Wysyłasz e-mail do klienta z jego imieniem i nazwiskiem. Archiwizujesz oferty zawierające dane kontrahentów. Przechowujesz historię korespondencji z potencjalnymi pracownikami. Każda z tych czynności oznacza przetwarzanie danych osobowych — i każda z nich podlega Rozporządzeniu o Ochronie Danych Osobowych (RODO). To oznacza, że hosting poczty firmowej nie jest neutralną decyzją techniczną — to decyzja prawna, za którą administratorzy danych odpowiadają osobiście.

Dlaczego hosting poczty podlega RODO?

RODO definiuje „dane osobowe" bardzo szeroko: to wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Skrzynka pocztowa firmowej poczty przetwarza takie dane niemal w każdej wiadomości:

  • Imiona i nazwiska nadawców i odbiorców
  • Adresy e-mail (same w sobie są danymi osobowymi)
  • Numery telefonów i adresy fizyczne w stopkach
  • Treści umów, ofert i zamówień z danymi kontrahentów
  • CV i dane kandydatów na stanowiska
  • Dane klientów w korespondencji sprzedażowej
Odpowiedzialność administratora Art. 28 RODO nakłada obowiązek zawarcia umowy powierzenia przetwarzania danych z każdym podmiotem przetwarzającym dane w imieniu administratora — w tym z dostawcą hostingu poczty. Brak takiej umowy to naruszenie RODO, grożące karą do 10 mln EUR lub 2% globalnego obrotu.

Kluczowe obowiązki przy wyborze dostawcy hostingu poczty

Jako administrator danych (czyli osoba lub firma decydująca o celach przetwarzania) masz wobec RODO konkretne obowiązki przy wyborze dostawcy hostingu poczty:

Weryfikacja lokalizacji serwerów

Musisz wiedzieć, gdzie fizycznie przechowywane są dane. Jeśli serwery znajdują się poza Europejskim Obszarem Gospodarczym (EOG), transfer danych wymaga dodatkowych zabezpieczeń prawnych (standardowe klauzule umowne lub decyzja o adekwatności).

Zawarcie umowy DPA

Data Processing Agreement (umowa powierzenia przetwarzania danych) to obowiązkowy dokument regulujący zasady, zakres i cel przetwarzania danych przez dostawcę hostingu poczty w Twoim imieniu. Bez niej każda wiadomość przetworzona przez dostawcę to potencjalne naruszenie RODO.

Zapewnienie odpowiednich środków technicznych

RODO wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych. W kontekście hostingu poczty oznacza to: szyfrowanie transmisji (TLS), opcjonalne szyfrowanie treści (S/MIME), kontrolę dostępu, logowanie zdarzeń i procedury backupu.

Weryfikacja sub-procesorów

Czy dostawca hostingu poczty korzysta z usług firm trzecich (np. CDN, antyspam w chmurze)? Masz prawo wiedzieć, kto i w jakim zakresie przetwarza Twoje dane. Dobry dostawca ujawnia listę sub-procesorów i zobowiązuje ich do takich samych standardów ochrony.

Gdzie powinny być serwery hostingu poczty?

RODO nie zabrania transferu danych poza EOG, ale go ogranicza i obwarowuje warunkami. W praktyce firma ma trzy opcje:

Lokalizacja serwerów Wymogi RODO Poziom ryzyka
Polska / UE / EOG Wystarczy umowa DPA — brak dodatkowych formalności transferu ✓ Niskie
UK (po Brexicie) Decyzja adekwatności UE-UK (obowiązuje, ale może być odwołana) ~ Średnie
USA Data Privacy Framework UE-USA (obowiązuje od 2023 r., ale zaskarżony) ~ Średnie–wysokie
Inne kraje spoza EOG Standardowe klauzule umowne (SCC) + Transfer Impact Assessment ✗ Wysokie

Z perspektywy prostoty i pewności prawnej, hosting poczty z serwerami w Polsce lub innym kraju EOG to zdecydowanie najlepsza opcja dla polskich firm. Eliminuje wszystkie niepewności prawne związane z transferem danych.

Umowa powierzenia danych (DPA) — co powinna zawierać?

Dobra umowa DPA z dostawcą hostingu poczty powinna regulować co najmniej:

  • Przedmiot i czas trwania przetwarzania — jakie dane, w jakim celu i przez jaki czas
  • Rodzaj danych osobowych i kategorie osób — np. dane pracowników, klientów, kontrahentów
  • Obowiązki i prawa administratora — prawo do audytu, prawo do instruowania procesora
  • Zobowiązanie do poufności — personel dostawcy musi być zobowiązany do zachowania tajemnicy
  • Środki bezpieczeństwa — konkretne środki techniczne i organizacyjne (art. 32 RODO)
  • Zasady angażowania sub-procesorów — lista i warunki korzystania z firm trzecich
  • Pomoc w obsłudze praw osób — jak dostawca pomaga w realizacji wniosków o dostęp, usunięcie danych
  • Usuwanie danych po zakończeniu umowy — co dzieje się z danymi po rozwiązaniu współpracy
Dobra praktyka Poproś dostawcę hostingu poczty o umowę DPA przed podpisaniem głównej umowy o świadczenie usług. Dostawcy nieprzygotowani na takie pytanie lub odmawiający zawarcia DPA to sygnał alarmowy — prawdopodobnie nie spełniają wymagań RODO.

