Hosting zgodny z RODO to taki, w którym dane osobowe Twoich klientów są przechowywane bezpiecznie, na serwerze o znanej lokalizacji, a dostawca podpisze z Tobą umowę powierzenia przetwarzania danych. RODO nie wymaga, żeby serwer stał w Polsce, ale wymaga, żeby dane nie trafiały poza Europejski Obszar Gospodarczy bez odpowiednich zabezpieczeń, żebyś wiedział, kto ma do nich dostęp, i żebyś potrafił to udokumentować podczas kontroli. Trzymanie danych na serwerze w Polsce po prostu upraszcza całą tę dokumentację.
Poniżej wyjaśniamy, za co odpowiadasz Ty jako administrator danych, a za co dostawca hostingu jako podmiot przetwarzający, i na co realnie patrzeć przy wyborze usługi, żeby nie martwić się o RODO przy każdej kontroli.
Jeśli szukasz dostawcy, z którym tę dokumentację da się zamknąć od ręki: u nas umowę powierzenia przetwarzania danych (art. 28 RODO) podpisujesz razem z zamówieniem, a strona i skrzynki stoją w polskim centrum danych. Plan Startowy kosztuje 199 zł netto + 23% VAT miesięcznie albo 1 188 zł netto + 23% VAT za rok, z fakturą VAT do każdej płatności i tą samą ceną przy odnowieniu. Szczegóły infrastruktury opisujemy na stronie hostingu z serwerami w Polsce, a pełne stawki są w cenniku.
Czy hosting w ogóle podlega pod RODO
Tak, jeśli na stronie zbierasz jakiekolwiek dane osobowe: adresy e-mail z formularza kontaktowego, dane do zamówień w sklepie, adresy IP w logach czy konta użytkowników. Te dane fizycznie leżą na serwerze dostawcy hostingu, więc dostawca staje się podmiotem przetwarzającym w rozumieniu RODO, a Ty jako właściciel strony jesteś administratorem danych. To rozróżnienie jest kluczowe, bo wyznacza, kto za co odpowiada.
Administrator decyduje, po co i jak przetwarzane są dane, i to on odpowiada przed osobą, której dane dotyczą. Podmiot przetwarzający, czyli hosting, przetwarza dane wyłącznie na Twoje polecenie i musi zapewnić im bezpieczeństwo techniczne. Dlatego samo wykupienie dobrego hostingu nie zwalnia Cię z obowiązków, ale zły hosting potrafi te obowiązki znacznie utrudnić.
Gdzie fizycznie leżą dane i dlaczego lokalizacja serwera ma znaczenie
RODO nie zabrania korzystania z serwerów za granicą, ale każdy transfer danych poza Europejski Obszar Gospodarczy wymaga dodatkowej podstawy prawnej, na przykład standardowych klauzul umownych, i osobnej dokumentacji. Serwer w Polsce lub w innym kraju EOG usuwa ten problem u źródła: dane nie opuszczają obszaru, na którym RODO obowiązuje wprost.
Dlatego jeżeli zależy Ci na prostocie, wybierz dostawcę z serwerami w kraju. Opisujemy to szerzej na stronie hostingu z serwerami w Polsce, gdzie dane fizycznie stoją w polskim centrum danych, a nie w oddziale globalnej chmury o nieustalonej lokalizacji.
| Lokalizacja serwera | Co to oznacza dla RODO | Dodatkowa dokumentacja |
|---|---|---|
| Polska | Dane w EOG, RODO obowiązuje wprost | Tylko umowa powierzenia |
| Inny kraj EOG (np. Niemcy, Francja) | Dane w EOG, RODO obowiązuje wprost | Tylko umowa powierzenia |
| USA lub kraj spoza EOG | Transfer poza EOG | Klauzule umowne, analiza ryzyka, często zgoda |
| Globalna chmura bez wskazanej lokalizacji | Ryzyko nieświadomego transferu | Trudna do udowodnienia zgodność |
Umowa powierzenia przetwarzania danych, czyli dokument, o którym wszyscy zapominają
Artykuł 28 RODO wymaga, żeby przetwarzanie danych przez podmiot zewnętrzny odbywało się na podstawie umowy powierzenia przetwarzania danych osobowych, po angielsku DPA. Bez takiej umowy z hostingiem formalnie naruszasz przepisy, nawet jeśli technicznie wszystko jest zabezpieczone. To pierwszy dokument, o który zapyta kontrola z urzędu ochrony danych.
