/ Odpowiedź
Czy w ogóle wolno trzymać dane klientów w Arkuszach Google
Tak. RODO nie zawiera listy dozwolonych ani zakazanych narzędzi i nigdzie nie mówi, że dane osobowe muszą leżeć w Polsce albo w konkretnym programie. Mówi natomiast, na jakich warunkach wolno powierzyć je komuś innemu — a Arkusze Google są dokładnie takim przypadkiem, bo plik leży na serwerach zewnętrznej firmy.
Warunków jest cztery i przez resztę tekstu przechodzę przez każdy z osobna:
- Podstawa prawna przetwarzania — powód, dla którego w ogóle trzymasz te dane.
- Umowa powierzenia z dostawcą, wymagana przez artykuł 28 RODO.
- Informacja dla osoby, której dane zbierasz — artykuł 13.
- Kontrola dostępu i okresu przechowywania — czyli to, co najczęściej wypada z pola widzenia.
Zastrzeżenie
Nie jestem prawnikiem. Poniżej opisuję to, co trzeba ustawić po stronie technicznej i o co dopytać, opierając się na treści przepisów i dokumentach dostawcy — stan na sierpień 2026. Przy nietypowym przetwarzaniu albo danych wrażliwych rozstrzygnięcie należy do prawnika, nie do wykonawcy strony.
/ Decyzja
Rodzaj konta Google przesądza najwięcej
To jest rozróżnienie, którego brakuje w większości polskich tekstów na ten temat, a które decyduje o całej reszcie. Bezpłatne konto osobiste i konto Google Workspace to pod względem RODO dwie różne sytuacje.
Umowę powierzenia przetwarzania danych Google udostępnia jako dokument o nazwie Cloud Data Processing Addendum i wiąże go z umowami Google Workspace oraz Cloud Identity — czyli z usługami firmowymi. Konto bezpłatne działa na konsumenckich warunkach korzystania z usług, które nie są umową powierzenia w rozumieniu artykułu 28.
Praktyczny wniosek jest krótki. Jeżeli w arkuszu lądują wyłącznie Twoje własne notatki — konto osobiste w porządku. Jeżeli lądują tam dane klientów, arkusz powinien stać na koncie Google Workspace. Nie dlatego, że jest bezpieczniejszy technicznie, tylko dlatego, że jest do niego umowa.
Konto firmowe rozwiązuje przy okazji drugi problem, o którym mało kto myśli w dniu uruchomienia: komu należy plik. Arkusz na prywatnym koncie pracownika znika razem z tym pracownikiem, a odzyskanie go bywa niemożliwe. W Workspace administrator przenosi własność plików bez proszenia kogokolwiek o łaskę.
/ Artykuł 28
Umowa powierzenia — i dlaczego warto ją sprawdzić, a nie założyć
Kiedy przekazujesz dane osobowe firmie, która przetwarza je w Twoim imieniu, jesteś administratorem, a ona podmiotem przetwarzającym. Artykuł 28 RODO wymaga, żeby relację tę regulowała umowa. Nie musi być podpisana na papierze — forma elektroniczna wystarcza i tak właśnie robi to Google, włączając odpowiedni dokument do umowy o świadczenie usług.
Jest jednak szczegół, który łatwo przeoczyć, a który Google podaje wprost: jeśli Twoja umowa Google Workspace lub Cloud Identity nie obejmuje jeszcze tego dokumentu przez odwołanie, trzeba go zaakceptować samodzielnie w konsoli administracyjnej. Innymi słowy — bywa, że umowy powierzenia po prostu nie ma, dopóki ktoś nie kliknie.
To jest rzecz na pięć minut, a jej brak oznacza powierzenie danych bez wymaganej umowy. Sprawdź to raz, zanim uznasz temat za zamknięty.