Szyfrowanie wiadomości jako wymóg RODO

RODO (art. 32) explicite wymienia szyfrowanie jako jeden ze środków bezpieczeństwa przy przetwarzaniu danych osobowych. W kontekście hostingu poczty oznacza to dwa poziomy szyfrowania:

Szyfrowanie w transmisji (TLS/SSL) Chroni wiadomość podczas przesyłu między serwerami. Standard wymagany przez RODO.
Szyfrowanie treści (S/MIME) Szyfruje samą wiadomość — czytelna tylko dla adresata z odpowiednim kluczem. Zalecane przy danych wrażliwych.
Szyfrowanie w spoczynku (at-rest encryption) Dane na dyskach serwera przechowywane w zaszyfrowanej formie. Chroni przed fizycznym dostępem do sprzętu.
Kontrola dostępu i 2FA Uwierzytelnienie dwuskładnikowe chroni konto przed nieautoryzowanym dostępem z przechwyconego hasła.

Lista kontrolna — sprawdź swojego dostawcę hostingu poczty

Przed wyborem lub weryfikacją obecnego dostawcy hostingu poczty zadaj sobie te pytania:

  • Gdzie fizycznie zlokalizowane są serwery dostawcy? (Pytaj wprost, nie ufaj ogólnikom „serwery w Europie")
  • Czy dostawca podpisze indywidualną umowę DPA zgodną z art. 28 RODO?
  • Czy połączenie z serwerem pocztowym jest szyfrowane TLS (można sprawdzić przez narzędzia online)?
  • Czy dostawca oferuje opcję szyfrowania S/MIME dla wrażliwej korespondencji?
  • Czy dostawca posiada certyfikat ISO 27001 lub równoważny?
  • Kto ma dostęp do Twoich danych po stronie dostawcy i na jakich zasadach?
  • Jak dostawca postępuje z danymi po rozwiązaniu umowy?
  • Jakie są procedury obsługi naruszeń bezpieczeństwa (breach notification)?

Jak epoczta.com spełnia wymogi RODO?

Hosting poczty firmowej epoczta.com został zaprojektowany z myślą o zgodności z polskim i europejskim prawem ochrony danych:

  • Serwery w Polsce Dane przechowywane wyłącznie na polskim terytorium — pełna zgodność z RODO bez dodatkowych formalności transferu
  • Umowa DPA Dostępna na żądanie dla firm i instytucji publicznych — indywidualna, zgodna z art. 28 RODO
  • ISO 27001 Certyfikowane zarządzanie bezpieczeństwem informacji — niezależna weryfikacja standardów
  • Szyfrowanie TLS Wszystkie połączenia szyfrowane — zarówno transmisja poczty, jak i dostęp przez webmail
  • S/MIME Opcja podpisywania i szyfrowania treści wiadomości certyfikatem cyfrowym
  • 2FA Uwierzytelnienie dwuskładnikowe dostępne dla każdego konta
  • Zero profilowania Treści wiadomości nie są analizowane w żadnych celach komercyjnych
Hosting poczty zgodny z RODO — epoczta.com

Polskie serwery, ISO 27001, umowa DPA na żądanie, szyfrowanie TLS i S/MIME. Wszystko, czego wymaga RODO od dostawcy hostingu poczty — w standardzie, bez dopłat.

Sprawdź ofertę firmową

Najczęstsze pytania

Czy darmowy webmail spełnia wymogi RODO?

W większości przypadków — nie, bez dodatkowych działań. Darmowe serwisy webmail oferowane przez zagraniczne korporacje przechowują dane na serwerach w USA lub innych krajach spoza EOG, a ich standardowe warunki usług nie zawierają umów DPA dla użytkowników indywidualnych. Dla firmy przetwarzającej dane klientów to istotny problem prawny.

Czy muszę powiadamiać UODO o wyborze dostawcy hostingu poczty?

Nie musisz powiadamiać UODO o wyborze dostawcy. Jesteś jednak zobowiązany do prowadzenia Rejestru Czynności Przetwarzania (RCP), w którym wymienisz hosting poczty jako czynność przetwarzania danych, i do zawarcia umowy DPA z dostawcą.

Co się dzieje z moimi danymi po zakończeniu umowy z dostawcą hostingu poczty?

Zgodnie z RODO i dobrymi praktykami, dostawca powinien umożliwić Ci eksport wszystkich danych (poczta, kontakty, kalendarz) oraz usunąć Twoje dane ze swoich serwerów po rozwiązaniu umowy — w rozsądnym terminie określonym w umowie DPA. W epoczta.com możesz wyeksportować dane w standardowych formatach (MBOX, vCard, iCal) w dowolnym momencie.

RODO hosting poczty RODO DPA umowa poczta firmowa przepisy hosting poczty bezpieczeństwo danych