Kwestionariusz RODO od kontrahenta – jak na niego odpowiedzieć?

Kwestionariusz weryfikacyjny podmiotu przetwarzającego to formularz, który kontrahent (administrator danych) wysyła firmie, której ma powierzyć przetwarzanie danych osobowych – na przykład firmie logistycznej realizującej wysyłki zamówień ze sklepu internetowego, agencji marketingowej czy innym wykonawcom.

Formularz sprawdza, czy ta firma, występująca wtedy jako podmiot przetwarzający, zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, zgodnie z art. 28 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO).

Najważniejsze informacje

  • Obowiązek weryfikacji podmiotu przetwarzającego istnieje od wejścia RODO w 2018 r., ale widzę, że od ostatniego roku, kwestionariusze stają się coraz częstsze. Wynika to z coraz częściej pojawiających się wycieków danych u wykonawców. Kontrahenci sami są też pod presją kontroli i audytów.
  • Najczęstsze pytania w kwestionariuszu dotyczą: polityki ochrony danych osobowych, rejestru czynności (albo rejestr ukategorii czynności) przetwarzania, analizy ryzyka, upoważnień do przetwarzania danych, procedury obsługi naruszeń i procedury obsługi żądań osób, czasem też umów powierzenia oraz listy procesorów. Często też pojawia się pytanie o daty ostatnich aktualizacji dokumentów czy szkoleń RODO.
  • W zależności od firmy – niektórym wystarczy odpowiedź w formularzu potwierdzająca spełnienie wymagań, a inni po udzieleniu odpowiedzi proszą o wysłanie dokumentacji.

Dlaczego kontrahent wysyła Ci taki kwestionariusz?

Zgodnie z art. 28 ust. 1 RODO administrator danych może korzystać wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, tak by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. To znaczy, że Twój kontrahent nie wymyślił tego formularza sam – ma wobec Ciebie obowiązek sprawdzenia, zanim powierzy Ci dane klientów do dalszej obsługi, na przykład przy realizacji wysyłek.

Art. 28 ust. 5 RODO wskazuje, jak podmiot przetwarzający może wykazać te gwarancje przez stosowanie zatwierdzonego kodeksu postępowania albo zatwierdzonego mechanizmu certyfikacji. W praktyce niewiele firm ma taki kodeks lub certyfikat, więc administrator sprawdza to inaczej – przez kwestionariusz, przegląd dokumentacji, a czasem audyt na miejscu.

Prawo do takiego audytu wynika z art. 28 ust. 3 lit. h RODO, zgodnie z którym podmiot przetwarzający musi udostępniać administratorowi informacje niezbędne do wykazania zgodności z obowiązkami z art. 28 oraz umożliwiać i wspierać audyty, w tym inspekcje. Wytyczne 07/2020 Europejskiej Rady Ochrony Danych (EROD) w sprawie pojęć administratora i podmiotu przetwarzającego dodatkowo podkreślają, że ten obowiązek nie wygasa po podpisaniu umowy – trwa przez cały czas współpracy.

Kwestionariusze są coraz częstsze z jeszcze jednego powodu:

  • sami administratorzy są pod presją.

Firmy coraz częściej przechodzą własne kontrole i audyty, a Prezes Urzędu Ochrony Danych Osobowych (UODO) może – w ramach postępowania dotyczącego administratora – sprawdzić także, czy ten rzeczywiście weryfikował swoich podmiotów przetwarzających.

Odpowiedzialność za dobór nieodpowiedniego podmiotu przetwarzającego w praktyce nie znika z chwilą podpisania umowy powierzenia – dlatego Twój kontrahent, zanim ją podpisze, chce mieć dowód, że zrobił to, co do niego należy. Co więcej, zgodnie z wymogami, taka kontrola czy audyt powinien być ponawiany.

Weryfikację i kontrolę dokumentacji RODO – opisałam szerzej w tekście Kontrola UODO w firmie. O tym, jak realnie wygląda sytuacja podmiotu przetwarzającego, gdy coś pójdzie nie tak u jednego z dostawców, których dane powierzył, pisałam w tekście Wyciek danych z Fakturowni.

Co zwykle znajduje się w kwestionariuszu podmiotu przetwarzającego?

Treść kwestionariuszy różni się między kontrahentami, ale w praktyce powtarzają się te same elementy.