Ta sama zasada dotyczy każdego kolejnego ogniwa. Jeżeli między formularzem a arkuszem stoi platforma automatyzacji albo wtyczka wysyłająca dane przez cudzy serwer, to też jest podmiot przetwarzający i też potrzebuje umowy. Opisałem te warianty w tekście o wyprowadzaniu zgłoszeń z formularza do Arkuszy Google — im krótszy łańcuch, tym mniej umów do pilnowania.
/ Transfer
Czy dane jadą do USA i czy to problem
Mogą jechać i obecnie nie jest to problem prawny, choć droga do tego stanu była długa i wciąż nie jest zamknięta.
Komisja Europejska przyjęła 10 lipca 2023 roku decyzję stwierdzającą odpowiedni stopień ochrony danych w ramach Ram Ochrony Danych UE–USA. Firmy amerykańskie, które przystąpiły do tego programu, mogą odbierać dane z Unii bez dodatkowych zabezpieczeń — bez standardowych klauzul umownych i bez oceny skutków transferu. Google deklaruje, że Google LLC wraz ze spółkami zależnymi jest certyfikowany w tym programie; listę uczestników prowadzi amerykański Departament Handlu i każdy może sprawdzić w niej dostawcę samodzielnie.
Warto jednak wiedzieć to, czego zwykle się nie dopisuje. Decyzja została zaskarżona, Sąd Unii Europejskiej oddalił skargę 3 września 2025 roku, a od tego wyroku wniesiono odwołanie, które czeka na rozpoznanie przed Trybunałem Sprawiedliwości. Historia dwóch poprzednich mechanizmów — unieważnionych w 2015 i 2020 roku — nakazuje traktować obecny stan jako aktualny, ale nie wieczny.
Dla małej firmy praktyczny wniosek jest spokojny: dziś korzystanie z Arkuszy Google jest legalne i nie wymaga dodatkowych dokumentów z tego tytułu. Warto jedynie nie budować procesu tak, żeby przeniesienie danych gdzie indziej wymagało przepisywania wszystkiego ręcznie — a to argument za tym, żeby arkusz nie był jedynym miejscem, w którym zgłoszenia istnieją.
/ Artykuł 13
Pod formularzem potrzebna jest klauzula, nie zgoda
Najczęstszy błąd na polskich stronach firmowych to zaznaczane pole zgody pod formularzem kontaktowym. Zwykle jest zbędne, a bywa szkodliwe.
Przy formularzu kontaktowym podstawą przetwarzania jest najczęściej podjęcie działań na żądanie osoby przed zawarciem umowy albo prawnie uzasadniony interes administratora — ktoś sam pisze do firmy, żeby o coś zapytać. Zgoda jest osobną, odrębną podstawą i nie jest tu potrzebna. Co gorsza, dołożenie pola zgody sugeruje, że przetwarzanie opiera się na zgodzie, a więc że można ją wycofać i wszystko przestanie obowiązywać — co nie odpowiada rzeczywistości i tworzy problem, którego wcześniej nie było.
Wymagana jest natomiast informacja. Artykuł 13 RODO nakazuje podać osobie, od której zbierasz dane, komplet podstawowych faktów. W praktyce klauzula pod formularzem powinna odpowiadać na sześć pytań:
| Pytanie | Co wpisać |
|---|---|
| Kto jest administratorem | Pełna nazwa firmy, adres, NIP, kontakt. |
| W jakim celu | Odpowiedź na zapytanie, przygotowanie oferty. |
| Na jakiej podstawie | Konkretny przepis, nie ogólnik. |
| Jak długo | Wyznaczony okres — i faktycznie przestrzegany. |
| Komu powierzasz | Kategorie odbiorców: hosting, poczta, dostawca arkusza. |
| Jakie prawa | Dostęp, sprostowanie, usunięcie, sprzeciw, skarga do UODO. |
Klauzula nie musi być długim tekstem pod przyciskiem. Wystarczy krótkie zdanie z odnośnikiem do polityki prywatności — pod warunkiem, że w polityce te informacje faktycznie są, a nie są tam ogólniki przepisane z cudzej strony. Uwaga na jedną rzecz: jeśli dokładasz arkusz jako nowe miejsce zapisu zgłoszeń, kategorie odbiorców w polityce prywatności trzeba zaktualizować. To najczęściej pomijany krok całej tej operacji.
