Zgoda na przesyłanie informacji handlowej: ostrożnie z wizytówkami
czytaj więcej
Prowadzisz firmę od kilku lat i dopiero teraz robisz porządek z RODO. Spisujesz osoby, które miały dostęp do danych klientów: obecny zespół, ale też ktoś, kto przez dwa sezony pakował zamówienia i odpisywał klientom, a potem odszedł. W jego teczce jest umowa, a upoważnienia RODO nie ma.
Taka luka powstaje zawsze, gdy wdrożenie RODO w firmie przychodzi później niż praca na danych. Podpisu byłego pracownika już nie zdobędziesz.
Możesz za to zebrać dowody z tamtego okresu, uzupełnić podpisy obecnego zespołu i od dziś prowadzić ewidencję tak, żeby ta sytuacja się nie powtórzyła. Wszystko po kolei poniżej.
Spis treści
Skąd się bierze luka w upoważnieniach RODO
Z kolejności. Ludzie pracowali na danych od pierwszego dnia, a dokumenty RODO powstają po latach. Kto w tym czasie odszedł, ten nie podpisze już niczego „za tamten okres”.
Upoważnienie RODO to polecenie firmy dla konkretnej osoby: do jakich danych ma dostęp i co może z nimi robić. RODO wymaga, żeby każdy, kto ma dostęp do danych, przetwarzał je wyłącznie na polecenie administratora (art. 29 i art. 32 ust. 4 RODO). Administrator to Twoja firma, bo to ona decyduje, po co i jak przetwarza dane.
Polecenie wydaje się przed pracą, nie po niej. Dlatego dokument z dzisiejszą datą obejmuje pracę od dziś, a nie dwa lata wstecz.
Czy można dziś dorobić upoważnienie RODO z dawną datą?
Nie. Były pracownik nie ma też obowiązku niczego Ci dziś podpisywać. Kusi jednak, żeby problem „załatwić” na dwa sposoby i oba są złe.
Antydatowanie dokumentów RODO: dlaczego pogarsza sprawę
Sposób pierwszy: ktoś w firmie podpisuje się za byłego pracownika. Jeśli robi to po to, żeby papier uchodził za prawdziwy, to podrobienie dokumentu. Art. 270 § 1 Kodeksu karnego przewiduje za to karę pozbawienia wolności od 3 miesięcy do 5 lat (w wypadku mniejszej wagi łagodniejszą). Tak samo karane jest użycie takiego dokumentu.
Wystarczy, że były pracownik powie, że żadnego upoważnienia wtedy nie widział i niczego nie podpisywał… a kontroler ma powód, żeby nie wierzyć także reszcie Twojej dokumentacji.
Sposób drugi: przygotowujesz dziś upoważnienie z datą sprzed dwóch lat i podpisujesz je jako szef. Podpis jest prawdziwy, data nie. Taki papier nie pokazuje, jak było naprawdę, a przy RODO musisz umieć wykazać właśnie stan faktyczny (zasada rozliczalności, art. 5 ust. 2 RODO).
Antydatowane upoważnienie pokazane podczas kontroli UODO może zostać uznane za utrudnianie kontroli, za które art. 108 ustawy o ochronie danych osobowych przewiduje grzywnę, ograniczenie wolności albo pozbawienie wolności do dwóch lat. Czy tak jest w danej sprawie, ocenia prokurator i sąd.
Co zastąpi brakujący podpis?
Dowody z tamtego okresu. Prezes Urzędu Ochrony Danych Osobowych (UODO) w piśmie do rządu z 2025 r. w sprawie deregulacji (DPNT.401.329.2025) napisał, że upoważnienie może mieć formę pisemną albo dokumentową (np. mail) i może też wynikać z czynności faktycznej. Zaznaczył przy tym, że kto rezygnuje z formy pisemnej, musi umieć wykazać, że upoważnienia nadał.
Czynność faktyczna to na przykład sytuacja, w której szef zakłada pracownikowi konto w programie i każe mu w nim obsługiwać zamówienia. Brak podpisanego formularza nie oznacza więc automatycznie, że ta osoba działała bez Twojego polecenia.
