Czy firma sprzątająca wymaga umowy powierzenia danych? Odpowiedź jest prostsza niż myślisz.
Share
DPD zapłaciło ponad 11 milionów złotych kary między innymi za brak umów powierzenia z zewnętrznymi przewoźnikami. To nie znaczy że każdy kto wchodzi do Twojego biura musi taką umowę podpisać. Ale znaczy że UODO nie zamierza przymykać oka na oglądanie danych "jednym okiem"
Jest takie pytanie które pada na niemal każdym szkoleniu z RODO.
"A firma sprzątająca? Też wymaga umowy powierzenia?"
I zazwyczaj pada jedna z dwóch odpowiedzi. Pierwsza: "oczywiście, przecież mają dostęp do biura." Druga: "no nie przesadzajmy, to tylko sprzątanie."
Obie są niekompletne. I obie ignorują to co naprawdę się dzieje gdy pani Zofia z miotłą wchodzi do Twojego open space o siódmej rano.
Skąd w ogóle bierze się ten problem
Firma sprzątająca nie przetwarza danych osobowych Twoich klientów w sposób który intuicyjnie kojarzymy z przetwarzaniem. Nie wpisuje ich do systemu. Nie wysyła maili. Nie generuje raportów.
Ale ma dostęp do przestrzeni gdzie te dane fizycznie istnieją.
Na biurkach leżą dokumenty. Na ekranach widnieją arkusze. W niszczarce czekają wydruki. Na tablicach wiszą harmonogramy z nazwiskami. Na podłodze przy drukarce leży wydruk który ktoś zostawił bo się spieszył.
Pracownik firmy sprzątającej który sprząta to biuro widzi te rzeczy. Fizycznie. Każdej nocy.
I tu zaczyna się pytanie prawne: czy to jest przetwarzanie danych osobowych które wymaga umowy powierzenia z art. 28 RODO?
DPD i lekcja za 11 milionów
Luty 2026. UODO nałożył na DPD Polska karę w łącznej kwocie ponad 11 mln zł. Jednym z powodów było korzystanie z usług zewnętrznych przewoźników bez zawarcia z nimi umów powierzenia przetwarzania danych osobowych. DPD argumentowało że przedmiotem umowy była czynność przewozu która nie łączyła się z przetwarzaniem danych. UODO nie podzielił tego poglądu uznając że podczas załadunku i rozładunku przesyłek zewnętrzni przewoźnicy mieli dostęp do etykiet adresowych z danymi osobowymi.
Wniosek który płynie z tej decyzji jest szerszy niż sam sektor kurierski.
UODO rygorystycznie podchodzi do pytania kto ma dostęp do danych – nawet gdy ten dostęp jest fizyczny, przypadkowy i niezamierzony. Argument "oni tylko przewożą paczki" nie przekonał Prezesa UODO. Argument "oni tylko sprzątają biuro" może go równie skutecznie nie przekonać.
To nie znaczy że każda umowa z firmą sprzątającą wymaga pełnego reżimu z art. 28. Ale znaczy że nie można machać ręką i mówić "to tylko sprzątanie." Decyzja nie jest jednak absolutna i uważam że DPD ma spore szanse się wybronić w wyższych instancjach - może coś było pominięte, może coś źle zrozumiane. Widzimy tylko jedną stronę - UODO, a nie wiemy co na ten temat sądzi jeszcze DPD.
Moje racjonalne spojrzenie: umowa powierzenia tu zazwyczaj nie jest potrzebna
Firma sprzątająca w standardowych warunkach nie jest podmiotem przetwarzającym w rozumieniu art. 28 RODO. Nie przetwarza danych na Twoje polecenie. Nie ma dostępu do systemów. Nie zbiera, nie organizuje, nie modyfikuje danych osobowych Twoich klientów czy pracowników.
Ma dostęp do przestrzeni. To jest coś innego.
Analogia: hydraulik który naprawia w Twoim biurze awarie ma dostęp do tej samej przestrzeni. Kurier który dostarcza paczkę wchodzi do recepcji. Technik od kserokopiarki siedzi przy urządzeniu przez godzinę. Nikt z nich nie jest podmiotem przetwarzającym.
Firma sprzątająca jest bliżej tej kategorii niż kategorii procesora danych.
