Centralny Rejestr Umów – wskazówki Prezesa UODO dotyczące stosowania przepisów

Pomimo zgłoszonych przez Prezesa UODO uwag dotyczących przepisów regulujących funkcjonowanie Centralnego Rejestru Umów Jednostek Sektora Finansów Publicznych, pozostawiono je w kształcie, który wywołuje liczne wątpliwości. Organ nadzorczy udziela wskazówek, jak wdrażać je z poszanowaniem zasad określonych w RODO.

1 lipca 2026 r. wchodzą w życie przepisy dotyczące Centralnego Rejestru Umów Jednostek Sektora Finansów Publicznych (dalej: CRU), który ma służyć jawności gospodarowania środkami publicznymi.

Wypełnienie obowiązków związanych z CRU (transparentność gospodarowania środkami publicznymi – art. 61 Konstytucji RP) pogodzić trzeba z należytym poszanowaniem prawa do prywatności i prawa ochrony danych osobowych przetwarzanych w tym rejestrze (art. 47, art. 51 w zw. z art. 31 ust. 3 Konstytucji RP), a także z obowiązkiem uwzględnienia zasad i warunków określonych w RODO, w tym w aspekcie przetwarzania danych w kontekście publicznego dostępu do dokumentów urzędowych (art. 86 RODO).

Pogodzenie tych praw i obowiązków w krajowej regulacji szczególnej dotyczącej CRU wywołuje jednak wątpliwości administratorów i inspektorów ochrony danych związane z realizacją zasad dotyczących przetwarzania danych osobowych, w tym zasady rozliczalności (art. 5 RODO).

Mając te wątpliwości na uwadze, Prezes UODO wystąpił do Ministra Finansów i Gospodarki z prośbą oodniesienie się do przedstawionych uwag podmiotów odpowiedzialnych za prawidłowe przetwarzanie danych osobowych, w tym także o rozważenie dokonania zmian w przepisach ustawy o finansach publicznych[1] regulujących CRU, aby zapewnić skuteczną ochrony danych osobowych przetwarzanych w tym rejestrze[2].

Uwagi Prezesa UODO przedstawiane w procesie legislacyjnym

Prezes UODO zgłaszał swoje uwagi już na etapie projektowania przepisów zmieniających ustawę o finansach publicznych[3] oraz przepisów rozporządzenia wykonawczego w sprawie CRU[4]. Wskazywał wówczas[5]m.in., że rozważenia przez projektodawcę i uregulowania na poziomie ustawy wymagają:

• ograniczenie zakresu informacji ujawnianych w CRU w odniesieniu do osób fizycznych, poprzez wyłączenie ich danych osobowych z jawnej części rejestru oraz wskazanie konkretnych kryteriów, po wyszukaniu których zostaną udostępnione niezbędne informacje o wydatkowaniu środków publicznych[6];
• sposób przetwarzania danych w CRU przez Ministra Finansów i kierowników jednostek sektora finansów publicznych (dalej: j.s.f.p.), w tym określenie zasad współadministrowania (stosownie do art. 26 ust. 1 RODO);
• model określenia administratora – pojęcie administratora nie może być powiązane jedynie z odpowiedzialnością za naruszenie dyscypliny finansów publicznych, ale powinno być ujmowane w szerszym aspekcie przez pryzmat wszystkich obowiązków spoczywających na określonym podmiocie obowiązanym do stosowania wszelkich innych przepisów prawa związanych z przetwarzaniem danych osobowych;
• zapewnienie ochrony osób fizycznych przed profilowaniem i dalszym, wtórnym wykorzystaniem ich danych;
• kwestie realizacji praw osób fizycznych, takich jak np. prawo do sprostowania danych, prawo usunięcia danych, a także niedookreśloność niektórych regulacji.

Pomimo zgłoszonych przez Prezesa UODO uwag dotyczących CRU, nie dokonano właściwych zmian w projektowanych przepisach. Powoduje to liczne wątpliwości i pytania dotyczące ich stosowania z poszanowaniem zasad określonych w RODO. Poniżej przedstawiamy niektóre z tych pytań wraz z odniesieniem się do przedstawionych zagadnień.

Jaki zakres danych powinien być udostępniony w CRU?

Zakres informacji o umowie podlegających udostępnieniu w CRU wynika z przepisów ustawy o finansach publicznych (art. 34a ust. 7 i 9 ustawy), a ich uszczegółowienie z przepisów rozporządzenia w sprawie Centralnego Rejestru Umów Jednostek Sektora Finansów Publicznych[7].

