Upoważnienie do przetwarzania danych osobowych - wzór

Upoważnienie do przetwarzania danych osobowych to polecenie administratora, które określa, kto, do jakich danych i w jakim zakresie ma dostęp. Jego podstawą są art. 29 i art. 32 ust. 4 RODO: każda osoba działająca z upoważnienia administratora przetwarza dane wyłącznie na jego polecenie. RODO nie narzuca formy upoważnienia, ale pisemne upoważnienie z ewidencją to najprostszy sposób, by to wykazać. Poniżej wyjaśniamy, co powinno zawierać, i podajemy gotowy wzór upoważnienia oraz oświadczenia o poufności.

Podstawa prawna: art. 29 i art. 32 ust. 4 RODO

Art. 29 RODO stanowi, że podmiot przetwarzający i każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego, która ma dostęp do danych osobowych, przetwarza je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub państwa członkowskiego. Art. 32 ust. 4 dodaje obowiązek po stronie administratora: ma on podjąć działania, by tak właśnie było. Upoważnienie jest tym działaniem w najbardziej czytelnej postaci.

Rozporządzenie nie wymaga formy pisemnej. Prezes UODO w stanowisku przekazanym rządowi w ramach prac deregulacyjnych (znak DPNT.401.329.2025) wskazał, że upoważnienie może mieć formę pisemną lub dokumentową albo wynikać z czynności faktycznej, ale administrator, który rezygnuje z formy pisemnej, musi umieć wykazać, że upoważnienia nadał i rzeczywiście kontroluje dostęp (zasada rozliczalności, art. 5 ust. 2 RODO).

Formę pisemną wymagają natomiast niektóre ustawy. Najważniejszy przykład to art. 22(1b) § 3 Kodeksu pracy: do przetwarzania danych szczególnych kategorii (art. 9 ust. 1 RODO) kandydatów i pracowników mogą być dopuszczone wyłącznie osoby z pisemnym upoważnieniem pracodawcy. Podobny wymóg zawiera art. 27 ust. 2 ustawy o ochronie sygnalistów dla osób przyjmujących zgłoszenia wewnętrzne. Trwały prace nad złagodzeniem tych wymogów, więc warto sprawdzić ich aktualne brzmienie.

Kto potrzebuje upoważnienia

Upoważnienia potrzebuje każda osoba, która ma dostęp do danych i działa pod kierownictwem administratora, bez względu na podstawę współpracy:

• pracownicy, w tym nauczyciele, pracownicy sekretariatu, kadr i księgowości,
• zleceniobiorcy, stażyści, praktykanci i wolontariusze,
• członkowie komisji, na przykład rekrutacyjnej lub stypendialnej,
• inspektor ochrony danych, który do wykonania zadań potrzebuje wglądu w dane.

Upoważnienia od administratora nie dostają pracownicy podmiotu przetwarzającego, na przykład serwisanta systemu czy biura rachunkowego. Ich upoważnia ich pracodawca, a administrator zawiera z firmą umowę powierzenia, w której ta zobowiązuje się, że jej ludzie zachowają tajemnicę (art. 28 ust. 3 lit. b).

Co powinno zawierać upoważnienie

Dobre upoważnienie odpowiada na pytania, które padają przy kontroli i po naruszeniu:

• numer i datę wydania, nazwę administratora,
• imię, nazwisko i stanowisko osoby upoważnionej,
• zakres: zbiory danych lub czynności przetwarzania oraz operacje dozwolone na każdym z nich,
• systemy i programy, dokumentację papierową i pomieszczenia, w których osoba przetwarza dane,
• okres obowiązywania - do określonej daty albo do odwołania, nie dłużej niż do ustania zatrudnienia lub współpracy,
• obowiązek przetwarzania wyłącznie na polecenie i zachowania tajemnicy,
• podpis administratora i potwierdzenie odbioru przez upoważnionego.

Zakres operacji warto opisać kodami odpowiadającymi operacjom z definicji przetwarzania (art. 4 pkt 2 RODO). Krótszy zapis mieści się w tabeli zbiorów i łatwo go porównać z uprawnieniami w systemach.

Wzór upoważnienia do przetwarzania danych osobowych

Wzór można skopiować i uzupełnić. Pola w nawiasach kwadratowych zastąp własnymi danymi, a zbędne punkty usuń.

UPOWAŻNIENIE NR [numer/rok]
do przetwarzania danych osobowych

[miejscowość], [data wydania]

Na podstawie art. 29 i art. 32 ust. 4 rozporządzenia (UE)
2016/679 (RODO) [nazwa administratora], [adres], jako
administrator danych osobowych upoważnia

Pana/Panią [imię i nazwisko],
[stanowisko], [komórka organizacyjna],

do przetwarzania danych osobowych w zakresie niezbędnym
do wykonywania obowiązków służbowych, określonym poniżej.

