Darmowa poczta firmowa a RODO: Gmail, WP, Onet i Interia

Twoja firma od lat pisze do klientów z adresu w stylu biuro.kowalski@gmail.com albo kontakt.firma@wp.pl. Działa, nic nie kosztuje i nikt nie narzeka. Do chwili, gdy przy porządkowaniu RODO pada pytanie: gdzie jest umowa powierzenia z firmą, która trzyma Twoją pocztę?

Darmowa poczta firmowa to jedna z rzeczy, które sprawdzamy w rodops przy przeglądzie dokumentacji RODO. Przejrzałam aktualne regulaminy Gmaila, WP, Onetu i Interii. Wyjaśniam, który z nich daje umowę powierzenia, który jej nie przewiduje, jak to naprawić i co potem dopisać w dokumentacji.

Czy dostawca poczty potrzebuje umowy powierzenia przetwarzania danych osobowych?

Tak, jeśli przez skrzynkę przechodzą dane ludzi, z którymi pracujesz. Zapytanie od klienta z imieniem i numerem telefonu, CV kandydata do pracy, faktura dla osoby prowadzącej jednoosobową firmę - to wszystko dane osobowe. Leżą na serwerach firmy od maili, a ona je przechowuje i przesyła w Twoim imieniu. Szerzej o tym, dlaczego e-mail to przetwarzanie danych, piszemy we wpisie Firmowy e-mail a RODO.

Taka firma jest podmiotem przetwarzającym, czyli przetwarza dane na Twoje polecenie. RODO wymaga wtedy umowy powierzenia (art. 28 ust. 3 RODO) w formie pisemnej, przy czym forma elektroniczna też się liczy (art. 28 ust. 9). Ty jako administrator, czyli firma, która decyduje, po co i jak przetwarza dane, odpowiadasz też za wybór dostawcy, który daje wystarczające gwarancje ochrony danych (art. 28 ust. 1).

Darmowe konto nie zwalnia z tego obowiązku. Pokazuje to decyzja Prezesa Urzędu Ochrony Danych Osobowych (UODO) z 26 sierpnia 2025 r. (DKN.5130.3165.2020). Szkoła korzystała z bezpłatnej poczty u zewnętrznego dostawcy i tłumaczyła, że „ze względu na niekomercyjny charakter konta nie została zawarta umowa powierzenia danych osobowych z podmiotem zewnętrznym”. Urząd odpowiedział, że brak umowy nie odbiera dostawcy darmowej poczty statusu podmiotu przetwarzającego. Brak umowy i brak sprawdzenia dostawcy uznał za naruszenie m.in. art. 28 ust. 1, 3 i 9 RODO i udzielił szkole upomnienia. Sprawa zaczęła się od włamania do tej skrzynki.

Regulaminy darmowej poczty: Gmail, WP, Onet i Interia

Każdy z tych dostawców podchodzi do sprawy inaczej. Sprawdziłam regulaminy w październiku 2026 r. Trzy z nich zmieniły się w tym roku, więc przed decyzją zajrzyj do aktualnej wersji.

Gmail dla firmy: darmowe konto a Google Workspace

W Warunkach korzystania z usług Google, które obowiązują zwykłe konto, nie znalazłam zapisu o umowie powierzenia. Polityka prywatności Google opisuje Google Ireland Limited jako administratora danych samego użytkownika konta z Europejskiego Obszaru Gospodarczego. O danych Twoich klientów zapisanych w skrzynce i o powierzeniu nie mówi nic.

Google w roli podmiotu przetwarzającego pojawia się w Google Workspace. Tam warunki przetwarzania danych (Cloud Data Processing Addendum) są częścią umowy na usługę i mówią wprost: Google jest podmiotem przetwarzającym, a klient administratorem albo podmiotem przetwarzającym. Podobnie jest z narzędziami AI: konto prywatne nie daje umowy powierzenia, plan firmowy daje. Piszemy o tym we wpisie AI a RODO w obsłudze klientów: ChatGPT, Claude i transfer danych do USA.

