Hosting zgodny z RODO: 8 kontroli przed zakupem

Hosting zgodny z RODO powinien dawać podstawy do bezpiecznego powierzenia danych: właściwą umowę, jasny podział ról i sprawdzalne środki ochrony. Sam napis w ofercie, polski serwer lub certyfikat HTTPS nie potwierdzają zgodności całej strony. Trzeba ocenić konkretną usługę, dane oraz rzeczywiste operacje wykonywane przez dostawcę i jego podwykonawców.

Ten poradnik pomaga przygotować kontrolę dokumentów i rozmowę przed zakupem. Nie jest gotową umową ani indywidualną opinią prawną. Stan źródeł: 29 października 2026 r. Przy danych szczególnych kategorii, wymaganiach sektorowych lub niejasnym transferze potrzebna jest ocena osoby odpowiedzialnej za ochronę danych albo prawnika.

Najpierw określ zakres strony, a potem znajdź oferty przez porównanie hostingów i warunków ich usług. Dokumenty powierzenia sprawdzaj dla wybranego pakietu. Nie traktuj obecności operatora w zestawieniu jako certyfikacji RODO ani zastępstwa oceny własnego przetwarzania.

Spis treści

• Role i rzeczywiste operacje
• Mapa danych strony
• Osiem kontroli przed zakupem
• Umowa i dowód jej zawarcia
• Podwykonawcy i transfery
• Kopie i zakończenie usługi
• Powiadomienie o incydencie
• Trzy przykłady kontroli
• Decyzja i dokumentacja
• Źródła oficjalne

Hosting zgodny z RODO: zacznij od ról, nie nazwy dokumentu

Administrator danych określa cele i zasadnicze sposoby przetwarzania. Podmiot przetwarzający, często nazywany procesorem, wykonuje operacje w imieniu administratora. W typowej stronie firmowej właściciel ustala cel formularza lub obsługi zamówień, a hosting utrzymuje dane w ramach usługi. To opis modelu; rolę w konkretnym przypadku trzeba ustalić na podstawie faktycznych czynności.

Administrator danych nie jest tym samym co użytkownik z rolą „Administrator” w panelu WordPressa. Pracownik techniczny może mieć szerokie uprawnienia w systemie, a administratorem w rozumieniu RODO pozostaje organizacja. Umowa, nazwa konta i dostęp do ekranu nie rozstrzygają samodzielnie, kto decyduje o celach. Wytyczne EROD podkreślają funkcjonalny charakter tych ról.

Ten sam operator może pełnić różne role dla różnych operacji. Wobec danych utrzymywanych na zlecenie klienta może być procesorem, a wobec własnych danych rozliczeniowych klienta działać jako administrator. Dlatego nie wpisuj jednej etykiety dla całej relacji bez rozróżnienia zakresu. Pytanie brzmi: jakie dane, po co i na czyje polecenie są przetwarzane?

Najpierw mapa danych, dopiero potem formularz umowy

Przejrzyj bazę aplikacji, formularze, skrzynki, logi i kopie. Brak kont klientów nie oznacza automatycznie braku danych osobowych. Wiadomości kontaktowe, adresy e-mail i oznaczenia w logach mogą wymagać uwzględnienia. Nie przesyłaj operatorowi przykładowej bazy klientów, żeby zapytać o dokumenty; wystarczy opis kategorii i operacji bez rzeczywistych rekordów.

Dla sklepu spisz kategorie osób, rodzaje danych i cel usługi, np. utrzymywanie bazy zamówień oraz związanych plików. Dla agencji rozróżnij własne dane i dane przetwarzane na rzecz klientów. Jeśli agencja jest procesorem, hosting może działać w łańcuchu dalszego powierzenia. Nie kopiuj wtedy automatycznie formularza przeznaczonego dla bezpośredniego administratora bez sprawdzenia ról.

Podstawa prawna przetwarzania danych przez właściciela strony jest innym zagadnieniem niż umowa powierzenia z hostingiem. DPA nie zastępuje oceny celu, podstawy i obowiązków informacyjnych. Również zgoda użytkownika nie jest uniwersalnym rozwiązaniem każdej operacji. Ten tekst koncentruje się na relacji z usługodawcą, a nie projektowaniu wszystkich formularzy i dokumentów witryny.

