Upoważnienie do przetwarzania danych osobowych: pracownik odszedł bez podpisu

Porządkujesz dokumenty RODO i trafiasz na teczkę osoby, która przez dwa lata obsługiwała klientów, a w zeszłym roku odeszła. Umowa jest, świadectwo pracy jest. Upoważnienia do przetwarzania danych osobowych nie ma, oświadczenia o zapoznaniu się z zasadami też nie.

Kusi, żeby „dorobić” papier i podpisać go z dawną datą. Nie rób tego. Wyjaśniam, czy upoważnienie w ogóle musi być na piśmie, jakie podpisy warto zbierać i kiedy, czego po odejściu pracownika już nie nadrobisz, dlaczego data wsteczna to nie naprawa i co możesz zrobić uczciwie, żeby przy kontroli mieć czym się bronić.

Czy upoważnienie do przetwarzania danych osobowych musi być na piśmie?

RODO nie wymaga pisemnej formy. Wymaga czegoś innego: każda osoba, która działa z upoważnienia administratora i ma dostęp do danych, przetwarza je wyłącznie na jego polecenie (art. 29 i art. 32 ust. 4 RODO). Administrator to Ty jako firma, która decyduje, po co i jak przetwarza dane.

Prezes Urzędu Ochrony Danych Osobowych (UODO) napisał to wprost w opinii z 2025 r. dla rządu (DPNT.401.329.2025): RODO nie wymaga sformalizowanych pisemnych upoważnień, a upoważnienie może mieć formę pisemną lub dokumentową (np. plik albo mail) albo wynikać z czynności faktycznej. Czynność faktyczna to w praktyce np. sytuacja, w której przełożony nadaje pracownikowi dostęp do programu i każe mu w nim pracować. Jest jednak haczyk. Administrator, który rezygnuje z formy pisemnej, ma umieć wykazać, że upoważnienia zostały nadane i że osoby do tego uprawnione realnie kontrolują dane. To zasada rozliczalności: musisz nie tylko przestrzegać przepisów, ale też umieć to udowodnić (art. 5 ust. 2 i art. 24 ust. 1 RODO).

Są też przepisy krajowe, które wymagają pisemnego upoważnienia wprost. Najbliższy każdemu pracodawcy to art. 22¹b § 3 Kodeksu pracy: do danych szczególnych kategorii, które pracownik albo kandydat przekazał z własnej inicjatywy na podstawie zgody (np. danych o zdrowiu), mogą być dopuszczone tylko osoby z pisemnym upoważnieniem pracodawcy. Opinia UODO powstała przy rządowym projekcie usunięcia tego wymogu, ale w tekście jednolitym Kodeksu pracy (obwieszczenie Marszałka Sejmu z 1 września 2026 r., Dz.U. z 2026 r. poz. 1245) on nadal stoi.

W praktyce podpisany dokument nie jest jedyną drogą, ale jest najprostszym dowodem. A gdy osoba z dostępem do danych odchodzi, dowód trzeba mieć już w teczce.

Dokumenty RODO dla pracownika: trzy podpisy, które warto zebrać

Przy wdrożeniach RODO zalecamy, żeby każda osoba z dostępem do danych podpisała trzy rzeczy. Przepisy nie wymieniają ich z nazwy. To praktyka, która pozwala wykazać, że dana osoba działała na Twoje polecenie i znała zasady:

O tym, jak często szkolić i jak sprawdzić, czy szkolenie zadziałało, piszemy we wpisie Szkolenie RODO dla pracowników: częstotliwość, treść i skuteczność. Tutaj liczy się jedno: podpis ma być zebrany, zanim pracownik odejdzie.

Kiedy podpisać upoważnienie do przetwarzania danych osobowych dla pracownika?

Przed pierwszym kontaktem z danymi. Nie po okresie próbnym i nie „przy okazji porządków”. Art. 29 RODO dotyczy każdej czynności na danych, więc obowiązuje od pierwszego dnia, w którym pracownik otwiera bazę klientów albo teczkę kadrową.

Jeśli upoważnienie nosi datę o pół roku późniejszą niż początek pracy, dokument sam pokazuje, że przez te pół roku osoba pracowała z danymi bez tego dokumentu. Przepis o upoważnieniach nie pyta o rodzaj umowy, więc to samo dotyczy zleceniobiorcy, stażysty i praktykanta.

Pracownik odszedł bez podpisu: czego już nie nadrobisz

Jego podpisu z tamtego czasu. Były pracownik nie ma obowiązku niczego Ci dziś podpisywać. A jeśli się zgodzi, podpisze dokument z dzisiejszą datą. Może w nim opisać, jak było wtedy, na przykład że znał zasady i dostęp dostał od przełożonego. To dodatkowy dowód, ale słabszy niż podpis z tamtego okresu.

Upoważnienia nie da się nadać wstecz. Podpisu z tamtą datą już nie zdobędziesz. Brak podpisanego formularza nie oznacza jednak automatycznie, że ta osoba nie miała żadnego upoważnienia, bo według Prezesa UODO może ono wynikać także z innych dokumentów albo z czynności faktycznej. Poszukaj więc dowodów z tamtego czasu, że działała na Twoje polecenie: zakresu obowiązków, umowy z klauzulą poufności, śladu nadania konta w programie, maili przełożonego, listy obecności na szkoleniu.

Takie dowody dołączasz do dokumentacji. Luki nimi nie zamażesz, ale pokażesz, jak było naprawdę.

