Upoważnienia do przetwarzania danych dla personelu - kto, kiedy, jak

Pan Krzysztof zatrudnił nową recepcjonistkę. Pierwszego dnia pokazał jej system do rejestracji pacjentów, przekazał hasło i powiedział "wpisujesz wizyty, resztę załapiesz w locie". Recepcjonistka od pierwszej godziny miała dostęp do imion, nazwisk, numerów telefonów i fragmentów historii wizyt pacjentów -- bez podpisanego jakiegokolwiek dokumentu. Gdy miesiąc później znajomy prawnik zapytał go, czy ma upoważnienia dla personelu, pan Krzysztof odpowiedział: "przecież ona nie jest fizjoterapeutą, to po co jej upoważnienie? Dane widzą tylko terapeuci".

Tymczasem to błędne założenie jest jednym z najczęstszych naruszeń RODO w gabinetach fizjoterapii. Upoważnienie do przetwarzania danych osobowych nie jest przywilejem ani formalnością zarezerwowaną dla osób wykonujących zawód medyczny -- dotyczy każdego, kto ma faktyczny dostęp do danych pacjentów, niezależnie od stanowiska. W tym artykule wyjaśniamy, kto w gabinecie potrzebuje upoważnienia, czym różni się ono od umowy powierzenia, co musi zawierać i jak prowadzić ewidencję osób upoważnionych.

Kto w gabinecie potrzebuje upoważnienia do przetwarzania danych

Podstawą prawną obowiązku jest art. 29 RODO, który stanowi, że osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych może je przetwarzać wyłącznie na polecenie administratora. W praktyce oznacza to jedno: każdy, kto choćby okazjonalnie widzi dane osobowe pacjentów w ramach swoich obowiązków, musi mieć pisemne upoważnienie -- niezależnie od tego, czy pracuje na etacie, umowie zlecenie, czy jest praktykantem.

W typowym gabinecie fizjoterapii krąg osób wymagających upoważnienia jest szerszy, niż się wydaje:

• Fizjoterapeuci -- oczywisty przypadek, mają pełny dostęp do dokumentacji medycznej i danych o stanie zdrowia pacjentów.
• Recepcjonistka -- widzi imiona, nazwiska, numery telefonów, terminy wizyt, a często także informacje o rodzaju schorzenia przy umawianiu wizyty.
• Praktykant lub stażysta -- nawet jeśli jego dostęp jest ograniczony czasowo i tematycznie, samo wejrzenie w kartę pacjenta pod okiem opiekuna wymaga upoważnienia wystawionego przed rozpoczęciem praktyki.
• Osoba sprzątająca -- co do zasady nie potrzebuje dostępu do danych, ale jeśli sprząta w rejestracji, gdzie leżą wydrukowane karty pacjentów lub ma dostęp do niezablokowanego komputera, ryzyko dostępu jest realne i warto to formalnie uregulować albo zmienić organizację pracy tak, by dostęp faktycznie nie występował.
• Księgowa lub biuro rachunkowe -- tu sytuacja jest dwutorowa. Jeśli księgowa widzi wyłącznie zanonimizowane kwoty i numery faktur, może nie potrzebować upoważnienia w rozumieniu art. 29, tylko odrębnej umowy powierzenia (patrz niżej). Ale jeśli ma dostęp do danych osobowych pacjentów w szerszym zakresie niż same liczby -- np. do imiennych rozliczeń -- sytuacja wymaga dokładnej analizy zakresu jej dostępu.

Kluczowe pytanie brzmi zawsze: czy ta osoba MA DOSTĘP do danych osobowych, a nie: czy jest fizjoterapeutą. Zasady dotyczące szerszego wdrożenia RODO w gabinecie opisujemy w artykule RODO w gabinecie fizjoterapii, a kwestie związane z samym zatrudnieniem personelu -- w artykule zatrudnienie fizjoterapeuty -- umowa i kwalifikacje.