Osiem kontroli dla oferty „hosting zgodny z RODO”

Nie twórz wyniku procentowego, który pozwala zignorować brak wiążącej umowy lub nieustalony przepływ danych. Oznacz każdy punkt jako potwierdzony, wymagający wyjaśnienia albo niespełniony. Ustalenie warunku koniecznego jest ważniejsze od sumy dodatków w ofercie. Pakiet z dużą pojemnością nie rekompensuje braku odpowiedzi o zasadach dostępu do danych.

DPA: co sprawdzić w treści i sposobie zawarcia?

Art. 28 wymaga umowy lub innego wiążącego instrumentu prawnego oraz formy pisemnej, w tym elektronicznej. Nie oznacza to obowiązkowego papierowego podpisu w każdym przypadku. Jednocześnie sam fakt istnienia pliku „DPA” w stopce nie dowodzi związania stron. Sprawdź mechanizm zawarcia, właściwy podmiot, usługę, wersję i dostępny dowód akceptacji.

Dokument powinien określać przedmiot, czas, charakter i cel przetwarzania, rodzaje danych, kategorie osób oraz prawa i obowiązki administratora. Uwzględnia też obowiązki procesora: instrukcje, poufność, zabezpieczenia, dalsze powierzenie, pomoc, koniec usługi oraz informacje i audyty. To mapa zakresu do weryfikacji, nie wzór postanowień gotowych do wklejenia do umowy.

EROD wskazuje, że ustalenia nie powinny ograniczać się do powtórzenia przepisów. Potrzebne są konkretne informacje o realizacji wymagań i poziomie ochrony. Gdy operator pisze, że „zapewnia bezpieczeństwo”, zapytaj o środki oraz ich zakres dla danego planu. Weryfikuj odpowiedź zgodnie z ryzykiem, bez żądania publicznego ujawniania wrażliwych szczegółów zabezpieczeń.

Przy zakupie hostingu dla firmy zachowaj umowę, załączniki i potwierdzenie w jednym rejestrze. Sprawdź, czy osoba akceptująca działa w imieniu właściwej organizacji. Pomylenie danych klienta z danymi wykonawcy może utrudnić późniejsze ustalenie obowiązków. Szerszy zakres zakupu wyjaśnia poradnik wyboru hostingu firmowego.

Podprocesorzy i dostęp spoza EOG

Hosting zgodny z RODO wymaga oceny łańcucha usług. Art. 28 przewiduje uprzednią szczegółową lub ogólną pisemną zgodę na innego procesora; przy zgodzie ogólnej potrzebna jest informacja o planowanych zmianach i możliwość sprzeciwu. Nie utożsamiaj dowolnej listy partnerów marketingowych z listą podmiotów przetwarzających. Potrzebujesz nazw, ról i zakresu dotyczącego powierzonych danych.

Zapytaj osobno o produkcję, kopie, monitoring i wsparcie. Jeśli inny podmiot uzyskuje dostęp z państwa trzeciego, może to stanowić transfer po spełnieniu kryteriów EROD. Fizyczny serwer w Polsce nie wyklucza takiej operacji. Przetwarzanie wewnątrz tej samej organizacji i ujawnienie innemu podmiotowi wymagają rozróżnienia; nie każde logowanie z zagranicy należy automatycznie klasyfikować identycznie.

Przy transferze należy ustalić właściwy mechanizm rozdziału V, np. odpowiednią decyzję lub zabezpieczenia, oraz ich zastosowanie w danym przypadku. Umowa powierzenia sama nie rozwiązuje wszystkich wymagań transferowych. Nie podpisuj w ciemno dowolnych klauzul nazwanych SCC. Mechanizmy umowne między administratorem a procesorem i instrumenty transferowe mają różne zadania.

Nie przedstawiamy uniwersalnej białej listy państw ani firm. Status mechanizmu i zakres jego zastosowania trzeba sprawdzić przy realnej decyzji. Wątpliwości dotyczące odbiorcy, jego roli lub dalszych przepływów to powód do wyjaśnienia przed powierzeniem danych. Operacyjne znaczenie lokalizacji opisuje porównanie hostingu w Polsce i za granicą.