Co więcej – wymuszanie na firmie sprzątającej podpisywania umów powierzenia z art. 28 RODO jest trochę jak zakładanie kamizelki kuloodpornej przed spacerkiem do parku. Formalnie może nie zaszkodzić. Ale nie rozwiązuje realnego problemu.
Bo realnym problemem nie jest brak dokumentu.
Realnym problemem jest brak nadzoru i czyste biurko
Tu dochodzimy do sedna którego żaden kontrakt nie zastąpi.
Firma sprzątająca w Polsce zatrudnia często pracowników za najniższą krajową. Rotacja jest wysoka. Kontrola jakości niska. Część z nich pochodzi z zagranicy i nie ma żadnych związków z Twoją firmą ani Twoją branżą.
Teraz wyobraź sobie że na biurku leży wydruk z danymi 200 klientów. Albo oferta cenowa przed ważnymi negocjacjami. Albo CV kandydata którego właśnie rozpatrujesz. Albo raport finansowy który za tydzień ma trafić do zarządu.
Pracownik firmy sprzątającej który sprząta to biuro o 22:00 ma dostęp do tych dokumentów przez godzinę. Bez nadzoru. Sam.
Zdjęcie telefonem zajmuje sekundę. Informacja poufna trafia do konkurencji za pięćset złotych. Nikt nie wie że to się stało.
Żadna umowa powierzenia tego nie powstrzyma.
Powstrzyma to jedna zasada: czyste biurko.
Dokumenty z danymi osobowymi i informacjami poufnymi chowane są po godzinach pracy. Ekrany zablokowane. Wydruki z drukarek odebrane lub zniszczone. Szafki zamknięte na klucz.
To jest realna ochrona. NDA z firmą sprzątającą i klauzula o zachowaniu poufności jako element umowy o świadczenie usług – tak. Pełna umowa powierzenia z art. 28 z opisem celów przetwarzania i prawem do audytu – zbędna i myląca co do rzeczywistego charakteru relacji.
Nadzór fizyczny i organizacyjny zastępuje tutaj dokumentację prawną. I jest skuteczniejszy.
Co zamiast umowy powierzenia
Jeśli chcesz zadbać o temat prawnie i organizacyjnie jednocześnie – masz trzy narzędzia.
Pierwsze: klauzula poufności w umowie z firmą sprzątającą. Nie umowa powierzenia z art. 28 RODO – zwykłe NDA lub klauzula w umowie o świadczenie usług. Firma sprzątająca zobowiązuje się do zachowania poufności w stosunku do wszystkich informacji z którymi zetkną się jej pracownicy. To jest odpowiedni instrument dla tej relacji.
Drugie: zasada czystego biurka wdrożona jako rzeczywista polityka a nie plakat na ścianie. Pracownicy wiedzą że przed wyjściem z biura dokumenty idą do szuflady albo niszczarki. Ekrany są blokowane. Wydruki nie leżą przy drukarce przez noc.
Trzecie: nadzór przy pracach w obszarach szczególnie wrażliwych. Jeśli firma sprzątająca pracuje w archiwum albo serwerowni – powinna to robić z asystą pracownika Twojej firmy albo w czasie gdy te obszary są fizycznie zamknięte.
To jest compliance który działa. Nie compliance który wygląda dobrze w szufladzie.
Lekcja z DPD której nie wolno zignorować
Decyzja DPD nie mówi że każdy zewnętrzny podmiot mający fizyczny dostęp do przestrzeni firmy wymaga umowy powierzenia.
Mówi coś ważniejszego: UODO patrzy rygorystycznie na pytanie kto ma dostęp do danych – i nie akceptuje argumentu że "to tylko usługa techniczna bez przetwarzania danych."
Jeśli zewnętrzny podmiot ma dostęp do danych osobowych w jakiejkolwiek formie – trzeba to ocenić. Nie zakładać że jest OK bo zawsze tak było. Nie zakładać że jest problem bo brzmi poważnie.
Ocenić. Świadomie. I wybrać odpowiednie narzędzie do realnego ryzyka.
Firma sprzątająca w standardowym biurze: NDA, zasada czystego biurka, nadzór.
Firma kurierska która obsługuje paczki z danymi adresowymi dziesiątek tysięcy klientów: umowa powierzenia.
DPD wybrało złą odpowiedź. Zapłaciło za to ponad jedenaście milionów złotych.
FAQ
Mamy firmę sprzątającą która sprząta po godzinach bez nadzoru. Co powinienem zrobić minimum?