Dane udostępniane w CRU dotyczą umów zawartych przez j.s.f.p. lub na jej rzecz, tj. zawartych przez j.s.f.p. w formie pisemnej, dokumentowej, elektronicznej lub innej formie szczególnej, stanowiących zamówienie w rozumieniu ustawy Prawo zamówień publicznych i obejmują m.in.:

• dane dotyczące umowy – numer umowy; datę jej zawarcia; okres, na jaki została zawarta; przedmiot umowy; informacje, czy umowa jest finansowana ze środków publicznych; status umowy i dzień zakończenia obowiązywania umowy; podstawę prawną nieudostępnienia informacji oraz organ lub osobę, które dokonały wyłączenia jawności danej informacji; podstawę dokonania aktualizacji;
• dane osobowe – oznaczenie stron umowy;
• informacje finansowe – dane o wartości umowy.

Co ważne, ustawa przewiduje wyłączenia podmiotowe i przedmiotowe spod zakresu obowiązku zamieszczania informacji o umowach, np. wyłącza się umowy o pracę, umowy zawarte z ABW, AW, SWW, CBA czy umowy w dziedzinie obronności i bezpieczeństwa.

Czy dane osoby fizycznej – strony umowy – powinny być publikowane w CRU?

Aktualne przepisy przewidują obowiązek udostępniania imienia i nazwiska osób fizycznych będących stroną umowy (np. stroną umowy zlecenia).

W CRU udostępnia się i aktualizuje informacje dotyczące „oznaczenia stron umowy” (art. 34a ust. 7 pkt 4 ustawy) oraz wpisuje się imię i nazwisko osób fizycznych będących stroną umowy, a w przypadku gdy stroną umowy jest jednostka sektora finansów publicznych lub przedsiębiorca z siedzibą albo miejscem wykonywania działalności na terytorium RP, wpisuje się nazwę (firmę), a także inne dane, takie jak numer REGON, numer NIP, jeżeli został zamieszczony w bazie REGON, adres siedziby albo adres wykonywania działalności gospodarczej (§ 3 pkt 2 rozporządzenia[8]). W przypadku zaś, gdy stroną umowy jest jednostka sektora finansów publicznych lub przedsiębiorca z siedzibą albo miejscem wykonywania działalności poza terytorium Rzeczypospolitej Polskiej w CRU wpisuje się nazwę (firmę) i adres siedziby albo adres wykonywania działalności gospodarczej.

Nie udostępnia się jednak informacji o umowie, co do których prawo do informacji publicznej podlega ograniczeniu na podstawie art. 5 ust. 1 i 2–2b ustawy o dostępie do informacji publicznej (art. 34a ust. 8 ustawy). Przed udostępnieniem informacji w CRU powinna zostać zatem przeprowadzona ocena, czy informacje te nie zawierają danych, których udostępnianie zostało ograniczone bądź wyłączone np. dane dotyczące umowy o pracę są wyłączone z obowiązku udostępnienia w CRU (tj. ocena ryzyka).

Co istotne, ustawodawca nie wziął pod uwagę postulatów Prezesa UODO, w ocenie którego udostępnienie tych danych w CRU – tj. za pomocą narzędzia powodującego powszechną jawność danych oraz umożliwiającego ich przeszukiwanie – wiąże się z ryzykiem dowolnego i dalszego ich przetwarzania w celach niezwiązanych z jawnością wydatków publicznych, w tym z ryzykiem ich łączenia z innymi danymi, profilowania osób fizycznych, wnioskowania o ich sytuacji życiowej (zob. motyw 31 RODO; opinie Prezesa UODO zgłoszone w czasie projektowania przepisów o CRU, a także w ww. wystąpieniu z 5 czerwca 2026 r. dotyczącym wykładni przepisów o CRU).

Ryzyka takie zostały dostrzeżone przez Trybunał Sprawiedliwości UE oraz Europejski Trybunał Praw Człowieka, które wskazały, że jeżeli chodzi o dane osób fizycznych w przeszukiwalnym i dostępnym publicznie rejestrze, to – ze względu na możliwość powtórnego wykorzystania tych danych w innych celach – model taki jest niezgodny z prawem europejskim[9].

Czy dane identyfikujące osobę reprezentującą osobę prawną, jej adres, nr PESEL, powinny być udostępnione w CRU JSFP?

Zgodnie z zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO) w CRU nie powinny być publikowane dane osobowe w szerszym zakresie niż wynikający z właściwych przepisów – dane te nie powinny odnosić się do osób reprezentujących osobę prawną. Wystarczające jest zatem wskazanie danych osoby prawnej.

