Upoważnienie do przetwarzania danych

Pan Krzysztof zatrudnił nową recepcjonistkę. Pierwszego dnia pokazał jej system do rejestracji pacjentów, przekazał hasło i powiedział "wpisujesz wizyty, resztę załapiesz w locie". Od pierwszej godziny miała dostęp do imion, nazwisk, numerów telefonów i fragmentów historii wizyt pacjentów, bez żadnego podpisanego dokumentu. Gdy miesiąc później znajomy prawnik zapytał go o upoważnienia dla personelu, pan Krzysztof odpowiedział: "przecież ona nie jest fizjoterapeutą, dane widzą tylko terapeuci".

To założenie jest błędne. Dostęp do danych pacjentów mają wszyscy, którzy faktycznie je widzą, niezależnie od stanowiska. Poniżej wyjaśniamy, kto w gabinecie potrzebuje upoważnienia, co mówią przepisy, czym upoważnienie różni się od umowy powierzenia, jak je napisać i jak prowadzić ewidencję osób upoważnionych.

Krótka odpowiedź

RODO stanowi, że osoba działająca z upoważnienia administratora i mająca dostęp do danych osobowych przetwarza je wyłącznie na polecenie administratora (art. 29), a administrator ma podjąć działania, by tak było (art. 32 ust. 4). RODO nie narzuca formy upoważnienia. Przepis szczególny dotyczy dokumentacji medycznej: dane z niej mogą przetwarzać osoby wykonujące zawód medyczny oraz inne osoby wykonujące czynności pomocnicze przy udzielaniu świadczeń, na podstawie upoważnienia administratora danych (art. 24 ust. 2 ustawy o prawach pacjenta). Recepcja z dostępem do dokumentacji potrzebuje więc upoważnienia, a pisemna forma i ewidencja to najprostszy sposób, by móc to wykazać (art. 5 ust. 2 i art. 24 ust. 1 RODO).

Kto w gabinecie potrzebuje upoważnienia

Kluczowe pytanie brzmi: czy ta osoba ma dostęp do danych osobowych pacjentów, a nie: czy jest fizjoterapeutą.

• Fizjoterapeuci są osobami wykonującymi zawód medyczny, więc do przetwarzania danych z dokumentacji medycznej uprawnia ich art. 24 ust. 2 pkt 1 ustawy o prawach pacjenta. Warto jednak wydać upoważnienia także terapeutom, żeby określić zakres i polecenia administratora (art. 29 RODO). Tajemnicę zawodową wiąże ich osobno ustawa (art. 13 i 14).
• Recepcjonistka wykonuje czynności pomocnicze przy udzielaniu świadczeń i widzi imiona, nazwiska, numery telefonów, terminy, często rodzaj schorzenia. Gdy ma dostęp do dokumentacji medycznej, art. 24 ust. 2 pkt 2 wymaga upoważnienia administratora, a ust. 3 zobowiązuje ją do tajemnicy także po śmierci pacjenta.
• Osoba utrzymująca system teleinformatyczny z dokumentacją (np. serwisant IT zatrudniony w gabinecie) wchodzi w tę samą kategorię art. 24 ust. 2 pkt 2; jeśli to firma zewnętrzna, zobacz niżej umowę powierzenia.
• Praktykant lub stażysta. Jeżeli gabinet uczestniczy w kształceniu (np. przyjmuje praktykantów), dokumentacja jest im udostępniana wyłącznie w zakresie niezbędnym do celów dydaktycznych, a osoby te muszą zachować tajemnicę także po śmierci pacjenta (art. 26 ust. 3a i 3b). Upoważnienie wystaw przed pierwszym dniem praktyki; zob. praktyki studenckie w gabinecie fizjoterapii.
• Osoba sprzątająca co do zasady nie potrzebuje dostępu do danych. Jeśli sprząta w rejestracji, gdzie leżą wydrukowane karty albo działa niezablokowany komputer, popraw organizację pracy tak, by dostęp faktycznie nie występował, albo uregulowanie dostępu zrób formalnie.
• Księgowość. Jeśli biuro rachunkowe jest odrębnym podmiotem i przetwarza dane osobowe w imieniu gabinetu, potrzebna jest umowa powierzenia, a nie upoważnienie. Zakres jej dostępu do danych pacjentów trzeba ocenić indywidualnie.