Onet Poczta: umowa tylko w wybranych wersjach płatnych

Regulamin Onet Poczty (obowiązuje od 28 stycznia 2026 r.) mówi to najjaśniej. Według pkt 8.5 korzystanie z poczty do przetwarzania danych osobowych objętego RODO, razem z ewentualną umową powierzenia, „możliwe jest tylko w ramach wybranych wersji Usługi w wersji płatnej”. Inne przypadki Onet może dopuścić indywidualnie. Darmowa skrzynka na Onecie do takiej pracy się więc nie nadaje.

Interia: darmowe konto tylko do celów osobistych

Regulamin kont pocztowych Interii (obowiązuje od 29 lipca 2026 r.) w rozdz. VI ust. 13 zastrzega, że konto bezpłatne i płatne mogą służyć „wyłącznie dla celów osobistych niezwiązanych bezpośrednio z działalnością gospodarczą lub zawodową”. Do celów firmowych Interia ma osobne warianty.

W regulaminie pakietu PocztaPRO umowa powierzenia jest załącznikiem nr 1. Zawierasz ją w chwili akceptacji regulaminu, jeśli nie korzystasz z pakietu w celach czysto osobistych i domowych.

WP: wzór umowy powierzenia do podpisania

WP jest wyjątkiem. Regulamin usługi konta poczty elektronicznej WP (pkt 5.10-5.12) stwierdza, że to użytkownik jest administratorem danych, które trzyma w skrzynce, a WP przetwarza je na jego udokumentowane polecenie. Tym poleceniem ma być odrębna umowa powierzenia, której wzór WP udostępnia w pliku PDF. Wzór ma puste pola na dane firmy i adres e-mail, miejsce na podpisy obu stron i dopuszcza kwalifikowany podpis elektroniczny.

Regulamin WP przewiduje więc umowę powierzenia, ale ona nie zawiera się sama. Trzeba wypełnić wzór i podpisać go z WP. Rubryki są przygotowane pod spółkę (numer w Krajowym Rejestrze Sądowym, kapitał zakładowy), więc w jednoosobowej firmie trzeba je dostosować. Czy i jak WP podpisze umowę dla Twojego konta, zapytaj ich biuro obsługi klienta - adres kontaktowy podaje sam wzór.

Adres @gmail.com czy @wp.pl w stopce maila a pytanie o umowę powierzenia

Adres nadawcy widać w każdej wiadomości, w stopce, na wizytówce i w ogłoszeniu o pracy. Kto zna RODO, po końcówce @gmail.com, @wp.pl, @onet.pl czy @interia.pl wie, że to najpewniej konto u dostawcy poczty dla wszystkich, a darmowe wersje tych kont umowy powierzenia nie dają albo, jak w WP, wymagają osobnego podpisu. Zapyta więc, czy taką umowę masz.

• Kontrahent, który sam porządkował RODO, może zapytać o umowę z dostawcą poczty, zanim wyśle Ci dane swoich pracowników albo klientów.
• Kandydat do pracy wysyła CV na ten adres, więc jego dane trafiają do dostawcy, z którym nie masz umowy.
• Urząd, który bada włamanie albo skargę, sprawdza, na jakiej podstawie dostawca poczty ma dostęp do danych. Tak było w sprawie szkoły opisanej wyżej.

Dlatego przy przygotowaniu dokumentacji RODO sprawdzamy też, z jakiej poczty firma korzysta. Sam segregator z procedurami tej luki nie zamknie, jeśli korespondencja z klientami dalej idzie przez skrzynkę bez umowy.

Poczta dla firm z umową powierzenia: płatny pakiet albo własna domena

Zostajesz przy obecnym dostawcy

Najmniej zmian: przejdź na wersję, która ma umowę powierzenia. W Onecie wybierasz jedną z wersji płatnych z umową powierzenia (ich listę Onet podaje w swojej ofercie), a na @wp.pl możesz zawrzeć umowę według wzoru WP. W Interii potrzebny jest pakiet PocztaPRO. Jego regulamin (rozdz. II ust. 7) udostępnia go firmom, które aktywują pakiet razem z zawarciem umowy, więc może to oznaczać nowy adres. Zanim zapłacisz, zapytaj Interię, czy włączy pakiet na obecnym koncie.

