Upoważnienie do przetwarzania danych osobowych: co podpisać i kiedy

Nowa osoba zaczyna u Ciebie pracę w poniedziałek. Do południa ma już login do programu z danymi klientów, a teczka z dokumentami RODO czeka, aż ktoś znajdzie na nią czas. Mija kwartał i dopiero wtedy ktoś przypomina sobie o podpisach.

Upoważnienie do przetwarzania danych osobowych podpisane po trzech miesiącach nie zastąpi dokumentu z pierwszego dnia. A jeśli pracownik w tym czasie odejdzie, podpisu sprzed jego odejścia już nie uzupełnisz. Z tego wpisu dowiesz się, jakie dokumenty RODO podpisuje pracownik, które z nich są obowiązkowe, w jakiej kolejności je zbierać i co zrobić, gdy w papierach już jest dziura.

Jakie dokumenty RODO podpisuje pracownik?

Przepisy nie dają jednej listy „dokumentów RODO dla pracownika”. W praktyce pracownik podpisuje trzy dokumenty: upoważnienie (wydajesz je Ty, on potwierdza odbiór), oświadczenie o poufności oraz potwierdzenie, że zna zasady i przeszedł szkolenie. Czwarty, ewidencję osób upoważnionych, prowadzisz sam, bez jego podpisu. Każdy z nich ma inną podstawę i inną wagę.

Upoważnienie do przetwarzania danych osobowych dla pracownika

To polecenie od Ciebie jako administratora danych: ta osoba może korzystać z tych danych, w tym zakresie i do tych zadań. Art. 29 RODO mówi, że kto działa z upoważnienia administratora i ma dostęp do danych, może z nich korzystać tylko wtedy, gdy administrator mu to poleci. Art. 32 ust. 4 RODO dokłada Ci obowiązek: musisz zadbać, żeby tak właśnie było.

Dotyczy to każdego, kto u Ciebie pracuje na danych: pracownika na etacie, zleceniobiorcy, stażysty, praktykanta. Firma zewnętrzna, która przetwarza dane w Twoim imieniu, np. biuro rachunkowe, nie dostaje upoważnienia, tylko podpisuje z Tobą umowę powierzenia (art. 28 RODO).

Oświadczenie o zachowaniu poufności

Pracownik na etacie już z mocy prawa ma zachować w tajemnicy informacje, których ujawnienie mogłoby narazić pracodawcę na szkodę (art. 100 § 2 pkt 4 Kodeksu pracy). Zleceniobiorcy ten przepis nie obejmuje, więc przy nim osobne zobowiązanie do poufności (oświadczenie albo klauzula w umowie) jasno mówi, czego tajemnica dotyczy.

Przy pracownikach też warto je zebrać. Ogólny obowiązek z Kodeksu pracy nie wymienia danych klientów, haseł ani dokumentów firmy, a oświadczenie mówi o nich wprost.

Potwierdzenie, że pracownik zna zasady i przeszedł szkolenie

Oświadczenie RODO dla pracownika zwykle brzmi: „zapoznałem się z zasadami ochrony danych obowiązującymi w firmie”. Do tego dochodzi lista obecności albo certyfikat ze szkolenia. Żaden przepis nie wymaga tych dokumentów z nazwy.

Po co więc są? Bo RODO każe Ci nie tylko przestrzegać zasad, ale też umieć to wykazać (art. 5 ust. 2, tzw. rozliczalność). Trudno udowodnić, że pracownik działał na Twoje polecenie, jeśli nie ma śladu, że te polecenia kiedykolwiek do niego dotarły.

Czy upoważnienie RODO musi być na piśmie?

Co do zasady nie. Prezes Urzędu Ochrony Danych Osobowych (UODO) w piśmie do Komitetu Stałego Rady Ministrów z 2025 r. napisał wprost, że RODO nie wymaga pisemnych upoważnień jako warunku dopuszczenia osoby do danych. Upoważnienie może mieć formę pisemną albo dokumentową, a nawet wynikać z czynności faktycznej. Przykładem może być nadanie dostępu do systemu.

