RODO w polskim oddziale spółki zagranicznej. Osiem kroków w kolejności, która naprawdę działa.

Rejestrujesz oddział w Polsce i pierwsze, co zamawiasz, to klauzula informacyjna dla pracowników. Problem: klauzula musi wskazać administratora danych — a jeszcze nie wiesz, kto nim jest. Ten jeden błąd kolejności kosztuje cały komplet dokumentów. Trzeba je wydać ponownie, tym razem z właściwym podmiotem.

Zagraniczne grupy kapitałowe otwierające oddziały w Polsce regularnie popełniają ten sam błąd: zaczynają od dokumentów widocznych (klauzule, regulaminy), zamiast od ustaleń, które determinują treść tych dokumentów. RODO w polskim oddziale spółki zagranicznej wymaga ściśle określonej sekwencji działań. Odwrócenie tej kolejności oznacza podwójną pracę i realne ryzyko skarg do Prezesa UODO.

W tym artykule opisuję osiem kroków uruchamiania zgodności z RODO w nowym oddziale — w kolejności, która pozwala uniknąć przeróbek. Wyjaśniam, dlaczego audyt to zła odpowiedź w nowym podmiocie, czemu umowa powierzenia między centralą a własnym oddziałem nie ma prawnego przedmiotu i jak zaplanować prace, gdy połowa danych musi przyjść z zagranicy.

Pojęcia, które musisz znać przed startem

Zanim przejdziemy do sekwencji, warto uporządkować kilka pojęć. Bez nich łatwo pomylić role i wybrać niewłaściwy instrument prawny.

Dlaczego audyt to zła odpowiedź w nowym oddziale

Audyt bada stan istniejący. W nowo zarejestrowanym oddziale stanu jeszcze nie ma — są procesy dopiero uruchamiane i dane, które trzeba zebrać od centrali. Zamawianie audytu RODO w takim momencie to wydatek na badanie pustego pokoju.

Zamiast audytu potrzebujesz mapy procesów faktycznie prowadzonych w Polsce: kategorie osób i danych, systemy lokalne i grupowe, dostawcy, właściciele procesów. To punkt wyjścia do dokumentacji, nie raport z kontroli.

Różnica jest zasadnicza:

Audyt ma swoje miejsce — ale w etapie drugim, po wdrożeniu pakietu startowego, gdy jest już co badać.

Osiem kroków w kolejności, która naprawdę działa

Sekwencja poniżej wynika z jednej zasady: każdy kolejny dokument zależy od ustaleń z poprzedniego kroku. Przestawienie kolejności łamie tę zależność — i wymusza przeróbki.

Krok 1: role i odpowiedzialność — kto jest administratorem

To fundament całego pakietu. Zanim powstanie jakakolwiek klauzula, rejestr czy procedura, musisz ustalić i zapisać:

1. Kto jest administratorem danych przetwarzanych w oddziale (co do zasady: spółka macierzysta, nie oddział — bo oddział nie jest odrębną osobą prawną)
2. Jaki jest status oddziału w strukturze administratora
3. Który organ nadzorczy jest właściwy dla skarg (Prezes UODO jest właściwy do przyjęcia skargi przy polskim łączniku — art. 77 ust. 1 RODO)
4. Czy inspektor ochrony danych wyznaczony przez centralę obejmuje oddział i czy został zgłoszony właściwemu organowi (art. 37 ust. 2 RODO dopuszcza jednego IOD dla całej grupy)
5. Kto jest osobą kontaktową po stronie oddziału i po stronie centrali

Efekt: jednostronicowa notatka. Bez niej wszystkie kolejne dokumenty mogą wskazywać niewłaściwy podmiot.

Typowy błąd: centrala przysyła projekt klauzuli informacyjnej z oddziałem wpisanym jako administrator. Klauzula trafia do pracowników. Po miesiącu okazuje się, że administratorem jest spółka macierzysta — cały komplet do wymiany.

Krok 2: mapowanie procesów — co faktycznie dzieje się w Polsce

Mając ustalonego administratora, zbierasz informacje o procesach przetwarzania prowadzonych przez oddział:

1. Kategorie osób, których dane przetwarza oddział (pracownicy, kandydaci, współpracownicy B2B, przedstawiciele kontrahentów, klienci)
2. Kategorie danych dla każdej grupy osób
3. Systemy lokalne i grupowe wykorzystywane w oddziale (HRIS, CRM, poczta, komunikatory)
4. Dostawcy usług zaangażowani w przetwarzanie
5. Właściciele procesów po stronie oddziału

To nie jest audyt. To zbieranie danych wejściowych do dokumentacji — częściowo od osób w oddziale, częściowo od centrali.