Czy zmiana miejsca wykonywania działalności ( zamieszkania) / nazwiska osoby fizycznej objęta będzie obowiązkiem udostępniania informacji w CRU (jako informacje dotyczące oznaczenia strony umowy)?

W CRU udostępnia się i aktualizuje informacje o umowie (art. 34a ust. 7 ustawy). W zakresie, w jakim dane osobowe podlegają udostępnieniu w CRU powinny być zatem – stosownie do zasady prawidłowości danych (art. 5 ust. 1 lit. d RODO) – sprostowane lub usunięte, jeśli są nieprawidłowe w świetle celów ich przetwarzania.

Podkreślić jednak należy, że Prezes UODO postulował taką zmianę przepisów, aby dane osób fizycznych nie podlegały udostępnieniu w jawnej części rejestru. W ocenie Prezesa, rozważenia wymaga także wyłączenie z CRU adresu siedziby przedsiębiorców, który zwłaszcza w przypadku mikro i małych przedsiębiorców prowadzących działalność w miejscu zamieszkania, może prowadzić do nadmiernej ingerencji w prawo do prywatności tych osób[10].

Które podmioty są odpowiedzialne za przetwarzanie danych osobowych w CRU (w jakim zakresie)?

Niestety, ustawodawca nie określił w sposób precyzyjny roli podmiotów odpowiedzialnych za przetwarzanie danych w CRU. Zgodnie z aktualnymi regulacjami, administratorami danych zawartych w systemie są Minister Finansów oraz kierownicy j.s.f.p.

Minister Finansów jest administratorem danych użytkowników kont w systemie oraz innych danych w zakresie, w jakim jest to niezbędne do zapewnienia funkcjonowania tego systemu (art. 34b ust. 8 ustawy). Co ważne, Minister Finansów zapewnia funkcjonowanie systemu teleinformatycznego, w którym jest prowadzony CRU, będący rejestrem jawnym (art. 34b ust. 1 ustawy). Ponadto Minister Finansów, w przypadku awarii systemu, informuje o jej wystąpieniu i usunięciu w Biuletynie Informacji Publicznej na stronie podmiotowej urzędu obsługującego Ministra Finansów (art. 34b ust. 2 ustawy).

Z kolei kierownik j.s.f.p. jest administratorem zawartych w systemie danych w zakresie informacji o umowie zamieszczonych przez tego kierownika w CRU (art. 34b ust. 9 i 10 ustawy). Co istotne, obowiązki administratora określone w przepisach o ochronie danych osobowych w zakresie informacji o umowie zamieszczonych w CRU wykonuje wyłącznie kierownik jednostki.

Ustawodawca przesądził zatem, że kierownik j.s.f.p. jest administratorem w zakresie informacji o umowie zamieszczonych przez tego kierownika w CRU – i uznał, że kierownik odpowiada za prawidłowość danych wprowadzonych do CRU (m.in. za ich aktualizację, usunięcie, itd.). Nie określił jednak zakresu danych przetwarzanych przez Ministra Finansów (nieprecyzyjnie wskazując na „inne dane”) i zakresu jego odpowiedzialności adekwatnie do ratio legis, jak i do standardów wynikających z przepisów RODO, co było przedmiotem uwag Prezesa UODO.

Właściwe wydaje się jednak przyjęcie takiej wykładni aktualnych przepisów, zgodnie z którą Ministra Finansów należy uznać za podmiot odpowiedzialny za funkcjonowanie systemu (np. za bezpieczeństwo danych), w tym za wypełnienie obowiązku zgłaszania naruszeń (art. 33 RODO), czy zgłaszanie incydentów w rozumieniu przepisów ustawy o krajowych systemie cyberberbepieczeństwa. Kierownicy j.s.f.p. nie mają bowiem żadnego wpływu na funkcjonowanie tego systemu ani na bezpieczeństwo danych przetwarzanych przy jego użyciu (art. 34b ust. 8 – 10 ustawy). Jest to o tyle istotne, że to Minister Finansów nadaje uprawnienia dostępowe do systemu (§  9 rozporządzenia).

Kierownicy j.s.f.p. odpowiadają natomiast za przetwarzanie danych w rejestrze przy pomocy osób przez nich upoważnionych, tj. za to, czy osoba, która dokonuje wpisów, usuwa błędne dane, wprowadza dane aktualne, jest upoważniona do przetwarzania danych osobowych (§ 10 rozporządzenia). Nadawanie upoważnień jest zaś jednym ze środków organizacyjnych, którego celem jest zapewnienie odpowiedniej ochrony danych i kontroli nad procesem ich przetwarzania zgodnie z art. 29 i art. 32 ust. 4 RODO. W tym zakresie kierownicy j.s.f.p. odpowiadają zatem za realizację art. 29 RODO i tym samym uczestniczą w realizacji zasady bezpieczeństwa danych w CRU.