Upoważnienie a umowa powierzenia -- kiedy które

To jedno z najczęstszych źródeł nieporozumień. Oba dokumenty dotyczą zgodnego z prawem przetwarzania danych przez osoby inne niż sam administrator, ale odnoszą się do zupełnie różnych relacji.

Kryterium	Upoważnienie (art. 29 RODO)	Umowa powierzenia (art. 28 RODO)
Kogo dotyczy	Osób działających pod bezpośrednim nadzorem administratora	Odrębnych podmiotów zewnętrznych
Przykład	Recepcjonistka, fizjoterapeuta, praktykant na umowie z gabinetem	Biuro rachunkowe, dostawca oprogramowania, firma IT
Forma prawna	Jednostronny dokument wystawiany przez administratora	Dwustronna umowa między administratorem a procesorem
Relacja	Wewnętrzna, w ramach struktury gabinetu	Zewnętrzna, między dwoma odrębnymi podmiotami
Kiedy wystawić	Przed dopuszczeniem do pracy z danymi	Przed rozpoczęciem współpracy z dostawcą

Innymi słowy: jeśli osoba pracuje "pod Twoim skrzydłem", jako część Twojego zespołu, i wykonuje polecenia w ramach struktury gabinetu -- potrzebuje upoważnienia. Jeśli natomiast to odrębny podmiot, który samodzielnie organizuje swoją pracę i przetwarza dane w ramach własnej działalności -- potrzebujesz z nim umowy powierzenia. Szczegółowo temat umów z zewnętrznymi dostawcami opisujemy w artykule umowa powierzenia przetwarzania -- z kim musi ją podpisać fizjoterapeuta. Zdarzają się sytuacje graniczne, np. fizjoterapeuta współpracujący na podstawie umowy B2B -- wtedy warto indywidualnie ocenić, czy faktyczny charakter współpracy bliższy jest zatrudnieniu (upoważnienie), czy niezależnemu podmiotowi (powierzenie).

Co musi zawierać upoważnienie -- elementy obowiązkowe

RODO nie narzuca sztywnego wzoru upoważnienia, ale praktyka oraz wytyczne organów nadzorczych wskazują na kilka elementów, bez których dokument nie spełnia swojej funkcji.

Zakres upoważnienia

Dokument musi precyzyjnie określać, jakie kategorie danych osoba może przetwarzać (np. dane identyfikacyjne, dane o stanie zdrowia, dane kontaktowe) oraz jakie czynności może na nich wykonywać (np. wgląd, wprowadzanie, edycja, udostępnianie w ramach obsługi pacjenta). Zbyt ogólne sformułowanie typu "upoważnia się do przetwarzania danych osobowych" bez określenia zakresu jest słabym punktem przy ewentualnej kontroli -- upoważnienie powinno realnie odzwierciedlać, do czego dana osoba ma dostęp na swoim stanowisku.

Zobowiązanie do zachowania poufności

Osoba upoważniona musi zostać zobowiązana do zachowania danych w tajemnicy, także po ustaniu zatrudnienia lub współpracy. Może to być element samego upoważnienia albo odrębne oświadczenie o zachowaniu poufności podpisywane równolegle -- oba rozwiązania są dopuszczalne, ważne, żeby dokument faktycznie istniał i był podpisany.

Okres obowiązywania

Upoważnienie powinno wskazywać, na jaki okres zostaje wydane -- zwykle na czas trwania zatrudnienia lub współpracy, z zastrzeżeniem, że wygasa automatycznie z chwilą jej zakończenia. W przypadku praktykantów czy stażystów warto ograniczyć okres do faktycznego czasu trwania praktyki.

Data i podpis

Dokument musi być opatrzony datą wystawienia oraz podpisem administratora (lub osoby przez niego upoważnionej do wystawiania upoważnień) i podpisem osoby upoważnianej, potwierdzającym zapoznanie się z treścią.

[SP] Przykład -- Solo-Praktyka: Pani Ewa prowadzi jednoosobowy gabinet i zatrudnia na pół etatu recepcjonistkę. Przed jej pierwszym dniem pracy przygotowuje krótkie upoważnienie określające zakres dostępu (dane kontaktowe i terminarzowe pacjentów, bez wglądu w pełną dokumentację medyczną) oraz odrębne oświadczenie o poufności. Oba dokumenty podpisują razem, zanim recepcjonistka dostaje login do systemu.

