Centralny Rejestr Umów (CRU JSFP) a RODO: Kiedy można ujawnić dane stron umowy?

Od 1 lipca 2026 r. wprowadzanie informacji do Centralnego Rejestru Umów (CRU JSFP) stało się codziennym obowiązkiem w jednostkach sektora finansów publicznych. Konieczność sprostania wymogom transparentności wydatków publicznych rodzi jednak naturalne obawy zespołów operacyjnych. Głównym wyzwaniem jest to, jak realizować nowy obowiązek ustawowy, aby nie narazić jednostki na kary za naruszenie rygorystycznych przepisów RODO.

Spis treści

• Zgodność z RODO a transparentność sektora publicznego w świetle CRU
• Nazwy podmiotów a dane osobowe – gdzie przebiega granica w rejestrze?
• Imiona i nazwiska wykonawców w umowie – zasady publikacji w CRU JSFP
• Dane osoby reprezentującej stronę w systemie teleinformatycznym
• Podpisy w załącznikach umowy i skany dokumentacji a ryzyko RODO
• Kiedy i jak anonimizować dane w dokumentacji i przedmiocie umowy?
• Często zadawane pytania

Najważniejsze wnioski

• System CRU JSFP gromadzi wyłącznie uporządkowane informacje o umowie, a nie jej pełne skany.
• Zgodnie z wytycznymi, imię i nazwisko osoby fizycznej będącej stroną umowy jest obowiązkowym elementem wpisu.
• Dane ściśle prywatne, w tym numery PESEL, prywatne numery kont bankowych czy prywatne numery telefonów, zawsze podlegają ochronie i nigdy nie są wprowadzane do bazy.

Zgodność z RODO a transparentność sektora publicznego w świetle CRU

Nowelizacja ustawy o finansach publicznych (u.f.p.) nakłada na jednostki jasny obowiązek prawny. Wprowadzanie wpisów do CRU JSFP na podstawie art. 34a u.f.p. stanowi realizację obowiązku administratora, co wyczerpuje przesłankę legalności przetwarzania danych zawartą w art. 6 ust. 1 lit. c RODO. Pracownicy odpowiedzialni za zasilanie rejestru dysponują zatem twardą podstawą prawną do udostępniania ściśle określonego katalogu informacji publicznych.

Zrozumienie tej zależności wymaga odwołania się do art. 5 ust. 2 ustawy o dostępie do informacji publicznej. Przepis ten wskazuje, że prawo do informacji podlega ograniczeniu ze względu na prywatność osoby fizycznej. Ograniczenie to nie dotyczy jednak osób pełniących funkcje publiczne ani podstawowych danych jednoznacznie identyfikujących stronę zarabiającą na kontrakcie z JSFP. Wpis dotyczy kontraktów zawieranych od 1 lipca 2026 r.

Orzecznictwo sądów administracyjnych i doktryna prawa od lat stoją na stanowisku, że transparentność wydatków publicznych przeważa nad anonimowością podmiotów stających do przetargów i zapytań ofertowych.

Publikacja rzeczonych danych osobowych nie stanowi naruszenia konstytucyjnie oraz ustawowo chronionego prawa do prywatności, o którym mowa w art. 5 ust. 2 ustawy o dostępie do informacji publicznej.

Chcesz dowiedzieć się więcej?

Kliknij grafikę poniżej i poznaj program szkolenia: Centralny Rejestr Umów po uruchomieniu systemu – pierwsze interpretacje, pierwsze błędy, praktyczne rozwiązania

Nazwy podmiotów a dane osobowe – gdzie przebiega granica w rejestrze?

Prawidłowe funkcjonowanie procedur wprowadzania danych zależy od rzetelnego rozgraniczenia informacji o przedsiębiorstwie od chronionych danych osób zatrudnionych. Analizując nazwy podmiotów a dane osobowe, należy przyjąć podział oparty na statusie prawnym strony oraz funkcji konkretnej informacji w umowie.

Podstawowe dane stron umowy w rejestrze mają charakter publiczny, gdy dotyczą spółek prawa handlowego lub podmiotów wpisanych do CEIDG. Elementy takie jak nazwa firmy, numer NIP, numer REGON czy oficjalny adres siedziby nie wymagają żadnej anonimizacji podczas wprowadzania ich do CRU. 