Dobry dostawca hostingu udostępnia gotowy wzór umowy powierzenia, który wystarczy podpisać, zwykle w panelu klienta lub przy zakładaniu konta. Jeśli wolisz mieć dokument podpisany formalnie przez obie strony, umowę powierzenia można podpisać elektronicznie w kilka minut, bez drukowania i odsyłania papieru. Sprawdź, czy wzór wymienia zakres danych, cel przetwarzania, czas trwania oraz zobowiązek usunięcia danych po zakończeniu umowy.
Umowa hostingu dla firmy, co sprawdzić przed podpisaniem
Umowa hostingu to w praktyce regulamin dostawcy plus cennik i, przy danych osobowych, umowa powierzenia. Przed zakupem przeczytaj pięć zapisów, bo to one decydują o tym, czy przy kontroli albo przy zmianie dostawcy będziesz miał czym się wykazać:
- Gdzie stoją serwery. Lokalizacja powinna być wskazana w regulaminie albo w opisie usługi, a nie tylko w reklamie.
- Co dzieje się z danymi po rozwiązaniu umowy. Jedni dostawcy podają konkretny termin usunięcia, inni piszą ogólnie o rozsądnym terminie. Przykład konkretnego zapisu i jego skutków dla klienta rozpisaliśmy przy warunkach umowy HostingHouse i netart.com.
- Jak długo trzymane są kopie zapasowe. Kopia z ostatnich 48 godzin nie pomoże, jeśli błąd w bazie zauważysz po tygodniu.
- Ile kosztuje odnowienie. Cena drugiego roku bywa kilkukrotnie wyższa od pierwszego, a wielu dostawców jej nie publikuje. Kto ją podaje, sprawdziliśmy w zestawieniu cen odnowienia hostingu.
- Czy dostępność jest obiecana w umowie, czy tylko w reklamie. Liczba 99,9% na stronie głównej nic nie znaczy, jeśli regulamin nie przewiduje rekompensaty.
U nas te zapisy wyglądają tak: umowę wypowiadasz w każdej chwili przez rezygnację z odnowienia, usługa trwa do końca opłaconego okresu, cena odnowienia jest taka sama jak pierwsza, a kopie zapasowe trzymamy 7 dni w planie Startowym i 30 dni od planu Biznes, z przywracaniem jednym kliknięciem. Pierwsze 14 dni korzystasz z hostingu bez opłat i bez podawania karty, więc umowę i panel sprawdzisz, zanim zapłacisz.
Co powinien zapewniać hosting, żeby dało się nazwać go zgodnym z RODO
RODO mówi o odpowiednich środkach technicznych i organizacyjnych, ale nie podaje konkretnej listy. W praktyce przy hostingu strony firmowej sprowadza się to do kilku rzeczy, które łatwo sprawdzić przed zakupem:
- Znana lokalizacja serwera, najlepiej w Polsce lub EOG, wskazana wprost w regulaminie lub na stronie usługi.
- Umowa powierzenia przetwarzania dostępna od ręki, a nie na indywidualne zapytanie.
- Szyfrowanie połączeń certyfikatem SSL w cenie, żeby dane z formularzy nie leciały otwartym tekstem. Piszemy o tym na stronie hostingu z certyfikatem SSL, a to, czy certyfikat SSL jest obowiązkowy dla firmy, rozbieramy osobno na tle art. 32 RODO.
- Kopie zapasowe z możliwością odtworzenia, bo utrata danych to również naruszenie ochrony danych.
- Kontrola dostępu: oddzielne konta, hasła, a najlepiej uwierzytelnianie dwuskładnikowe do panelu.
- Rejestr i zgłaszanie incydentów, żeby w razie wycieku dało się dotrzymać 72-godzinnego terminu zgłoszenia.
Kopie zapasowe i szyfrowanie w kontekście RODO
Ochrona danych to nie tylko zabezpieczenie przed wyciekiem, ale też przed utratą. Jeśli awaria dysku skasuje bazę z danymi klientów, a Ty nie masz kopii, to również jest naruszenie, bo osoby, których dane dotyczą, tracą do nich dostęp. Dlatego regularne, odtwarzalne kopie zapasowe są elementem zgodności, a nie tylko wygodą. Jak je robić i testować, opisujemy w poradniku o tym, jak zrobić backup strony WordPress.