Szersze wdrożenie RODO opisujemy w artykule RODO w gabinecie fizjoterapii, komplet dokumentów w dokumentacji RODO gabinetu, a kwestie zatrudnienia w artykule zatrudnienie fizjoterapeuty -- umowa i kwalifikacje.

Upoważnienie a umowa powierzenia

Oba dokumenty dotyczą przetwarzania danych przez osoby inne niż sam administrator, ale odnoszą się do różnych relacji.

Kryterium	Upoważnienie (art. 29 i art. 32 ust. 4 RODO)	Umowa powierzenia (art. 28 RODO)
Kogo dotyczy	Osób działających z upoważnienia administratora, mających dostęp do danych	Podmiotu przetwarzającego dane w imieniu administratora
Przykład	Recepcjonistka, fizjoterapeuta, praktykant	Biuro rachunkowe przetwarzające dane pacjentów, dostawca oprogramowania
Forma	RODO nie określa formy; na piśmie to najprostszy sposób wykazania	Umowa lub inny instrument prawny; pisemna, w tym elektroniczna (art. 28 ust. 9)
Treść	Zakres i polecenia administratora	Elementy z art. 28 ust. 3 (m.in. przetwarzanie na udokumentowane polecenie, tajemnica, środki z art. 32, usunięcie lub zwrot danych po zakończeniu usługi)
Kiedy	Przed dopuszczeniem do danych	Przed rozpoczęciem przetwarzania w imieniu administratora

W gabinetach ma znaczenie także art. 24 ust. 5 i 6 ustawy o prawach pacjenta: realizacja umowy powierzenia nie może zakłócać udzielania świadczeń, w szczególności dostępu do dokumentacji, a podmiot, któremu powierzono przetwarzanie, jest związany tajemnicą także po śmierci pacjenta. Szczegóły umów z dostawcami opisujemy w artykule umowa powierzenia przetwarzania -- z kim musi ją podpisać fizjoterapeuta. Sytuacje graniczne, np. fizjoterapeuta współpracujący w modelu B2B, oceń indywidualnie: czy działa w strukturze gabinetu pod poleceniami administratora (upoważnienie), czy jako odrębny podmiot (powierzenie albo własna rola administratora). Nie rozstrzygamy tego w tym wpisie.

Co zawrzeć w upoważnieniu

RODO nie narzuca wzoru upoważnienia ani jego treści. Poniżej elementy, które warto uwzględnić (to dobra praktyka, nie wymóg przepisów).

Element	Co wpisać
Osoba upoważniana	Imię i nazwisko, stanowisko lub rola
Zakres danych	Kategorie danych (identyfikacyjne, kontaktowe, dane o zdrowiu) i systemy lub zbiory, do których ma dostęp
Zakres czynności	Np. wgląd, wprowadzanie, edycja, udostępnianie w ramach obsługi pacjenta, czego nie wolno
Polecenie administratora	Dane przetwarza wyłącznie na polecenie administratora (art. 29 RODO)
Poufność	Zobowiązanie do zachowania danych w tajemnicy, także po zakończeniu współpracy (dla personelu pomocniczego wynika z art. 24 ust. 3 ustawy o prawach pacjenta)
Okres	Do końca zatrudnienia lub współpracy; dla praktykanta do końca praktyki
Data i podpisy	Administratora lub osoby upoważnionej do wystawiania upoważnień oraz osoby upoważnianej

Przykładowa treść (do dostosowania w gabinecie)
Upoważnienie do przetwarzania danych osobowych nr [numer]. Na podstawie art. 29 i art. 32 ust. 4 RODO oraz art. 24 ust. 2 pkt 2 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta upoważniam [imię i nazwisko], [stanowisko], do przetwarzania danych osobowych pacjentów w zakresie: [kategorie danych] i czynności: [wgląd, wprowadzanie, edycja]. Dane przetwarzasz wyłącznie na moje polecenie i wyłącznie w celu obsługi pacjentów gabinetu. Zobowiązujesz się do zachowania danych w tajemnicy także po zakończeniu współpracy. Upoważnienie obowiązuje od [data] do [data albo ustania zatrudnienia]. [Data, podpis administratora, podpis osoby upoważnionej].