Sytuacja zmienia się w przypadku danych osób delegowanych do operacyjnej obsługi kontraktu. Chronionymi danymi są prywatne adresy e-mail, prywatne numery telefonów komórkowych pracowników czy adresy domowe wspólników. Jeśli działalność gospodarcza jest prowadzona jednoosobowo, nazwa firmy z mocy prawa zawiera imię i nazwisko przedsiębiorcy, które stają się jawne, jednak już prywatny rachunek bankowy wskazany do rozliczeń bezwzględnie podlega ochronie.

Rodzaj informacji	Status jawności w CRU JSFP	Przykład z umowy
Dane rejestrowe podmiotu	Jawne	NIP, REGON, adres siedziby firmy
Dane osób kontaktowych	Podlegają ochronie	Prywatny numer telefonu komórkowego kadrowej
Identyfikatory prywatne	Niepublikowane	Numer PESEL, prywatny numer konta bankowego

Imiona i nazwiska wykonawców w umowie – zasady publikacji w CRU JSFP

Jednostki publiczne, w tym urzędy i placówki oświatowe, masowo zawierają umowy cywilnoprawne z osobami fizycznymi nieprowadzącymi działalności gospodarczej. Zgodnie z rozporządzeniem Ministra Finansów regulującym budowę CRU JSFP, imiona i nazwiska wykonawców w umowie podlegają obowiązkowej publikacji w powiązaniu z wartością i przedmiotem zlecenia lub dzieła.

Upublicznienie tożsamości zwykłego obywatela, który uzyskuje dochód ze środków publicznych, jest wymogiem ustawowym. Ogranicza się ono jednak wyłącznie do pierwszego imienia oraz nazwiska. Pracownik uzupełniający ewidencję nie ma prawa przenosić do rejestru takich danych jak numer PESEL, data urodzenia, seria i numer dowodu osobistego ani domowy adres zamieszkania.

Aby zabezpieczyć proces od strony proceduralnej, jednostki muszą zaktualizować swoje klauzule informacyjne RODO. Zleceniobiorca podpisujący dokument na długo przed wypłatą honorarium musi zostać jasno poinformowany, że jego podstawowe dane zasilą publiczny rejestr umów państwowych.

Chcesz dowiedzieć się więcej?

Kliknij grafikę poniżej i poznaj program szkolenia: Centralny Rejestr Umów w jednostkach oświaty po uruchomieniu systemu – pierwsze interpretacje, pierwsze błędy, praktyczne rozwiązania

Dane osoby reprezentującej stronę w systemie teleinformatycznym

Wypełniając formularze umów, często napotykamy na podpisy pełnomocników, członków zarządu, dyrektorów szkół, burmistrzów i prokurentów. Dane osoby reprezentującej stronę są nierozerwalnie powiązane z pełnioną przez nią funkcją zawodową lub publiczną.

Ujawnienie imienia, nazwiska oraz stanowiska osoby reprezentującej nie narusza przepisów RODO w kontekście obrotu prawnego. Dane te ograniczają się wyłącznie do potwierdzenia prawidłowej, umocowanej reprezentacji prawnej podmiotu. Informacje o zarządzie zawarte w Krajowym Rejestrze Sądowym (KRS) są jawne, a ich przetwarzanie w procesie udostępniania informacji o umowie jest całkowicie legalne.

Należy jednak kategorycznie oddzielić osoby uprawnione do reprezentacji od osób wyznaczonych wyłącznie do kontaktu technicznego. Tych drugich nie wykazuje się w systemie, chyba że dedykowane pole formularza rejestru wyraźnie tego wymaga, co w ustandaryzowanych wykazach nie jest powszechną praktyką.

Podpisy w załącznikach umowy i skany dokumentacji a ryzyko RODO

Największym zagrożeniem dla bezpieczeństwa informacji w jednostkach publicznych jest błędne zrozumienie sposobu zasilania nowej bazy. Powszechnym mitem jest przekonanie, że ustawa nakazuje uploadowanie pełnych skanów zawartych kontraktów. CRU JSFP to rejestr przeznaczony wyłącznie do publikacji ustrukturyzowanych metadanych.

Odręczne lub elektroniczne podpisy w załącznikach umowy, skany legitymacji, parafki na każdej stronie dokumentu oraz techniczne załączniki projektowe nie trafiają do CRU. Próba wgrywania do przestrzeni publicznej całych dokumentów w formacie PDF doprowadziłaby do masowego ujawnienia chronionych informacji.