Zbierz, co masz: zakres obowiązków, umowę z klauzulą poufności, ślad założenia konta w programie albo poczcie, maile, w których przełożony zlecał pracę na danych, listę obecności ze szkolenia. Dołącz to do dokumentacji z krótkim opisem.
Jeśli były pracownik zgodzi się sam, może też podpisać oświadczenie z dzisiejszą datą, w którym opisze, jak było wtedy. To dodatkowy dowód, ale słabszy niż podpis z tamtego czasu i nie zastępuje upoważnienia.
Te dowody przydadzą się, gdy urząd zapyta o dokumenty. Jak odpowiedzieć na takie pismo, opisujemy we wpisie Kontrola UODO i pismo z urzędu - jak odpowiedzieć krok po kroku.
Dokumenty RODO dla pracownika: trzy podpisy od obecnego zespołu
Z byłymi pracownikami nic więcej nie zrobisz, z obecnymi zamkniesz temat od razu. Przy wdrożeniach RODO zalecamy, żeby każda osoba z dostępem do danych podpisała trzy dokumenty. Przepisy nie wymieniają ich z nazwy, ale razem pokazują, że osoba działa na Twoje polecenie i zna zasady:
upoważnienie do przetwarzania danych osobowych, imienne, z zakresem dostępu oświadczenie o zapoznaniu się z zasadami ochrony danych w firmie i zachowaniu ich w tajemnicy potwierdzenie odbycia szkolenia z RODO data na każdym dokumencie: dzisiejsza
Upoważnienie do przetwarzania danych osobowych dla pracownika ma wskazywać konkretną osobę i pochodzić od kogoś, kto w firmie może je nadać. Dobrze to widać w sprawie firmy kurierskiej z komunikatu UODO z 23 lutego 2026 r.: plik generowany automatycznie po teście, bez imienia i nazwiska pracownika i bez podpisu osoby udzielającej upoważnienia, urząd nie uznał za upoważnienie, bo nie był oświadczeniem woli administratora. Stwierdził naruszenie art. 29 i art. 32 ust. 4 RODO.
Samo upoważnienie to jednak nie całe RODO. Co jeszcze powinna mieć firma, opisujemy we wpisie Polityka prywatności to nie jest całe RODO - co jeszcze musi mieć Twoja firma.
Ewidencja osób upoważnionych do przetwarzania danych osobowych: co w niej wpisać
Ewidencja to jedna lista, z której widać, kto i od kiedy miał dostęp do danych. RODO jej z nazwy nie wymaga. Wymagała jej uchylona w 2018 r. ustawa o ochronie danych osobowych z 1997 r. (art. 39), a jej układ nadal jest najprostszym sposobem, żeby pokazać ciągłość.
Jeśli ktoś pracował u Ciebie przed 25 maja 2018 r., ta ustawa wymagała dla niego upoważnienia od administratora (art. 37) i wpisu do ewidencji (art. 39).
Kolumny ewidencji:
| Kolumna | Co wpisać |
|---|---|
| Osoba | imię i nazwisko |
| Zakres | do jakich danych i w jakim programie |
| Data nadania | dzień podpisania upoważnienia |
| Data ustania | dzień odejścia albo zmiany stanowiska |
| Identyfikator | login, jeśli dane są w systemie |
Od dnia porządków ewidencja ma być ciągła: każda nowa osoba trafia do niej, zanim dostanie dostęp, a każda odchodząca ma wpisaną datę ustania. Przy odejściu od razu odbierasz też loginy i zmieniasz wspólne hasła. Jak to zrobić dobrze, piszemy we wpisie Bezpieczne hasło a RODO: jak przestępcy łamią hasła i co chroni konto firmowe.
Byłych pracowników nie dopisuj do ewidencji z wymyślonymi datami. Zamiast tego spisz krótką notatkę z porządków: kiedy je zrobiłeś, czyich upoważnień brakowało, jakie dowody z tamtego okresu znalazłeś i od kiedy masz komplet. To uczciwy zapis, który pokażesz kontrolerowi bez obaw.