Ewidencja osób upoważnionych

RODO nie wymaga prowadzenia ewidencji upoważnień wprost. Administrator jest jednak odpowiedzialny za przestrzeganie zasad i musi być w stanie to wykazać (art. 5 ust. 2), a środki organizacyjne mają mu to umożliwić (art. 24 ust. 1). Prosty rejestr jest najtańszym sposobem, by to osiągnąć.

Nr	Imię i nazwisko	Stanowisko	Zakres danych i systemów	Data nadania	Data odwołania	Podpis administratora
1	[..]	Recepcja	Terminarz, dane kontaktowe	[..]	[..]	[..]
2	[..]	Fizjoterapeuta	Karty pacjentów, system gabinetowy	[..]	[..]	[..]
3	[..]	Praktykant	Obserwacja pod nadzorem, bez zapisu	[..]	koniec praktyki	[..]

Dwie zasady upraszczają utrzymanie ewidencji:

• Nowa osoba, nowe upoważnienie. Nie "przepisuje się" upoważnienia poprzednika.
• Odejście, odwołanie. Gdy osoba przestaje pracować w gabinecie, odwołaj upoważnienie, zablokuj dostęp (zmiana hasła, dezaktywacja konta) i odnotuj datę w ewidencji. Ewidencja nieaktualizowana od dwóch lat jest równie problematyczna jak jej brak.

[SP] Przykład -- Solo-Praktyka: Pani Ewa prowadzi jednoosobowy gabinet i zatrudnia na pół etatu recepcjonistkę. Przed pierwszym dniem pracy przygotowuje krótkie upoważnienie z zakresem dostępu (dane kontaktowe i terminarz, bez wglądu w pełną dokumentację medyczną). Dopiero po podpisaniu przekazuje login do systemu.

[GR] Przykład -- Gabinet Grupowy: W gabinecie z ośmioma fizjoterapeutami i dwiema recepcjonistkami właścicielka zauważa, że upoważnienie terapeuty, który odszedł pół roku temu, nigdy nie zostało odwołane. Wprowadza procedurę: upoważnienie jest wystawiane przed pierwszym dniem pracy, a przy odejściu odwoływane tego samego dnia i odnotowywane w ewidencji.

Związek z ustawą o prawach pacjenta

Obowiązek upoważnień nie wynika wyłącznie z RODO. Art. 24 ust. 2 pkt 2 ustawy o prawach pacjenta wymaga upoważnienia administratora dla osób niebędących osobami wykonującymi zawód medyczny, które mają dostęp do dokumentacji medycznej przy czynnościach pomocniczych lub utrzymaniu systemu. Dokumentacja jest zabezpieczona, gdy jej dostępność jest zapewniona wyłącznie osobom uprawnionym z art. 24 ust. 2 i art. 26 (§ 1 ust. 4 rozporządzenia Ministra Zdrowia w sprawie dokumentacji medycznej). Regulamin lub polityka bezpieczeństwa gabinetu powinny więc opisywać, kto i w jakim zakresie ma dostęp do dokumentacji. W małych gabinetach te dwie podstawy mieszczą się często w jednym dokumencie.

Onboarding nowego pracownika: kolejność ma znaczenie

Upoważnienie ma być podpisane, zanim osoba dostanie dostęp do danych: login do systemu, klucz do szafki z dokumentacją papierową, hasło do komputera w rejestracji. Zobacz też onboarding w gabinecie fizjoterapii i szkolenie RODO dla personelu.

