Inspektor ochrony danych osobowych - kto musi go mieć, a kto nie: szkoły, gabinety i spółki gminy
czytaj więcej
Klient składa zamówienie w Twoim sklepie, a powiadomienie z jego imieniem, adresem i telefonem wpada na skrzynkę sklep.nazwa@gmail.com. Ktoś wypełnia formularz na Twojej stronie i wiadomość ląduje na biuro.firma@onet.pl. Działa od lat, nic nie kosztuje i… czy to w ogóle jest zgodne z RODO?
Krótka odpowiedź: darmowy mail firmowy sam w sobie przepisów nie łamie. Problem zaczyna się, gdy nie masz umowy powierzenia z firmą, która trzyma Twoją pocztę, i nie sprawdziłeś, czy ta firma dobrze chroni dane. A przy darmowych skrzynkach takiej umowy zwykle nie ma. Przeszłam przez regulaminy Gmaila, WP, Onetu i Interii w wersjach, które obowiązują dziś. Poniżej znajdziesz, który z nich taką umowę daje, kto zauważy, że jej nie masz, i jak to naprawić krok po kroku.
Spis treści
Dlaczego mail firmowy oznacza powierzenie danych osobowych?
Bo każda wiadomość w Twojej skrzynce leży na serwerach dostawcy poczty. Zamówienie z adresem dostawy, pytanie o produkt podpisane imieniem i nazwiskiem, CV, zdjęcie paragonu przy reklamacji: każda z tych wiadomości niesie dane osobowe. Dostawca ma je u siebie, bo obsługuje Twoją skrzynkę, czyli przetwarza je na Twoje zlecenie.
W języku RODO Ty jesteś administratorem, czyli decydujesz, po co i jak używasz danych. Dostawca poczty jest podmiotem przetwarzającym, bo działa w Twoim imieniu. Taka relacja wymaga umowy powierzenia z elementami z art. 28 ust. 3 RODO. Musi mieć formę pisemną, ale RODO wlicza do niej formę elektroniczną (art. 28 ust. 9), więc nie musi to być papier. Co dokładnie musi być w środku, wyjaśniamy we wpisie Umowa powierzenia przetwarzania danych - kiedy i jak.
To, że za skrzynkę nie płacisz, niczego tu nie zmienia. W decyzji z 26 sierpnia 2025 r. (DKN.5130.3165.2020) Prezes Urzędu Ochrony Danych Osobowych (UODO) zajął się szkołą, której ktoś przejął darmową skrzynkę. Szkoła tłumaczyła brak umowy powierzenia tym, że konto było niekomercyjne. Urząd uznał, że brak umowy nie odbiera dostawcy roli podmiotu przetwarzającego, i udzielił szkole upomnienia, między innymi za naruszenie art. 28 ust. 1, 3 i 9 RODO.
Czy szkoła albo firma musi przy tym mieć inspektora ochrony danych, zależy od tego, kto ją prowadzi i czym się zajmuje. Opisujemy to we wpisie Inspektor ochrony danych osobowych - kto musi go mieć, a kto nie: szkoły, gabinety i spółki gminy.
Co regulaminy Gmaila, WP, Onetu i Interii mówią o umowie powierzenia?
Stan na 20 października 2026 r. Każdy dostawca rozwiązał to inaczej, a Onet, Interia i Google zmieniały swoje regulaminy w tym roku. Zanim podejmiesz decyzję, otwórz aktualną wersję.
- mail
Gmail
W Warunkach korzystania z usług Google (wersja z 30 lipca 2026 r.), które obowiązują zwykłe konto, nie ma umowy powierzenia. Umowę, w której Google przyjmuje obowiązki podmiotu przetwarzającego, daje dopiero płatny Google Workspace: warunki przetwarzania danych są włączone do umowy na usługę, a pkt 4.1 nazywa Google podmiotem przetwarzającym, a Ciebie administratorem. Dokument nie ma polskiej wersji językowej.
- draw
WP
WP w regulaminie poczty sam nazywa Cię administratorem danych ze skrzynki, a siebie stawia w roli przetwarzającego, ale na podstawie odrębnej umowy powierzenia. Jej wzór jest w PDF: wypełniasz go dla konkretnego adresu e-mail i podpisujesz w dwóch egzemplarzach albo kwalifikowanym podpisem elektronicznym (pkt 4.3 i 4.4 wzoru). Korespondencję w sprawie umowy kierujesz do biura obsługi klienta WP.
- lock
Onet
Onet wpisał do regulaminu Onet Poczty (pkt 8.5, wersja od 28 stycznia 2026 r.), że do przetwarzania danych osobowych objętych RODO, a więc i do ewentualnej umowy powierzenia, nadają się tylko wybrane płatne wersje poczty. Wyjątki rozpatruje indywidualnie.
