RODO w biurze rachunkowym — obowiązki, umowa powierzenia, procedury
RODO w biurze rachunkowym to temat, który pozornie każdy zna, a w praktyce większość biur odkłada na później — dopóki nie dostanie pierwszego zapytania od klienta albo zgłoszenia od UODO. A skala jest poważna: biuro rachunkowe przetwarza dane wszystkich pracowników klientów (PESEL, wynagrodzenia, zwolnienia), dane kontrahentów z faktur i dane finansowe firm — a to czyni je procesorem w rozumieniu art. 28 RODO, z pełną odpowiedzialnością wynikającą z rozporządzenia. W tym artykule pokazuję, jakie obowiązki RODO ma biuro rachunkowe, jak wygląda umowa powierzenia z klientem i dostawcą oprogramowania oraz co zrobić, gdy dojdzie do naruszenia — krok po kroku, w zgodzie z wytycznymi uodo.gov.pl.
W skrócie
- Biuro rachunkowe to procesor (art. 28 RODO) — przetwarza dane klientów i ich pracowników na podstawie umowy powierzenia.
- Umowa powierzenia przetwarzania danych jest obowiązkowa z każdym klientem oraz z dostawcą oprogramowania (CRM, kadry, archiwum).
- Rejestr czynności przetwarzania to obowiązek procesora — opisujesz, jakie dane, dla kogo i na jakiej podstawie przetwarzasz.
- Naruszenie ochrony danych zgłaszasz do UODO w 72 godziny od stwierdzenia — a klienta (administratora) informujesz bez zbędnej zwłoki.
- Typowe błędy biur: brak umów powierzenia, brak procedur, dostęp bez haseł i ról, przechowywanie danych „na zawsze" bez polityki retencji.
Kim jest biuro rachunkowe w rozumieniu RODO?
W relacji z klientem biuro rachunkowe jest procesorem (podmiotem przetwarzającym): przetwarza dane osobowe na rzecz administratora (klienta) i na jego udokumentowane polecenie. To kluczowa klasyfikacja, bo zmienia zakres obowiązków. Administrator odpowiada za zgodność przetwarzania z RODO, ale procesor ma własne, bezpośrednie obowiązki: przetwarzanie wyłącznie na udokumentowane polecenie, poufność, zabezpieczenia, umowa powierzenia, rejestr czynności oraz zgłaszanie naruszeń. Pełną listę obowiązków procesora znajdziesz w art. 28 RODO oraz w praktycznych poradnikach na uodo.gov.pl.
Obowiązki RODO biura rachunkowego — tabela
Poniżej zestawienie najważniejszych obowiązków, ich podstawy prawnej i konkretnego działania, które musisz wdrożyć w biurze.
| Obowiązek | Podstawa prawna | Działanie w biurze |
|---|---|---|
| Umowa powierzenia z klientem | art. 28 ust. 3 RODO | Umowa określa przedmiot, czas, charakter i cel przetwarzania oraz obowiązki stron |
| Umowa powierzenia z dostawcami | art. 28 RODO (łańcuch podprocesorów) | CRM, oprogramowanie kadrowe, hosting, archiwum — wymagaj umów powierzenia |
| Rejestr czynności przetwarzania | art. 30 ust. 2 RODO | Lista kategorii danych, odbiorców, podstaw i okresów przetwarzania |
| Zabezpieczenia techniczne i organizacyjne | art. 32 RODO | Szyfrowanie, kontrola dostępu rolami, hasła, polityka haseł, kopie zapasowe |
| Zgłaszanie naruszeń | art. 33–34 RODO | Do UODO w 72 h od stwierdzenia; informowanie administratora bez zbędnej zwłoki |
| Polityka retencji | art. 5 ust. 1 lit. e RODO | Określ, jak długo przechowujesz dokumenty (np. 5 lat dla dokumentacji księgowej) i kiedy je usuwasz |
| Współpraca z UODO | art. 31 RODO | Udzielanie informacji na żądanie organu nadzorczego |
Umowa powierzenia przetwarzania danych — co musi zawierać?
Umowa powierzenia to nie formalność do szuflady — to dokument, który chroni biuro, gdy coś pójdzie nie tak. Zgodnie z art. 28 ust. 3 RODO umowa powierzenia musi określać co najmniej: przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych i kategorie osób, obowiązki i prawa administratora. Dodatkowo warto doprecyzować: obowiązek poufności pracowników biura, zasady bezpieczeństwa, podział odpowiedzialności za naruszenie oraz prawo kontroli administratora. Pamiętaj o łańcuchu podprocesorów: jeśli korzystasz z zewnętrznego oprogramowania księgowego, hostingi czy archiwizacji, każdy z tych dostawców musi mieć z Tobą umowę powierzenia.
Rejestr czynności przetwarzania — jak go prowadzić?
Rejestr czynności przetwarzania (art. 30 RODO) to dokument, w którym opisujesz, jakie dane przetwarzasz, w jakim celu, na jakiej podstawie i komu je przekazujesz. Dla biura rachunkowego naturalne pozycje to: obsługa księgowa klientów (dane finansowe, faktury), obsługa kadrowo-płacowa (dane pracowników klientów), komunikacja z klientami (dane kontaktowe) oraz korzystanie z systemów informatycznych. Rejestr prowadź w formie, którą da się zaktualizować — i aktualizuj go przy każdej zmianie zakresu usług. To pierwszy dokument, o który zapyta Cię UODO w trakcie kontroli.
Naruszenie ochrony danych — co robić w pierwsze 72 godziny?