1. Przed pierwszym dniem przygotuj upoważnienie dopasowane do stanowiska.
2. W pierwszym dniu, przed przekazaniem loginów, podpisz upoważnienie razem z oświadczeniem o poufności.
3. Wpisz osobę do ewidencji z datą nadania.
4. Dopiero teraz przekaż dostęp do systemu, dokumentacji papierowej i pomieszczeń z danymi.
5. Przy zakończeniu współpracy odwołaj upoważnienie, zablokuj dostęp i odnotuj datę.

Najczęściej zadawane pytania

Czy osoba sprzątająca gabinet potrzebuje upoważnienia do przetwarzania danych?

To zależy od faktycznego zakresu dostępu. Jeśli sprzątanie odbywa się poza godzinami pracy rejestracji, a dokumentacja jest zawsze zabezpieczona (zamknięta szafka, zablokowany komputer), upoważnienie zwykle nie jest potrzebne. Jeśli osoba sprząta w godzinach pracy rejestracji, gdzie leżą wydrukowane karty, albo wystaw upoważnienie, albo zmień organizację pracy.

Czy praktykant musi mieć upoważnienie, jeśli tylko obserwuje pracę fizjoterapeuty?

Jeśli ma wgląd w dane osobowe pacjenta, np. widzi kartę, na której terapeuta odnotowuje wizytę, tak. Zakres ogranicz do celów dydaktycznych (art. 26 ust. 3a ustawy o prawach pacjenta), a okres do czasu trwania praktyki, i wystaw przed pierwszym dniem.

Czym różni się upoważnienie od oświadczenia o zachowaniu poufności?

Upoważnienie określa, co dana osoba może robić z danymi. Oświadczenie o poufności to zobowiązanie do nieujawniania ich osobom trzecim, także po zakończeniu współpracy. Mogą być jednym dokumentem albo dwoma; RODO nie narzuca formy.

Co grozi za brak upoważnień dla personelu?

Art. 29 i art. 32 ust. 4 należą do obowiązków administratora, za których naruszenie RODO przewiduje administracyjną karę pieniężną do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą (art. 83 ust. 4 lit. a). Organ nadzorczy ustala środki indywidualnie w zależności od okoliczności (art. 83 ust. 2). Nie sprawdzaliśmy praktyki UODO w tym zakresie.

---

Stan prawny na: 28 października 2026 r.

Podstawa prawna: rozporządzenie (UE) 2016/679 (RODO), art. 5 ust. 2, art. 24, 28, 29, 32 ust. 4 i art. 83; ustawa z 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (t.j. Dz.U. 2024 poz. 581, ze zmianami z Dz.U. 2026 poz. 26 i 791), art. 24 ust. 2-3 i 5-6 oraz art. 26 ust. 3a-3b; rozporządzenie Ministra Zdrowia z 6 kwietnia 2020 r. w sprawie dokumentacji medycznej (t.j. Dz.U. 2026 poz. 1391), § 1 ust. 4. Nie sprawdzaliśmy: wytycznych i praktyki UODO, ustawy o ochronie danych osobowych z 2018 r. ani oceny stosunków B2B (upoważnienie czy powierzenie), co zostawiamy do weryfikacji u prawnika.

Ostatni przegląd: 28 października 2026 r.

Pakiet PREMIUM zawiera instrukcję i szablon upoważnienia do przetwarzania danych, umowę powierzenia, rejestr czynności przetwarzania i procedurę naruszeń. Zobacz pakiet PREMIUM lub porównaj pakiety.

Powiązane artykuły:
- Dokumentacja RODO gabinetu fizjoterapii -- komplet
- RODO w gabinecie fizjoterapii -- kompletny przewodnik
- Szkolenie RODO dla personelu gabinetu
- Onboarding w gabinecie fizjoterapii -- jakie dokumenty przygotować
- Praktyki studenckie w gabinecie fizjoterapii