzyko prawne: brak podstawy prawnej

Jeśli spółka-matka uzyskuje dostęp do danych na podstawie DPA, ale faktycznie przetwarza je do własnych celów — brak właściwej podstawy prawnej z art. 6 ust. 1 RODO. PUODO stosował za takie naruszenia zarówno upomnienia, jak i wysokie kary pieniężne. W 2025 r. PUODO nałożył karę 27 mln zł na Pocztę Polską za przetwarzanie bez podstawy prawnej (UODO — komunikat o karach).

b) Ryzyko operacyjne: nadmierny zakres dostępu

Nadanie dostępu do całego widoku systemu — w tym CV i bazy kandydatów — „dla wygody organizacyjnej” narusza zasadę minimalizacji (art. 5 ust. 1 lit. c RODO). Spółka potrzebuje trzech informacji: kto, dla jakiego klienta, po jakiej stawce. Dostaje cały profil kandydata z adresem, numerem konta i historią zatrudnienia.

c) Ryzyko związane z retencją

Wpisanie w umowę „stały dostęp / do odwołania” może dotyczyć czasu trwania porozumienia. Ale okres przechowywania raportów nie może być bezterminowy — art. 5 ust. 1 lit. e RODO wymaga przechowywania danych nie dłużej, niż jest to niezbędne do celów przetwarzania (RODO — art. 5).

d) Ryzyko reputacyjne i organizacyjne

Rozbieżność między klauzulą informacyjną (Privacy Statement) a tym, co system faktycznie umożliwia, to pole do skarg pracowników i konsultantów. Jeśli poinformowałeś ludzi, że ich dane widzi tylko spółka A, a faktycznie widzi je też spółka B — masz problem z przejrzystością.

Napisz do nas

Jak prawidłowo udostępnić dane w grupie kapitałowej — krok po kroku

Krok 1: ustal rolę każdej strony dla każdego procesu

Nie wystarczy jedno DPA „na wszystko”. Dla każdego procesu przetwarzania musisz odrębnie ustalić:

1. Kto określił cel przetwarzania
2. Czy decyzja o celu była wspólna
3. Kto decyduje o zasadniczych sposobach przetwarzania
4. Czy jedna spółka działa wyłącznie na polecenie drugiej

Przeszkolenie osób nadających dostępy (IT, HR, admin) w prostym teście „czyj to cel?” eliminuje większość błędnie zawieranych DPA w grupie.

Krok 2: wybierz właściwy instrument

Na podstawie odpowiedzi z kroku 1:

Krok 3: zawęź zakres danych do minimum

Zamiast przesyłania pełnych umów o pracę — zamów raport per osoba. Pełna umowa o pracę zawiera wynagrodzenie, numer konta, adres i często dane szczególnej kategorii (art. 9 RODO). Przesyłanie jej w całości narusza zasadę minimalizacji.

Co powinien zawierać raport:

1. Stanowisko
2. Wynagrodzenie (kwota)
3. Data rozpoczęcia i zakończenia
4. Stawka godzinowa (jeśli dotyczy)
5. Kwota miesięczna

Co wykreślić:

1. Numer konta bankowego
2. Adres zamieszkania
3. Dane mogące stanowić dane szczególnej kategorii
4. CV (nośnik danych z art. 9 — osobna ścieżka, jeśli jest odrębny cel)

Sprawdź z IT, czy raport realnie wyciąga z systemu te pola, które wpisałeś do załącznika z zakresem danych. W opisywanych przypadkach kilka pól potrzebnych do liczenia marży nie znajdowało się na liście pól przekazanej przez administratora systemu.

Krok 4: przeprowadź test równowagi (LIA)

Podstawą udostępnienia danych na potrzeby nadzoru właścicielskiego może być uzasadniony interes (art. 6 ust. 1 lit. f RODO). Motyw 48 RODO wskazuje, że przedsiębiorstwa należące do grupy mogą mieć prawnie uzasadniony interes w przekazywaniu danych w ramach grupy do wewnętrznych celów administracyjnych (RODO — motywy 47–48). Ale motyw 48 to wskazówka interpretacyjna, nie samodzielna podstawa prawna.

Dla każdego procesu przeprowadź trójstopniowy test:

Im szerszy zakres udostępnianych danych, tym wyższy wymagany próg podstawy prawnej. Udostępnienie oparte na art. 6 ust. 1 lit. f broni się właśnie wąskim zakresem. Minimalizacja nie jest przeszkodą — to argument, który obroni udostępnienie przed organem.

Uwaga: nie potwierdzono istnienia opublikowanego stanowiska PUODO ani EROD dotyczącego wprost przekazywania imiennych danych o wynagrodzeniach pracowników spółki zależnej spółce dominującej. UODO wskazuje, że kontrola właścicielska nie jest tożsama z kontrolą przetwarzania w rozumieniu RODO i nie daje automatycznie dostępu do danych pracowników (UODO — Ochrona danych w miejscu pracy). Dopuszczalność przekazania należy oceniać indywidualnie.

