Umowa powierzenia danych a KSeF: co biuro rachunkowe musi zaktualizować w 2026 r.

Wprowadzenie obowiązkowego KSeF zmienia sposób, w jaki biuro rachunkowe operuje na danych klientów. W praktyce każda istniejąca umowa powierzenia przetwarzania danych musi zostać przeanalizowana pod kątem nowego kanału przekazywania faktur, nowego podmiotu przetwarzającego (Ministerstwo Finansów jako operator KSeF) oraz nowych obowiązków dokumentacyjnych. Bez aktualizacji ryzykujesz zarzut przetwarzania danych bez właściwej podstawy umownej i odpowiedzialność wobec klienta w razie incydentu.

Umowa powierzenia w kontekście RODO: szybka definicja

Umowa powierzenia przetwarzania danych osobowych to dokument, który reguluje relacje między administratorem danych (Twoim klientem, czyli przedsiębiorcą wystawiającym faktury) a podmiotem przetwarzającym (biurem rachunkowym). Jej zawarcia wymaga art. 28 ust. 3 RODO. Bez podpisanej umowy biuro nie ma podstawy prawnej do przetwarzania danych osobowych zawartych w fakturach klienta, a to oznacza naruszenie zasady zgodności z prawem z art. 5 ust. 1 lit. a RODO.

W typowej umowie powierzenia znajduje się:

• przedmiot przetwarzania (np. „prowadzenie ksiąg rachunkowych, sporządzanie deklaracji podatkowych”),
• czas trwania,
• charakter i cel przetwarzania,
• rodzaj danych osobowych (imiona, nazwiska, NIP, adresy, dane kontaktowe),
• kategorie osób, których dane dotyczą,
• obowiązki i prawa administratora.

Dla większości biur rachunkowych umowy te zostały podpisane wiele lat temu, najczęściej w 2018 r. po wejściu RODO. Problem polega na tym, że do 2025 r. nie obejmowały kanału KSeF, bo on po prostu nie funkcjonował obowiązkowo.

Co zmienia obowiązkowy KSeF?

Obowiązek wysyłki faktur przez Krajowy System e-Faktur wchodzi etapami: 1 lutego 2026 r. dla podatników o obrocie powyżej 200 mln zł, 1 kwietnia 2026 r. dla pozostałych czynnych podatników VAT, a 1 stycznia 2027 r. dla najmniejszych przedsiębiorców oraz zwolnionych z VAT. Od kwietnia 2026 r. praktycznie każdy klient biura musi przekazywać faktury sprzedażowe przez KSeF, więc każdy z nich musi mieć zaktualizowaną dokumentację RODO.

Z perspektywy ochrony danych osobowych pojawia się kilka nowych elementów:

1. Nowy kanał przekazania danych. Faktura ustrukturyzowana w formacie FA(3) zawiera dane osobowe nabywców (NIP, nazwa, adres, opcjonalnie dane kontaktowe). Trafiają one do repozytorium prowadzonego przez Ministerstwo Finansów.
2. Nowy podmiot odbierający dane. MF działa jako administrator KSeF i jednocześnie jako odbiorca danych z mocy ustawy. To nie jest klasyczny procesor w rozumieniu art. 28 RODO, ale jego obecność musi zostać odzwierciedlona w obowiązku informacyjnym oraz w rejestrze czynności przetwarzania.
3. Nowe narzędzie po stronie biura. Jeśli biuro korzysta z zewnętrznego oprogramowania do wysyłki faktur (Cockpit KSeF, system FK z modułem KSeF, własna integracja), pojawia się subprocesor, czyli podmiot dalszego powierzenia.
4. Nowe obowiązki dokumentacyjne. UPO (Urzędowe Poświadczenie Odbioru) stanowi dowód doręczenia faktury i powinno być archiwizowane razem z dokumentacją księgową przez minimum 5 lat.

Każdy z tych punktów wymaga decyzji co do treści aktualnej umowy powierzenia.

Kto jest administratorem, a kto przetwarzającym?

Modelowa konfiguracja wygląda tak:

• Administrator danych: klient biura (przedsiębiorca, którego faktury są wysyłane).
• Procesor (podmiot przetwarzający): biuro rachunkowe.
• Subprocesor (dalszy podmiot przetwarzający): dostawca oprogramowania, z którego biuro korzysta przy wysyłce do KSeF.
• Odbiorca danych z mocy ustawy: Ministerstwo Finansów jako operator KSeF.

W praktyce oznacza to, że jeśli biuro używa zewnętrznego Cockpit KSeF (np. FakturaFlow), musi najpierw uzyskać zgodę klienta na podpowierzenie. Standardowo realizuje się to przez ogólną zgodę w umowie powierzenia, z obowiązkiem informowania klienta o zmianie subprocesora z odpowiednim wyprzedzeniem.