Antydatowanie dokumentów: dlaczego data wsteczna to nie naprawa

Są dwie wersje „dorabiania” i obie są złe.

Pierwsza: ktoś w firmie podpisuje się za byłego pracownika. To podrobienie dokumentu, jeśli robi się to po to, żeby papier uchodził za prawdziwy, na przykład przy kontroli. Art. 270 § 1 Kodeksu karnego przewiduje za nie karę pozbawienia wolności od 3 miesięcy do lat 5, a w wypadku mniejszej wagi łagodniejszą (§ 2a). Tak samo karane jest użycie takiego dokumentu jako prawdziwego.

Druga: firma przygotowuje dziś upoważnienie z datą sprzed dwóch lat i podpisuje je osoba, która w firmie udziela upoważnień. Podpis jest prawdziwy, ale data nie. Kodeks karny karze poświadczenie nieprawdy w dokumencie (art. 271), ale według orzecznictwa Sądu Najwyższego chodzi o osoby z uprawnieniem o charakterze publicznoprawnym, a nie o pracodawcę wystawiającego dokumenty związane z zatrudnieniem (wyrok SN z 27 czerwca 2012 r., V KK 112/12). Wewnętrzny dokument firmy zwykle się w tym nie mieści.

To jednak nie czyni daty wstecznej bezpieczną. Taki papier nie pokazuje stanu faktycznego, a rozliczalność polega właśnie na wykazaniu, jak było naprawdę. Pokazanie go kontrolerowi może też zostać uznane za utrudnianie kontroli, za które art. 108 ustawy o ochronie danych osobowych przewiduje grzywnę, karę ograniczenia wolności albo pozbawienia wolności do lat dwóch. Ocena należy do prokuratora i sądu.

Jeśli taki dokument zostanie podważony, choćby przez zeznanie byłego pracownika, kontroler ma powód, żeby nie wierzyć także pozostałym papierom w segregatorze.

Jak uczciwie domknąć lukę w upoważnieniach

Luki z przeszłości nie usuniesz, ale możesz pokazać, że ją zauważyłeś i od określonego dnia masz porządek. Proponujemy cztery kroki:

Czy ewidencja osób upoważnionych do przetwarzania danych osobowych jest obowiązkowa?

RODO jej z nazwy nie wymaga. Wymagała jej uchylona w 2018 r. ustawa o ochronie danych osobowych z 1997 r. (art. 39): imię i nazwisko, data nadania i ustania, zakres upoważnienia oraz identyfikator, jeśli dane są w systemie informatycznym. Ciekawostka: nawet ta ustawa nie wymagała wprost pisemnej formy samego upoważnienia (art. 37). Ten układ nadal jest najprostszym sposobem, żeby w jednym miejscu pokazać, kto i kiedy miał dostęp do danych.

Na przyszłość najważniejsza jest jedna zmiana w procedurze: podpisy zbierasz pierwszego dnia pracy, razem z umową, zanim nowa osoba dostanie login i klucze do szafy. Gotowe dokumenty dla pracowników, w tym upoważnienia, są częścią dokumentacji RODO.

Co sprawdza kontrola UODO w upoważnieniach - kara dla DPD Polska

Urząd sprawdza, czy upoważnienie jest prawdziwym poleceniem administratora, a nie czy segregator jest gruby. Dobrze to widać w sprawie firmy kurierskiej opisanej w komunikacie UODO z 23 lutego 2026 r. (DKN.5112.1.2023).

Nowi pracownicy przechodzili szkolenie na elektronicznej platformie edukacyjnej, a po zaliczeniu testu system sam generował plik z ogólnikową formułką upoważnienia. Nie było w nim imienia i nazwiska pracownika ani podpisu osoby udzielającej upoważnienia. W spółce nie wyznaczono też osoby uprawnionej do nadawania upoważnień. Prezes UODO uznał, że taki plik nie jest upoważnieniem, bo nie można go uznać za oświadczenie woli administratora, i stwierdził naruszenie art. 29 i art. 32 ust. 4 RODO.

Za niewdrożenie środków organizacyjnych, czyli wadliwe upoważnienia i niestosowanie zasad udzielania upoważnień z firmowej polityki ochrony danych, urząd nałożył karę 5,209 mln zł. Osobną karę, 6,251 mln zł, spółka dostała za brak umów powierzenia z przewoźnikami. To duża firma, ale wniosek pasuje też do małej: upoważnienie ma wskazywać konkretną osobę i pochodzić od kogoś, kto w firmie może je nadać.

Jak przygotować się na pytania urzędu, opisujemy we wpisie Pismo z UODO: jak odpowiedzieć i kara za brak odpowiedzi, a w samej kontroli pomagamy w ramach usługi Kontrola UODO.

Najczęstsze pytania o upoważnienie do przetwarzania danych osobowych

Sprawdź upoważnienia obecnych pracowników: od czego zacząć

Weź listę obecnych pracowników i sprawdź, czy przy każdym nazwisku masz trzy podpisy. Braki uzupełnij z dzisiejszą datą, a o tych, którzy już odeszli, napisz notatkę. Nie dopisuj ich podpisów i nie cofaj dat.

Jeśli nie wiesz, od czego zacząć porządki z RODO w firmie, przeczytaj wpis RODO w firmie albo napisz do nas. Pomożemy Ci uporządkować upoważnienia, zanim zapyta o nie kontroler.