Przesyłanie plików zgodne z RODO oznacza, że dane osobowe wysyłasz tylko wtedy, gdy to potrzebne, chronisz je odpowiednimi zabezpieczeniami, takimi jak szyfrowanie, nie przechowujesz ich dłużej, niż trzeba, a dostawca usługi działa na podstawie umowy powierzenia, przy czym każde przekazanie danych poza Europejski Obszar Gospodarczy (EOG) ma podstawę prawną. RODO nie certyfikuje narzędzi: nakłada obowiązki na organizację, która wysyła dane, a dobrze dobrany serwis po prostu ułatwia ich spełnienie.
Ten poradnik zestawia artykuły rozporządzenia (UE) 2016/679, które mają zastosowanie, gdy wysyłasz pliki z danymi osobowymi, takie jak CV, paski wypłat, wyniki badań, zdjęcia ludzi czy listy klientów, wyjaśnia, co dodają polskie przepisy i Urząd Ochrony Danych Osobowych (UODO), i zamienia to w checklistę. To informacje ogólne, stan na październik 2026, a nie porada prawna: w Twojej sytuacji ostatnie słowo ma inspektor ochrony danych (IOD) albo prawnik.
Kiedy RODO dotyczy przesyłania plików?
Zawsze, gdy pliki zawierają dane osobowe, czyli informacje o osobie, którą można zidentyfikować, a Twoja organizacja ma siedzibę w UE albo oferuje usługi osobom w UE. Umowa z imionami i adresami, arkusz z klientami, skan dowodu osobistego, zdjęcie, na którym da się rozpoznać ludzi: to wszystko się liczy. Wysłanie takich plików to „przetwarzanie”, podobnie jak ich tymczasowe przechowywanie przez serwis do transferu.
Artykuły RODO, które mają znaczenie przy wysyłaniu plików
| Artykuł | Co mówi w skrócie | Co to znaczy dla Twoich transferów |
|---|---|---|
| Art. 5 ust. 1 lit. c: minimalizacja danych | Tylko dane adekwatne, stosowne i ograniczone do niezbędnych | Wysyłaj tylko pliki i pola, których odbiorca potrzebuje |
| Art. 5 ust. 1 lit. e: ograniczenie przechowywania | Nie dłużej, niż jest to niezbędne | Używaj linków z datą ważności; usuwaj pliki po zakończeniu sprawy |
| Art. 5 ust. 1 lit. f: integralność i poufność | Odpowiednie bezpieczeństwo, ochrona przed nieuprawnionym dostępem i utratą | Szyfrowanie, hasła, kontrola dostępu |
| Art. 5 ust. 2: rozliczalność | Administrator musi umieć wykazać przestrzeganie przepisów | Udokumentuj narzędzia i wewnętrzne zasady |
| Art. 25: ochrona danych w fazie projektowania i domyślna ochrona danych | Zabezpieczenia wbudowane; domyślnie ograniczony dostęp i okres przechowywania | Wybieraj narzędzia, które domyślnie wygasają i ograniczają dostęp |
| Art. 28: podmiot przetwarzający | Tylko podmioty dające wystarczające gwarancje, na podstawie umowy | Zawrzyj z dostawcą umowę powierzenia przetwarzania danych |
| Art. 32: bezpieczeństwo przetwarzania | Wymienia pseudonimizację i szyfrowanie wśród odpowiednich środków | Szyfrowanie w transmisji, w spoczynku, a przy danych wrażliwych end-to-end |
| Art. 33 i 34: naruszenia | Zgłoszenie do organu w 72 godziny, jeśli jest ryzyko; zawiadomienie osób, gdy ryzyko jest wysokie | Wiedz, co zrobić, gdy link trafi do niewłaściwej osoby |
| Art. 44–49: przekazywanie do państw trzecich | Dane opuszczające EOG wymagają podstawy, np. decyzji o odpowiednim stopniu ochrony lub standardowych klauzul | Sprawdź, gdzie dostawca przechowuje pliki |
| Art. 83: kary | Do 20 mln euro lub 4 % całkowitego rocznego światowego obrotu za najpoważniejsze naruszenia | Stawka jest realna |
Dostawca to podmiot przetwarzający: umowa powierzenia
Gdy serwis do transferu przechowuje pliki w Twoim imieniu, działa jako podmiot przetwarzający, a Ty pozostajesz administratorem. Art. 28 każe korzystać wyłącznie z podmiotów, które zapewniają „wystarczające gwarancje”, i zawrzeć z nimi umowę (w Polsce mówi się o umowie powierzenia przetwarzania danych osobowych, po angielsku DPA). Umowa ma określać m.in., że podmiot przetwarza dane wyłącznie na Twoje udokumentowane polecenie, zachowuje poufność, zabezpiecza dane, korzysta z dalszych podmiotów przetwarzających tylko za Twoją zgodą i umożliwia audyty. Do zastosowań firmowych sprawdź, czy dostawca oferuje takie warunki i publikuje listę podwykonawców.