Częsty błąd: biuro zakłada, że jeśli kupuje oprogramowanie „dla siebie”, to nie musi informować klientów. Tymczasem każdy podmiot, który przetwarza dane administratora w imieniu procesora, jest subprocesorem w rozumieniu art. 28 ust. 2 RODO i wymaga zgody administratora.

Co musi znaleźć się w aneksie do umowy powierzenia?

Praktyczna lista elementów, które warto dopisać do istniejącej umowy. Każdy z nich możesz zamknąć w jednym punkcie aneksu albo przygotować nową wersję całego dokumentu.

Cel i zakres przetwarzania w kontekście KSeF

Doprecyzuj, że cel przetwarzania obejmuje także „przygotowanie i przekazywanie faktur ustrukturyzowanych w formacie FA(3) do Krajowego Systemu e-Faktur prowadzonego przez Ministerstwo Finansów”. Bez tego zapisu można argumentować, że biuro przetwarza dane w celu wykraczającym poza pierwotną umowę.

Kategorie danych przekazywanych do KSeF

Faktura FA(3) zawiera szerszy zakres pól niż tradycyjna faktura PDF. Wymień wprost: NIP nabywcy, nazwę, adres, opcjonalnie dane kontaktowe, opcjonalnie numer rachunku bankowego nabywcy, opcjonalnie GTIN towaru. Wskazanie kategorii danych pozwala spełnić obowiązek z art. 28 ust. 3 lit. a RODO i ułatwia późniejsze prowadzenie rejestru czynności przetwarzania.

Wskazanie subprocesora

Jeśli biuro korzysta z Cockpit KSeF od zewnętrznego dostawcy, podaj jego nazwę i lokalizację przetwarzania. Zapis powinien zawierać:

• nazwę dostawcy oprogramowania,
• lokalizację serwerów (najczęściej UE; FakturaFlow korzysta z infrastruktury Supabase we Frankfurcie),
• zakres czynności wykonywanych przez subprocesora,
• mechanizm informowania o zmianie subprocesora (najczęściej 30 dni przed zmianą).

Procedura archiwizacji UPO

Urzędowe Poświadczenie Odbioru to dowód doręczenia faktury do KSeF. Aneks powinien wskazać, kto przechowuje UPO (biuro, klient, dostawca oprogramowania), w jakim formacie (XML lub PDF) i przez jaki okres. Ordynacja podatkowa wymaga 5 lat, ale przy fakturach z dłuższym okresem przedawnienia (np. faktury z odliczeniem VAT przy nabyciu nieruchomości) warto przyjąć 10 lat.

Środki techniczne i organizacyjne

Art. 32 RODO wymaga opisu środków bezpieczeństwa. W kontekście KSeF dopisz:

• bezpieczne przechowywanie tokenu KSeF (token jest wrażliwy: kto go przejmie, ten może wystawiać faktury w imieniu klienta),
• ograniczenie dostępu do tokenów wyłącznie do konkretnych pracowników biura,
• procedurę unieważnienia tokenu po zakończeniu współpracy lub odejściu pracownika,
• log audytowy operacji wykonywanych w imieniu klienta (kto, kiedy, jaką fakturę wysłał).

Procedura zgłaszania naruszeń

Jeśli token KSeF wycieknie albo dojdzie do nieuprawnionego wystawienia faktury, procesor zgłasza incydent administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO). W praktyce rynkowej oznacza to maksymalnie 24 godziny, aby klient zdążył spełnić własny obowiązek z art. 33 ust. 1 RODO, czyli zgłoszenie do UODO w ciągu 72 godzin od stwierdzenia naruszenia.

Transgraniczne przekazywanie danych: czy KSeF to problem?

Ministerstwo Finansów hostuje KSeF na infrastrukturze w Polsce, więc samo przekazanie faktury do MF nie stanowi transferu poza Europejski Obszar Gospodarczy. Problem może pojawić się przy wyborze dostawcy oprogramowania, jeśli używa on infrastruktury chmurowej spoza EOG (najczęściej AWS US lub Cloudflare US).

Dwa pytania, które warto zadać dostawcy Cockpit KSeF przed podpisaniem umowy:

1. Gdzie fizycznie przechowywane są tokeny KSeF i archiwizowane UPO?
2. Czy używasz subprocesora amerykańskiego (AWS US, Google Cloud US, Cloudflare US, Microsoft Azure US)?

Jeśli odpowiedź na drugie pytanie brzmi „tak”, aneks powinien odwoływać się do standardowych klauzul umownych Komisji Europejskiej (SCC) jako podstawy transferu. Bez tego transfer pozostaje bez podstawy prawnej, co po wyroku Schrems II naraża biuro na zarzut naruszenia rozdziału V RODO.

