Umowa powierzenia przy nagrywaniu rozmów – co sprawdzić u dostawcy nagrywania i chmury

Umowa powierzenia przy nagrywaniu rozmów powinna określać, co dostawca robi z nagraniami, na czyje polecenie działa, komu udostępnia dane i jak kończy ich przetwarzanie. Przed podpisaniem trzeba sprawdzić również lokalizację danych, podwykonawców oraz zasady zwrotu i usuwania plików. Sama deklaracja zgodności z RODO nie wyjaśnia tych kwestii.

Kiedy dostawca nagrywania jest podmiotem przetwarzającym

Zgodnie z art. 4 pkt 7 i 8 RODO administrator ustala cele i sposoby przetwarzania, a podmiot przetwarzający wykonuje operacje na danych w jego imieniu. Jeśli firma określa cel nagrywania rozmów z klientami, a zewnętrzny usługodawca zapisuje i przechowuje dla niej pliki według jej instrukcji, taki zakres usługi odpowiada relacji powierzenia.

Przechowywanie jest przetwarzaniem w rozumieniu art. 4 pkt 2 RODO. Dostawca miejsca w chmurze nie musi więc regularnie odsłuchiwać rozmów, aby jego usługa wymagała uregulowania powierzenia. Znaczenie ma to, że przechowuje dane osobowe na zlecenie firmy.

Rolę należy oceniać dla konkretnych czynności. Ten sam kontrahent może obsługiwać archiwum nagrań w imieniu klienta, a dla odrębnych operacji samodzielnie ustalać cele i sposoby przetwarzania. Nazwa „operator telefonii” nie rozstrzyga o jego roli wobec wszystkich danych. Umowa powinna jasno wskazywać, które działania obejmuje powierzenie.

Trzeba też sprawdzić, czy warunki usługi nie pozwalają dostawcy wykorzystywać rozmów do własnych celów. Zgodnie z art. 28 ust. 10 RODO podmiot przetwarzający, który narusza rozporządzenie przy określaniu celów i sposobów przetwarzania, jest uznawany za administratora w odniesieniu do tego przetwarzania. Podpisany załącznik nie zmienia rzeczywistego podziału decyzji.

Co musi opisywać umowa powierzenia

Art. 28 ust. 3 RODO wymaga ustalenia przedmiotu, czasu trwania, charakteru i celu przetwarzania, rodzajów danych, kategorii osób oraz praw i obowiązków administratora. Dla nagrań rozmów opis „dane klientów” jest zbyt mało konkretny, aby wyjaśnić zakres usługi. Użyteczny załącznik może wskazywać:

• Osoby: klientów, osoby kontaktujące się w imieniu kontrahentów i pracowników uczestniczących w rozmowach – zależnie od rzeczywistego zakresu nagrywania.
• Dane: głos, treść wypowiedzi, numery telefonów i informacje o połączeniu, jeżeli usługodawca je przetwarza.
• Operacje: utrwalanie dźwięku, przechowywanie, udostępnianie upoważnionym użytkownikom, wykonywanie kopii i usuwanie.
• Cel i czas: konkretny cel obsługi nagrań w imieniu firmy oraz okres przetwarzania, z uwzględnieniem zakończenia usługi.

Opis powinien odpowiadać rozmowom prowadzonym w danej działalności. Jeżeli mogą obejmować informacje o zdrowiu, nie należy przedstawiać całego zbioru jako samych danych kontaktowych. Klauzula 7.5 załącznika do decyzji Komisji 2021/915 przewiduje dla danych wrażliwych dodatkowe zabezpieczenia lub ograniczenia.

Umowa musi także regulować pracę na udokumentowane polecenie administratora, poufność personelu, bezpieczeństwo, dalsze powierzenie, pomoc w realizacji praw osób oraz współpracę przy obowiązkach dotyczących ochrony danych. Obejmuje to również zakończenie przetwarzania i możliwość sprawdzania dostawcy. Art. 28 ust. 9 RODO wymaga formy pisemnej, przy czym obejmuje ona także formę elektroniczną. Powierzenie może być częścią szerszej umowy, jeśli zawiera wymagane postanowienia i wiąże strony.

Polecenia, bezpieczeństwo i pomoc po naruszeniu

Art. 29 RODO ogranicza przetwarzanie przez podmiot przetwarzający i upoważnione osoby do poleceń administratora, z wyjątkiem obowiązku wynikającego z prawa Unii lub państwa członkowskiego. W umowie przydaje się wskazanie, kto może wydawać instrukcje, jak są dokumentowane i jak zgłasza się zmianę okresu przechowywania. Uporządkowanie tej komunikacji pozwala odróżnić zatwierdzoną dyspozycję od zwykłego zgłoszenia technicznego.

