Upoważnienie do przetwarzania danych tylko dla pracowników lub zleceniobiorców

Rozstrzygnięcie kwestii czy z podmiotem wykonującym usługę na rzecz administratora powinna być zawarta umowa powierzenia czy udzielone upoważnienie do przetwarzania danych zależy od m. in. od charakteru współpracy z tym podmiotem i jego umiejscowienia w strukturze organizacyjnej administratora danych. 

Zasadniczo należy zawrzeć umowę powierzenia przetwarzania danych w tych sytuacjach, w których administrator danych, zlecając wykonanie usługi podmiotowi zewnętrznemu, przekazuje mu dane osobowe. Warunkiem prawidłowego powierzenia danych osobowych jest zawarcie umowy powierzenia danych, ewentualnie skorzystanie z innego instrumentu prawnego, który podlega prawu Unii lub prawu państwa członkowskiego. W przypadku powierzenia danych dochodzi do przetwarzania danych przez inny podmiot jednakże w imieniu administratora. Podmiot, któremu powierzono dane nie realizuje własnych celów przetwarzania danych, a cele określone przez administratora danych (art. 28 RODO).

Natomiast upoważnienie do przetwarzania danych jest nadawane przez administratora danych konkretnej osobie fizycznej. Z upoważnienia wynika uprawnienie do przetwarzania danych osobowych w określonym zakresie i czasie (art. 29 RODO). Najczęściej upoważnienia wydawane są pracownikom administratora danych, którzy mają dostęp do danych osobowych i w ramach wykonywania obowiązków służbowych przetwarzają dane osobowe (nie ma znaczenia, czy pracownicy ci zatrudnieni są na podstawie umowy o pracę czy umowy cywilnoprawnej).

W opisanym przypadku należy więc zawrzeć umowę powierzenia przetwarzania danych z firmą sprzątającą, która zatrudnia sprzątaczki. Urząd nie łączy bowiem z osobami sprzątającymi żaden stosunek prawny, nie są one członkami personelu administratora i nie podlegają jego kontroli.