Konsekwencje braku zaktualizowanej umowy

Brak aktualizacji umowy powierzenia po wejściu obowiązkowego KSeF może skutkować:

1. Karą administracyjną UODO do 10 mln euro lub 2% globalnego obrotu (art. 83 ust. 4 RODO).
2. Roszczeniami cywilnymi klienta, jeśli dojdzie do incydentu, a biuro nie wykaże podstawy prawnej do przetwarzania danych w nowym kanale.
3. Utratą zaufania klientów, którzy zaczęli pytać o RODO coraz bardziej świadomie, zwłaszcza po głośnych karach UODO z 2024 i 2025 r.
4. Rozwiązaniem umowy przez większego klienta, który ma własny dział compliance i wymaga aktualnej dokumentacji u wszystkich kontrahentów.

W praktyce największe ryzyko to drugi punkt: scenariusz, w którym wycieka token KSeF jednego z klientów, nieuprawniona osoba wystawia w jego imieniu fakturę, a klient pozywa biuro o odszkodowanie i jednocześnie rozwiązuje umowę. Jeśli umowa powierzenia nie obejmowała kanału KSeF, biuro nie ma jak wykazać, że przetwarzało dane zgodnie z art. 28 RODO.

Checklista aktualizacji umowy

Krótka, praktyczna lista. Przejdź ją z każdym klientem przed 1 kwietnia 2026 r. (data, od której powszechny obowiązek KSeF dotyczy także pozostałych czynnych podatników VAT, w ramach pełnego harmonogramu: 1 lutego 2026 r. duzi, 1 kwietnia 2026 r. czynni VAT, 1 stycznia 2027 r. najmniejsi).

• Aneks lub nowa wersja umowy powierzenia, podpisana obustronnie.
• Cel przetwarzania rozszerzony o przekazywanie faktur do KSeF.
• Wymieniony subprocesor (nazwa dostawcy oprogramowania, lokalizacja).
• Procedura archiwizacji UPO (kto, gdzie, jak długo).
• Środki bezpieczeństwa dla tokenu KSeF.
• Procedura zgłaszania naruszeń (24 godziny do klienta).
• Mechanizm informowania klienta o zmianie subprocesora.
• Aktualizacja rejestru czynności przetwarzania (RCPD) po stronie klienta.
• Aktualizacja rejestru kategorii czynności po stronie biura.

Jeśli prowadzisz portfel 50 i więcej klientów, uruchom hurtowy proces: jedna wersja aneksu, masowa wysyłka, twardy deadline na podpis. To pozwoli uniknąć wielomiesięcznego negocjowania osobno z każdym klientem i da Ci czysty stan dokumentacji przed pierwszą falą obowiązku.

Najczęstsze błędy biur rachunkowych przy aktualizacji

W rozmowach z biurami, które już zaczęły przygotowania, powtarzają się trzy błędy.

Błąd 1: aneks tylko z największymi klientami. Logika: „spółka z o.o. ma dział compliance, JDG tego nie czyta”. Ryzyko: jeśli dojdzie do incydentu u małego klienta, UODO i tak zapyta o dokumentację. Brak aneksu to brak podstawy prawnej, niezależnie od wielkości klienta.

Błąd 2: zgoda ogólna zamiast szczegółowej listy subprocesorów. Zapis „administrator wyraża zgodę na korzystanie z dalszych podmiotów przetwarzających według uznania procesora” jest często kwestionowany przez UODO. Bezpieczniej wymienić konkretnego dostawcę i zachować mechanizm informowania o zmianach.

Błąd 3: pominięcie procedury offboardingu. Co się dzieje z tokenem KSeF i danymi klienta, gdy współpraca się kończy? Aneks powinien zawierać: termin unieważnienia tokenu, termin przekazania archiwum UPO klientowi, termin usunięcia kopii roboczych z systemów biura.

Co dalej

Aneks do umowy powierzenia to jeden z elementów przygotowania biura do obowiązkowego KSeF. Pozostałe to:

• generowanie tokenów KSeF dla każdego klienta (zobacz token KSeF: jak wygenerować),
• konfiguracja workflow miesięcznego w biurze (zobacz KSeF dla biura rachunkowego),
• wybór narzędzia do hurtowej wysyłki faktur (zobacz program do KSeF dla biura rachunkowego).

W FakturaFlow przygotowaliśmy szablon aneksu zgodny z RODO oraz checklistę compliance dla biura, którą można pobrać po założeniu konta i dostosować do swojego portfela klientów. Plany Starter (199 zł / mies.), Professional (319 zł / mies.) i Enterprise (499 zł / mies.) zawierają dostęp do szablonu, polityki bezpieczeństwa danych oraz wzoru klauzuli informacyjnej do podpięcia pod fakturę.

Jeśli Twoje biuro ma już aktualną umowę powierzenia z 2024 r. lub 2025 r., to z dużym prawdopodobieństwem wymaga ona tylko aneksu na 1 stronę. Jeśli ostatnia wersja powstała w 2018 r., warto rozważyć pełne przepisanie dokumentu, bo praktyka stosowania RODO i orzecznictwo UODO ewoluowały od tego czasu wyraźnie.

Stan prawny na 12 maja 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej ani podatkowej. Przed wdrożeniem zmian w umowach powierzenia skonsultuj się z radcą prawnym lub doradcą podatkowym.