Upoważnienie do przetwarzania danych — wzór dla gabinetu i placówki medycznej

Jeśli w Twoim gabinecie pracuje ktoś poza Tobą — rejestratorka, asystentka, pielęgniarka, higienistka, lekarz na kontrakcie albo osoba sprzątająca, która ma dostęp do dokumentacji — to każda z tych osób przetwarza dane osobowe Twoich pacjentów. A skoro tak, powinna mieć od Ciebie upoważnienie. Poniżej znajdziesz gotowy wzór do skopiowania, wyjaśnienie po co to jest naprawdę oraz listę błędów, które najczęściej wychodzą przy kontroli.

To strona poradnikowa. Wzór jest punktem wyjścia — musisz dopasować go do swojego gabinetu.

Czym jest upoważnienie do przetwarzania danych i po co Ci ono

Upoważnienie to dokument, w którym Ty — jako administrator danych (właściciel gabinetu / podmiot leczniczy) — formalnie dopuszczasz konkretną osobę do przetwarzania danych w określonym zakresie i celu.

Podstawą jest art. 29 RODO: osoby działające z upoważnienia administratora, które mają dostęp do danych osobowych, mogą przetwarzać te dane wyłącznie na polecenie administratora (chyba że wymaga tego prawo). Wzmacnia to art. 32 ust. 4 RODO.

Ważna uczciwa uwaga: RODO nie nakłada wprost obowiązku wydawania pisemnych upoważnień w formie odrębnego druczku. Mówi o „poleceniu administratora". Jednak pisemne upoważnienie to w praktyce najprostszy i najpowszechniej akceptowany sposób, żeby:

• udokumentować to polecenie (na czyje polecenie i w jakim zakresie ktoś działa),
• kontrolować dostęp — wiesz dokładnie, kto, do czego i od kiedy ma dostęp,
• spełnić zasadę rozliczalności z art. 5 ust. 2 RODO.

W gabinecie sprawa jest poważniejsza niż w zwykłej firmie, bo przetwarzasz dane o zdrowiu — szczególną kategorię danych (art. 9 RODO).

Kto musi mieć upoważnienie

Zasada: upoważnienie powinna mieć każda osoba, która w ramach Twojego gabinetu ma dostęp do danych pacjentów — niezależnie od formy zatrudnienia. W typowym gabinecie dotyczy to:

• rejestracji / recepcji,
• asysty i personelu pomocniczego (asystentka stomatologiczna, higienistka),
• pielęgniarek i położnych,
• lekarzy i innych osób wykonujących zawód medyczny zatrudnionych u Ciebie — w tym na umowach cywilnoprawnych (zlecenie, kontrakt B2B), jeżeli działają w ramach Twojego podmiotu,
• personelu administracyjnego i IT z faktycznym dostępem do danych.

Najważniejsza pułapka: forma umowy nie zwalnia z upoważnienia.

Rozróżnienie: jeśli współpracujesz z odrębnym podmiotem zewnętrznym, który przetwarza dane jako procesor (firma niszcząca dokumenty, dostawca systemu IT w chmurze, biuro rachunkowe), to zwykle nie wystarcza upoważnienie — potrzebna jest umowa powierzenia (art. 28 RODO). Upoważnienie dotyczy osób w ramach Twojej struktury; powierzenie — zewnętrznych podmiotów. W praktyce najwięcej wątpliwości budzi lekarz na kontrakcie (B2B): w zależności od modelu współpracy bywa traktowany raz jako osoba upoważniona w ramach struktury, raz jako odrębny administrator lub procesor — przy nietypowej konstrukcji warto potwierdzić kwalifikację z osobą odpowiedzialną za RODO.

Co powinno zawierać upoważnienie

• dane administratora (nazwa podmiotu, adres, NIP),
• dane osoby upoważnianej (imię, nazwisko, stanowisko/rola),
• zakres upoważnienia — jakie kategorie danych i w jakim celu,
• okres obowiązywania — najczęściej na czas zatrudnienia/współpracy,
• zobowiązanie do zachowania poufności (danych osobowych i — dla personelu medycznego — tajemnicy zawodowej),
• datę nadania oraz podpis administratora i osoby upoważnianej.

Przykładowy wzór upoważnienia (do dopasowania)

⚠️ To WZÓR poglądowy do dopasowania — nie kopiuj „w ciemno". Zakres, cel i podstawy dostosuj do realnych ról w placówce i zweryfikuj z osobą odpowiedzialną za RODO / prawnikiem.

[NAZWA PODMIOTU / GABINETU]
[adres], NIP: [___]
(Administrator danych)

Miejscowość, data: [___________]
Nr upoważnienia: [___/2026]

UPOWAŻNIENIE DO PRZETWARZANIA DANYCH OSOBOWYCH

Na podstawie art. 29 oraz art. 32 ust. 4 rozporządzenia Parlamentu
Europejskiego i Rady (UE) 2016/679 (RODO) upoważniam:

Panią/Pana: [imię i nazwisko]
Stanowisko / rola: [np. rejestratorka medyczna / asystentka / pielęgniarka]

do przetwarzania danych osobowych w następującym zakresie:

1. Cel przetwarzania: [np. obsługa rejestracji pacjentów, prowadzenie
   i udostępnianie dokumentacji medycznej, realizacja świadczeń zdrowotnych].
2. Kategorie danych: dane osobowe pacjentów, w tym dane dotyczące zdrowia
   (szczególna kategoria danych — art. 9 RODO), w zakresie niezbędnym do
   wykonywania powierzonych obowiązków.
3. Systemy/zbiory: [np. system gabinetowy ____, dokumentacja papierowa,
   rejestr wizyt].
4. Zakres czynności: [wgląd / wprowadzanie / modyfikacja / udostępnianie].