W kontekście roli podmiotów odpowiedzialnych za przetwarzania danych pomocne mogą być wytyczne EROD dotyczące pojęć administratora i podmiotu przetwarzającego zawartych w RODO[11], z których wynika, że administratorem w rozumieniu przepisów RODO jest podmiot, który faktycznie decyduje o sposobach i celach przetwarzania danych osobowych. Ze współadministrowaniem możemy mieć natomiast do czynienia w sytuacji, gdy w przetwarzaniu bierze udział więcej niż jeden podmiot. Ważnym kryterium decydującym o współadministrowaniu jest to, że przetwarzanie danych nie byłoby możliwe bez udziału obu stron w tym sensie, że przetwarzanie danych przez każdą ze stron jest nierozłączne, tzn. ściśle związane. Wspólny udział musi obejmować z jednej strony określenie celów, a z drugiej – określenie sposobów przetwarzania.

Prezes UODO w swoich opiniach legislacyjnych i wystąpieniu do Ministra Finansów zwrócił uwagę na konieczność określenia – w sposób precyzyjny i niebudzący wątpliwości interpretacyjnych – tego, jak kształtuje się relacja między administratorami danych przetwarzanych w CRU. Prawidłowe zdefiniowanie tych ról jest niezbędne do realizacji zasady rozliczalności (art. 5 ust. 2 RODO).

Jakie działania w kontekście ochrony danych osobowych powinien podjąć administrator przed udostępnieniem danych w CRU?

Zgodnie z art. 5 ust. 2 RODO administrator jest odpowiedzialny za przestrzeganie zasad dotyczących przetwarzania danych osobowych (art. 5 ust. 1 lit. a-f RODO) oraz musi być w stanie wykazać przestrzeganie tych zasad. Przepisami rozporządzenia, tj. art. 5 ust. 2 w zw. z art. 24, art. 25 i art. 32 RODO, na administratora nałożone są ogólne wymogi dotyczące rozliczalności i przestrzegania przepisów dotyczących przetwarzania danych osobowych.

W konsekwencji na administratorach przetwarzających dane w CRU, tj. kierownikach jednostek sektora finansów publicznych oraz Ministrze Finansów, ciąży obowiązek zaprojektowania i wykonania procesów przetwarzania danych osobowych w taki sposób, aby zagwarantować bezpieczeństwo tych danych nie tylko poprzez stosowanie adekwatnych środków technicznych i organizacyjnych, ale także zgodność przetwarzania z prawem.

Każdorazowo administrator, oceniając procesy przetwarzania danych osobowych za pośrednictwem CRU, musi wykonać ocenę związanych z tym ryzyk, a także ocenę ról podmiotów występujących w tych procesach, czyli przeprowadzić wnikliwą analizę ryzyka. Pozwoli to na zapewnienie przetwarzania danych osobowych zgodnie z zasadami i wymogami RODO oraz realizację zasady rozliczalności.

Co ważne, mając na uwadze publiczny i przeszukiwalny charakter rejestru oraz fakt, że dane mają być usuwane z CRU dopiero po 5 latach od zakończenia realizacji umowy, istotne jest rozważenie ryzyk związanych zarówno z ochroną prywatności osób fizycznych, jak i z cyberzagrożeniem, jakie wiąże się z tak szerokim udostępnianiem informacji dotyczących bardzo często newralgicznych zasobów podmiotów publicznych (do takich zasobów należą np. łącza internetowe czy infrastruktura IT).

Który administrator jest odpowiedzialny za spełnienie obowiązku informacyjnego (art. 13 i 14 RODO)?

Obowiązek informacyjny wobec osób fizycznych, w związku z zamieszczaniem ich danych w CRU o zawieranej przez nich umowie z j.s.f.p., powinien być zrealizowany na etapie zawierania tej umowy i leży po stronie kierownika j.s.f.p. (art. 34b ust. 10 ustawy w zw. z art. 13 RODO).

Administrator powinien wskazać odbiorcę, jakim jest Minister Finansów (w zw. z art. 13 ust. 1 lit. e RODO), ale także uwzględnić charakter rejestru, który jest rejestrem jawnym i w związku z tym dane w nim przetwarzane będą dostępne dla każdego w internecie (skoro zgodnie z aktualnymi przepisami kierownik j.s.f.p. udostępnia dane Ministrowi Finansów, w celach wynikających z ww. przepisów prawa – zob. art. 34a ustawy).

