Poradnik · art. 29 RODO
Upoważnienie do przetwarzania danych — co musi zawierać
Upoważnienie jest dokumentem, który najczęściej istnieje w jednostce w kilkunastu różnych wersjach naraz — bo powstawał doraźnie. Poniżej: skąd bierze się obowiązek, jakie elementy dokument musi mieć i co zrobić, gdy pracownik zmienia stanowisko.
Skąd bierze się obowiązek
RODO nie zawiera przepisu o brzmieniu „administrator wydaje upoważnienia”. Obowiązek składa się z dwóch przepisów czytanych razem:
- Art. 29 RODO — osoba działająca z upoważnienia administratora, która ma dostęp do danych osobowych, przetwarza je wyłącznie na polecenie administratora.
- Art. 32 ust. 4 RODO — administrator podejmuje działania, by osoby te przetwarzały dane wyłącznie na jego polecenie.
Pisemne upoważnienie jest najprostszym sposobem wykonania obu naraz. Jest też jedynym, który daje się okazać: polecenie ustne spełnia przepis, ale nie spełnia art. 5 ust. 2, bo nie da się go wykazać po fakcie. To rozróżnienie decyduje o tym, jak wygląda kontrola.
W niektórych obszarach przepisy szczególne idą dalej i formę pisemną narzucają wprost — dotyczy to m.in. części zadań realizowanych przez jednostki pomocy społecznej czy oświaty. Warto sprawdzić ustawę sektorową właściwą dla zadania, zanim uzna się formę za dowolną.
Co musi zawierać dokument
Przepisy nie podają wzoru, więc treść wynika z funkcji dokumentu — ma odpowiadać na pytanie kto, u kogo, do czego i kiedy. Komplet wygląda tak:
- Oznaczenie administratora danych — pełna nazwa i adres. To element pomijany najczęściej i najbardziej kłopotliwy w jednostkach, w których administratorów jest kilku.
- Numer upoważnienia — z ewidencji, w układzie pozwalającym odnaleźć wpis.
- Imię i nazwisko osoby upoważnionej oraz stanowisko lub komórka organizacyjna.
- Zakres upoważnienia — do jakich danych i w jakim celu (patrz niżej).
- Okres obowiązywania — data nadania oraz termin, jeżeli upoważnienie jest terminowe.
- Podpis osoby działającej w imieniu administratora — a nie dowolnego przełożonego.
- Oświadczenie o zachowaniu poufności — najczęściej dołączane do upoważnienia; obowiązek zachowania tajemnicy trwa także po ustaniu zatrudnienia.
Warto dołożyć potwierdzenie odbioru z datą. Bez niego dokument wykazuje, że administrator upoważnienie wystawił, ale nie że pracownik je otrzymał i znał jego treść.
Zakres upoważnienia — najtrudniejsza część
Tu popełnia się dwa przeciwstawne błędy, oba kosztowne.
Zakres zbyt szeroki
„Upoważniam do przetwarzania danych osobowych” bez żadnego doprecyzowania. Dokument nie mówi wtedy niczego, a przy naruszeniu nie da się z niego ustalić, czy dostęp był uprawniony. Stoi też w sprzeczności z zasadą minimalizacji.
Zakres zbyt wąski
Wyliczenie pojedynczych pól albo nazw programów. Taki dokument dezaktualizuje się przy każdej zmianie systemu i w praktyce nie jest aktualizowany — po roku upoważnienia opisują stan, którego już nie ma.
Rozwiązaniem, które sprawdza się w praktyce, jest powiązanie zakresu z czynnościami przetwarzania z rejestru z art. 30. Zakres brzmi wtedy „w zakresie czynności: prowadzenie akt osobowych, naliczanie wynagrodzeń, obsługa ZFŚS”. Jest konkretny, nie odwołuje się do nazw programów i zmienia się dopiero wtedy, gdy naprawdę zmienia się zakres obowiązków.
Wydanie, zmiana stanowiska, odwołanie
Upoważnienie to nie jednorazowa czynność przy zatrudnieniu, tylko cykl, który trzeba prowadzić do końca:
- Przed dopuszczeniem do danych, a nie po. Upoważnienie wydane miesiąc po rozpoczęciu pracy dokumentuje miesiąc przetwarzania bez podstawy.
- Przy zmianie stanowiska — poprzednie upoważnienie odwołuje się i wydaje nowe. Dopisywanie zakresu odręcznie na starym dokumencie sprawia, że z ewidencji nie da się odtworzyć stanu z konkretnego dnia.