Uwaga praktyczna: część odpowiedzi musi przyjść z zagranicy. Dlatego harmonogram pakietu startowego powinien zakładać zapas czasu na korespondencję z centralą. Osiem pozycji rozłożonych na cztery miesiące przy kilkunastu godzinach pracy to nie miara pracochłonności — to zapas na oczekiwanie na odpowiedzi.

Krok 3: relacje w grupie — oddział, spółka siostrzana, centrala

To krok, w którym najczęściej popełnia się błędy. Musisz rozdzielić na piśmie dwie relacje:

Relacja centrala–oddział to podział zadań wewnątrz jednego administratora. Nie wymaga umowy powierzenia (art. 28 RODO), bo nie ma dwóch odrębnych podmiotów prawnych. Umowa powierzenia zawarta między centralą a jej własnym oddziałem to instrument bez prawnego przedmiotu — pozorna zgodność, która nie chroni w razie kontroli.

Relacja z odrębną spółką z grupy (np. siostrzaną, z którą oddział dzieli biuro, personel lub systemy) wymaga kwalifikacji ról i wskazania właściwego instrumentu:

Scenariusz z życia: oddział dzieli biuro, personel i systemy ze spółką siostrzaną z tej samej grupy. Nikt nie zakwalifikował, czy to powierzenie, współadministrowanie, czy udostępnienie. Przy pierwszej kontroli lub skardze brakuje podstawy prawnej dla przepływu danych między tymi podmiotami.

Sprawdź wszystkie istniejące umowy powierzenia w grupie i usuń te zawarte między centralą a jej własnym oddziałem. Następnie zakwalifikuj relacje z każdą odrębną spółką grupy.

Skontaktuj się z nami, jeśli potrzebujesz wsparcia w kwalifikacji ról w grupie kapitałowej.

Krok 4: przejrzystość przetwarzania — klauzule informacyjne

Dopiero teraz — mając ustalonego administratora, zmapowane procesy i zakwalifikowane relacje — możesz przygotować klauzule informacyjne. Wymagają tego art. 13 i 14 RODO.

Klauzule muszą wskazywać zagraniczną osobę prawną jako administratora, działającą przez oddział w Polsce — nie oddział jako administratora. To różnica, która decyduje o tym, czy dokument jest poprawny, czy wymaga wymiany.

Zestaw klauzul obejmuje co najmniej:

1. Klauzula dla pracowników (art. 13 RODO + art. 22¹ Kodeksu pracy)
2. Klauzula dla kandydatów do pracy — obowiązek powstaje przy pierwszym otrzymanym CV
3. Klauzula dla współpracowników na umowach cywilnoprawnych i B2B
4. Klauzula dla kontrahentów i ich przedstawicieli — w tym z art. 14 RODO dla danych pozyskanych pośrednio (z wizytówek, maili, rekomendacji)
5. Klauzula dla klientów — jeśli oddział ich obsługuje

Każda klauzula musi zawierać: tożsamość administratora, cele i podstawy prawne, odbiorców, informację o transferach poza EOG, okres przechowywania, prawa osoby, prawo skargi do Prezesa UODO, informację o obowiązku podania danych.

Priorytet: jeśli oddział już rekrutuje, klauzule HR i rekrutacyjne przygotowujesz w pierwszym miesiącu, przed pozostałymi dokumentami. Nie ma sensu czekać z obowiązkiem, który powstaje przy pierwszym CV. Naruszenie art. 13 ust. 1 lit. a RODO (błędne wskazanie administratora) podlega sankcji z art. 83 ust. 5 lit. b RODO: do 20 mln euro lub 4% rocznego światowego obrotu (źródło: art. 83 RODO).

Krok 5: przepływy danych i transfery — co trafia do centrali i do grupy

Opisz każdy przepływ danych do centrali i między podmiotami grupy. Zakwalifikuj każdy z nich osobno:

1. Czy przepływ odbywa się wewnątrz jednego administratora (centrala–oddział)?
2. Czy odbiorcą jest odrębny podmiot prawny (spółka siostrzana, dostawca)?
3. Czy dane trafiają poza EOG?
4. Jeśli tak — jaki instrument transferu ma zastosowanie?

