Umowa DPA w email marketingu — krok po kroku

Korzystasz z systemu mailingowego do wysyłki newsletterów lub kampanii e-mail? W momencie, gdy przekazujesz mu listę adresów swoich subskrybentów, stajesz się administratorem danych, a dostawca oprogramowania — procesorem. Bez podpisanej umowy powierzenia przetwarzania danych (DPA) łamiesz art. 28 RODO — i to niezależnie od wielkości firmy. Ten artykuł pokazuje krok po kroku, co musi zawierać taka umowa, jak ją prawidłowo zawrzeć i czego pilnować po jej podpisaniu.

Czym jest umowa DPA i dlaczego jest obowiązkowa?

Data Processing Agreement (DPA), czyli umowa powierzenia przetwarzania danych osobowych, to dokument regulujący relację między administratorem danych a podmiotem, któremu administrator zleca ich przetwarzanie. Podstawą prawną jest art. 28 ust. 3 RODO, który wprost wymaga, aby powierzenie odbywało się na podstawie umowy lub innego instrumentu prawnego.

W kontekście e-mail marketingu sytuacja jest prosta: Ty (firma) jesteś administratorem danych swoich subskrybentów. System mailingowy — czy to platforma SaaS, czy własny serwer SMTP obsługiwany przez zewnętrznego dostawcę — przetwarza te dane w Twoim imieniu, więc staje się procesorem. Brak umowy DPA to naruszenie RODO, za które Urząd Ochrony Danych Osobowych może nałożyć karę do 10 mln EUR lub 2% globalnego rocznego obrotu (art. 83 ust. 4 RODO).

Kto jest kim — administrator, procesor, podprocesor

Zanim przejdziesz do podpisywania dokumentów, upewnij się, że rozumiesz role stron. Pomyłka w ich identyfikacji to jeden z najczęstszych błędów przy zawieraniu RODO umowy z systemem mailingowym.

• Administrator danych — decyduje o celach i sposobach przetwarzania. W email marketingu: Twoja firma.
• Procesor danych mailingowy — przetwarza dane wyłącznie na udokumentowane polecenie administratora. To dostawca systemu mailingowego.
• Podprocesor — podmiot, któremu procesor dalej powierza dane (np. firma hostingowa, dostawca infrastruktury serwerowej). Procesor musi uzyskać Twoją zgodę na korzystanie z podprocesorów (art. 28 ust. 2 RODO).

Ważne: jeśli dostawca systemu mailingowego przetwarza dane we własnych celach (np. do profilowania na potrzeby swojego marketingu), przestaje być procesorem i staje się współadministratorem lub niezależnym administratorem. To zmienia całą strukturę prawną — czytaj regulamin i politykę prywatności dostawcy uważnie.

Co musi zawierać umowa powierzenia danych RODO — obowiązkowe elementy

Art. 28 ust. 3 RODO wymienia elementy, które muszą znaleźć się w każdej umowie DPA. Brak któregokolwiek z nich czyni umowę niekompletną. Poniżej lista z wyjaśnieniem, co oznacza każdy punkt w praktyce e-mail marketingu.

1. Przedmiot, czas trwania i charakter przetwarzania

Umowa musi precyzyjnie określać, jakie dane są przetwarzane (np. adresy e-mail, imiona, dane behawioralne jak otwarcia i kliknięcia), w jakim celu (wysyłka kampanii mailingowych, automatyzacja, raportowanie) oraz jak długo trwa powierzenie (zazwyczaj na czas obowiązywania umowy z dostawcą).

2. Rodzaj danych i kategorie osób, których dotyczą

Wskaż konkretnie: dane zwykłe (imię, adres e-mail, preferencje) czy dane szczególnych kategorii (art. 9 RODO — np. dane zdrowotne w newsletterze apteki). Jeśli przetwarzasz dane szczególnych kategorii, wymagania wobec procesora są znacznie surowsze.

3. Obowiązek przetwarzania wyłącznie na udokumentowane polecenie

Procesor może przetwarzać dane tylko zgodnie z Twoimi instrukcjami. Jeśli dostawca systemu mailingowego chce używać Twoich list do własnych celów — to czerwona flaga i potencjalne naruszenie RODO.

