RODO w firmie budowlanej — praktyczny przewodnik 2026

RODO dotyczy każdej firmy budowlanej

Wielu właścicieli firm budowlanych uważa, że RODO (Rozporządzenie o Ochronie Danych Osobowych) ich nie dotyczy. "My budujemy, nie przetwarzamy danych" — słyszymy to często. To niebezpieczne przekonanie. Każda firma budowlana przetwarza dane osobowe — klientów, pracowników, ekip podwykonawczych, dostawców. I za każde naruszenie grożą kary do 20 milionów euro lub 4% rocznego obrotu.

Dla jednoosobowej działalności gospodarczej (JDG) konsekwencje są jeszcze poważniejsze — właściciel odpowiada całym majątkiem osobistym. Dom, samochód, oszczędności — wszystko może być zagrożone w przypadku poważnego naruszenia RODO.

Ten przewodnik został napisany specjalnie dla firm budowlanych. Bez prawniczego żargonu, z konkretnymi przykładami i gotową checklistą do wdrożenia.

Jakie dane osobowe zbiera firma budowlana?

To znacznie więcej niż myślisz:

Dane klientów

Imię i nazwisko
Adres nieruchomości (to dane osobowe — identyfikują właściciela!)
Numer telefonu i adres email
PESEL lub NIP (przy umowach)
Numer konta bankowego (przy rozliczeniach)
Zdjęcia wnętrz (mogą zawierać dane osobowe — zdjęcia rodzinne, dokumenty na półkach)

Dane ekip i podwykonawców

Imiona i nazwiska pracowników ekip
Numery telefonów
Numery uprawnień (SEP, budowlane)
Dane z umów cywilnoprawnych (NIP, PESEL, adresy)
Oceny i opinie (scoring ekip — to też dane osobowe!)

Dane dostawców

Dane kontaktowe osób w firmach dostawczych
Numery NIP
Korespondencja handlowa zawierająca dane osobowe

Dane z monitoringu i dokumentacji

Zdjęcia z budowy (mogą zawierać wizerunki osób)
Nagrania z rozmów telefonicznych
Geolokalizacja (jeśli używasz śledzenia pojazdów)
Logi systemowe (kto, kiedy, co zmienił w systemie)

Podstawy prawne przetwarzania danych (art. 6 RODO)

Nie wystarczy zbierać danych — musisz mieć podstawę prawną dla każdego przetwarzania:

Wykonanie umowy (art. 6 ust. 1 lit. b)

To najczęstsza podstawa w budownictwie. Przetwarzasz dane klienta, bo potrzebujesz ich do realizacji umowy na remont. Nie potrzebujesz zgody klienta na przetwarzanie danych niezbędnych do wykonania umowy.

Obowiązek prawny (art. 6 ust. 1 lit. c)

Niektóre dane musisz przechowywać z mocy prawa — np. faktury (5 lat dla celów podatkowych), umowy z pracownikami (10 lat po zakończeniu zatrudnienia).

Prawnie uzasadniony interes (art. 6 ust. 1 lit. f)

Możesz przetwarzać dane w celach marketingowych (np. wysyłka newslettera) lub ochrony swoich praw (np. przechowywanie dokumentacji na wypadek sporu). Ale musisz przeprowadzić test równowagi interesów.

Zgoda (art. 6 ust. 1 lit. a)

Potrzebna np. przy referencjach ze zdjęciami na stronie internetowej, przy wysyłce materiałów marketingowych, przy analityce webowej (cookies).

Okresy przechowywania danych

Rzeczywiście, nie możesz trzymać danych wiecznie. Oto zalecane okresy dla branży budowlanej:

Dane projektowe (kosztorysy, harmonogramy, korespondencja): czas trwania projektu + 6 lat (okres przedawnienia roszczeń budowlanych)
Faktury i dokumenty księgowe: 5 lat od końca roku podatkowego
Umowy z ekipami: czas trwania umowy + 3 lata (przedawnienie roszczeń z umów cywilnoprawnych)
Zdjęcia z budowy: czas trwania projektu + 6 lat (dokumentacja na wypadek reklamacji)
Dane marketingowe (newsletter): do wycofania zgody
Dane z CRM (leady): max 2 lata od ostatniego kontaktu, jeśli nie doszło do umowy
Dane analityczne: max 26 miesięcy (zgodnie z praktyką UODO)

Po upływie tych okresów dane powinny być trwale usunięte lub zanonimizowane.

Co robić podczas kontroli UODO?