Krok 5: spełnij obowiązek informacyjny przed uruchomieniem

Warunkiem uruchomienia udostępniania jest:

1. Przekazanie klauzuli informacyjnej konsultantom i pracownikom, których dane zobaczy nowy odbiorca
2. Aktualizacja Privacy Statement po stronie udostępniającego — tak by zgadzał się z realnym działaniem systemu
3. Weryfikacja, czy funkcjonalność systemu odpowiada temu, co komunikujesz osobom

Art. 14 ust. 1 RODO stosuje się, gdy dane nie zostały uzyskane bezpośrednio od osoby. Nowy administrator powinien przekazać własną klauzulę obejmującą m.in. tożsamość administratora, cel, podstawę prawną, kategorie danych, źródło, odbiorców, okres przechowywania i prawa osoby. Termin: co do zasady miesiąc od pozyskania danych (RODO — art. 14).

Klauzula przekazana osobie przez pierwszy podmiot nie zastępuje obowiązku informacyjnego drugiego administratora.

Krok 6: określ okres przechowywania raportów

Art. 74 ustawy o rachunkowości różnicuje okresy przechowywania: zatwierdzone roczne sprawozdania finansowe — trwale; księgi rachunkowe i dowody księgowe — co do zasady 5 lat (Ustawa o rachunkowości — Dz.U. 2023 poz. 120).

Ale „raport właścicielski” i „raport controllingowy” nie są kategoriami zdefiniowanymi w ustawie o rachunkowości. Pięcioletni okres jest obronny tylko dla dokumentów stanowiących część ksiąg rachunkowych lub dowodów księgowych.

Wpisz do umowy konkretny okres. „Stały dostęp / do odwołania” może dotyczyć czasu trwania porozumienia, ale nie retencji danych.

Krok 7: skonfiguruj narzędzie do wymiany raportów

Zgodność z art. 32 RODO nie wynika z wyboru narzędzia — wynika z jego konfiguracji. SharePoint sam z siebie nie jest ani zgodny, ani niezgodny (UODO — bezpieczeństwo danych, art. 32).

Checklista konfiguracji repozytorium raportów:

1. Dedykowana biblioteka — nie folder w ogólnej strukturze
2. Brak dziedziczenia uprawnień z organizacji
3. Zakaz linków „każdy, kto ma link”
4. Uprawnienia nadawane per rola, nie per organizacja
5. Szyfrowanie TLS w tranzycie i at-rest
6. Włączony i przechowywany dziennik audytu
7. Zamknięty i udokumentowany krąg odbiorców
8. Reguła retencji na bibliotece spójna z okresem z umowy

Potwierdź lokalizację hostingu systemu i repozytorium. Brak transferu poza EOG to wniosek do potwierdzenia, nie domyślne założenie. Jeśli cokolwiek leży poza EOG — to osobny temat i odrębny mechanizm transferu (art. 46 RODO).

Krok 8: wydaj upoważnienia i zobowiązania do poufności

Przed nadaniem dostępu:

1. Wydaj imienne upoważnienia do przetwarzania danych dla każdej osoby z dostępem
2. Odbierz zobowiązania do poufności
3. Ogranicz krąg odbiorców do minimum — z odpowiedzią na pytanie „kto konkretnie i w jakim celu”
4. Udokumentuj polecenie lub załącznik administratora

Upoważnienie określa zakres i cel, jest dokumentowane i może być cofnięte przy zmianie obowiązków lub zakończeniu współpracy.

Kiedy BCR nie zastąpi osobnego porozumienia

W grupach kapitałowych pojawia się pokusa: „mamy BCR / intra-group agreement, to załatwia wszystkie dostępy”. Nie załatwia.

BCR (art. 46 ust. 2 lit. b i art. 47 RODO) to instrument transferowy — służą do przekazywania danych do państw trzecich w ramach grupy i wymagają zatwierdzenia przez organ nadzorczy (UODO — wiążące reguły korporacyjne). BCR nie zastępują umowy powierzenia (art. 28) ani uzgodnienia współadministratorów (art. 26).

Dla relacji wyłącznie wewnątrz EOG BCR nie są wymagane. Właściwym instrumentem jest umowa powierzenia lub porozumienie o udostępnianiu — w zależności od kwalifikacji ról.

Sam dokument nazwany „intra-group agreement” nie jest BCR, jeżeli nie spełnia wymogów art. 47 i nie został zatwierdzony przez organ nadzorczy.

Dodatkowa formalność łatwa do przeoczenia: jeśli umowa ramowa i DPA są podpisane na nieaktualne nazwy podmiotów (po zmianie nazwy lub przekształceniu) — zweryfikuj odpisami z rejestru i podpisz aneks potwierdzający ciągłość.

Możemy Ci w tym pomóc

Uporządkowanie ról i dokumentacji w grupie kapitałowej to nie jednorazowa poprawka w umowie. To przegląd, który obejmuje kwalifikację ról dla każdego procesu, porównanie istniejących DPA z rzeczywistym zakresem danych w systemach, przygotowanie właściwego instrumentu i aktualizację klauzul informacyjnych.