4. Obowiązek zachowania poufności

Pracownicy procesora mający dostęp do danych muszą być zobowiązani do zachowania poufności — umownie lub z mocy prawa.

5. Środki bezpieczeństwa (art. 32 RODO)

Umowa powinna odwoływać się do konkretnych środków technicznych i organizacyjnych: szyfrowanie danych w tranzycie (TLS) i w spoczynku, kontrola dostępu, procedury backupu, testy penetracyjne. Dobry dostawca RODO SaaS udostępnia dokumentację swoich środków bezpieczeństwa.

6. Zasady dotyczące podprocesorów

Procesor musi uzyskać Twoją uprzednią, szczegółową lub ogólną pisemną zgodę na korzystanie z podprocesorów. Przy zgodzie ogólnej procesor ma obowiązek informować Cię o planowanych zmianach, dając czas na sprzeciw. Sprawdź, czy dostawca publikuje aktualną listę podprocesorów.

7. Pomoc administratorowi w realizacji praw osób

Procesor musi wspierać Cię w obsłudze żądań osób fizycznych: prawa dostępu, sprostowania, usunięcia danych (prawo do bycia zapomnianym), przenoszenia danych. W praktyce: system mailingowy powinien umożliwiać eksport danych konkretnego subskrybenta i jego usunięcie na żądanie.

8. Pomoc przy naruszeniach ochrony danych

Procesor musi niezwłocznie (w praktyce: najlepiej w ciągu 24-48 godzin) poinformować Cię o wykrytym naruszeniu, abyś mógł dopełnić obowiązku zgłoszenia do UODO w ciągu 72 godzin (art. 33 RODO).

9. Usunięcie lub zwrot danych po zakończeniu umowy

Po rozwiązaniu współpracy procesor musi usunąć lub zwrócić wszystkie dane osobowe — według Twojego wyboru. Upewnij się, że umowa nie pozwala dostawcy zatrzymywać danych "na zapas".

10. Udostępnianie informacji i audyty

Procesor musi umożliwić Ci przeprowadzenie audytów i inspekcji (samodzielnie lub przez upoważnionego audytora) oraz dostarczyć wszelkich informacji niezbędnych do wykazania zgodności z RODO.

Jak zawrzeć umowę DPA z dostawcą systemu mailingowego — praktyczne kroki

Krok 1: Sprawdź, czy dostawca ma gotową umowę DPA

Większość renomowanych dostawców systemów mailingowych (szczególnie platform SaaS) udostępnia gotowy wzór DPA lub umożliwia jego podpisanie bezpośrednio z poziomu panelu klienta. Szukaj w sekcjach: "Bezpieczeństwo", "RODO", "Prawne" lub "Data Processing Agreement". Jeśli dostawca nie oferuje DPA — to sygnał alarmowy.

Krok 2: Zweryfikuj treść umowy pod kątem art. 28 RODO

Nawet gotowy wzór wymaga weryfikacji. Użyj listy 10 obowiązkowych elementów z poprzedniej sekcji jako checklisty. Szczególną uwagę zwróć na: listę podprocesorów, zapisy o transferze danych poza EOG (jeśli serwery są w USA lub innym kraju trzecim) oraz procedury reagowania na naruszenia.

Krok 3: Ustal kwestię transferu danych poza EOG

Jeśli dostawca systemu mailingowego korzysta z infrastruktury poza Europejskim Obszarem Gospodarczym (np. serwery AWS w USA), umowa DPA musi zawierać standardowe klauzule umowne (SCC) zatwierdzone przez Komisję Europejską (decyzja z 4 czerwca 2021 r.) lub inny mechanizm z art. 46 RODO. Bez tego transfer jest nielegalny — nawet jeśli sama umowa DPA jest kompletna.