- block
Interia
Regulamin kont Interii (od 29 lipca 2026 r., rozdz. VI ust. 13) pozwala używać konta bezpłatnego i płatnego wyłącznie do celów osobistych, niezwiązanych bezpośrednio z działalnością gospodarczą lub zawodową. Firmowe użycie narusza więc regulamin, a za to Interia może zablokować konto (rozdz. XIV ust. 1 lit. d). Umowę powierzenia ma dopiero pakiet PocztaPRO. Jest załącznikiem nr 1 do jego regulaminu i obowiązuje firmę od chwili akceptacji regulaminu (rozdz. VIII ust. 3).
Z czterech popularnych darmowych skrzynek tylko WP przewiduje umowę powierzenia bez przechodzenia na płatną usługę, i to dopiero po podpisaniu wzoru. W nagłówku wzoru wpisuje się numer KRS (Krajowego Rejestru Sądowego) i kapitał zakładowy, czyli dane spółki. Przy jednoosobowej działalności numeru KRS ani kapitału zakładowego nie masz, więc w te miejsca wpisujesz imię i nazwisko, nazwę firmy i adres z wpisu w Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG). NIP ma we wzorze osobną rubrykę. Zanim wpiszesz WP do dokumentacji jako dostawcę z umową, poproś WP mailowo o potwierdzenie, że przyjmie ten wzór od Twojej firmy, i zachowaj odpowiedź razem z podpisaną umową.
Darmowa skrzynka bez umowy powierzenia: pytania kontrahenta, kandydata i urzędu
Darmowy mail firmowy widać na pierwszy rzut oka. Końcówka adresu stoi w polu nadawcy, w stopce, na fakturze, w ogłoszeniu o pracę i w zakładce kontakt w sklepie. Osoba obeznana z RODO kojarzy darmowe skrzynki z brakiem umowy powierzenia i może poprosić Cię o jej pokazanie.
- Kontrahent, zanim prześle Ci dane swoich pracowników, może poprosić o potwierdzenie, że Twoja poczta ma umowę powierzenia.
- Kandydat do pracy wysyła CV z adresem, telefonem i historią zatrudnienia na skrzynkę, za którą nie stoi żadna umowa. Jeśli uzna, że jego dane są źle chronione, może złożyć skargę do Prezesa UODO.
- Urząd, gdy ktoś złoży skargę albo skrzynka wycieknie, pyta o relację z dostawcą poczty. W sprawie szkoły opisanej wyżej UODO pytało o to w toku postępowania, które ruszyło po przejęciu skrzynki i zgłoszeniu tego naruszenia do urzędu.
Brak umowy z dostawcą poczty to jeden z braków, które wyłapujemy przy dokumentacji RODO, i często widać go już po adresie, z którego przychodzi pierwszy mail od klienta. Dopóki zamówienia i CV trafiają na taką skrzynkę, w spisie firm, którym powierzasz dane, brakuje jednej pozycji.
Mail firmowy z umową powierzenia - jak to naprawić krok po kroku
1
Sprawdź regulamin swojej skrzynki
Wyszukaj w nim (Ctrl+F) „powierz” i „podmiot przetwarzający”, a w warunkach po angielsku „data processing”. Pusto, regulamin zastrzega konto do celów osobistych albo daje umowę tylko w wersji płatnej? Zmieniasz wersję usługi albo dostawcę.
2
Wybierz wersję z umową
Na WP podpisz wzór umowy powierzenia, w Onecie wybierz płatną wersję z umową, w Interii pakiet PocztaPRO, a zamiast zwykłego Gmaila weź Google Workspace. Możesz też przejść na mail z własną domeną u firmy, która ma umowę powierzenia w regulaminie.
3
Zachowaj dowód zawarcia umowy
Podpisany wzór albo regulamin z załącznikiem o powierzeniu, zapisany w PDF z datą akceptacji.
4
Oceń dostawcę i zapisz tę ocenę
Jakie ma zabezpieczenia, gdzie trzyma dane, czy pozwala wymusić silne hasła. Przy WP przeczytaj przed podpisem załącznik nr 2 do wzoru, bo podpisując, uznajesz opisane tam zabezpieczenia za wystarczające. Ocenę powtarzaj regularnie, np. przy przedłużaniu usługi.
Mail z własną domeną zamiast @gmail.com
Mail z własną domeną wygląda jak kontakt@nazwafirmy.pl: końcówka adresu to nazwa Twojej firmy, a nie Gmaila czy WP. Jeśli masz stronę albo sklep, domenę zwykle już masz. Skrzynki w tej domenie założysz u firmy, która utrzymuje Twoją stronę, albo u dostawcy poczty dla firm. Taki dostawca też jest podmiotem przetwarzającym, więc umowę powierzenia sprawdzasz tak samo jak przy darmowej skrzynce.
W jednoosobowej firmie adresu @gmail.com nie musisz zmieniać, żeby przejść na Google Workspace w wersji Business. Google sprzedaje tę subskrypcję na dotychczasowe konto, ale bez potwierdzenia domeny część funkcji zostaje zablokowana (Informacje o kontach Google Workspace opartych na Gmailu). O umowie powierzenia ten artykuł nie mówi nic. Kup więc subskrypcję w przeglądarce, bo tylko wtedy dostajesz konsolę administracyjną (admin.google.com), sprawdź tam, czy widzisz warunki przetwarzania danych dla swojej subskrypcji, i zapisz je w PDF.