Pułapka: przepływ danych HR do centrali w Wielkiej Brytanii wygląda bezpiecznie na podstawie decyzji o adekwatności. Ale kwalifikacja zmienia się, gdy faktycznym odbiorcą jest inna spółka grupy niż administrator. Sama decyzja o adekwatności państwa centrali nie wystarcza — trzeba ustalić, kto jest faktycznym odbiorcą i w jakiej roli.

Przy korzystaniu z systemów grupowych (HRIS, CRM, SaaS) konieczna jest kwalifikacja ról na każdym poziomie. Typowy model wygląda tak: administrator (spółka macierzysta) → procesor (spółka obsługująca system) → podprocesor (dostawca SaaS). Każdy poziom wymaga odrębnego instrumentu prawnego z art. 28 ust. 3 RODO. Procesor nie może angażować podprocesora bez uprzedniej pisemnej zgody administratora (art. 28 ust. 2 RODO).

Status decyzji o adekwatności dla Wielkiej Brytanii: decyzja 2021/1772 została przedłużona decyzją 2025/1226. Termin jej obowiązywania jest zmienny — wymaga bieżącego monitorowania. W razie braku decyzji o adekwatności konieczne są odpowiednie zabezpieczenia z art. 46 RODO: standardowe klauzule umowne (SCC), wiążące reguły korporacyjne (BCR) lub inne zatwierdzone mechanizmy.

Krok 6: rejestry i rozliczalność — dokumentowanie tego, co ustalono

Rejestr czynności przetwarzania (art. 30 ust. 1 RODO) uzupełniasz po klauzulach i mapie procesów — nie wcześniej. Dlaczego? Bo rejestr musi być spójny z klauzulami. Dwa dokumenty opisujące te same procesy inaczej to problem przy kontroli.

Rejestr musi zawierać m.in.:

1. Nazwę i dane kontaktowe administratora (spółki macierzystej, nie oddziału)
2. Cele przetwarzania
3. Kategorie osób i danych
4. Odbiorców danych
5. Informacje o przekazywaniu danych poza EOG
6. Planowane okresy przechowywania
7. Opis środków technicznych i organizacyjnych (art. 32 RODO)

Pola, na które brakuje odpowiedzi z centrali, oznacz wyraźnie jako „do potwierdzenia”. To lepsze niż pozostawienie pustych rubryk albo wpisanie danych na podstawie domysłów.

Naruszenie obowiązku prowadzenia rejestru podlega sankcji z art. 83 ust. 4 lit. a RODO: do 10 mln euro lub 2% rocznego światowego obrotu. Decyzja DKN.5112.27.2022 Prezesa UODO obejmowała m.in. nieprowadzenie rejestru czynności.

Krok 7: prawa osób i naruszenia — procedury reagowania

Dwa zestawy procedur, które oddział musi mieć przed pierwszym żądaniem i przed pierwszym incydentem:

Procedura realizacji praw osób (art. 12–22 RODO):
Oddział jest punktem kontaktu, ale to centrala (administrator) odpowiada za realizację. Ustal ścieżkę przekazywania żądań do centrali z terminami wewnętrznymi krótszymi niż ustawowy miesiąc (art. 12 ust. 3 RODO). Jeśli centrala nie odpowiada w terminie — masz problem, bo termin biegnie niezależnie od wewnętrznych uzgodnień.

Procedura obsługi naruszeń (art. 33–34 RODO):
Zgłoszenie naruszenia organowi nadzorczemu musi nastąpić w ciągu 72 godzin od stwierdzenia. Ścieżka oddział → centrala musi być szybsza — bo to centrala decyduje o zgłoszeniu. Ustal punkt eskalacji, formularz wewnętrznego zgłoszenia i rejestr naruszeń obejmujący także te niezgłaszane organowi.

Scenariusz: pierwsze naruszenie w oddziale. 72 godziny upływają, zanim centrala odpowie na maila, bo nie ustalono punktu eskalacji. Brak procedury obsługi naruszeń może skutkować sankcją do 20 mln euro lub 4% obrotu.

Krok 8: podsumowanie i lista ryzyk — co zamknięte, co otwarte

Zamknij pakiet startowy dokumentem, który wskazuje wyraźnie:

1. Co zostało zrealizowane i w jakim zakresie
2. Co pozostaje otwarte (z poziomem ryzyka i rekomendacją)
3. Co wchodzi w zakres etapu drugiego

Ten dokument to dowód rozliczalności (art. 5 ust. 2, art. 24 RODO). Przekaż go zarządowi.