Krok 4: Podpisz umowę i przechowuj dokumentację

Umowa DPA może być zawarta elektronicznie — e-mail z potwierdzeniem, akceptacja regulaminu zawierającego DPA w panelu klienta lub kwalifikowany podpis elektroniczny. Kluczowe jest, abyś zachował dowód zawarcia umowy — zrzut ekranu, PDF, e-mail z datą. UODO podczas kontroli może poprosić o okazanie tej dokumentacji.

Krok 5: Zaktualizuj rejestr czynności przetwarzania

Po podpisaniu DPA zaktualizuj swój Rejestr Czynności Przetwarzania (RCP) wymagany przez art. 30 RODO. Dodaj wpis dotyczący przetwarzania danych w systemie mailingowym: cel, podstawa prawna, kategorie danych, procesor, okres przechowywania, środki bezpieczeństwa.

Najczęstsze błędy przy zawieraniu umów DPA w email marketingu

DPA a własna infrastruktura SMTP — czy też obowiązuje?

Wiele firm wysyła e-maile przez własne skrzynki SMTP lub korzysta z narzędzi takich jak MailerPRO, które integrują się z własną infrastrukturą pocztową. Pojawia się pytanie: czy umowa DPA jest potrzebna, skoro dane "zostają w firmie"?

Odpowiedź zależy od konfiguracji. Jeśli oprogramowanie działa wyłącznie na Twoich serwerach i żaden zewnętrzny podmiot nie ma dostępu do danych — umowa DPA z dostawcą oprogramowania może nie być wymagana (choć warto to potwierdzić z prawnikiem). Jeśli jednak dostawca oprogramowania świadczy wsparcie techniczne z dostępem do systemu, przechowuje logi na swoich serwerach lub synchronizuje dane przez chmurę — powierzenie przetwarzania zachodzi i DPA jest obowiązkowe.

W przypadku MailerPRO, gdzie wysyłka odbywa się przez Twoje własne konta SMTP, warto dokładnie przeanalizować, które komponenty systemu mają kontakt z danymi osobowymi subskrybentów i odpowiednio uregulować relacje z każdym podmiotem zaangażowanym w ten proces.

Wzór klauzul do umowy DPA — na co zwrócić uwagę

Jeśli dostawca nie oferuje gotowego DPA lub chcesz negocjować jego treść, poniżej znajdziesz kluczowe klauzule, które warto uwzględnić lub zmodyfikować.

Klauzula o podprocesorach — wersja bezpieczna

„Procesor nie powierza przetwarzania danych osobowych żadnemu podprocesorowi bez uprzedniej, szczegółowej pisemnej zgody Administratora. Procesor informuje Administratora o planowanych zmianach dotyczących podprocesorów z wyprzedzeniem co najmniej 30 dni, umożliwiając Administratorowi wyrażenie sprzeciwu."

Klauzula o naruszeniach — wersja bezpieczna

„W przypadku wykrycia naruszenia ochrony danych osobowych Procesor niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia, powiadamia Administratora, przekazując wszelkie dostępne informacje niezbędne do wypełnienia obowiązku zgłoszenia naruszenia organowi nadzorczemu zgodnie z art. 33 RODO."

Klauzula o usunięciu danych po zakończeniu umowy

„Po zakończeniu świadczenia usług związanych z przetwarzaniem Procesor, według wyboru Administratora, usuwa lub zwraca wszelkie dane osobowe oraz usuwa istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazuje przechowywanie danych osobowych."

Podsumowanie — DPA to nie formalność, to ochrona Twojego biznesu

Umowa powierzenia przetwarzania danych to nie biurokratyczny wymóg — to dokument, który chroni Ciebie, Twoich klientów i Twój biznes. Prawidłowo skonstruowana umowa DPA jasno określa odpowiedzialność każdej ze stron, minimalizuje ryzyko kar RODO i buduje zaufanie subskrybentów. Działaj według schematu: zidentyfikuj procesora → zweryfikuj treść DPA → podpisz przed importem danych → zaktualizuj RCP → monitoruj zmiany u dostawcy. Jeśli jeszcze nie masz podpisanej umowy z dostawcą swojego systemu mailingowego — zrób to dziś, zanim zrobi to za Ciebie kontrola UODO.