  • Rejestr czynności przetwarzania. Jako podmiot przetwarzający co do zasady prowadzisz rejestr kategorii czynności przetwarzania wykonywanych w imieniu administratora (art. 30 ust. 2 RODO) – z zastrzeżeniami. Jeśli jednocześnie jesteś administratorem wobec własnych danych – na przykład danych pracowników albo innych kontrahentów – prowadzisz do tego osobny, pełny rejestr czynności przetwarzania (art. 30 ust. 1 RODO). To są dwa różne dokumenty, bo wynikają z dwóch różnych ról. O tym, kto musi je prowadzić i co powinny zawierać, pisałam dogłębnie w tekście Rejestr czynności przetwarzania – tutaj zostaję tylko przy tym, dlaczego ten dokument pojawia się w kwestionariuszu.
  • Analiza ryzyka. Art. 32 RODO wymaga wdrożenia środków technicznych i organizacyjnych odpowiednich do ryzyka, jakie niesie przetwarzanie. Zanim takie środki da się opisać w kwestionariuszu, trzeba to ryzyko najpierw ocenić – stąd dokument analizy ryzyka jako punkt wyjścia do pozostałych odpowiedzi.
  • Upoważnienia do przetwarzania danych. Art. 32 ust. 4 RODO zobowiązuje do podjęcia działań zapewniających, że każda osoba działająca z upoważnienia podmiotu przetwarzającego i mająca dostęp do danych przetwarza je wyłącznie na polecenie administratora, chyba że inny obowiązek nakłada na nią prawo. W praktyce oznacza to upoważnienia dla pracowników i współpracowników, którzy mają kontakt z danymi powierzonymi przez kontrahenta.
  • Procedury obsługi naruszeń. Jako podmiot przetwarzający masz obowiązek zgłosić administratorowi naruszenie ochrony danych bez zbędnej zwłoki po stwierdzeniu, że do niego doszło (art. 33 ust. 2 RODO) – to administrator, nie Ty, zgłasza naruszenie Prezesowi UODO w terminie 72 godzin. Więcej o samym obowiązku zgłaszania naruszeń piszę w tekście Naruszenie ochrony danych osobowych – co zrobić.
  • Procedury obsługi żądań osób, których dane dotyczą. Masz też obowiązek pomagać administratorowi w odpowiadaniu na żądania osób, których dane dotyczą, w zakresie, w jakim jest to możliwe, biorąc pod uwagę charakter przetwarzania (art. 28 ust. 3 lit. e RODO).
  • Umowa powierzenia przetwarzania danych. Jeśli jej jeszcze nie masz z tym kontrahentem lub kontrahentami, którzy mogą mieć dostęp do danych, kwestionariusz bywa pierwszym krokiem do jej podpisania – art. 28 ust. 9 RODO wymaga dla niej formy pisemnej, w tym elektronicznej.

Dla kogo są te wskazówki?

Ten tekst jest dla Ciebie, jeśli prowadzisz firmę, która świadczy usługi dla swojego kontrahenta i w ramach tej współpracy ma dostęp do danych osobowych jego klientów.

Jeśli dopiero dostałeś od takiego kontrahenta kwestionariusz weryfikacyjny i instrukcję jego wypełnienia, a nie masz jeszcze pewności, co z tym zrobić, ten tekst jest właśnie dla Ciebie.

Dwie opcje odpowiedzi na kwestionariusz RODO od kontrahenta

Gdy dokumenty z kwestionariusza brakują albo są niekompletne, masz do wyboru dwie ścieżki.

Opcja A: punktowe dostosowanie do konkretnych wymagań kontrahenta

Przygotowujesz wyłącznie te dokumenty i procedury, których wymaga konkretny kwestionariusz – zwykle rejestr kategorii czynności, analizę ryzyka i brakujące procedury. To rozwiązanie szybsze i tańsze, dobre wtedy, gdy masz konkretny termin od kontrahenta i potrzebujesz odpowiedzieć na jego wymagania, a nie na wszystkie możliwe obowiązki RODO w firmie.  To rozwiązanie stosuje się także, gdy masz już wdrożone RODO, a jedynie chcesz dostosować / zaktualizować dokumenty, o które pyta klient. Ta opcja jest wybierana często jako punkt startowy do pełnego wdrożenia RODO, które płynnie przechodzi później w opcję B.

Opcja B: pełne wdrożenie RODO w firmie

Obejmuje całość obowiązków RODO w Twojej firmie, nie tylko to, czego zażądał jeden kontrahent.

Wdrożenie RODO to must have w firmie, a dokumenty, których żąda kontrahent są najczęściej wybiórcze, dlatego wiele firm decyduje się przy okazji porządkowania współpracy z konkretnym kontrahentem, na kompleksowe wdrożenie RODO w firmie.

 

Jeśli decydujesz się na pełne wdrożenie RODO, zwykle i tak zaczynamy od dokumentacji wymaganej przez kontrahenta, żebyś mógł jak najszybciej uzyskać pozytywną weryfikację.

Jakie błędy pojawiają się najczęściej przy odpowiadaniu na taki kwestionariusz?