Umowa na gotowym formularzu to jeszcze nie koniec
Sama umowa nie wystarczy, jeśli nikt nie sprawdził, komu powierzasz dane. W decyzji z 11 czerwca 2026 r. (DKN.5131.12.2022) szpital miał płatną pocztę u firmy hostingowej i umowę powierzenia podpisaną „na gotowym formularzu, przygotowanym przez Podmiot przetwarzający”. Nie sprawdził jednak należycie dostawcy ani przed podpisaniem, ani później i nie miał na to żadnego dowodu, a w poczcie nie dało się nawet wymusić silnych haseł. Prezes UODO udzielił szpitalowi upomnienia między innymi za naruszenie art. 28 ust. 1 RODO.
Płatna skrzynka i własna domena nie zwalniają Cię z oceny dostawcy. Dlatego krok 4 z listy wyżej jest tak samo ważny jak sama umowa. Szkoła i szpital skończyły na upomnieniach, ale za naruszenie art. 28 RODO firmie grozi kara do 10 mln euro albo do 2% jej całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 83 ust. 4 lit. a RODO).
Co zmienić w dokumentacji RODO i polityce prywatności po zmianie poczty?
Po zmianie poczty zostają jeszcze papiery. RODO wymaga, żebyś umiał wykazać, że przestrzegasz przepisów (zasada rozliczalności, art. 5 ust. 2), więc popraw trzy miejsca:
- Rejestr czynności przetwarzania - dostawca poczty trafia do kategorii odbiorców (art. 30 ust. 1 lit. d) wszędzie tam, gdzie dane przechodzą przez skrzynkę: obsługa zamówień i reklamacji, zapytania z formularza, rekrutacja. Jak prowadzić taki rejestr, opisujemy we wpisie Rejestr czynności przetwarzania - jak prowadzić RCPD.
- Spis podmiotów przetwarzających - dopisz dostawcę poczty i dołącz do akt umowę albo PDF regulaminu z załącznikiem o powierzeniu.
- Polityka prywatności i klauzule - osoba, od której zbierasz dane, ma się dowiedzieć o odbiorcach albo kategoriach odbiorców (art. 13 ust. 1 lit. e). Jeśli wymieniasz dostawców z nazwy, popraw nazwę po zmianie. Przykład, jak to opisać, znajdziesz we wpisie Polityka prywatności na stronie internetowej z formularzem: jak ją napisać.
Wybierasz dostawcę z grupy amerykańskiej, jak Google? Dane mogą wtedy trafić poza Europejski Obszar Gospodarczy, więc w rejestrze wpisz przekazanie do państwa trzeciego (art. 30 ust. 1 lit. e), a w klauzuli poinformuj o nim (art. 13 ust. 1 lit. f). Podstawę takiego przekazania opisujemy we wpisie Data Privacy Framework i klauzule: transfer danych do USA, także przy AI.
Najczęstsze pytania o darmową pocztę w firmie i RODO
Czy Gmail jest zgodny z RODO?+
Zwykłe konto Gmail nie daje umowy powierzenia, więc do korespondencji z danymi klientów bez niej się nie nadaje. Google Workspace ma warunki przetwarzania danych, w których Google jest podmiotem przetwarzającym, a Ty administratorem.
Czy da się mieć e-mail firmowy za darmo i zgodnie z RODO?+
Z czterech sprawdzonych dostawców tylko WP pozwala mieć darmowy mail firmowy z umową powierzenia: regulamin odsyła do odrębnej umowy powierzenia według wzoru, który trzeba wypełnić i podpisać. Onet daje umowę tylko w wybranych wersjach płatnych, Interia w płatnym pakiecie PocztaPRO, a Google w płatnym Google Workspace.
RODO nie dotyczy prywatnej skrzynki, więc o co chodzi?+
Wyjątek z art. 2 ust. 2 lit. c RODO obejmuje tylko czynności czysto osobiste lub domowe. Zamówienia, zapytania klientów i CV kandydatów to działalność firmy, więc wyjątek nie działa, nawet jeśli skrzynkę zakładałeś kiedyś prywatnie.
Od czego zacząć jeszcze dziś? Zobacz, na jaki adres sklep wysyła Ci powiadomienia o zamówieniach, a strona wiadomości z formularza kontaktowego. Jeśli to darmowy mail firmowy bez umowy powierzenia, właśnie tę skrzynkę porządkujesz jako pierwszą.
Wolisz przejść przez to z kimś, kto zna temat? W dokumentacji RODO dla firmy dostajesz wzór umowy powierzenia i spis dostawców, a przy dokumentacji po audycie sprawdzamy też pocztę, przez którą rozmawiasz z klientami.