---

[1] Ustawa z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2026 r. poz. 426 ze zm.; dalej: ustawa).

[2] Wystąpienie Prezesa UODO z dnia 5 czerwca 2026 r.; DPNT.413.19.2026.

[3] Projekt ustawy zmieniającej ustawę o zmianie ustawy – Kodeks karny oraz niektórych innych ustaw oraz ustawę o finansach publicznych (UD197).

[4] Rozporządzenie Ministra Finansów i Gospodarki w sprawie Centralnego Rejestru Umów Jednostek Sektora Finansów Publicznych (nr projektu rozporządzenia 8/2026).

[5] Opinia Prezesa UODO z 23.04.2025 r. dotycząca projektu ustawy zmieniającej ustawę o zmianie ustawy – Kodeks karny oraz niektórych innych ustaw oraz ustawę o finansach publicznych (DPNT.401.97.2025); opinia Prezesa UODO z 3.03.2026 r. dotycząca projektu rozporządzenia Ministra Finansów i Gospodarki w sprawie CRU JSFP (DPNT.401.58.2026).

[6] Jak wynika z opinii Prezesa UODO, „oznaczenie stron umowy, a zatem określenie zakresu danych osobowych osób fizycznych udostępnionych w CRU (projektowany art. 34a ust. 7 pkt 4) oraz kryteria, po jakich ma nastąpić wyszukanie informacji na temat umów j.s.f.p. (projektowany art. 34b ust. 4), ma kluczowe znaczenia dla stworzenia właściwych gwarancji dla praw osób fizycznych. Przyjęcie regulacji prawnych przewidujących przetwarzanie danych osobowych w sposób umożliwiający ich ujawnienie w centralnym rejestrze wymaga bowiem wykazania, że przyjmowane rozwiązanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym”.

[7] Rozporządzenie Ministra Finansów i Gospodarki z dnia 30 marca 2026 r. w sprawie Centralnego Rejestru Umów Jednostek Sektora Finansów Publicznych (Dz. U. poz. 440).

[8] Zgodnie z § 3 pkt 2 rozporządzenia informacje o umowie, o których mowa w art. 34a ust. 7 pkt 4 obejmują: „a) nazwę (firmę), numer REGON, numer identyfikacji podatkowej (NIP), jeżeli został zamieszczony w bazie REGON, i adres siedziby albo adres wykonywania działalności gospodarczej – w przypadku gdy stroną umowy jest jednostka sektora finansów publicznych lub przedsiębiorca z siedzibą albo miejscem wykonywania działalności na terytorium Rzeczypospolitej Polskiej, b) nazwę (firmę) i adres siedziby albo adres wykonywania działalności gospodarczej – w przypadku gdy stroną umowy jest jednostka sektora finansów publicznych lub przedsiębiorca z siedzibą albo miejscem wykonywania działalności poza terytorium Rzeczypospolitej Polskiej, c) imię i nazwisko – w przypadku gdy stroną umowy jest osoba fizyczna”.

[9] Zob. wyroki TSUE: z 9 listopada 2010 r., Volker und Markus Schecke i Eifert, w sprawach C-92/09 i C-93/09; wyrok z 22 listopada 2022 r. w połączonych sprawach C-37/20 i C-601/20; wyrok z 22 czerwca 2021 r. w sprawie C-439/19; wyrok z 1 sierpnia 2022 r. w sprawie OT przeciwko Vyriausioji tarnybinės etikos komisja, C-184/20; wyrok z 5 czerwca 2023 r., Komisja przeciwko Polsce, w sprawie C-204/21; wyrok z 4 października 2024 r., w sprawie C-200/23; wyrok z 9 marca 2017 r. w sprawie Manni, C 398/15; wyrok z 3 kwietnia 2025 r., Ministerstvo zdravotnictví, C-710/23; wyrok Wielkiej Izby ETPCz z 9 marca 2023 r. w sprawie L.B. przeciwko Węgrom, nr skargi 36345/16.

[10] Zob. wystąpienie Prezesa UODO do Ministra Finansów i Gospodarki w sprawie jawności danych osobowych w CEIDG; DPNT.413.32.2025, zob.: https://uodo.gov.pl/pl/138/3841.

[11] Wytyczne EROD nr 07/2020 dotyczące pojęć administratora i podmiotu przetwarzającego zawartych w RODO, Wersja 2.0, przyjęta 7 lipca 2021 r.