Nowy pracownik w pierwszym dniu: kolejność podpisów
Lukę z przeszłości uczciwie opisuje notatka. Lukę na przyszłość zamyka jedna zmiana w procedurze: podpisy zbierasz, zanim nowa osoba dotknie danych.
Przy zleceniobiorcy, który pracuje u Ciebie dorywczo, jest jeszcze jedna sprawa: do dokumentów na pierwszy dzień nie dokładaj deklaracji rezygnacji z PPK. Dlaczego i co zamiast tego zapisać w umowie, piszemy we wpisie PPK na umowie zlecenie przy pracy dorywczej: jak zapisać okres umowy.
1
Umowa i dokumenty RODO razem
Upoważnienie i oświadczenie o zasadach podpisujecie tego samego dnia co umowę, także przy zleceniu i stażu.
2
Szkolenie w pierwszych dniach
Krótkie wprowadzenie w zasady jako uzupełnienie podpisów i potwierdzenie, że się odbyło.
3
Dopiero potem login i klucze
Dostęp do programu, poczty z zamówieniami czy szafy z dokumentami dajesz po podpisaniu upoważnienia i oświadczenia, nie przed tym.
4
Wpis do ewidencji
Imię i nazwisko, zakres, data nadania i login. Przy odejściu dopisujesz datę ustania.
Są sytuacje, w których pisemnego upoważnienia wymaga wprost przepis krajowy. U pracodawcy najczęstsza: gdy pracownik albo kandydat sam przekaże Ci np. dane o zdrowiu, mogą mieć do nich dostęp tylko osoby z pisemnym upoważnieniem pracodawcy (art. 22¹b § 3 Kodeksu pracy, tekst jednolity: Dz.U. z 2026 r. poz. 1245). Podobnie jest przy przyjmowaniu zgłoszeń od sygnalistów (art. 27 ust. 2 ustawy o ochronie sygnalistów).
Szkolenie, w którym udział potwierdzą podpisy uczestników, możemy przeprowadzić w ramach szkoleń z RODO.
Najczęstsze pytania o upoważnienie RODO
Czy upoważnienie RODO musi być na piśmie?+
RODO tego nie wymaga, ale z dowodu musi wynikać, kogo upoważniłeś, do czego i kto w firmie to zrobił. Wyjątkiem są przepisy krajowe, np. Kodeks pracy przy danych o zdrowiu przekazanych z inicjatywy pracownika albo ustawa o ochronie sygnalistów. Podpisany dokument to po prostu najprostszy dowód.
Co, jeśli osoba, która odeszła, pracowała na zleceniu albo stażu?+
Luka i sposób naprawy są takie same. Art. 29 RODO dotyczy każdej osoby, która działa z Twojego upoważnienia i ma dostęp do danych, bez względu na rodzaj umowy, więc zbierasz te same dowody: umowę, maile przełożonego, ślad założenia konta.
Co zrobić z upoważnieniem RODO, gdy pracownik odchodzi?+
Wpisz w ewidencji datę ustania upoważnienia, odbierz loginy i klucze, zmień hasła, które znał. Podpisane dokumenty zostaw w aktach, bo to one pokażą, że w czasie pracy działał na Twoje polecenie.
Czy mogę poprosić byłego pracownika o podpis po fakcie?+
Możesz poprosić, ale nie musi się zgodzić. Jeśli podpisze, to z dzisiejszą datą, jako oświadczenie o tym, jak było wtedy. Dołącz je do innych dowodów, ale nie traktuj go jak upoważnienia z tamtego okresu.
Pamiętaj: zacznij od listy obecnych osób
Weź listę wszystkich, którzy dziś mają dostęp do danych, i przy każdym nazwisku sprawdź trzy podpisy. Braki uzupełnij z dzisiejszą datą, załóż ewidencję, a o byłych pracownikach napisz notatkę z dowodami. Nie dopisuj ich podpisów i nie cofaj dat.
Gotowe wzory upoważnień i zobowiązań do poufności są częścią naszej dokumentacji RODO. Napisz albo zadzwoń, jeśli nie wiesz, od czego zacząć porządki.