Kopie: retencja, przywracanie i usuwanie

RODO wymaga środków odpowiednich do ryzyka; art. 32 obejmuje m.in. zdolność przywrócenia dostępności i regularną ocenę skuteczności zabezpieczeń. Nie ustanawia uniwersalnej reguły „backup codziennie przez siedem dni” dla każdej strony. Częstotliwość i retencję dobierz do danych oraz skutków ich utraty. Sam backup bez potwierdzonej możliwości użycia nie kończy oceny.

Ustal, czy kopia obejmuje bazę, pliki, skrzynki i konfigurację, gdzie jest przechowywana i kto może ją odtworzyć. Poproś o warunki przywrócenia pojedynczej witryny, czas realizacji i koszt. Odtworzenie całego konta może cofnąć również dane innych aplikacji. Zakres techniczny opisuje poradnik oceny kopii hostingu.

Przy zakończeniu usługi art. 28 przewiduje zwrot lub usunięcie danych zgodnie z decyzją administratora i usunięcie kopii, z wyjątkiem obowiązku przechowywania wynikającego z prawa. Zapytaj, jak wykonuje się to w praktyce, również w archiwach i po upływie retencji. Nie traktuj nieograniczonego przechowywania „na wszelki wypadek” jako automatycznej zalety bezpieczeństwa.

Przed migracją zapisz, kto odbierze eksport, kto sprawdzi odtworzenie i kiedy można zakończyć starą usługę. Nie zlecaj usunięcia kopii przed odbiorem danych. Ustal też, co stanie się z danymi po odtworzeniu starszego punktu: trzeba uwzględnić późniejsze zmiany i żądania osób. Ten scenariusz wymaga procedury, a nie jednego zaznaczenia w panelu.

Gdy porównujesz hosting zgodny z RODO, sprawdź najpierw dostępne warunki kopii w zestawieniu usług i parametrów hostingu, a później dokumentację wybranego pakietu. Liczba dni w tabeli oferty nie potwierdza sposobu realizacji obowiązków. Doprecyzuj zakres danych, dostęp i koniec przechowywania w swojej karcie oceny.

Naruszenie: procesor nie ma po prostu 72 godzin na odpowiedź

UODO rozróżnia obowiązki stron. Procesor po stwierdzeniu naruszenia zgłasza je administratorowi bez zbędnej zwłoki. Administrator zgłasza organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu, chyba że mało prawdopodobne jest ryzyko naruszenia praw lub wolności. Nie przenoś tego terminu automatycznie do relacji operator–klient jako dozwolonego czasu oczekiwania.

Ustal działający kontakt awaryjny i zakres informacji: co się stało, jakie dane mogą być objęte, kiedy zdarzenie stwierdzono i jakie działania podjęto. Osoba po Twojej stronie musi umieć odebrać zgłoszenie i uruchomić ocenę. Nie oczekuj kompletnej wiedzy technicznej przed pierwszym powiadomieniem. Informacje można uzupełniać zgodnie z odpowiednimi wymaganiami, bez odkładania potrzebnej reakcji.

Przećwicz scenariusz organizacyjny bez prawdziwych danych. Załóż, że dostawca informuje o nieuprawnionym dostępie do kopii. Sprawdź, kto identyfikuje właściwą usługę, zbiera dokumenty i ocenia ryzyko. Nie wysyłaj testowego zgłoszenia naruszenia do UODO ani klientów. Celem próby jest znalezienie brakującego kontaktu i informacji, nie uruchomienie rzeczywistej procedury z fikcyjnym incydentem.

Hosting zgodny z RODO nie oznacza, że dostawca przejmuje wszystkie decyzje administratora. Własna organizacja nadal ocenia obowiązki, prawa osób i zasadność dalszych działań. Nie utożsamiaj też każdej awarii technicznej z identycznym przypadkiem naruszenia; ważne są okoliczności i wpływ na dane. Gdy nie masz kompetencji do tej oceny, uruchom ustaloną pomoc specjalistyczną.