  • Odpowiadanie na pytania kwestionariusza bez sprawdzenia, czy opisany tam stan faktycznie istnieje w firmie. Zaznaczenie w formularzu, że dokumentacja jest gotowa, nie zastępuje jej rzeczywistego przygotowania – przy audycie u kontrahenta albo kontroli UODO liczy się to, co faktycznie wdrożono, nie to, co wpisano w ankiecie.
  • Brak rozróżnienia rejestru kategorii czynności (jako podmiot przetwarzający) z pełnym rejestrem czynności (jako administrator). To dwa różne dokumenty, o czym piszę wyżej.
  • Traktowanie upoważnień do przetwarzania danych jako formalności do podpisania na końcu. Upoważnienie ma sens tylko wtedy, gdy rzeczywiście odpowiada temu, kto i do jakich danych ma dostęp – skopiowany wzór bez odniesienia do realnej struktury zespołu łatwo wychwycić przy weryfikacji.
  • Brak procedury na wypadek naruszenia, mimo że umowa powierzenia już istnieje. Sama umowa nie wystarcza, jeśli w firmie nikt nie wie, co zrobić i kogo poinformować w ciągu pierwszych godzin od wykrycia incydentu.

Jak wygląda współpraca?

Jeśli dostałeś kwestionariusz weryfikacyjny i wiesz, że potrzebujesz konkretnych dokumentów lub całej dokumentacji RODO, napisz do nas.

Dostałeś kwestionariusz RODO od kontrahenta?

Napisz, czego dotyczy formularz i w jakim terminie czeka na odpowiedź Twój kontrahent. Napisz też, czy zależy Ci na punktowym uzupełnieniu dokumentacji czy na kompleksowym wdrożeniu RODO.

Ważne: Twoja wiadomość jest objęta poufnością i jest chroniona tajemnicą zawodową.

Najczęściej zadawane pytania

Czy muszę odpowiedzieć na kwestionariusz RODO od kontrahenta?
Formalnie kwestionariusz wypełnia Twoja firma dobrowolnie, ale w praktyce odmowa albo brak odpowiedzi zwykle oznacza, że kontrahent nie podpisze z Tobą umowy lub zakończy współpracę.

Czy mogę wypełnić kwestionariusz sam, bez pomocy prawnika?
Jeśli masz już gotową dokumentację RODO i wiesz, że jest aktualna oraz że może być udostępniona kontrahentowi bez obawy o jej zakwestionowanie, samo wypełnienie formularza możesz zrobić samodzielnie. Problem pojawia się, gdy brakuje dokumentów, które formularz wymaga lub gdy są nieaktualne.

Czy muszę mieć inspektora ochrony danych (IOD), żeby odpowiedzieć na kwestionariusz?
Nie. Obowiązek wyznaczenia IOD zależy od warunków z art. 37 RODO, nie od samego faktu otrzymania kwestionariusza. Część formularzy pyta tylko, czy IOD został wyznaczony, a jeśli nie – czy firma w ogóle ma taki obowiązek. Zgodnie z RODO, masz obowiązek udokumentować ocenę obowiązku powołania IOD, więc kontrahent może poprosić Cię o jej okazanie.

Co się stanie, jeśli zignoruję kwestionariusz?
Najczęściej kontrahent wstrzymuje rozpoczęcie współpracy albo przekazywanie danych do czasu uzupełnienia formularza – dla niego to część obowiązku z art. 28 ust. 1 RODO, którego nie może pominąć bez ryzyka po swojej stronie.

Ile czasu zajmuje przygotowanie dokumentów do kwestionariusza?
Zależy od tego, ile dokumentacji już istnieje i jak szeroki jest zakres pytań w formularzu. Punktowe uzupełnienie konkretnych braków trwa zwykle krócej niż pełne wdrożenie RODO w firmie – dokładny termin ustalamy po przejrzeniu konkretnego kwestionariusza i Twojej obecnej dokumentacji.

O autorze

Kinga Konopelko – radca prawny specjalizująca się w RODO i ochronie danych osobowych w firmach B2B, w tym w relacjach administrator – podmiot przetwarzający. Na co dzień pomaga firmom logistycznym, fulfillmentowym i innym usługodawcom B2B przygotować dokumentację RODO pod wymagania konkretnych kontrahentów oraz w ramach pełnego wdrożenia.

Informacja prawna

Ten artykuł ma charakter wyłącznie edukacyjny i nie stanowi porady prawnej. Każda sytuacja wymaga indywidualnej oceny – jeśli potrzebujesz wsparcia w swojej sprawie, skonsultuj się ze mną.

Stan prawny na: 2026-10-22

Tagi: , , , ,