Art. 32 RODO wymaga zabezpieczeń dostosowanych do ryzyka. W załączniku należy zatem szukać opisu ochrony danych podczas przesyłania i przechowywania, nadawania uprawnień, odtwarzania danych po awarii oraz sprawdzania skuteczności zabezpieczeń. Szyfrowanie jest jednym z wymienionych w przepisie środków stosowanych odpowiednio do okoliczności. Ogólne hasło „najwyższe standardy bezpieczeństwa” nie pokazuje, jakie rozwiązania faktycznie obejmują nagrania.

Pomoc dostawcy powinna mieć praktyczny wymiar. Gdy klient wystąpi z żądaniem dotyczącym swoich danych, firma musi wiedzieć, jak zlecić odnalezienie właściwego materiału i uzyskać potrzebne informacje. Art. 28 ust. 3 lit. e i f RODO określa obowiązki pomocy z uwzględnieniem charakteru przetwarzania, a w odpowiednim zakresie również informacji dostępnych dostawcy. Umowa może doprecyzować kontakt, sposób zgłoszenia i terminy obsługi.

Według art. 33 ust. 2 RODO dostawca po stwierdzeniu naruszenia zawiadamia administratora bez zbędnej zwłoki. Warto ustalić kanał zgłoszeń, zakres pierwszej informacji oraz sposób jej uzupełniania. Osobno art. 28 ust. 3 lit. h RODO zapewnia administratorowi informacje potrzebne do oceny zgodności oraz możliwość audytów, również inspekcji. Warunki usługi powinny umożliwiać rzeczywiste wykonanie tych uprawnień.

Gdzie są przechowywane nagrania rozmów

Przed ustaleniem zakresu powierzenia warto rozróżnić zapis na urządzeniu i zapis poza nim. Sam opis miejsca zapisu nie rozstrzyga roli dostawcy wobec danych. W bitCaller rozmowy na kontach otoTelefon można nagrywać lokalnie na urządzeniu. Do nagrywania rozmów firmowych w chmurze służy nagrywanierozmow.pl.

Odpowiedź „w europejskiej chmurze” nie określa całej drogi danych. Firma potrzebuje informacji o państwach przechowywania nagrań i kopii zapasowych, podmiotach obsługujących infrastrukturę oraz miejscach, z których zapewniana jest pomoc techniczna. Jeżeli odrębny podmiot spoza EOG otrzymuje dostęp do danych, trzeba ocenić również ten element pod kątem zasad przekazywania, nawet gdy podstawowy serwer znajduje się w EOG.

Przekazywanie danych poza Europejski Obszar Gospodarczy wymaga uwzględnienia rozdziału V RODO. Art. 44 RODO obejmuje także kolejne przekazania. Art. 45 RODO przewiduje możliwość oparcia transferu na decyzji Komisji stwierdzającej odpowiedni poziom ochrony. Przy jej braku art. 46 RODO wymaga odpowiednich zabezpieczeń oraz egzekwowalnych praw i skutecznej ochrony prawnej dla osób, których dane dotyczą.

Umowa powierzenia i zabezpieczenie transferu pełnią różne funkcje. Decyzja Komisji 2021/915 zawiera klauzule dla relacji administratora z podmiotem przetwarzającym. Jej załącznik wyraźnie wskazuje, że same te postanowienia nie zapewniają spełnienia wymagań dotyczących międzynarodowego przekazywania danych.

Decyzja Komisji 2021/914 dotyczy natomiast klauzul transferowych. Zawiera moduły odpowiadające różnym relacjom stron; moduły dotyczące przekazania administrator–podmiot przetwarzający i między podmiotami przetwarzającymi uwzględniają także obowiązki powierzenia. Ich użycie wymaga sprawdzenia warunków stosowania, dobrania właściwego modułu i uzupełnienia załączników.

Klauzula 14 załącznika do decyzji 2021/914 wymaga oceny okoliczności transferu, prawa i praktyk państwa odbiorcy oraz zabezpieczeń; ocenę należy udokumentować. Sam podpis pod wzorem nie zastępuje tego sprawdzenia. Z kolei art. 49 RODO przewiduje wyjątki w szczególnych sytuacjach. Zgoda firmy na korzystanie z zagranicznej chmury nie jest automatycznie zgodą osoby, której dane dotyczą, ani samodzielną podstawą transferu.