Trzy przykłady kontroli dokumentów

Formularz kontaktowy i kopie wiadomości

Firma deklaruje, że strona jest tylko wizytówką. Sprawdzenie pokazuje jednak wiadomości w bazie wtyczki, skrzynce i archiwach. Karta zakresu powinna uwzględniać te miejsca oraz rzeczywiście używane usługi. Nie wystarczy usunąć pola imię i uznać, że temat danych osobowych znika. To przykład identyfikacji zakresu, bez twierdzenia, że każda konfiguracja formularza działa tak samo.

Agencja utrzymująca strony klientów

Agencja ma umowę z klientem i konto u operatora. Przed uznaniem, że wybrano hosting zgodny z RODO, trzeba rozpoznać role oraz dalsze powierzenie. Sprawdź, czy dokumenty dopuszczają ten łańcuch i czy klient otrzymuje potrzebne informacje. Sam fakt opłacania rachunku przez agencję nie przesądza o tym, że jest administratorem wszystkich danych sklepów klientów.

Sklep z zewnętrznym monitoringiem

Główna baza działa w ustalonym regionie, ale system diagnostyczny zapisuje dodatkowe informacje. Ustal, czy zawierają dane osobowe i jaka usługa je otrzymuje. Przegląd dokumentów hostingu nie obejmie automatycznie każdej wtyczki właściciela sklepu. Oddziel odpowiedzialność operatora od integracji dodanych przez wykonawcę. Wymagania infrastrukturalne sklepu opisuje poradnik wyboru hostingu e-commerce.

Decyzja: dowody, wyjaśnienia i kontrola zmian

W karcie zakupowej zapisz pytanie: „Czy warunki tej usługi obejmują dokładnie dane i czynności mojego projektu?”. Odpowiedź oprzyj na dokumentach i opisanych środkach, nie na zaznaczonym polu w ofercie. Dopisz nierozwiązane kwestie i termin ich wyjaśnienia. Pozwala to przekazać decyzję innemu członkowi zespołu bez utraty kontekstu oraz odróżnić deklarację operatora od sprawdzonego zakresu.

Instrukcje, które można później odtworzyć

Ustal, jak składasz polecenie przywrócenia danych albo udostępnienia kopii. Zgłoszenie powinno pozwalać rozpoznać uprawnioną osobę, usługę i zakres działania. Nie wysyłaj w treści hasła do całego konta. Jeśli operator wymaga uwierzytelnionego kanału, korzystaj z niego zamiast niepowiązanej prywatnej skrzynki. Przechowuj potwierdzenie wykonania wraz z informacją, co rzeczywiście zmieniono i jaki punkt kopii wykorzystano.

W modelowej sytuacji ktoś prosi o kopię bazy „dla programisty”. Przed wykonaniem ustal odbiorcę, jego uprawnienia i bezpieczny sposób przekazania. Nie wystarcza znajomość nazwy domeny. To praktyczna kontrola dostępu, a nie nowy obowiązkowy wzór formularza. Kanał oraz procedura powinny odpowiadać charakterowi danych i temu, kto działa w imieniu organizacji.

Pomoc w realizacji praw osób

Zapytaj, jakie informacje i narzędzia udostępnia operator, gdy potrzebujesz odnaleźć dane, ograniczyć dostęp lub wykonać uzasadnioną operację. Nie zakładaj, że hosting rozpozna wszystkie rekordy klienta w niestandardowej bazie aplikacji. Właściciel strony i wykonawca mogą odpowiadać za wyszukanie danych w programie, a operator za funkcje infrastruktury. Niejasny podział warto rozwiązać przed otrzymaniem rzeczywistego wniosku.

Nie wysyłaj całej bazy, aby dowiedzieć się, czy dostawca potrafi pomóc. Opisz potrzebną czynność na danych przykładowych. Jeżeli do diagnozy potrzebne są logi, oceń ich zakres i sposób przekazania. Usunięcie zbędnych informacji z materiału diagnostycznego może ograniczyć ryzyko, ale nie należy przyjmować, że samo zamazanie nazwiska zawsze oznacza pełną anonimizację.

Co wynika z dokumentu, a co wymaga sprawdzenia w praktyce?

Na etapie zakupu oddziel sprawdzenie dostępności dokumentów od potwierdzenia ich faktycznego wykonywania. Pobrana instrukcja backupu dowodzi, że instrukcja istnieje; nie dowodzi wyniku odtworzenia Twojej witryny. Zapisz, które elementy oceniono dokumentacyjnie, które przetestowano na kopii, a które wymagają dalszego potwierdzenia. Tak rozumiany hosting zgodny z RODO nie staje się etykietą opartą wyłącznie na obietnicy.