Wspieramy spółki z grup kapitałowych — zwłaszcza polskie podmioty z zagranicznym właścicielem — w trzech wariantach:

Łączymy RODO z kontekstem biznesowym — rozumiemy, że dział finansów potrzebuje danych do liczenia marż, a nie do czytania CV. Projektujemy dokumentację tak, żeby odblokować dostęp, nie go zablokować.

Napisz do nas

Udostępnianie danych w grupie kapitałowej — co zapamiętać

Zanim dodasz kogokolwiek do systemu grupowego, odpowiedz na pytanie „czyj to cel”. Ta odpowiedź przesądza o wyborze dokumentu: DPA, porozumienie o udostępnianiu lub uzgodnienie współadministratorów.

Zawęź zakres danych do minimum — raport per osoba zamiast pełnych umów o pracę. Określ okres przechowywania raportów. Zaktualizuj klauzulę informacyjną przed uruchomieniem udostępniania. Skonfiguruj narzędzie zgodnie z checklistą art. 32.

Minimalizacja nie blokuje nadzoru właścicielskiego. Wręcz przeciwnie — to ona sprawia, że udostępnienie ma mocniejszą podstawę prawną.

Jeśli potrzebujesz przeglądu umów wewnątrzgrupowych, mapy dostępów lub przygotowania porozumienia o udostępnianiu — napisz do nas.

Najczęściej zadawane pytania

Mamy podpisane DPA z całą grupą — czy to nie załatwia wszystkich dostępów do systemów?

Nie. DPA (umowa powierzenia z art. 28 RODO) reguluje wyłącznie sytuację, w której procesor przetwarza dane na polecenie administratora. Jeśli spółka z grupy wchodzi do systemu do własnych celów — nadzoru, controllingu, rozliczania kosztów — działa jako odrębny administrator. Potrzebne jest porozumienie o udostępnianiu danych, nie DPA. Dodatkowo sprawdź, czy literalny opis kategorii danych w DPA pokrywa to, co faktycznie widać w systemie.

Jako właściciel większościowy mam prawo wiedzieć, ile płacimy ludziom w spółce zależnej. Dlaczego RODO to komplikuje?

RODO nie zakazuje dostępu do tych informacji — wymaga, żeby zakres był proporcjonalny do celu. Pełna umowa o pracę zawiera wynagrodzenie, ale też numer konta, adres i potencjalnie dane szczególnej kategorii. Zamiast przesyłać całe umowy, przygotuj raport per osoba: stanowisko, wynagrodzenie, daty, stawka. To wystarczy do nadzoru, a jednocześnie spełnia zasadę minimalizacji. Nie potwierdzono stanowiska PUODO, które wprost dopuszczałoby lub zakazywało przekazywania imiennych danych płacowych spółce dominującej — każdy przypadek wymaga indywidualnej oceny.

Czy mogę wpisać w umowę, że dostęp jest „stały / do odwołania”?

Taki zapis może dotyczyć czasu trwania porozumienia (np. na czas trwania stosunku właścicielskiego). Natomiast okres przechowywania raportów musi być określony konkretnie — art. 5 ust. 1 lit. e RODO nie pozwala na bezterminową retencję danych osobowych. Rozważ formułę: bieżący rok obrotowy plus okres rozliczeń. Dokumenty stanowiące część ksiąg rachunkowych mogą być przechowywane 5 lat na podstawie art. 74 ustawy o rachunkowości.

Czy SharePoint wystarczy do wymiany raportów z danymi o wynagrodzeniach?

Może wystarczyć — ale zgodność z art. 32 RODO nie wynika z wyboru narzędzia, lecz z jego konfiguracji. Potrzebujesz dedykowanej biblioteki bez dziedziczenia uprawnień, zakazu linków „każdy, kto ma link”, uprawnień nadawanych per rola, włączonego dziennika audytu i reguły retencji spójnej z umową. Potwierdź też, gdzie hostowane jest repozytorium — jeśli poza EOG, to osobny temat z mechanizmem transferu.

Spółka-matka ma siedzibę w innym kraju UE — czy to transfer danych?

Jeśli obie spółki i systemy znajdują się w EOG — nie dochodzi do transferu danych do państwa trzeciego i nie potrzebujesz dodatkowych mechanizmów z rozdziału V RODO. Ale to wymaga potwierdzenia: sprawdź, gdzie stoi hosting systemu i repozytorium raportów. Lokalizacja serwera, nie siedziba spółki, przesądza o tym, czy masz do czynienia z transferem.

Kto w firmie powinien to wdrożyć: legal, HR czy IT?

Wszyscy trzej. Legal kwalifikuje role i przygotowuje dokumenty. HR aktualizuje klauzule informacyjne i przekazuje je pracownikom i konsultantom. IT konfiguruje uprawnienia w systemie, przygotowuje raport z właściwymi polami i wdraża reguły retencji. Bez współpracy tych trzech działów dokumentacja nie będzie spójna z tym, co dzieje się w systemie — a to właśnie tę spójność sprawdza organ nadzorczy.