Podwykonawcy i zmiany w usłudze

Dostawca nagrywania może zlecać przechowywanie innemu podmiotowi. Zgodnie z art. 28 ust. 2 RODO wymaga to wcześniejszej pisemnej zgody administratora – szczegółowej albo ogólnej. Przy zgodzie ogólnej dostawca musi informować o planowanym dodaniu lub zastąpieniu podmiotu, zapewniając możliwość sprzeciwu.

Przed podpisaniem należy więc ustalić wykaz podmiotów, ich zadania oraz sposób zawiadamiania o zmianach. Przydatne jest określenie wyprzedzenia powiadomienia i postępowania po sprzeciwie. RODO nie podaje tutaj jednej liczby dni dla każdej usługi; wzór z decyzji 2021/915 pozostawia miejsce na uzgodnienie terminu.

Art. 28 ust. 4 RODO wymaga nałożenia na dalszy podmiot odpowiadających obowiązków ochrony danych. Pierwotny dostawca ponosi wobec administratora pełną odpowiedzialność za wykonanie tych obowiązków przez podwykonawcę. Zlecenie infrastruktury innej firmie nie usuwa tej odpowiedzialności.

Zwrot i usunięcie nagrań po zakończeniu współpracy

Art. 28 ust. 3 lit. g RODO pozostawia administratorowi wybór zwrotu lub usunięcia danych po zakończeniu usługi; dostawca ma także usunąć istniejące kopie. Wyjątkiem jest obowiązek przechowywania wynikający z prawa Unii lub państwa członkowskiego. Samo wyłączenie dostępu do panelu nie realizuje tych obowiązków.

Praktyczne ustalenia powinny obejmować termin przekazania plików, uzgodniony format, sposób bezpiecznego odbioru oraz usunięcie kopii u dostawcy i dalszych podmiotów. Trzeba wyjaśnić także postępowanie z kopiami zapasowymi i potwierdzenie wykonania operacji. Klauzula 10 załącznika do decyzji 2021/915 przewiduje poświadczenie usunięcia oraz stosowanie klauzul aż do zwrotu lub usunięcia danych.

Pytania przed podpisaniem umowy

Art. 28 ust. 1 RODO zobowiązuje administratora do wyboru dostawców dających wystarczające gwarancje zastosowania zabezpieczeń technicznych i organizacyjnych, które zapewnią zgodność przetwarzania z RODO i ochronę praw osób. Do rozmowy z dostawcą można przygotować krótką listę kwestii wymagających odpowiedzi w dokumentach:

1. Które operacje na nagraniach wykonuje w imieniu firmy i jak przyjmuje jej instrukcje?
2. Jakie dane, osoby, cele i okresy przetwarzania opisuje załącznik?
3. W jakich państwach znajdują się dane i kto może uzyskać do nich dostęp?
4. Jak wykazano zgodność ewentualnego przekazywania poza EOG?
5. Kto jest dalszym podmiotem przetwarzającym i jak zgłasza się sprzeciw wobec zmian?
6. Jak dostawca pomaga przy żądaniach osób, naruszeniach i audytach?
7. Jak firma odbierze dane i potwierdzi zakończenie ich przechowywania?

Odpowiedzi pozwalają porównać ofertę, umowę i załączniki. Jeżeli dokumenty pozostawiają niejasne zasady dostępu, lokalizację lub zakończenie przetwarzania, te punkty wymagają wyjaśnienia przed przekazaniem dostawcy nagrań.

Aktualizacja: 7 listopada 2026 r.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), Dz.Urz. UE L 119 z 4.05.2016, s. 1, art. 4, 28, 29, 32, 33 oraz 44–49.
• Decyzja wykonawcza Komisji (UE) 2021/915 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych między administratorami a podmiotami przetwarzającymi, Dz.Urz. UE L 199 z 7.06.2021, s. 18, wraz z załącznikiem.
• Decyzja wykonawcza Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych do państw trzecich, Dz.Urz. UE L 199 z 7.06.2021, s. 31, art. 1 oraz załącznik, w szczególności klauzula 14.

Zdjęcie: Jacek, CC BY-SA 4.0 (creativecommons.org/licenses/by-sa/4.0/), Wikimedia Commons, commons.wikimedia.org/wiki/File:2_spines_ringless_binder_open.jpg