Naruszenie to zdarzenie, które narusza bezpieczeństwo danych: wyciek, utrata laptopa z dokumentacją, wysłanie plików do niewłaściwej osoby, atak ransomware. Procedura postępowania:
- Oceń ryzyko — czy naruszenie zagraża prawom i wolnościom osób fizycznych (np. kradzież tożsamości, ujawnienie wynagrodzeń);
- Zgłoś do UODO — jeśli ryzyko istnieje, w ciągu 72 godzin od stwierdzenia naruszenia, przez formularz na uodo.gov.pl;
- Poinformuj administratora — klienta (administratora) zawiadom bez zbędnej zwłoki, on decyduje o ewentualnym informowaniu osób;
- Udokumentuj — opisz naruszenie, przyczyny, działania naprawcze; dokumentacja obowiązuje bez względu na obowiązek zgłoszenia;
- Zabezpiecz powtórkę — zmień hasła, wzmocnij uprawnienia, przeszkol zespół.
Typowe błędy biur rachunkowych w RODO
- Brak umów powierzenia z klientami — kluczowy dokument, a w wielu biurach nie istnieje;
- Brak umów z dostawcami oprogramowania — dane klientów są przetwarzane w systemach, które nie mają z Tobą umowy powierzenia;
- Dostęp do systemu bez ról i haseł — każdy pracownik widzi wszystko, bez śladu audytowego;
- Wysyłka dokumentów mailem bez szyfrowania — listy płac w otwartym załączniku to klasyka naruszeń;
- Brak polityki retencji — dokumenty przechowywane „na wszelki wypadek" dłużej niż wymaga prawo;
- Brak procedury na naruszenie — pierwsze 72 godziny schodzą na szukanie, zamiast na zgłoszenie.
Jak to działa w OneCRM?
OneCRM — system dla biur rachunkowych — pomaga zamknąć część obowiązków RODO w codziennej pracy. Dane klientów są przechowywane w infrastrukturze w UE, transmisja jest szyfrowana (HTTPS), a dostęp do systemu kontrolujesz rolami: każdy pracownik biura widzi tylko te sprawy, do których ma uprawnienia — zamiast całej bazy. W systemie trzymasz umowy (w tym umowy powierzenia) i dokumenty przy sprawie klienta, a historia zmian i dostępów tworzy ślad audytowy. To nie zastąpi pełnej dokumentacji RODO (rejestr, procedury), ale eliminuje dwa najczęstsze błędy biur: dostęp bez ról i dokumenty rozsypane po mailach. Cena: 99 zł/mies, 14 dni za darmo. Zobacz cennik OneCRM i załóż darmowe konto.
Checklista zgodności RODO dla biura rachunkowego
- Umowa powierzenia podpisana z każdym klientem;
- Umowy powierzenia z dostawcami: CRM, oprogramowanie księgowe, hosting, archiwum;
- Rejestr czynności przetwarzania prowadzony i aktualizowany;
- Zarządzanie dostępem: role, hasła, ślad audytowy;
- Polityka retencji dokumentów z terminami usuwania;
- Procedura naruszeń z listą kontaktową do UODO;
- Przeszkolenie zespołu i dokumentacja szkoleń.
FAQ — RODO w biurze rachunkowym
Czy biuro rachunkowe musi mieć umowę powierzenia z każdym klientem?
Tak. Zgodnie z art. 28 RODO przetwarzanie przez procesora musi być uregulowane umową lub innym instrumentem prawnym — dla każdego klienta, którego dane przetwarzasz, także w ramach obsługi kadrowo-płacowej.
Do kiedy trzeba zgłosić naruszenie do UODO?
Naruszenie, które stwarza ryzyko dla praw i wolności osób, zgłaszasz do UODO w ciągu 72 godzin od jego stwierdzenia. Jeśli nie zdążysz, do zgłoszenia dołączasz uzasadnienie opóźnienia.
Czy dostawca CRM musi mieć ze mną umowę powierzenia?
Tak — każde narzędzie, które przetwarza dane osobowe Twoich klientów, czyni dostawcę podprocesorem. Umowa powierzenia z dostawcą oprogramowania to wymóg art. 28 RODO, a nie dobra wola dostawcy.
Czy biuro musi prowadzić rejestr czynności przetwarzania?
Obowiązek rejestru (art. 30 ust. 2 RODO) dotyczy procesorów — w tym biur rachunkowych. W rejestrze opisujesz kategorie przetwarzania, odbiorców, podstawy i okresy przechowywania.
Jakie kary grożą za brak zgodności RODO?
Administratorzy i procesorzy odpowiadają za naruszenia, a kary administracyjne sięgają do 20 mln EUR lub 4% rocznego obrotu. UODO publikuje decyzje i stanowiska na uodo.gov.pl.
Czy mogę wysyłać dokumenty klientów mailem?
Możesz, ale tylko z zachowaniem środków bezpieczeństwa — np. szyfrowaniem załączników lub udostępnianiem przez portal klienta zamiast otwartych PDF-ów w mailu. Wysyłka listy płac w niezaszyfrowanym załączniku to klasyczny przykład naruszenia.
Podsumowanie
RODO w biurze rachunkowym to nie biurokracja, tylko warstwa ochrony biznesu: umowa powierzenia, rejestr czynności, procedury i zabezpieczenia decydują o tym, czy pierwsze naruszenie będzie incydentem, czy kryzysem z karą finansową. Zacznij od checklisty powyżej, a codzienne przetwarzanie danych zamknij w CRM dla księgowego OneCRM — z kontrolą dostępu rolami i dokumentami przy sprawie klienta. 99 zł/mies, 14 dni za darmo — wypróbuj bez ryzyka.