[GR] Przykład -- Gabinet Grupowy: W gabinecie zatrudniającym ośmiu fizjoterapeutów i dwie recepcjonistki właścicielka zauważa, że jeden z terapeutów odszedł pół roku temu, a jego upoważnienie nigdy nie zostało formalnie odwołane -- teoretycznie nadal figuruje jako osoba upoważniona. Wprowadza procedurę: przy każdym zatrudnieniu nowej osoby wystawiane jest upoważnienie przed pierwszym dniem pracy, a przy odejściu -- upoważnienie jest odwoływane tego samego dnia i odnotowywane w ewidencji.

Ewidencja osób upoważnionych

Samo wystawienie upoważnień to nie koniec obowiązku -- administrator powinien prowadzić ewidencję osób upoważnionych do przetwarzania danych osobowych. Taka ewidencja to zwykle prosty rejestr zawierający imię i nazwisko osoby, zakres upoważnienia, datę nadania i (jeśli dotyczy) datę odwołania.

Ewidencja ma znaczenie praktyczne szczególnie przy rotacji personelu, która w gabinetach fizjoterapii nie jest rzadkością -- praktykanci zmieniają się co semestr, recepcjonistki bywają zatrudniane sezonowo, a fizjoterapeuci czasem współpracują tylko przez określony czas. Dwie zasady są tu kluczowe:

• Nowa osoba = nowe upoważnienie. Każde nowe zatrudnienie, nawet krótkoterminowe, wymaga osobnego dokumentu -- nie da się "przepisać" upoważnienia poprzednika na nową osobę.
• Odejście = odwołanie upoważnienia. Gdy osoba przestaje pracować w gabinecie, jej upoważnienie powinno zostać formalnie odwołane, a dostęp do systemów -- fizycznie zablokowany (zmiana hasła, dezaktywacja konta). Bez tego kroku dana osoba teoretycznie nadal jest "upoważniona", mimo że nie ma już żadnego związku z gabinetem.

Ewidencja, którą nikt nie aktualizuje od dwóch lat, jest równie problematyczna jak jej całkowity brak -- podczas kontroli UODO rozbieżność między stanem faktycznym zatrudnienia a treścią ewidencji jest łatwa do wykrycia i traktowana jako sygnał, że dokumentacja RODO w gabinecie jest fikcją, a nie realnym narzędziem zarządzania dostępem.

Związek z ustawą o prawach pacjenta

Obowiązek upoważnień nie wynika wyłącznie z RODO. Art. 24 ust. 2 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta stanowi, że kierownik podmiotu udzielającego świadczeń zdrowotnych określa sposób i zakres udostępniania dokumentacji medycznej personelowi w celu realizacji jego zadań. Dla gabinetu fizjoterapii oznacza to, że nie wystarczy samo formalne upoważnienie RODO -- warto, żeby regulamin wewnętrzny lub polityka bezpieczeństwa gabinetu precyzowała także, kto i w jakim zakresie ma dostęp do dokumentacji medycznej jako takiej, niezależnie od ogólnego upoważnienia do przetwarzania danych osobowych. W małych gabinetach te dwa obowiązki najczęściej pokrywają się w jednym dokumencie, ale warto mieć świadomość, że mają dwie odrębne podstawy prawne.

Onboarding nowego pracownika -- kolejność ma znaczenie

Najczęstszy błąd, jaki popełniają gabinety, to traktowanie upoważnienia jako formalności "do ogarnięcia przy okazji", czasem tygodnie po faktycznym rozpoczęciu pracy. Tymczasem kolejność powinna być odwrotna: upoważnienie musi być podpisane, ZANIM osoba dostanie dostęp do jakichkolwiek danych -- login do systemu, klucz do szafki z dokumentacją papierową, hasło do komputera w rejestracji.