1. Zbiory danych i zakres operacji:
   - [zbiór danych, np. dokumentacja uczniów]: [kody, np. Z, U, Pg, W]
   - [zbiór danych]: [kody]
2. Systemy i programy: [np. dziennik elektroniczny, system kadrowy].
3. Dokumentacja papierowa: [np. arkusze ocen, teczki osobowe].
4. Pomieszczenia: [np. sekretariat, pokój 12].
5. Upoważnienie obowiązuje od [data] do [data albo: odwołania],
   nie dłużej niż do ustania zatrudnienia lub współpracy.
6. Upoważniony przetwarza dane wyłącznie na polecenie
   administratora, zgodnie z [nazwa polityki ochrony danych],
   i zachowuje je w tajemnicy także po ustaniu zatrudnienia.
7. Upoważnienie jest imienne i nie może być przeniesione
   na inną osobę.

........................................
[podpis osoby reprezentującej administratora]

Potwierdzam otrzymanie upoważnienia i zapoznanie się
z zasadami ochrony danych osobowych.

........................................
[data i podpis upoważnionego]

Wzór oświadczenia o zachowaniu poufności

Oświadczenie składa się razem z upoważnieniem. Dokumentuje, że osoba wie o obowiązku tajemnicy, także po odejściu z pracy.

OŚWIADCZENIE O ZACHOWANIU POUFNOŚCI

Ja, niżej podpisany(-a) [imię i nazwisko], [stanowisko],
upoważniony(-a) przez [nazwa administratora] do przetwarzania
danych osobowych (upoważnienie nr [numer/rok]), oświadczam, że:

1. zapoznałem(-am) się z przepisami o ochronie danych
   osobowych oraz z [nazwa polityki ochrony danych];
2. zachowam w tajemnicy dane osobowe, do których mam dostęp,
   i sposoby ich zabezpieczenia, także po ustaniu zatrudnienia
   lub współpracy;
3. będę przetwarzać dane wyłącznie w zakresie i celu
   określonym w upoważnieniu;
4. niezwłocznie zgłoszę każde podejrzenie naruszenia ochrony
   danych [osoba lub komórka wskazana w procedurze].

[miejscowość, data]

........................................
[podpis]

Zakres według stanowiska czy indywidualny

Pisanie zakresu od zera dla każdej osoby prowadzi do błędów i rozbieżności. Lepiej ustalić zakres domyślny dla grupy stanowisk - na przykład nauczyciele, pracownicy administracji, dyrekcja - i nadawać upoważnienia zgodnie z nim. Indywidualnie zapisuje się tylko wyjątki: wychowawca ma szerszy dostęp do danych swojej klasy, sekretarka dodatkowo obsługuje rekrutację, a pracownik obsługi nie potrzebuje żadnego zbioru.

Takie podejście realizuje minimalizację danych (art. 5 ust. 1 lit. c RODO) i zasadę, że domyślnie przetwarza się tylko dane niezbędne do danego celu (art. 25 ust. 2). Zakres upoważnienia powinien też odpowiadać uprawnieniom w systemach: jeśli upoważnienie mówi „przeglądanie”, konto nie powinno pozwalać na eksport całej bazy.

Odwołanie i zmiana upoważnienia

Upoważnienie odwołuje się przy ustaniu zatrudnienia lub współpracy, przy zmianie stanowiska i zawsze, gdy zakres przestaje być potrzebny. Przy zmianie stanowiska najprościej odwołać dotychczasowe upoważnienie i wydać nowe. Datę odwołania wpisuje się do ewidencji, a tego samego dnia wyłącza konta, odbiera klucze i karty dostępu. Upoważnienie odwołane na papierze, przy wciąż aktywnym koncie, niczego nie chroni.

Ewidencja upoważnień

RODO nie wymaga osobnej ewidencji, ale bez niej trudno odpowiedzieć na pytanie, kto miał dostęp do danych w dniu naruszenia. Obowiązek prowadzenia ewidencji osób upoważnionych istniał w dawnej ustawie o ochronie danych osobowych z 1997 r. i wiele organizacji słusznie go zachowało. Ewidencja zwykle obejmuje: numer upoważnienia, osobę, stanowisko, zakres, datę nadania, datę odwołania i identyfikator w systemie. Obok warto prowadzić ewidencję szkoleń, bo upoważnienie bez przeszkolenia jest słabym dowodem należytej staranności.

Ewidencja upoważnień należy do podstawowych dokumentów opisanych w artykule o dokumentacji RODO w szkole, a zbiory danych, które wymienia, wynikają z rejestru czynności przetwarzania.

Jak pomaga Cyberenu

W Cyberenu zakres domyślny ustala się dla grupy stanowisk: zbiory danych z rejestru czynności, operacje z katalogu (kody Z, U, O, Pdk i dalsze), systemy, dokumentację papierową i pomieszczenia. Upoważnienie osoby ma numer nadawany kolejno w roku (n/rrrr), daty wydania, ważności i odwołania, datę oświadczenia o poufności oraz wyjątki: zastępujące zakres grupy dla zbioru, usuwające zbiór albo dodające nowy. Zmiana zakresu grupy zmienia od razu wszystkie upoważnienia jej stanowisk. Z tego samego rejestru powstają upoważnienia, oświadczenia o poufności, ewidencja upoważnień i ewidencja szkoleń.

Przy SZBI Cyberenu prowadzi też uprawnienia osób do systemów, z datami nadania, zawieszenia i odebrania oraz przeglądami uprawnień, i wskazuje uprawnienia wciąż aktywne u osób, które już nie pracują. Więcej o całości na stronie dokumentacji RODO, a pytania zadasz przez stronę kontaktową.