Certyfikat SSL z kolei szyfruje dane w drodze między przeglądarką klienta a serwerem. Bez niego dane z formularza kontaktowego czy logowania podróżują otwartym tekstem i może je przechwycić ktokolwiek po drodze. W hostingu firmowym SSL powinien być w cenie i odnawiać się automatycznie.
Co jest po Twojej stronie, a co po stronie hostingu
Najczęstsze nieporozumienie brzmi: skoro mam dobry hosting, to jestem zgodny z RODO. Nie. Hosting odpowiada za bezpieczeństwo infrastruktury, ale za treść, zgody i politykę prywatności odpowiadasz Ty. Poniższy podział pomaga rozdzielić zadania.
| Obszar | Odpowiada hosting | Odpowiadasz Ty |
|---|---|---|
| Bezpieczeństwo serwera i sieci | Tak | Nie |
| Umowa powierzenia i lokalizacja danych | Udostępnia i deklaruje | Podpisujesz i archiwizujesz |
| Zgody i polityka prywatności na stronie | Nie | Tak |
| Podstawa prawna przetwarzania | Nie | Tak |
| Kopie zapasowe infrastruktury | Tak | Weryfikujesz zakres |
| Reakcja na żądania osób (dostęp, usunięcie) | Nie | Tak |
Jeśli chcesz oddać część technicznej odpowiedzialności, na przykład aktualizacje i monitoring, rozważ hosting zarządzany, gdzie stroną serwerową i bezpieczeństwem zajmuje się dostawca.
Najczęściej zadawane pytania
Czy hosting musi być w Polsce, żeby był zgodny z RODO?
Nie. RODO wymaga, żeby dane nie opuszczały Europejskiego Obszaru Gospodarczego bez dodatkowych zabezpieczeń, więc serwer w dowolnym kraju EOG jest w porządku. Serwer w Polsce jest jednak najprostszy formalnie, bo znasz dokładną lokalizację danych i nie musisz dokumentować transferu poza EOG. Dla większości małych firm to najmniej kłopotliwy wybór.
Czy potrzebuję umowy powierzenia z firmą hostingową?
Tak. Artykuł 28 RODO wymaga umowy powierzenia przetwarzania danych z każdym podmiotem, który przetwarza dane w Twoim imieniu, a hosting właśnie tym jest. Bez tej umowy naruszasz przepisy, nawet jeśli technicznie dane są bezpieczne. Dobry dostawca udostępnia gotowy wzór, który wystarczy podpisać. Warto też sprawdzić, czy umowę i ewentualną kontrolę obsłużysz po polsku, co daje hosting z polskim wsparciem.
Kto odpowiada za wyciek danych ze strony, ja czy hosting?
To zależy od przyczyny. Jeśli wyciek wynika z luki w infrastrukturze serwera, odpowiada dostawca jako podmiot przetwarzający. Jeśli z Twojej strony, na przykład słabego hasła administratora albo nieaktualnej wtyczki, odpowiadasz Ty jako administrator danych. Umowa powierzenia i podział zadań pomagają ustalić, po czyjej stronie leżał obowiązek.
Czy sam certyfikat SSL wystarczy do zgodności z RODO?
Nie. SSL szyfruje dane w drodze i jest niezbędny, ale to tylko jeden z wymaganych środków. Do zgodności potrzebujesz jeszcze znanej lokalizacji danych, umowy powierzenia, kopii zapasowych, kontroli dostępu oraz polityki prywatności i podstaw prawnych po Twojej stronie. SSL bez reszty tych elementów nie wystarczy.
Co grozi za brak zgodności hostingu z RODO?
Kary za naruszenie RODO sięgają do 20 milionów euro lub 4 procent rocznego obrotu, w zależności co jest wyższe, choć wobec małych firm urząd zwykle stosuje kary proporcjonalne. Realnie większym ryzykiem bywa utrata zaufania klientów po wycieku i koszt jego obsługi. Uporządkowana dokumentacja i dostawca z serwerami w EOG mocno to ryzyko ograniczają.
Czy przy jednoosobowej działalności też muszę się tym przejmować?
Tak, jeśli zbierasz dane osobowe, forma działalności nie ma znaczenia. Jednoosobowa działalność przetwarzająca dane klientów podlega pod RODO tak samo jak spółka. Skala obowiązków jest mniejsza, ale umowa powierzenia z hostingiem, polityka prywatności i bezpieczne przechowywanie danych obowiązują również Ciebie. Komplet tych dokumentów dołączamy do każdego planu, także w najmniejszym: hosting dla małej firmy.