Praktyczna checklista onboardingu pod kątem upoważnień wygląda tak:

1. Przed pierwszym dniem pracy przygotuj upoważnienie dopasowane do stanowiska (recepcja, fizjoterapeuta, praktykant).
2. W pierwszym dniu, przed przekazaniem loginów, podpisz upoważnienie razem z oświadczeniem o poufności.
3. Wpisz osobę do ewidencji osób upoważnionych z datą nadania.
4. Dopiero teraz przekaż dostęp do systemu, dokumentacji papierowej czy pomieszczeń z danymi.
5. Przy zakończeniu współpracy odwołaj upoważnienie, zablokuj dostęp i odnotuj datę odwołania w ewidencji.

Taka kolejność eliminuje najczęstszy scenariusz naruszenia: nowa osoba pracująca "na zaufanie" przez pierwsze dni czy tygodnie bez żadnej formalnej podstawy do przetwarzania danych, które i tak widzi każdego dnia.

Najczęściej zadawane pytania

Czy osoba sprzątająca gabinet potrzebuje upoważnienia do przetwarzania danych?

To zależy od faktycznego zakresu jej dostępu. Jeśli sprzątanie odbywa się poza godzinami pracy rejestracji i dokumentacja jest zawsze zabezpieczona (zamknięta szafka, zablokowany komputer), formalne upoważnienie zwykle nie jest konieczne. Jeśli jednak osoba sprzątająca ma dostęp do pomieszczenia z niezabezpieczonymi danymi -- np. sprząta w godzinach pracy rejestracji, gdzie leżą wydrukowane karty pacjentów -- ryzyko dostępu jest realne i warto albo wystawić upoważnienie, albo zmienić organizację pracy tak, by dane były zawsze zabezpieczone przed sprzątaniem.

Czy praktykant musi mieć upoważnienie, jeśli tylko obserwuje pracę fizjoterapeuty?

Tak, jeśli w trakcie obserwacji ma choćby wgląd w dane osobowe pacjenta -- np. widzi kartę pacjenta, na której terapeuta odnotowuje przebieg wizyty. Upoważnienie dla praktykanta powinno być ograniczone czasowo do okresu praktyki i zakresowo do tego, co faktycznie obserwuje, a wystawione przed pierwszym dniem, a nie po fakcie.

Czym różni się upoważnienie od oświadczenia o zachowaniu poufności?

Upoważnienie określa zakres, w jakim dana osoba może przetwarzać dane osobowe -- czyli co wolno jej robić z danymi. Oświadczenie o zachowaniu poufności to zobowiązanie do nieujawniania tych danych osobom trzecim, w tym po zakończeniu współpracy. Oba elementy mogą znaleźć się w jednym dokumencie albo być podpisywane osobno -- RODO nie narzuca formy, wymaga jedynie, żeby oba obowiązki faktycznie istniały i były udokumentowane.

Co grozi gabinetowi za brak upoważnień dla personelu?

Brak upoważnień to naruszenie art. 29 RODO, które UODO traktuje jako samodzielną podstawę do wydania zalecenia pokontrolnego lub, w poważniejszych przypadkach, nałożenia kary administracyjnej -- niezależnie od tego, czy doszło do wycieku danych. W praktyce jest to jeden z pierwszych elementów sprawdzanych podczas kontroli w podmiotach leczniczych, ponieważ jego weryfikacja jest prosta: wystarczy poprosić o listę pracowników i porównać ją z ewidencją osób upoważnionych.

CTA: Pakiet PREMIUM zawiera gotową instrukcję i szablon upoważnienia do przetwarzania danych -- wystarczy uzupełnić dane pracownika i zakres dostępu, żeby mieć komplet dokumentów zgodny z art. 29 RODO dla każdej osoby w zespole. Zobacz pakiety FizjoReady

Powiązane artykuły:
- Onboarding w gabinecie fizjoterapii -- jakie dokumenty przygotować
- Zatrudnienie fizjoterapeuty -- umowa i kwalifikacje
- RODO w gabinecie fizjoterapii -- kompletny przewodnik