Przy przeglądzie nie żądaj dostępu do danych innych klientów ani ujawnienia haseł ani kluczy dostępu do systemów. Weryfikacja powinna mieć uzgodniony zakres i właściwą formę. Dostępne informacje lub raporty mogą pomagać w ocenie, lecz ich przydatność zależy od zakresu i aktualności. Gdy dokument dotyczy innej spółki lub innego produktu, wyjaśnij związek z usługą przed uznaniem go za odpowiedni dowód.

Zmiana zakresu strony po zakupie

Strona może zacząć jako wizytówka, a później dodać sklep, zapisy na wydarzenia lub strefę klienta. Wtedy sprawdź, czy dotychczasowy opis przetwarzania oraz środki ochrony nadal odpowiadają rzeczywistym operacjom. Nie czekaj na odnowienie abonamentu, jeśli zmiana jest istotna. Dodanie nowego formularza nie jest wyłącznie zmianą wyglądu — może zmienić rodzaj danych, ich odbiorców i wymagania utrzymania.

W rocznym przeglądzie zanotuj również osoby mające dostęp po stronie wykonawcy i własnego zespołu. Zakończenie współpracy powinno uruchamiać kontrolę kont i uprawnień, a nie tylko usunięcie nazwiska z dokumentacji. Działaj według uzgodnionej procedury, zachowując potrzebny dostęp właściciela i ciągłość usługi. Sprawdź osobno konta w panelu hostingu, CMS, poczcie i systemach kopii, ponieważ odebranie dostępu w jednym miejscu nie usuwa pozostałych uprawnień.

Załóż teczkę oceny: zakres danych, role, umowa z załącznikami, lista podwykonawców, mapa lokalizacji, opis środków i kontakty. Przy każdym dokumencie zapisz datę, wersję oraz osobę, która go sprawdziła. Unikaj przechowywania niepotrzebnych danych klientów w tej teczce. Rejestr ma pokazywać ustalenia i odpowiedzialność, nie być kolejną niezabezpieczoną kopią bazy.

Oznaczenie „hosting zgodny z RODO” powinno uruchamiać pytania o dowody, a nie kończyć ocenę. Certyfikat bezpieczeństwa może być informacją pomocniczą, ale sprawdź wystawcę, zakres, ważność i powiązanie z usługą. Nie nazywaj dowolnego znaku ISO certyfikatem zgodności całej strony z RODO. Nie przypisujemy takiego statusu żadnemu operatorowi w tym materiale.

Warunki wymagające zatrzymania decyzji to m.in. brak wiążących ustaleń powierzenia, niejasne role, brak informacji o kluczowym podwykonawcy lub nierozstrzygnięty transfer. Zapisz problem oraz osobę, która ma go wyjaśnić. Nie próbuj kompensować go niższą ceną. Dla spraw o podwyższonym ryzyku poproś o ocenę indywidualną przed przekazaniem danych.

Po zakupie sprawdzaj zmiany usługi i dokumentów oraz nowe integracje na własnej stronie. Hosting zgodny z RODO wymaga współpracy przez cały okres przetwarzania. Kiedy zakres i warunki są ustalone, porównaj pakiety odpowiadające wymaganiom Twojej organizacji. Wybór zakończ udokumentowaną decyzją, bez deklarowania pełnej zgodności na podstawie samej nazwy oferty.

Źródła oficjalne

Odczyt: 29.10.2026. Informacje ogólne, bez oceny konkretnej umowy. Macierz ośmiu kontroli i przykłady to opracowanie WebBay.

• Urząd Publikacji UE: tekst RODO, art. 4, 28, 32, 33 i rozdział V.
• EROD: wytyczne 07/2020 o administratorze i procesorze, wersja ostateczna.
• EROD: wytyczne 05/2021 o kryteriach transferu, wersja 2.0.
• UODO: terminy i role w zgłaszaniu naruszeń.
• UODO: znaczenie instrukcji i zakresu obowiązków w hostingu.
• Komisja Europejska: standardowe klauzule transferowe.