Upoważnienie do przetwarzania danych osobowych: wzór zgodny z RODO

Upoważnienie wynika bezpośrednio z RODO, a nie z polskiej ustawy:

• art. 29 RODO: podmiot przetwarzający i każda osoba działająca z upoważnienia administratora, która ma dostęp do danych, przetwarza je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego;
• art. 32 ust. 4 RODO: administrator podejmuje działania, by każda taka osoba przetwarzała dane wyłącznie na jego polecenie;
• art. 5 ust. 2 RODO: administrator odpowiada za przestrzeganie zasad i musi być w stanie to wykazać.

Ustawa o ochronie danych osobowych z 10 maja 2018 r. nie powtarza dawnego obowiązku prowadzenia ewidencji osób upoważnionych, znanego z ustawy z 1997 r. Rejestr upoważnień nie jest więc obowiązkowy, ale w praktyce to najprostszy sposób na rozliczalność i odpowiedź na pytanie kontrolera: kto miał dostęp do tych danych w marcu zeszłego roku.

W zatrudnieniu dochodzi art. 22(1b) § 3 Kodeksu pracy. Do przetwarzania danych z art. 9 RODO, które pracodawca przetwarza na podstawie zgody pracownika lub kandydata, mogą być dopuszczone wyłącznie osoby z pisemnym upoważnieniem pracodawcy, zobowiązane do zachowania tych danych w tajemnicy.

Zakres upoważnienia do przetwarzania danych osobowych opisuj tak, żeby dało się go porównać z uprawnieniami w systemach. Przykłady z praktyki:

Gdy do danych ma dostęp firma zewnętrzna (biuro rachunkowe, dostawca systemu, agencja), nie wystawiasz jej upoważnienia. Potrzebna jest umowa powierzenia przetwarzania danych z art. 28 RODO.

RODO nie wymaga żadnej formy. Upoważnienie może być dokumentem elektronicznym, a pracownik może potwierdzić je zwykłym podpisem elektronicznym (SES). Taki dokument dobrze spełnia zadanie dowodowe: zawiera treść, datę, osobę i skrót pliku, który pokazuje, że po podpisaniu nikt go nie zmienił.

Inaczej jest przy danych szczególnych kategorii w relacji pracowniczej. Art. 22(1b) § 3 KP mówi o pisemnym upoważnieniu wydanym przez pracodawcę. Forma pisemna to podpis własnoręczny albo kwalifikowany podpis elektroniczny (art. 78 i art. 78(1) Kodeksu cywilnego). Nasz podpis, zwykły ani zaawansowany, formy pisemnej nie spełnia i tego nie obiecujemy. Rozsądny podział wygląda tak:

• upoważnienie obejmujące dane o zdrowiu lub dane biometryczne: pracodawca podpisuje je odręcznie albo podpisem kwalifikowanym;
• upoważnienia do zwykłych danych, oświadczenia o poufności, potwierdzenia zapoznania z polityką ochrony danych: online, z Kartą Podpisów.

Więcej o różnicy między formami przeczytasz w poradniku forma elektroniczna a pisemna.

Upoważnienie wygasa z upływem terminu, na który je wydano. Warto jednak zawsze sporządzić krótkie odwołanie upoważnienia, bo dopiero ono zamyka sprawę w rejestrze. Odwołanie wystawiasz, gdy:

• pracownik zmienia stanowisko i nowy zakres jest węższy (wtedy odwołujesz stare i wydajesz nowe upoważnienie);
• kończy się zatrudnienie, zlecenie lub kadencja w komisji socjalnej;
• pojawiło się podejrzenie naruszenia i dostęp trzeba zamknąć od razu.

W odwołaniu wpisz numer upoważnienia, datę i godzinę odwołania oraz informację o zablokowaniu kont. Cofnięcie upoważnienia nie wymaga zgody pracownika, ale jego podpis pod potwierdzeniem przyjęcia do wiadomości przydaje się przy późniejszym sporze.

Rejestr upoważnień prowadzisz w arkuszu albo w systemie kadrowym. Wystarczą kolumny: numer upoważnienia, imię i nazwisko, stanowisko, zakres (kategorie danych i systemy), czy obejmuje dane z art. 9 RODO, data nadania, data ważności, data odwołania, kto wydał, gdzie przechowywany jest podpisany dokument. Przy upoważnieniach podpisanych online w ostatniej kolumnie wpisujesz nazwę pliku PDF z Kartą Podpisów, a skrót SHA-256 z karty pozwala później sprawdzić, że to ten sam dokument, na przykład w naszym walidatorze.

1. Uzupełnij wzór, zapisz go jako PDF i wgraj do panelu. Stały układ możesz zapisać jako szablon.
2. Dodaj sygnatariuszy w kolejności: najpierw osoba reprezentująca pracodawcę, potem upoważniony. Kolejność podpisywania sprawia, że pracownik dostaje dokument już podpisany przez firmę.
3. Przy dostępie do danych wrażliwych klientów włącz kod SMS, żeby podpis był powiązany z numerem telefonu pracownika.
4. Po ostatnim podpisie obie strony dostają PDF z Kartą Podpisów: imię i nazwisko, e-mail, adres IP, znaczniki czasu i skrót dokumentu. Plik trafia do akt osobowych i do rejestru upoważnień.

Gdy upoważnienia dostaje cały dział, na przykład po wdrożeniu nowego systemu, użyj masowej wysyłki: każda osoba dostaje własny egzemplarz i własną Kartę Podpisów.

• Upoważnienie „do wszystkiego”. Narusza zasadę minimalizacji i niczego nie dowodzi, bo nie da się go porównać z uprawnieniami w systemie.
• Dostęp przed podpisem. Konto w systemie kadrowym działa od poniedziałku, a upoważnienie podpisano w piątek po tygodniu pracy.
• Brak odwołania przy zmianie stanowiska. Były kadrowy, dziś handlowiec, nadal ma upoważnienie do akt osobowych.
• Upoważnienie dla firmy zewnętrznej. Dla biura rachunkowego potrzebna jest umowa powierzenia, nie upoważnienie.