Czego nie ma w pakiecie startowym — i dlaczego to trzeba spisać

Dobrze napisany zakres usługi w połowie składa się z tego, czego w nim nie ma. Katalog wyłączeń to instrument ochrony Twojej firmy: pokazuje, czego po zakończeniu pakietu nie wolno uznać za załatwione.

Typowe wyłączenia z pakietu startowego RODO w nowym oddziale:

Jeśli nikt nie spisze tego katalogu, klient po zakończeniu pakietu startowego jest przekonany, że wszystko jest załatwione. A nie jest.

Jak zaplanować prace, gdy połowa danych musi przyjść z zagranicy

Harmonogram pakietu startowego w oddziale zagranicznej spółki ma jedną specyfikę: zależy od tempa odpowiedzi centrali. Trzy zasady, które pozwalają uniknąć sporów o opóźnienia:

1. SLA każdej pozycji biegnie od otrzymania kompletu danych wejściowych — nie od podpisania umowy. Przy zależności od zagranicznej centrali to jedyna konstrukcja, która nie generuje konfliktu o terminy.
2. Jeden limit godzin na cały pakiet — obejmujący korespondencję z centralą i jedną rundę uwag do każdego produktu. Godziny przesuwalne między pozycjami. Chroni budżet przed renegocjacją w połowie prac, gdy jedna pozycja okazuje się trudniejsza, a druga prostsza.
3. Kolumna zależności przy każdej pozycji — każdy krok wskazuje, od których wcześniejszych kroków zależy. Przestawienie kolejności łamie konstrukcję, nie tylko wygląd harmonogramu.

Szkolenie właścicieli procesów — jedna zasada do zapamiętania

Przeszkol właścicieli procesów w oddziale (HR, administracja, sprzedaż) z jednej rzeczy: oddział nie jest administratorem. Każde pismo, klauzula i odpowiedź na żądanie muszą wskazywać spółkę macierzystą działającą przez oddział.

To proste w teorii, ale w codziennej pracy łatwo o pomyłkę. HR wysyła klauzulę z nagłówkiem oddziału. Administracja odpowiada na żądanie dostępu, podpisując się jako oddział. Sprzedaż zbiera dane kontrahentów bez klauzuli z art. 14 RODO. Każda z tych sytuacji to naruszenie, które można wyeliminować jednym szkoleniem.

Właściwość organu nadzorczego — do kogo trafi skarga pracownika

Pracownik polskiego oddziału może złożyć skargę do Prezesa UODO (art. 77 ust. 1 RODO). UODO jest właściwy do przyjęcia skargi, nawet jeśli administratorem jest podmiot zagraniczny.

Mechanizm dalszego postępowania zależy od struktury:

1. Jeśli administrator ma główną jednostkę organizacyjną w innym państwie UE — sprawa może trafić do organu wiodącego w tym państwie (art. 56 ust. 1 RODO), a UODO współpracuje z nim w ramach mechanizmu z art. 60 RODO
2. Jeśli administrator ma siedzibę poza UE, ale posiada oddział w Polsce jako jednostkę organizacyjną — RODO stosuje się na podstawie art. 3 ust. 1, a Prezes UODO może być właściwy w zakresie działalności tego oddziału
3. Decyzja organu wiodącego wiąże administratora w ramach wszystkich jego jednostek organizacyjnych w Unii (art. 60 ust. 11 RODO) — w tym polskiego oddziału

Dla centrali oznacza to, że postępowanie może toczyć się w języku polskim, w realiach polskiego prawa pracy i przed organem, na który centrala nie jest przygotowana. Ustalenie ścieżki komunikacji z organem nadzorczym to element pakietu startowego, nie późniejszy bonus.

Ważna uwaga: administrator posiadający oddział w UE (jako jednostkę organizacyjną prowadzącą faktyczną działalność związaną z przetwarzaniem) podlega RODO na podstawie art. 3 ust. 1 — i co do zasady nie ma obowiązku wyznaczania dodatkowego przedstawiciela z art. 27 RODO. Oddział w Polsce nie jest jednak automatycznie „przedstawicielem” w rozumieniu art. 27 — to odrębne funkcje prawne.