Oryginał umowy ze wszystkimi danymi zawsze pozostaje w wewnętrznym archiwum zakładowym (np. w teczkach postępowań z zakresu zamówień publicznych lub w segregatorach księgowości). Obywatel ma prawo złożyć wniosek o udostępnienie jej kopii w trybie dostępu do informacji publicznej. Dopiero wtedy upoważniony pracownik JSFP przeprowadza fizyczną anonimizację wybranych danych na skanie dokumentu przed jego wydaniem.

Ryzyko udostępnienia nadmiarowych danych

Centralny Rejestr Umów wymaga wyłącznie uzupełnienia ściśle określonych pól (m.in. wartość, oznaczenie stron, numer umowy). Przenoszenie do ewidencji całych dokumentów zawierających numery rachunków bankowych lub dokładne adresy stanowi poważne naruszenie art. 5 ust. 1 lit. c RODO, definiującego zasadę minimalizacji przetwarzanych danych.

Kiedy i jak anonimizować dane w dokumentacji i przedmiocie umowy?

Sama informacja o fakcie zawarcia umowy z konkretną osobą może w niektórych sytuacjach naruszyć prawo do prywatności. Dotyczy to szczególnie zapomóg, dofinansowań dla pracowników czy świadczeń z obszaru pomocy społecznej. Pracownik odpowiedzialny za publikację musi redagować opisy przedmiotów w sposób konkretny, a zarazem nienaruszający dóbr osobistych.

Dobrą praktyką jest zamiana szczegółowego opisu typu „Dofinansowanie leczenia onkologicznego dla Jana Kowalskiego” na sformułowanie „Dofinansowanie kosztów leczenia pracownika zgodnie z regulaminem ZFŚS”. Dzięki temu dokument posiada właściwą podstawę kosztową, a publiczny wpis nie zdradza informacji o stanie zdrowia, chroniąc dane wrażliwe.

W przypadkach absolutnie krytycznych, gdy sam wpis stanowi naruszenie prywatności, JSFP korzysta z dyspozycji art. 34a ust. 7 pkt 9 u.f.p. Jednostka wskazuje w rejestrze podstawę prawną wyłączenia jawności informacji, odnotowując jednocześnie organ, który podjął decyzję o utajnieniu danego parametru.

Wymóg dbania o aktualność rejestru oznacza również konieczność rejestrowania ewentualnych aneksów. Korekty warunków współpracy należy zgłosić w systemie w terminie 30 dni od daty wejścia w życie zmiany, co ściśle koreluje z zasadą prawidłowości przetwarzania danych osobowych wymaganą przez RODO.

Często zadawane pytania

Czy umowy o pracę podlegają wpisowi do CRU JSFP?

Nie, umowy o pracę nie spełniają definicji zamówienia w rozumieniu ustawy Prawo zamówień publicznych i w związku z tym nie podlegają rejestracji w CRU.

Kto ponosi odpowiedzialność za publikację danych wrażliwych w CRU?

Pełną odpowiedzialność za zabezpieczenie przetwarzania i zgodność udostępnionych danych z przepisami ponosi kierownik jednostki JSFP jako administrator danych osobowych.

Czy zgoda pracownika lub zleceniobiorcy jest potrzebna do publikacji w CRU?

Nie, publikacja danych realizowana jest na podstawie odgórnego obowiązku prawnego i nie wymaga uzyskania zgody od strony umowy.

Czy CRU publikuje kwotę brutto czy netto umowy?

Wartość umowy to całkowity koszt wykonania, zasady publikowane przez Ministerstwo Finansów precyzują sposób i format podawania tych kwot w rejestrze.

Podsumowanie kluczowych zasad dla JSFP

Nowe obowiązki spoczywające na instytucjach to wyzwanie łączące zagadnienia z zakresu księgowości, prawa pracy i ochrony informacji publicznej. Zgodność z RODO przy jednoczesnej pełnej obsłudze ewidencji od 1 lipca 2026 r. wymaga ujednoliconego podejścia całego zespołu operacyjnego.

• Przeprowadź rewizję stosowanych w jednostce klauzul informacyjnych pod kątem obowiązku przekazywania danych do zewnętrznego CRU.
• Wdróż wewnętrzną kartę obiegu informacji o umowie, oddzielając jawne metadane kontraktu od jego niejawnych załączników.
• Poinstruuj osoby opisujące dowody księgowe o konieczności neutralnego redagowania celów i tytułów wypłat, aby uniknąć ryzyka związanego z naruszeniem prywatności.
• Opracuj jasny mechanizm korzystania z prawa do wyłączenia jawności informacji na podstawie ustawy o dostępie do informacji publicznej.