W tym samym piśmie jest jednak drugie zdanie, ważniejsze dla Ciebie: administrator, który rezygnuje z pisemnych upoważnień, musi umieć wykazać, że je nadał i że naprawdę kontroluje, kto ma dostęp do danych. Podpisany dokument to najprostszy sposób, żeby to wykazać.

Obowiązek upoważnienia każdej osoby i prowadzenia ewidencji osób upoważnionych znasz może sprzed 2018 r. Wynikał z dawnej ustawy o ochronie danych osobowych z 1997 r. (art. 37 i 39), która już nie obowiązuje. Formy pisemnej nie wymagała wprost, ale upoważnienia wydawano zwykle na papierze.

Kiedy pisemne upoważnienie jest obowiązkowe?

Wtedy, gdy wymaga go przepis krajowy. Najczęściej spotkasz art. 22(1b) § 3 Kodeksu pracy. Dane szczególnych kategorii, np. o zdrowiu, które kandydat albo pracownik przekazał Ci z własnej inicjatywy i które przetwarzasz na podstawie jego zgody, mogą przetwarzać wyłącznie osoby z pisemnym upoważnieniem od pracodawcy. Te osoby mają też z mocy ustawy zachować te dane w tajemnicy. Osobom w kadrach, które widzą zwolnienia lekarskie i orzeczenia, i tak warto wydać upoważnienie na piśmie.

Drugi przykład to ustawa o ochronie sygnalistów, czyli osób zgłaszających nieprawidłowości w firmie: zgłoszenia wewnętrzne mogą przyjmować i sprawdzać wyłącznie osoby z pisemnym upoważnieniem (art. 27 ust. 2). Dotyczy to każdej firmy, która ma procedurę zgłoszeń wewnętrznych.

Prezes UODO w przywołanym piśmie nazwał takie krajowe wymogi nadmiarowymi, ale przypomniał, że pisemne upoważnienie jest też zabezpieczeniem danych, a jeśli ustawa ma przewidywać dodatkowe zabezpieczenia, trzeba je wpisać do przepisu konkretnie. W obowiązującym tekście jednolitym Kodeksu pracy (Dz.U. 2026 poz. 1245) ten wymóg wciąż jest. Dopóki ustawa się nie zmieni, obowiązuje.

Kiedy pracownik podpisuje upoważnienie?

Przed pierwszym kontaktem z danymi, czyli zwykle pierwszego dnia pracy, zanim dostanie login. Upoważnienie podpisujesz Ty jako pracodawca, a pracownik potwierdza odbiór, i oba podpisy powinny być złożone tego samego dnia. Upoważnienie to polecenie na przyszłość: od tej daty ta osoba może pracować na danych w określonym zakresie.

W spóźnionym upoważnieniu możesz z dzisiejszą datą zapisać, od kiedy ta osoba faktycznie pracowała na danych, ale na tamte miesiące zostają Ci tylko dowody pośrednie, np. umowa z zakresem obowiązków albo data założenia konta w systemie. Przy danych z art. 22(1b) Kodeksu pracy sprawa jest prostsza i gorsza: bez pisemnego upoważnienia pracownik w ogóle nie powinien był ich dotykać.

Dlatego kolejność pierwszego dnia ma znaczenie.

Szkolenie nie zawsze da się zrobić pierwszego dnia. Wtedy przynajmniej upoważnienie i oświadczenie o poufności niech będą podpisane, zanim pracownik usiądzie do systemu, a szkolenie dołóż w pierwszych tygodniach.

Brakujący podpis byłego pracownika i dokument z datą wsteczną

Podpisu na dokumencie sprzed lat już nie uzupełnisz. Możesz poprosić byłego pracownika o oświadczenie z dzisiejszą datą, że w danym okresie znał zasady, ale nie ma on obowiązku go podpisać. Taki dokument opisuje przeszłość, a nie zastępuje upoważnienia sprzed lat.

Dlaczego nie podpisać dokumentu z wcześniejszą datą?

Bo to nie naprawa, tylko nowy problem, i to poważniejszy niż brakujący papier.

