Umowa powierzenia przetwarzania danych a usługi doręczania przesyłek kurierskich
Umowa powierzenia przetwarzania danych a usługi doręczania przesyłek kurierskich – pytanie o to, czy z firmą kurierską, należy zawierać umowę powierzenia przetwarzania danych, jest pytaniem które z zauważalną regularnością pojawia się w dyskusjach. Za sprawą Komunikatu Prezesa UODO [DKN.5112.1.2023] „Naruszenie przepisów RODO przez firmę kurierską” ponownie pojawiły się pytania dotyczące tego zagadnienia. Pojawiły się również opinie dotyczące zapadłego rozstrzygnięcia. Postanowiłem przytoczyć kilka jego fragmentów, aby uświadomić, pewien fakt, wprost wyartykułowany w treści Decyzji PUODO. Uprzedzam jednak, w tym krótkim opracowaniu nie dotykam kwestii związanej z rozstrzygnięciem zapadłym w sprawie, ale odnoszę się do głosów, jakie pojawiły się po publikacji treści rozstrzygnięcia, jakoby za zasadne i celowe uznawać należy, w kontekście analizowanej Decyzji PUODO, zawieranie umów powierzenia przetwarzania danych osobowych, przez klientów zlecających usługę dostarczenia przesyłki kurierskiej.
Zakres usług świadczonych przez ukarany podmiot
W treści Decyzji PUODO czytamy, co następuje
cyt.: „(…) Prezes UODO przeprowadził czynności kontrolne (…) Zakresem kontroli objęto przetwarzanie przez Spółkę danych osobowych w związku ze świadczeniem usługi w zakresie doręczania przesyłek kurierskich w rozumieniu art. 3 pkt 19 ustawy z dnia 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2025 r. poz. 366 z późn. zm.) (…)”.
W treści Decyzji PUODO czytamy, co następuje
cyt.: „(…) Prezes UODO dokonał następujących ustaleń w zakresie stanu faktycznego: Spółka została utworzona w (…) r. i od tego roku przedmiotem jej działalności jest świadczenie usług w zakresie dostarczania, w tym transportowania, przygotowywania, pakowania i magazynowania przesyłek kurierskich. (…)”.
cyt.: „(…) W związku z realizacją usług doręczania przesyłek kurierskich Spółka przetwarza następujące dane: imię, nazwisko, adres poczty elektronicznej, numer telefonu, adres nadania, adres doręczenia, adres przekierowania przesyłki, numer konta bankowego (w przypadku usługi doręczenia za pobraniem), oznaczenie (nazwa) działalności gospodarczej, numer przesyłki oraz podpis własnoręczny nadawcy i adresata. (…)”.
cyt.: „(…) Spółka zleca podmiotom zewnętrznym (tzw. przewoźnikom (…) (1]) wykonywanie usługi transportu, między innymi, przesyłek kurierskich. (…)”.
Błędne opinie
Niestety na gruncie opisanego stanu faktycznego pojawiły się opinie, zgodnie z którymi, relacja pomiędzy klientem a przedsiębiorcą świadczącym usługi w zakresie doręczania przesyłek kurierskich – to relacja wymagająca zawarcia umowy powierzenia przetwarzania danych osobowych, o jakiej mowa w art. 28 ust. 3 RODO. Na dowód potwierdzenia tego o czym piszę, zachęcam do lektury tego tych fragmentów Decyzji PUODO
W treści Decyzji PUODO czytamy, co następuje
cyt.: „(…) Innymi słowy, tzw. przewoźnicy (…), świadcząc usługi na rzecz Spółki, faktycznie przetwarzają dane osobowe nadawców i adresatów przesyłek również dlatego, że przechowują je (poprzez umieszczenie przesyłek podczas transportu w przestrzeni ładunkowej pojazdów (…)) i mają do nich dostęp, przy czym czynią to z zasady przy pomocy środków transportu, do których posiadania przysługuje tytuł prawny nie Spółce, ale ww. przewoźnikom. Powyżej wskazane okoliczności świadczą, iż Spółka, przekazując przewoźnikom (…) przesyłki wraz z danymi do transportu, pozbawia się w jego czasie [dop. transportu] faktycznej kontroli i władztwa nad nimi, a dane osobowe znajdujące się na przesyłkach [dop. nie w przesyłkach] są powierzone do przetwarzania w imieniu Spółki jako organizatora procesu doręczania [dop. uwaga] i administratora tych danych – przewoźnikom (…) (co najmniej w zakresie przechowywania danych). (…)”.
cyt.: „(…) Zważywszy przy tym na fakt, że przewoźnicy (…) wykonując usługi na rzecz Spółki nie określają samodzielnie ani wspólnie ze Spółką celów ani sposobów przetwarzania danych zgodnie z definicją administratora zawartą w treści art. 4 pkt 7 rozporządzenia 2016/679 (czyni to wyłącznie Spółka jako administrator danych osobowych nadawców i adresatów przesyłek zawartych na etykietach adresowych w związku z jej odpowiedzialnością wobec klientów za cały proces doręczenia przesyłki wynikającą ze stosownych przepisów prawa, np. ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2025 r. poz. 1071 z późn. zm.), ustawy z dnia 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2025 r. poz. 366 z późn. zm.), itd.), należy uznać, że faktycznie przewoźnicy (…), działając na zlecenie Spółki jako administratora danych i w jej imieniu, przetwarzają dane osobowe zawarte na etykietach adresowych jako podmioty przetwarzające. (…)”.
Różne relacje w stanie faktycznym
Stan faktyczny, w jakim zapada rozstrzygnięcie wymaga rozróżnienia dwóch relacji:
- Relacja 1 / klient – firma kurierska / Klient zlecający wykonanie usługi przedsiębiorcy świadczącemu usługi w zakresie doręczania przesyłek kurierskich w rozumieniu art. 3 pkt 19 ustawy z dnia 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2025 r. poz. 366 z późn. zm.),
- Relacja 2 / firma kurierska – przewoźnik / Przedsiębiorca, świadczący usługi w zakresie doręczania przesyłek kurierskich w rozumieniu art. 3 pkt 19 ustawy z dnia 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2025 r. poz. 366 z późn. zm.) zlecający ich transport.
Warto analizować każdy stan faktyczny:
Za każdym jednak razem, należy dokonać oceny stanu faktycznego, albowiem możliwe są sytuacje, w których wraz z usługą doręczania przesyłek kurierskich, klient zleca de facto, inne usługi, takie które wymagają zmiany podejścia do problemu i zawarcia już stosownej umowy powierzenia przetwarzania danych – ale – nie zmienia to stanu rzeczy, iż w obszarze usługi podstawowej (Relacja 1) zawarcie umowy powierzenia przetwarzania danych będzie błędem.
Fragment o danych osobowych na przesyłkach:
Zwracam też uwagę na fragment, który mówi, o tym, iż Relacja 1 właściwa jest względem tych danych osobowych, jakie przetwarzane są i zamieszczone na przesyłkach kurierskich, a nie w ich środku, względem danych osobowych zawartych w przesyłkach rolę administratora danych osobowych, ze wszelkimi tego konsekwencjami, nadal pełni podmiot zlecający, czyli klient zamawiający usługę doręczenia przesyłki kurierskiej.
Dokumentacja RODO/ RCPD / DPIA / Ocena Ryzyka
Odpowiedzialność kierownika podmiotu kluczowego oraz ważnego