Upoważnienie obowiązuje od dnia [___] na czas [zatrudnienia / trwania umowy].

Osoba upoważniona zobowiązuje się do:
- przetwarzania danych wyłącznie na polecenie i w zakresie określonym
  przez Administratora,
- zachowania w poufności danych osobowych oraz sposobów ich zabezpieczenia,
  także po ustaniu zatrudnienia/współpracy,
- przestrzegania obowiązujących u Administratora zasad i procedur ochrony
  danych [oraz tajemnicy zawodowej — dla personelu medycznego].

........................................        ........................................
   Podpis Administratora                          Podpis osoby upoważnionej

Ewidencja upoważnień — nie zapomnij o niej

Samo wydanie upoważnienia to połowa roboty. Druga połowa to ewidencja osób upoważnionych — rejestr wszystkich nadanych (i odebranych) upoważnień: numer, imię i nazwisko, stanowisko, zakres, data nadania i ustania, kto upoważnił. To ewidencja pozwala odpowiedzieć kontrolerowi jednym rzutem oka: „kto ma dostęp do danych pacjentów i na jakiej podstawie?".

Najczęstsze błędy

1. Brak upoważnień dla zleceniobiorców i osób na kontrakcie.
2. Brak ewidencji — pojedyncze upoważnienia w segregatorze, bez rejestru.
3. Brak aktualizacji — zmiana stanowiska/zakresu albo odejście osoby bez odebrania upoważnienia i dostępu.
4. Zakres „na wszystko" — ogólnik zamiast zakresu dopasowanego do roli (zasada minimalizacji).
5. Brak daty i podpisów.

To element rozliczalności — sprawdzany przy kontroli

Upoważnienia i ich ewidencja to dowód, że panujesz nad dostępem do danych pacjentów. Przy kontroli (albo incydencie/skardze) jednym z pierwszych pytań jest: kto miał dostęp, w jakim zakresie i na jakiej podstawie. Z aktualnymi upoważnieniami + ewidencją odpowiadasz w minutę. Bez nich — wykazujesz brak kontroli nad danymi wrażliwymi (art. 5 ust. 2 RODO).

Generuj upoważnienia i prowadź ewidencję automatycznie

Najtrudniejsze nie jest napisanie upoważnienia — tylko utrzymanie aktualności: nowa osoba, zmiana zakresu, odejście pracownika. moje-rodo.pl generuje komplet dokumentów RODO dopasowanych do gabinetu — w tym upoważnienia dla personelu i ewidencję — w kilka minut. Treść prawnika, a system jest żywy: aktualizujesz dane personelu, dokumenty i rejestr nadążają. Komplet od 999 zł, abonament od 199 zł/mc za utrzymanie systemu w aktualności.

➡️ Zacznij od bezpłatnego audytu RODO dla gabinetu. W kilka minut pokażemy Ci, gdzie masz luki — w tym czy każda osoba z dostępem ma upoważnienie i czy prowadzisz ewidencję. → moje-rodo.pl

Najczęstsze pytania

Czy RODO wymaga pisemnego upoważnienia? RODO (art. 29 i 32 ust. 4) wymaga, by osoby z dostępem przetwarzały dane wyłącznie na polecenie administratora, ale nie narzuca wprost formy odrębnego druku. W praktyce pisemne upoważnienie to standardowy i najbezpieczniejszy sposób udokumentowania polecenia i spełnienia rozliczalności (art. 5 ust. 2).

Czy zleceniobiorca / lekarz na kontrakcie musi mieć upoważnienie? Jeśli działa w ramach Twojego gabinetu i ma dostęp do danych pacjentów — tak. Forma umowy tego nie zmienia. Inaczej jest, gdy to odrębny podmiot zewnętrzny — wtedy zwykle potrzebna umowa powierzenia (art. 28). Przy nietypowych modelach B2B kwalifikacja bywa niejednoznaczna i w razie wątpliwości warto ją potwierdzić.

Czym różni się upoważnienie od umowy powierzenia? Upoważnienie dotyczy osób wewnątrz Twojej struktury (personel). Umowa powierzenia (art. 28) dotyczy zewnętrznych podmiotów przetwarzających dane w Twoim imieniu (dostawca IT, firma niszcząca dokumenty).

Co powinna zawierać ewidencja osób upoważnionych? Najczęściej: numer upoważnienia, imię i nazwisko, stanowisko, zakres, datę nadania i ustania oraz kto upoważnił.

Co zrobić z upoważnieniem, gdy pracownik odchodzi? Odebrać je (zakończyć), odnotować w ewidencji i — równie ważne — odebrać faktyczny dostęp do systemów i dokumentacji.

Czy mogę użyć darmowego wzoru z internetu? Jako punkt wyjścia tak, ale trzeba go dopasować do realnych ról, powiązać z ewidencją i utrzymywać aktualność.

Powiązane artykuły

• RODO dla praktyk medycznych — od czego zacząć
• Dokumentacja RODO w gabinecie lekarskim — pełna lista
• Rejestr czynności przetwarzania (RCP) — wzór dla gabinetu

---

Materiał edukacyjny, nie porada prawna. Stan prawny: czerwiec 2026. Decyzję o zgodności podejmuje administrator danych (gabinet) — w razie wątpliwości skonsultuj z IOD/prawnikiem albo skorzystaj z moje-rodo, gdzie dokumenty i dowody powstają pod Twój profil.