Minimum to dwie rzeczy. Pierwsza: klauzula poufności w umowie z firmą sprzątającą – zobowiązuje jej pracowników do nieujawniania tego co zobaczą. Druga: wdrożona zasada czystego biurka – dokumenty schowane, ekrany zablokowane, wydruki odebrane przed końcem dnia. Nie ma co kusić losu.
Czy jak mam podpisaną umowę powierzenia z firmą sprzątającą to jestem bezpieczny?
Bezpieczniejszy formalnie – ale nie faktycznie. Umowa powierzenia z art. 28 RODO nakłada obowiązki na firmę sprzątającą ale nie zmienia fizycznej rzeczywistości. Pracownik który chce zrobić zdjęcie dokumentowi – zrobi je niezależnie od tego co podpisał jego pracodawca. Realna ochrona to organizacja przestrzeni a nie papier w szufladzie.
UODO zapytał mnie przy kontroli czy mam umowę powierzenia z firmą sprzątającą. Co odpowiedzieć?
Odpowiedz szczerze i wyjaśnij swoją ocenę. Firma sprzątająca nie przetwarza danych na Twoje polecenie – nie wpisuje ich do systemów, nie organizuje, nie modyfikuje. Ma dostęp do przestrzeni co jest czymś innym niż bycie procesorem danych. Tłumacz że wszelki dostęp do potencjalnych danych jest realizowany pod nadzorem i w ramach upowaznienia (chyba że twoje procedury wymagają formy pisemnej) Pokaż że temat był świadomie oceniony, że masz klauzulę poufności w umowie i że stosujesz zasadę czystego biurka. Świadoma decyzja poparta uzasadnieniem jest zawsze lepsza niż przypadkowy brak dokumentu.
Firma sprzątająca sprzedała dane naszych klientów które zobaczyła na biurkach. Kto odpowiada?
To zależy od okoliczności ale administrator – czyli Ty – będzie miał poważny problem jeśli nie wdrożył odpowiednich środków organizacyjnych. Art. 32 RODO wymaga żebyś zapewnił bezpieczeństwo danych adekwatne do ryzyka. Brak zasady czystego biurka, brak nadzoru, dokumenty leżące swobodnie – to Twoje zaniedbanie organizacyjne, nie tylko wina firmy sprzątającej. Umowa powierzenia tego nie zmienia – wzmacnia odpowiedzialność procesora ale nie zdejmuje Twojej. Oczywiście można cywilnie próbować przenieść odpowiedzialność na sprawcę ale to wymaga czasu.
Nasza firma sprzątająca ma dostęp do serwerowni żeby odkurzyć sprzęt. Czy to zmienia sytuację?
Tak – i to istotnie. Serwerownia to obszar szczególny. Fizyczny dostęp do sprzętu który przetwarza dane to inny poziom ryzyka niż dostęp do open space. Tu warto rozważyć albo nadzorowane wejście z pracownikiem Twojej firmy albo zamknięcie dostępu do szaf serwerowych w czasie sprzątania. Klauzula poufności to nadal minimum, ale środki organizacyjne muszą być tu znacznie bardziej rygorystyczne.
Czy NDA z firmą sprzątającą jest prawnie wiążące dla jej pracowników którzy faktycznie sprzątają?
NDA podpisujesz z firmą – nie z jej pracownikami. Firma odpowiada za to żeby jej pracownicy zachowali poufność ale egzekwowanie tego jest Twoim i firmy wspólnym problemem gdy dojdzie do incydentu. Dlatego sama klauzula poufności bez organizacji przestrzeni to za mało. Najlepszym zabezpieczeniem jest żeby pracownik firmy sprzątającej po prostu nie miał do czego zaglądać – bo dokumenty są schowane a ekrany zablokowane. Można umownie nakazać firmie aby zobowiązała swoich pracowników, albo sami dać im papier do podpisu. Wszystko zależy od naszej pozycji negocjacyjnej.
Nasza niszczarka stoi przy wyjściu i firma sprzątająca ją opróżnia. Czy to problem?
Nie pod warunkiem że niszczarka spełnia normy ISO i można stwierdzić że odzyskanie dokumentu po zniszczeniu jest niemożliwe/bardzo bardzo trudne
Artykuł powstał przy wsparciu AI. Weryfikacja merytoryczna i redakcja: Damian Bielecki, Typ od RODO.