Wymogi rejestrowe oddziału a RODO — co wynika z wpisu do KRS

Rejestracja oddziału przedsiębiorcy zagranicznego w Polsce podlega ustawie z 6 marca 2018 r. o zasadach uczestnictwa przedsiębiorców zagranicznych:

1. Art. 16 — obowiązek ustanowienia osoby upoważnionej do reprezentowania w oddziale
2. Art. 17 — wpis do KRS jako warunek rozpoczęcia działalności
3. Art. 19 — obowiązek używania firmy zagranicznej z oznaczeniem „oddział w Polsce”

Wpis reprezentanta do KRS nie tworzy odrębnego administratora danych. Klauzule informacyjne i rejestr czynności muszą wskazywać podmiot faktycznie decydujący o celach i sposobach przetwarzania — co do zasady zagraniczną osobę prawną, nie oddział. Sąd Okręgowy w Warszawie (XXIII Gz 356/24 i 357/24, 15 lipca 2024 r.) potwierdził, że osoba ujawniona w KRS może odbierać korespondencję kierowaną do przedsiębiorcy zagranicznego — ale to kwestia reprezentacji, nie statusu administratora.

Prawo pracy w oddziale — obowiązki informacyjne od pierwszego CV

Oddział zatrudniający pracowników w Polsce stosuje przepisy Kodeksu pracy niezależnie od siedziby administratora. Trzy obszary wymagają uwagi od pierwszego dnia:

1. Dane kandydatów — art. 22¹ KP określa zamknięty katalog danych żądanych od kandydata (imię, nazwisko, data urodzenia, wykształcenie, przebieg zatrudnienia). Klauzula informacyjna z art. 13 RODO musi wskazywać rzeczywistego administratora — zagraniczną osobę prawną.
2. Dane szczególnych kategorii — art. 22¹b KP: dane szczególnych kategorii kandydata lub pracownika mogą być przetwarzane na podstawie zgody tylko wtedy, gdy przekazanie nastąpiło z inicjatywy tej osoby.
3. Monitoring wizyjny — art. 22² § 1 KP: dopuszczalny wyłącznie dla bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub ochrony tajemnicy. Pracowników informuje się nie później niż 2 tygodnie przed uruchomieniem; nowego pracownika — na piśmie przed dopuszczeniem do pracy (źródło: UODO).

Możemy Ci w tym pomóc

Uruchomienie RODO w nowym oddziale to projekt z jasną sekwencją, konkretnymi produktami i określonymi zależnościami. Pracujemy na zakresie zbudowanym jak specyfikacja — z kryterium akceptacji, danymi wejściowymi, produktem końcowym i wyłączeniem przy każdej pozycji.

Nasz pakiet startowy obejmuje:

1. Notatka o rolach i odpowiedzialności — jednostronicowy dokument ustalający administratora, status oddziału, właściwość organu i punkt kontaktowy
2. Mapa procesów — identyfikacja kategorii osób, danych, systemów i dostawców w oddziale
3. Kwalifikacja relacji w grupie — rozdzielenie relacji centrala–oddział od relacji z odrębnymi spółkami, wskazanie wymaganych instrumentów
4. Zestaw klauzul informacyjnych — dla pracowników, kandydatów, współpracowników, kontrahentów i klientów
5. Analiza przepływów i transferów — kwalifikacja każdego przepływu danych do centrali i grupy
6. Rejestr czynności przetwarzania — wpisy dla procesów prowadzonych w Polsce
7. Procedury reagowania — obsługa żądań osób i naruszeń, z wewnętrznymi terminami i ścieżką eskalacji
8. Lista ryzyk i braków — z poziomem ryzyka, rekomendacją i wskazaniem, co wchodzi w etap drugi

Jeden limit godzin na cały pakiet. Godziny przesuwalne między pozycjami. SLA biegnie od otrzymania danych wejściowych. Spisany katalog wyłączeń, żeby było jasne, co zostaje otwarte.

Napisz do nas

RODO w oddziale spółki zagranicznej — co zapamiętać

Przy uruchamianiu RODO w nowym oddziale o wszystkim decyduje sekwencja. Najpierw role i administrator, potem mapa procesów, potem relacje w grupie, dopiero potem klauzule, przepływy, rejestr, procedury i lista ryzyk. Odwrócenie tej kolejności oznacza dokumenty do wyrzucenia i ponownego wydania.