UODO traktuje ten obowiązek poważnie także wobec małych podmiotów. W opisanej przez urząd we wrześniu 2022 roku sprawie Sułkowickiego Ośrodka Kultury nałożono karę 2 500 zł za powierzenie danych bez pisemnej umowy powierzenia i bez sprawdzenia, czy podmiot przetwarzający daje wystarczające gwarancje. Wniosek dla Ciebie: najpierw zweryfikuj dostawcę, potem podpisz umowę, a dopiero potem wysyłaj dane.
Czy RODO wymaga szyfrowania danych osobowych?
Nie bezwzględnie: art. 32 wymaga bezpieczeństwa „odpowiadającego ryzyku” i jako przykłady podaje pseudonimizację i szyfrowanie danych osobowych. W praktyce szyfrowanie to oczekiwane minimum przy wysyłaniu danych osobowych przez internet, a w razie incydentu daje konkretną korzyść. Zgodnie z art. 34 ust. 3 lit. a nie musisz zawiadamiać osób, których dane dotyczą, jeśli zastosowałeś środki uniemożliwiające odczyt danych osobom nieuprawnionym, „takie jak szyfrowanie”.
Wytyczne Europejskiej Rady Ochrony Danych (EROD) dotyczące naruszeń dodają ważne zastrzeżenia: zwolnienie obejmuje dane prawidłowo zaszyfrowane kluczem, który nie wyciekł, a utrata jedynej kopii zaszyfrowanych danych to nadal naruszenie dostępności. Najmocniejszą formą jest szyfrowanie end-to-end, przy którym nawet dostawca nie może odczytać plików; wyjaśniamy je w tekście szyfrowanie end to end: co to jest.
RODO w Polsce: ustawa o ochronie danych osobowych i UODO
RODO stosuje się w Polsce bezpośrednio. Uzupełnia je ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000), która weszła w życie 25 maja 2018 roku i służy stosowaniu rozporządzenia: wskazuje m.in. organ nadzorczy, zasady wyznaczania inspektora ochrony danych i tryb kontroli. Organem właściwym w sprawach ochrony danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych. Ustawa była nowelizowana, także w 2026 roku, więc aktualny tekst sprawdzaj w serwisie ISAP Sejmu.
Jak w praktyce wygląda zgłoszenie naruszenia, wyjaśnia UODO na swojej stronie (stan na październik 2026):
- Termin: bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób. Zgłoszenie po terminie musi zawierać wyjaśnienie przyczyn opóźnienia.
- Jak zgłosić: formularzem udostępnionym przez UODO, także elektronicznie przez dedykowany formularz na biznes.gov.pl. Formularz jest przeznaczony dla administratorów.
- Gdy brakuje informacji: można zgłosić naruszenie etapami; na formularzu zaznacza się wtedy pole „Zgłoszenie wstępne”, a brakujące dane uzupełnia później.
- Gdy wyciek nastąpił u dostawcy: podmiot przetwarzający musi bez zbędnej zwłoki zgłosić naruszenie administratorowi, a zgłoszenie do UODO pozostaje obowiązkiem administratora.
Szczegóły i aktualny wzór formularza znajdziesz na stronie UODO o zgłaszaniu naruszeń.
Ograniczenie przechowywania: dlaczego linki z datą ważności pomagają
Folder udostępniony na lata kłóci się z zasadą, że danych osobowych nie przechowuje się dłużej, niż to niezbędne. Linki, które wygasają po kilku dniach, i pliki usuwane po wygaśnięciu realizują art. 5 ust. 1 lit. e i art. 25 „domyślnie”, bez pamiętania o sprzątaniu. W tekście link z hasłem i datą ważności proponujemy czasy dla różnych sytuacji.
Przekazywanie danych poza EOG: a co z amerykańskimi dostawcami?
