Odnośnie upoważnień do przetwarzania danych, w porównaniu do wcześniejszej regulacji, RODO nie zmienia nic. Podobnie jak ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, RODO nie wskazuje, jaka ma być jego treść. Lakonicznie, w art. 29 RODO, jest wyłącznie wskazane, iż osoby działające w imieniu administratora powinny być do tego upoważnione, a czynności przetwarzania mogą być wykonywane wyłącznie na podstawie polecenia administratora. Konsekwentnie zatem, w myśl zasady ryzyka, RODO pozostawia swobodę w określeniu treści upoważnienia, jakkolwiek pod rygorem sowitych kar.😉 Konieczne jest bowiem wykazanie, że udzielone upoważnienie należycie chroni dane, a pracownicy administratora mają dostęp do danych w zakresie nie większym niż jest to konieczne do ich pracy. Jak tego dokonać skoro RODO nie wskazuje elementów upoważnienia? Redakcja RODOkomapsu rusza z odsieczą! 😉

Przepis na wzorcowe upoważnienie

Metodą prób i błędów udało nam się opracować sprawdzony przepis na upoważnienie dla pracowników. 🙂 I tak, powinno ono:

• przede wszystkim mieć formę pisemną,

• zawierać wskazanie, iż stanowi ono polecenie administratora o którym mowa w art. 29 RODO – w ten sposób administrator uniknie konieczności każdorazowego wymogu udzielania polecenia do tych samych czynności,

• wskazywać dane upoważnionego pozwalające go zidentyfikować. W tym miejscu powinno być wpisane imię, nazwisko i stanowisko służbowe,

• być oznaczone datą, aby możliwe było wykazanie kiedy doszło do umocowania pracownika do przetwarzania danych,

• wskazywać okres, na jakie jest udzielone. Rekomendujemy jego określenie na czas zatrudnienia lub do odwołania przez pracodawcę,

• wskazywać, jakie dane (zbiory danych) pracownik może przetwarzać, np. zbiór „Pracownicy”, „Klienci”, „Kontrahenci”,

• wskazywać, jakie czynności przetwarzania pracownik może wykonywać w stosunku do powierzonych danych (zbiorów danych), np. wgląd, zmiana, usuwanie, przechowywanie,

• zawierać zobowiązanie pracownika do: przestrzegania przepisów z zakresu ochrony danych osobowych, zachowania w tajemnicy przetwarzanych danych osobowych oraz sposobu ich zabezpieczenia zarówno w czasie trwania zatrudenienia, jak i po jego ustaniu,

• zawierać pouczenie o odpowiedzialności za naruszenie przestrzegania przepisów z zakresu ochrony danych osobowych, w szczególności w przypadku przekroczenia zakresu udzielonego upoważnienia. Oprócz RODO, w możliwe jest powołanie się na przepisy z zakresu prawa pracy (osoby zatrudnione na podstawie umowy o pracę) bądź prawa cywilnego (osoby zatrudnione w oparciu o umowy cywilnoprawne, takie jak umowa zlecenia czy umowa o dzieło) oraz ustawy o ochronie danych osobowych (odpowiedzialność karna).

Jeżeli wymagasz, przygotuj

W ramach upoważnienia warto zobowiązać pracownika do przestrzegania przepisów z zakresu ochrony danych osobowych, pouczając go równocześnie o odpowiedzialności za ich naruszenie. Decydując się jednakże na taki krok, pracodawca (administrator) powinien skierować swoich pracowników na szkolenie z zakresu ochrony danych. Jest to uzasadnione nie tylko interesem pracownika i podejścia pracodawcy bazującego na fair zasadach (w myśl: przygotowuję Cię, zatem wymagam), ale także realizacją wymogu RODO, z którego możemy wyczytać, iż kierowanie personelu administratora na szkolenia z zakresu ochrony danych powinno być wpisane w podstawowe reguły bezpieczeństwa danych obowiązujących w organizacji. W przypadku, gdy przed udzieleniem upoważnienia pracownik został skierowany na szkolenie, warto zawrzeć taką informację w jego treści – ograniczymy ilość papierologii, której nadmiar i tak dostarcza nam RODO.  Ponadto wykażemy, iż zebrane zobowiązanie do przestrzegania przepisów RODO ma swoje uzasadnienie. 🙂

Jesteśmy ciekawi, jak wyglądają Wasze upoważnienia? 🙂 Redakcja RODOkomapsu trzyma kciuki, aby przepis na upoważnienie sprawdził się w Waszych organizacjach! 🙂

Wpis nie stanowi porady ani opinii prawnej w rozumieniu przepisów prawa  oraz ma charakter wyłącznie  informacyjny. Stanowi  wyraz poglądów jego  autora na tematy prawnicze związane z treścią przepisów prawa, orzeczeń sądów, interpretacji organów państwowych i publikacji prasowych. Kancelaria Ostrowski i Wspólnicy Sp.K. i autor wpisu nie ponoszą odpowiedzialności za ewentualne skutki decyzji podejmowanych na jego podstawie.