Trzy rzeczy do zapamiętania:

1. Oddział nie jest administratorem — administratorem jest spółka macierzysta, a klauzule, rejestr i procedury muszą to odzwierciedlać
2. Umowa powierzenia między centralą a własnym oddziałem nie ma prawnego przedmiotu — usuń ją i zakwalifikuj relacje z odrębnymi spółkami grupy
3. Audyt w nowym podmiocie to wydatek na badanie stanu, którego jeszcze nie ma — zamów mapę procesów, nie raport z kontroli

Jeśli rejestrujesz oddział w Polsce lub uruchamiasz zgodność z RODO w nowym podmiocie — napisz do nas. Ustalimy zakres pakietu startowego dopasowany do Twojej struktury, z jasną sekwencją działań i spisanym katalogiem wyłączeń.

Najczęściej zadawane pytania

Rejestrujemy oddział w Polsce — czy musimy mieć własne RODO, czy wystarczy to, co ma centrala?
RODO obowiązuje bezpośrednio w całej UE — nie „wdraża się” go osobno dla oddziału. Natomiast oddział prowadzący działalność w Polsce (rekrutacja, zatrudnienie, obsługa kontrahentów) generuje procesy przetwarzania, które wymagają odrębnej dokumentacji: klauzul informacyjnych po polsku, wpisów w rejestrze czynności, procedur obsługi żądań i naruszeń. Dokumenty centrali nie zastępują tych obowiązków, bo muszą odzwierciedlać procesy faktycznie prowadzone w Polsce i wskazywać Prezesa UODO jako organ właściwy do skarg.

Czy oddział może być administratorem danych?
Co do zasady nie. Oddział nie jest odrębną osobą prawną — jest jednostką organizacyjną spółki macierzystej. Administratorem pozostaje spółka macierzysta, która decyduje o celach i sposobach przetwarzania (art. 4 pkt 7 RODO). Klauzule informacyjne muszą wskazywać spółkę macierzystą działającą przez oddział, nie sam oddział. Wpisanie oddziału jako administratora to błąd materialny wymagający wymiany całego kompletu dokumentów.

Centrala przysłała umowę powierzenia do podpisania między sobą a oddziałem. Podpisywać?
Nie. Umowa powierzenia z art. 28 RODO wymaga dwóch odrębnych podmiotów prawnych — administratora i procesora. Oddział nie jest odrębną osobą prawną, więc umowa nie ma prawnego przedmiotu. To pozorna zgodność. Zamiast tego ustal wewnętrzny podział zadań między centralą a oddziałem w ramach polityki grupowej. Umowa powierzenia ma sens wyłącznie w relacji z odrębną spółką z grupy (np. siostrzaną) lub zewnętrznym dostawcą.

Czy przesyłanie danych pracowników do centrali w Wielkiej Brytanii wymaga dodatkowej podstawy prawnej?
To zależy od kwalifikacji przepływu. Jeśli dane trafiają do centrali jako tego samego administratora — jest to przepływ wewnątrz jednego podmiotu, objęty decyzją o adekwatności dla Wielkiej Brytanii (decyzja 2021/1772, przedłużona decyzją 2025/1226). Ale jeśli faktycznym odbiorcą jest inna spółka z grupy — potrzebujesz odrębnej kwalifikacji ról i odpowiedniego instrumentu prawnego. Sama decyzja o adekwatności nie wystarcza, gdy odbiorca nie jest administratorem. Termin obowiązywania decyzji jest zmienny i wymaga monitorowania.

Ile trwa uruchomienie RODO w nowym oddziale i dlaczego doradca mówi o czterech miesiącach, jeśli pracy jest kilkanaście godzin?
Cztery miesiące to nie miara pracochłonności — to zapas czasu na odpowiedzi centrali. Każda pozycja pakietu zależy od danych wejściowych, które częściowo muszą przyjść z zagranicy. SLA biegnie od otrzymania tych danych, nie od podpisania umowy. Przy sprawnej komunikacji z centralą pakiet może zamknąć się szybciej. Przy opóźnieniach po stronie centrali — harmonogram się wydłuża, ale bez winy żadnej ze stron.

Czego dokładnie nie będziemy mieć po pakiecie startowym?
Pakiet startowy nie obejmuje m.in.: analizy cookies i śledzenia online, audytu dostawców i podprzetwarzających, oceny skutków dla ochrony danych (DPIA), umów grupowych i BCR, utrzymania rocznego. Te obszary wchodzą w etap drugi. Spisany katalog wyłączeń jest częścią pakietu — żeby po jego zakończeniu było jasne, co zostaje otwarte i jakie ryzyko się z tym wiąże.