Urząd Ochrony Danych Osobowych (UODO) może przeprowadzić kontrolę w Twojej firmie — zapowiedzianą lub niezapowiedzianą. Oto co musisz wiedzieć:

Przed kontrolą — bądź przygotowany

Miej rejestr czynności przetwarzania (obowiązkowy dla większości firm)
Przygotuj politykę prywatności dostępną publicznie
Miej umowy powierzenia danych ze wszystkimi procesorami (hosting, chmura, oprogramowanie)
Przygotuj DPIA (ocena skutków dla ochrony danych) dla procesów wysokiego ryzyka
Dokumentuj incydenty bezpieczeństwa — nawet te, których nie zgłaszałeś do UODO

Podczas kontroli

Współpracuj — utrudnianie kontroli to osobne naruszenie
Wyznacz osobę do kontaktu z inspektorem
Udostępnij wymagane dokumenty, ale tylko te, o które poproszono
Nie usuwaj żadnych danych w trakcie kontroli — to przestępstwo
Protokołuj przebieg kontroli

Najczęstsze uchybienia w firmach budowlanych

Brak polityki prywatności na stronie internetowej
Brak umów powierzenia z procesorami danych (hosting, oprogramowanie SaaS)
Brak klauzuli informacyjnej w umowach z klientami
Przechowywanie danych dłużej niż to konieczne
Brak procedury usuwania danych na żądanie

Kary RODO — realne przypadki z branży budowlanej

UODO nakłada kary. To nie teoria — oto anonimowe przykłady z branży:

Firma remontowa, 50 000 PLN kary — brak odpowiedzi na żądanie usunięcia danych byłego klienta w terminie 30 dni. Klient złożył skargę do UODO, firma zignorowała wezwanie.
Deweloper, 500 000 PLN kary — wyciek bazy danych klientów (imiona, adresy, numery telefonów) z niezabezpieczonego serwera. Brak szyfrowania, brak umowy powierzenia z firmą hostingową.
Jednoosobowa firma budowlana, 20 000 PLN kary — przetwarzanie danych ze starych projektów bez podstawy prawnej. Dane klientów sprzed 10 lat wciąż w Excelu bez żadnej ochrony.

Kary mogą być znacznie wyższe — do 20 milionów euro. Dla JDG nawet kara 50 000 PLN może być katastrofalna.

Jak wybrać oprogramowanie zgodne z RODO?

Nie każde oprogramowanie jest bezpieczne. Oto na co zwrócić uwagę:

Szyfrowanie danych — czy dane osobowe są szyfrowane w bazie danych (at rest) i podczas przesyłania (in transit)?
Lokalizacja serwerów — czy serwery są w UE/EOG? Przesyłanie danych poza UE wymaga dodatkowych zabezpieczeń
Umowa powierzenia (DPA) — czy dostawca oferuje umowę powierzenia danych?
Prawo do usunięcia — czy system pozwala na trwałe usunięcie danych użytkownika?
Logi dostępu — czy system rejestruje, kto miał dostęp do danych?
Backup i odzyskiwanie — czy dane są regularnie backupowane?
Minimalizacja danych — czy system zbiera tylko niezbędne dane?

Jak Bemu.pl podchodzi do RODO

Bemu.pl zostało zaprojektowane z myślą o RODO od pierwszego dnia:

Szyfrowanie danych osobowych — wszystkie pola PII (imiona, nazwiska, adresy, numery telefonów, emaile) są szyfrowane w bazie danych za pomocą AES-256
Prawo do usunięcia — funkcja "Usuń moje dane" trwale anonimizuje wszystkie dane użytkownika
DPIA — przeprowadzona i udokumentowana ocena skutków dla ochrony danych
Serwery w UE — hosting w Polsce (MyDevil.net, H88 S.A.), pliki na AWS S3 w regionie EU
Minimalizacja danych — zbieramy tylko dane niezbędne do działania serwisu
Umowy DPA — ze wszystkimi podprocesorami (hosting, storage, monitoring)
Izolacja danych — dane każdej firmy (tenanta) są oddzielone na poziomie bazy danych, uniemożliwiając dostęp jednej firmy do danych innej

Checklista RODO dla firmy budowlanej (10 punktów)

Rejestr czynności przetwarzania — spisz wszystkie procesy, w których przetwarzasz dane osobowe
Polityka prywatności — opublikuj na stronie internetowej, dołączaj do umów
Klauzule informacyjne — w umowach z klientami, ekipami i dostawcami
Umowy powierzenia danych — z każdym dostawcą oprogramowania, hostingu, chmury
Procedura usuwania danych — jasna ścieżka: żądanie → weryfikacja → usunięcie w 30 dni
Szyfrowanie — dane osobowe w bazie i podczas przesyłania muszą być zaszyfrowane
Kontrola dostępu — nie każdy pracownik potrzebuje dostępu do wszystkich danych
Okres przechowywania — ustal i przestrzegaj terminów usuwania danych
Procedura incydentów — plan działania w przypadku wycieku danych (72h na zgłoszenie do UODO)
Szkolenia — przeszkol pracowników z podstaw RODO (co roku)

Podsumowanie

RODO w firmie budowlanej to nie biurokracja — to ochrona Twojego biznesu i klientów. Kary za naruszenia są realne i bolesne, szczególnie dla jednoosobowych działalności gospodarczych. Dobra wiadomość? Wdrożenie podstawowych zasad RODO nie jest trudne ani drogie. Wymaga głównie świadomości, procedur i odpowiednich narzędzi.

Zacznij od checklisty powyżej. Jeśli używasz oprogramowania do zarządzania projektami budowlanymi — upewnij się, że jest zgodne z RODO. Bemu.pl spełnia wszystkie wymagania RODO i automatyzuje wiele aspektów ochrony danych, dzięki czemu możesz skupić się na tym, co robisz najlepiej — budowaniu.