• Podpis byłego pracownika złożony przez kogoś innego to podrobienie dokumentu. Kto podrabia taki podpis, żeby dokument uchodził za prawdziwy (np. przy kontroli UODO), albo takiego dokumentu używa, ryzykuje od 3 miesięcy do 5 lat pozbawienia wolności (art. 270 § 1 Kodeksu karnego), a w wypadku mniejszej wagi grzywnę, ograniczenie wolności albo pozbawienie wolności do 2 lat (art. 270 § 2a).
• Dokument podpisany dziś, ale z datą sprzed roku podaje nieprawdziwą datę. Czy to już przestępstwo, zależy od tego, kto go wystawia i jak zostanie użyty. Kodeks karny w art. 271 i 273 karze poświadczenie nieprawdy przez osobę uprawnioną do wystawienia dokumentu i używanie takiego dokumentu.

Nawet jeśli sprawa nigdy nie trafi do prokuratury, jeden dokument z nieprawdziwą datą podważa wiarygodność całej Twojej dokumentacji. Luka opisana tak, jak wygląda, szkodzi mniej.

Jak uporządkować podpisy w firmie, która działa od lat?

Nie musisz udawać, że porządek był od zawsze. Wystarczy, że od dziś jest i że widać, od kiedy.

Ewidencja osób upoważnionych do przetwarzania danych osobowych

RODO jej nie wymaga, a obowiązek wynikał z ustawy z 1997 r. Prezes UODO pisze jednak, że to Ty masz tak zorganizować pracę, żeby dało się sprawdzić, czy dostępu nie dostał ktoś nieupoważniony albo w szerszym zakresie, niż trzeba. Bez spisu trudno to zrobić.

Dobrze sprawdza się układ podobny do dawnego art. 39: kto (imię i nazwisko), do czego ma dostęp, od kiedy i do kiedy, pod jakim loginem w systemie. Tabela w arkuszu wystarczy.

Upoważnienia i ewidencja to wewnętrzna część dokumentacji, której nie publikujesz na stronie. Różnicę między nią a dokumentami dla klientów opisujemy we wpisie RODO a sklep internetowy - czym różni się regulamin zgodny z RODO od RODO w firmie.

Co podpisy pokażą przy kontroli UODO?

Pokażą, komu, od kiedy i w jakim zakresie nadałeś dostęp do danych. Upoważnienia pracowników są wśród dokumentów, po które sięgasz, odpowiadając urzędowi. Listę takich dokumentów znajdziesz we wpisie Wezwanie z UODO - termin, odpowiedź i kara za brak współpracy.

Polityka ochrony danych leży w szufladzie albo na dysku. Pokazuje, jakie zasady ustaliłeś, ale nie to, że ktoś je zna. Dopiero podpisy z datami pokazują, że te zasady trafiły do ludzi.

Podpis ma jednak swoje granice. Biuletyn UODO z października 2026 r. w tekście o skutecznych szkoleniach z ochrony danych osobowych pisze, że samo „zebranie podpisów na liście obecności to żaden dowód na to, że pracownicy przyswoili niezbędne kompetencje”, a jednorazowe szkolenie przy zatrudnieniu nie wystarcza. Podpis pokaże, że przekazałeś pracownikowi zasady. Że ich przestrzega, pokażą powtarzane szkolenia, test wiedzy i to, jak naprawdę ustawione są dostępy. Podobnie jest z hasłami, o czym piszemy we wpisie Polityka haseł w firmie: podstawa prawna, zasady z Biuletynu UODO i dowody na kontrolę.

Pytania i odpowiedzi o upoważnienie do przetwarzania danych osobowych

Pamiętaj: podpis zbierasz przed pierwszym loginem, nie po kwartale. Brakujących podpisów z przeszłości nie dorabiaj, tylko zapisz, od kiedy masz porządek. Jeśli chcesz mieć gotowe upoważnienia, oświadczenia i ewidencję dopasowane do Twojej firmy, zobacz naszą Dokumentację RODO, a pracowników przeszkolimy w ramach Szkoleń z RODO.