Rozdział V RODO (art. 44–49) dopuszcza przekazywanie danych poza EOG tylko na określonej podstawie, takiej jak decyzja stwierdzająca odpowiedni stopień ochrony albo standardowe klauzule ochrony danych. Dla Stanów Zjednoczonych Komisja Europejska przyjęła 10 lipca 2023 roku decyzję w sprawie ram ochrony danych UE-USA (EU-US Data Privacy Framework), obejmującą amerykańskie firmy, które się w nich samocertyfikowały. Sąd Unii Europejskiej oddalił skargę na tę decyzję 3 września 2025 roku, a odwołanie do Trybunału Sprawiedliwości UE jest w toku (stan na październik 2026). Ramy obowiązują, ale ich historia (dwa wcześniejsze porozumienia zostały unieważnione) tłumaczy, dlaczego wiele organizacji woli dostawców przechowujących dane w Europie.
Wysyłaj dane osobowe spokojniej
Domyślnie przechowywanie w Europie, z datą ważności, hasłem i szyfrowaniem end-to-end w darmowym planie.
Checklista: jak wybrać serwis do przesyłania plików zgodnie z RODO
- Jasna polityka prywatności i warunki powierzenia przetwarzania dla klientów firmowych, z listą dalszych podmiotów przetwarzających.
- Podane miejsce przechowywania, najlepiej w EOG, albo ważny mechanizm przekazywania danych.
- Szyfrowanie w transmisji i w spoczynku oraz szyfrowanie end-to-end dostępne dla wrażliwych plików.
- Daty ważności z automatycznym usuwaniem, hasła i limity pobrań.
- Kontrola dostępu po stronie nadawcy: weryfikacja dwuetapowa, role w zespole.
- Możliwość natychmiastowego usunięcia transferu, jeśli trafił do niewłaściwej osoby.
Checklista: jak korzystać z serwisu zgodnie z RODO
Krok 1
Ogranicz dane
Wysyłaj tylko dokumenty i dane, których odbiorca potrzebuje; resztę zaczernij lub usuń.
Krok 2
Zabezpiecz
Użyj hasła przekazanego innym kanałem, a szyfrowania end-to-end przy szczególnych kategoriach danych (na przykład o zdrowiu) albo skanach dokumentów tożsamości.
Krok 3
Ogranicz w czasie
Wybierz krótką datę ważności i limit pobrań równy liczbie odbiorców.
Krok 4
Sprawdź odbiorcę
Zweryfikuj adres; e-maile wysłane pod zły adres to klasyczne źródło naruszeń.
Krok 5
Posprzątaj
Usuń lokalne kopie i wysłane załączniki, których już nie potrzebujesz.
Krok 6
Udokumentuj
Wpisz narzędzie do rejestru czynności przetwarzania, a wewnętrzną zasadę utrzymuj krótką i znaną wszystkim.
Plik trafił do niewłaściwej osoby: co teraz?
Od razu unieważnij link, sprawdź, czy pliki zostały pobrane, i oceń ryzyko dla osób, których dane dotyczą. Jeśli naruszenie może powodować ryzyko naruszenia ich praw lub wolności, art. 33 wymaga zgłoszenia go organowi nadzorczemu, w Polsce Prezesowi UODO, bez zbędnej zwłoki i w miarę możliwości w ciągu 72 godzin. Wniosek Komisji Europejskiej (tzw. Digital Omnibus z listopada 2025 roku) zmieniłby te zasady, m.in. wydłużając termin do 96 godzin, ale według stanu na październik 2026 nie został przyjęty. O zapobieganiu piszemy w tekście bezpieczne przesyłanie plików.
Typowe sytuacje
| Sytuacja | Główne ryzyko | Zalecane ustawienia |
|---|---|---|
| Dział kadr wysyła paski wypłat lub umowy | Zły odbiorca, kopie krążące latami | Hasło, krótka ważność, jedno pobranie |
| Kancelaria wymienia akta sprawy | Poufność | Szyfrowanie end-to-end i hasło; zobacz kancelarie prawne |
| Fotograf przekazuje portrety | Wizerunek rozpoznawalnych osób | Hasło i data ważności |
| Szkoła udostępnia prace uczniów | Dane dzieci | Ograniczeni odbiorcy, krótka ważność; zobacz edukacja |
| Zbieranie skanów dokumentów od klientów | Wrażliwe dokumenty w skrzynkach e-mail | Prośba o pliki z hasłem; zobacz odbieranie plików od klientów |
Szczegóły techniczne opisujemy na stronach o bezpiecznym transferze plików i o szyfrowaniu end-to-end w Transfr.
Wysyłaj duże pliki za darmo
- Do 100 GB na transfer
- Bez zakładania konta
- Szyfrowane i przechowywane w Europie