- Przy ustaniu zatrudnienia — odwołanie z datą, wraz z odebraniem dostępów do systemów. Rozjazd między tymi dwiema czynnościami jest jedną z częstszych przyczyn naruszeń: konto działa, upoważnienia już nie ma.
- Przy długiej nieobecności — warto rozważyć zawieszenie dostępu, zwłaszcza gdy zastępstwo obejmuje te same dane.
Ewidencja ma pozwalać odpowiedzieć na pytanie postawione wstecz: kto 12 marca miał dostęp do akt osobowych? Jeżeli odpowiedź wymaga przeglądania teczek, ewidencji faktycznie nie ma.
Upoważnienie a umowa powierzenia
To dwa różne dokumenty dla dwóch różnych sytuacji i mylenie ich zdarza się często:
- Upoważnienie (art. 29) — dla osoby działającej pod kierownictwem administratora: pracownika, zleceniobiorcy, stażysty, wolontariusza.
- Umowa powierzenia (art. 28) — dla odrębnego podmiotu, który przetwarza dane w imieniu administratora, ale organizuje pracę samodzielnie: biura rachunkowego, firmy hostingowej, dostawcy systemu, firmy niszczącej dokumenty.
Pracownikowi podmiotu przetwarzającego upoważnienie wydaje jego pracodawca, a nie administrator. Administrator odpowiada za wybór podmiotu i treść umowy — nie za wewnętrzne upoważnienia w cudzej firmie.
Najczęstsze pytania
Czy RODO wprost nakazuje wydawanie upoważnień na piśmie?
Nie w takich słowach. Art. 29 RODO mówi, że osoba działająca z upoważnienia administratora przetwarza dane wyłącznie na jego polecenie, a art. 32 ust. 4 nakazuje administratorowi podjąć działania, by tak było. Forma pisemna jest praktyczną realizacją tych przepisów — i jedyną, która pozwala wykazać ich spełnienie w razie kontroli.
Na jaki czas wydać upoważnienie?
Bezterminowo albo na czas oznaczony — przepisy tego nie rozstrzygają. Upoważnienie bezterminowe wymaga jednak konsekwencji: musi zostać odwołane w dniu zmiany stanowiska albo ustania zatrudnienia. Termin oznaczony bywa wygodniejszy właśnie dlatego, że wygasa sam.
Czy trzeba prowadzić ewidencję wydanych upoważnień?
RODO nie nazywa takiego rejestru wprost, ale bez niego nie da się odpowiedzieć na pytanie, kto miał dostęp do danych i w jakim okresie — a to jest właśnie treść zasady rozliczalności z art. 5 ust. 2. W praktyce ewidencja jest pierwszą rzeczą, o którą pyta kontrola po samym rejestrze czynności.
Czy zleceniobiorca albo stażysta potrzebuje upoważnienia?
Tak, jeżeli przetwarza dane pod kierownictwem administratora — art. 29 mówi o osobie działającej z upoważnienia, a nie o pracowniku w rozumieniu Kodeksu pracy. Inaczej jest z podmiotem zewnętrznym działającym samodzielnie: tam właściwym dokumentem nie jest upoważnienie, tylko umowa powierzenia z art. 28 RODO.
W praktyce
Jak wygląda rejestr upoważnień w SZODO
Upoważnienia nie wpisuje się w SZODO od zera. Wybiera się osobę z kartoteki pracowników i zakres wskazany jako czynności z rejestru z art. 30 — a aplikacja nadaje numer z własnego licznika administratora danych i składa gotowy dokument do wydruku według skonfigurowanego szablonu treści.
Rejestr pokazuje status każdego upoważnienia, w tym te, którym kończy się termin, a statusy przeterminowane odświeżają się same. Historia zmian pozwala odtworzyć stan z dowolnego dnia — łącznie z odwołaniami.
Własny wzór, własna numeracja
Aplikacja nie narzuca brzmienia dokumentu. Treść upoważnienia i format numeru konfiguruje się osobno dla każdego administratora danych — jeżeli jednostka ma wzór uzgodniony z radcą prawnym albo numerację przyjętą w instrukcji kancelaryjnej, wprowadza się je raz i od tej chwili aplikacja składa dokumenty według nich.
To rozstrzyga też problem, od którego zaczyna się zwykle bałagan w upoważnieniach: w gminie kilku administratorów danych wydaje własne dokumenty i ich numeracja nie może się mieszać. Każdy ma tu własny licznik i własny wzór, w jednej opłacie za organizację.