/ Artykuł 30
Rejestr czynności przetwarzania — zwolnienie, na które większość firm liczy niesłusznie
Panuje przekonanie, że rejestru czynności przetwarzania nie musi prowadzić nikt poniżej 250 pracowników. To nieporozumienie, a bierze się z czytania pierwszej połowy przepisu.
Artykuł 30 ustęp 5 brzmi tak:
Obowiązki, o których mowa w ust. 1 i 2, nie mają zastosowania do przedsiębiorcy lub podmiotu zatrudniającego mniej niż 250 osób, chyba że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1, lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych, o czym mowa w art. 10.
Rozstrzyga słowo „sporadycznego”. Zgodnie z wykładnią europejskich organów ochrony danych, którą polski Urząd Ochrony Danych Osobowych publikuje we własnych wskazówkach, przetwarzanie można uznać za sporadyczne tylko wtedy, gdy nie jest prowadzone systematycznie i odbywa się poza regularną działalnością administratora.
Formularz kontaktowy przyjmujący zgłoszenia bez przerwy, przez cały rok, jest częścią normalnej działalności firmy. Nie jest sporadyczny — a ponieważ warunki zwolnienia muszą być spełnione łącznie, samo to wystarcza, żeby zwolnienie odpadło.
Dobra wiadomość: w małej firmie rejestr to jedna tabela. Wpisuje się w niej, jakie dane, w jakim celu, na jakiej podstawie, komu powierzone i jak długo przechowywane. Przy okazji odpowiada na wszystkie pytania z poprzedniej sekcji, więc raz zrobiona porządnie służy również do napisania klauzuli informacyjnej.
/ Praktyka
Kto realnie ma dostęp do tego pliku
Formalności zwykle da się dopiąć w jedno popołudnie. To, co zawodzi później, jest prozaiczne i nie ma nic wspólnego z przepisami — chodzi o to, że arkusz jest łatwy do udostępnienia, i właśnie dlatego bywa udostępniony szerzej, niż ktokolwiek zamierzał.
Cztery rzeczy, które warto sprawdzić w dniu uruchomienia i potem raz na kwartał:
- Nigdy „każdy, kto ma link”. Ustawienie wygodne przy pokazywaniu czegoś współpracownikowi jest przy danych osobowych publikacją. Dostęp nadaje się imiennie, konkretnym adresom.
- Uprawnienie do przeglądania, nie do edycji, dla każdego, kto ma tylko patrzeć. Edycja to również możliwość skasowania.
- Lista osób z dostępem przejrzana po każdym odejściu współpracownika. To moment, w którym dostępy zostają najczęściej.
- Kalendarz usuwania starych wierszy. Nic nie znika z arkusza samo. Okres przechowywania zadeklarowany w klauzuli jest wiążący również wtedy, gdy nikt go nie pilnuje.
/ Podsumowanie
Checklista przed uruchomieniem
- Arkusz stoi na koncie Google Workspace, nie na prywatnym koncie osobistym.
- Umowa powierzenia z Google jest sprawdzona w konsoli administracyjnej, a nie założona.
- Każde dodatkowe ogniwo między formularzem a arkuszem ma własną umowę powierzenia.
- Pod formularzem jest klauzula informacyjna, nie pole zgody.
- Polityka prywatności wymienia arkusz wśród kategorii odbiorców.
- Jest rejestr czynności — zwolnienie dla firm poniżej 250 osób tu nie działa.
- Dostęp do pliku jest imienny, a okres przechowywania wpisany do kalendarza.
Jeżeli wolisz mieć to poukładane raz a porządnie — od formularza i klauzuli po miejsce zapisu i dostępy — tym się zajmuję.