Przy Gmailu jednoosobowa firma może wykupić Google Workspace w wersji Business na obecnym adresie @gmail.com. Pełny zestaw funkcji odblokujesz jednak dopiero po potwierdzeniu własnej domeny, co opisuje pomoc Google o kontach Google Workspace opartych na Gmailu. Przed zakupem sprawdź, czy warunki przetwarzania danych obejmują też konto oparte na Gmailu.

Poczta z własną domeną

Adres typu biuro@twojafirma.pl to poczta z własną domeną. Możesz ją mieć u firmy hostingowej, razem ze stroną internetową, albo w pakiecie firmowym dostawcy poczty. Zanim przeniesiesz skrzynki, sprawdź w regulaminie, czy jest tam rozdział albo załącznik o powierzeniu przetwarzania danych. Nie ma? Zapytaj dostawcę o umowę powierzenia, zanim zapłacisz.

Gdzie szukać umowy powierzenia u dostawcy poczty

W regulaminach, które sprawdziłam, umowa ma jedną z trzech form:

• załącznik do regulaminu, który akceptujesz przy zakupie (tak jest w PocztaPRO Interii);
• osobny wzór do wypełnienia i podpisania (tak robi WP);
• warunki przetwarzania danych włączone do umowy na usługę (tak jest w Google Workspace).

Szukaj słów „powierzenie przetwarzania”, „podmiot przetwarzający” albo „data processing”.

Gotowy formularz dostawcy to nic złego, ale sam podpis nie wystarczy. W decyzji z 11 czerwca 2026 r. (DKN.5131.12.2022) Prezes UODO udzielił upomnienia szpitalowi, który poprzestał na umowie powierzenia podpisanej „na gotowym formularzu, przygotowanym przez Podmiot przetwarzający”, i nie sprawdził dostawcy poczty ani przed podpisaniem, ani później. Nie pomógł nawet certyfikat bezpieczeństwa ISO dostawcy, bo nikt go formalnie nie ocenił. Zapisz więc, jak oceniłeś dostawcę: jakie ma zabezpieczenia i certyfikaty oraz gdzie przechowuje dane. Do tej oceny wracaj co jakiś czas, np. raz w roku.

Co dopisać w dokumentacji RODO po zmianie poczty

Zmiana adresu to połowa pracy. Druga połowa to dokumenty, które pokażą, że zrobiłeś to świadomie. Jednym z nich jest rejestr czynności przetwarzania, czyli spis tego, co robisz z danymi i po co. Sprawdź w dokumentacji te punkty:

Rejestr ma wskazywać kategorie odbiorców danych (art. 30 ust. 1 lit. d RODO), a odbiorcą w rozumieniu RODO jest każdy, komu ujawnia się dane, niezależnie od tego, czy jest stroną trzecią, a więc także podmiot przetwarzający (art. 4 pkt 9). Dopisz więc dostawcę poczty przy każdej czynności, w której dane idą mailem: obsłudze zapytań, rekrutacji, wystawianiu faktur.

Listy podmiotów przetwarzających RODO nie wymienia z nazwy. Bez niej trudno jednak wykazać, komu powierzasz dane, a to wymaga zasada rozliczalności: musisz nie tylko przestrzegać przepisów, ale umieć to udowodnić (art. 5 ust. 2 RODO).

Najczęstsze pytania o darmową pocztę firmową i RODO

Pamiętaj: darmowy adres sam w sobie nie łamie RODO, ale brak umowy z firmą, która trzyma Twoje maile, już tak. Zajrzyj do regulaminu swojej skrzynki, zanim zapyta o to klient albo urząd.

Wolisz, żeby ktoś sprawdził to razem z resztą papierów? Przy przygotowaniu dokumentacji RODO patrzymy też na pocztę firmy i umowę z jej dostawcą.