Ewidencja upoważnień dostępna dla wszystkich pracowników

Podmiot przetwarzający oraz każda osoba działająca z „upoważnienia” administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego (art. 29 RODO). Dodatkowo art. 32 ust 4 RODO wskazuje, że administrator oraz podmiot przetwarzający podejmują działania w celu zapewnienia, by każda osoba fizyczna działająca z „upoważnienia” administratora lub podmiotu przetwarzającego, która ma dostęp do danych osobowych, przetwarzała je wyłącznie na polecenie administratora, chyba że wymaga tego od niej prawo Unii lub prawo państwa członkowskiego.

W praktyce nie można wykluczyć, że liczna grupa pracowników zatrudnionych u konkretnego pracodawcy (administratora danych osobowych) będzie posiadała z racji wykonywanych obowiązków upoważnienia do przetwarzania danych. W takim przypadku pracodawca może rozważyć wprowadzenie rejestru (ewidencji) upoważnień i umieszczenie jego w miejscu dostępnym dla pracowników. Z uwagi na ograniczony zakres danych osobowych zawartych w takiej ewidencji – danych, które zwyczajowo są wiadome dla osób zatrudnionych (w relacjach pracowniczych) możemy przyjąć, iż umieszczenie takiego rejestru w miejscu dostępnym dla pracowników nie będzie działaniem bezprawnym. Wręcz przeciwnie, będzie to usprawiedliwione potrzebą zapewnienia sprawnej organizacji procesu pracy. Trudno bowiem przyjąć, iż sprawności organizacji pracy będzie sprzyjała sytuacja, w ramach której rejestr upoważnień znajdowałby się u konkretnej upoważnionej osoby, która byłaby w praktyce jednym źródłem informacji dotyczącym faktu upoważnienia innych osób do przetwarzania danych osobowych.

Sam obowiązek prawny nadawania upoważnień przez administratora nie stanowi jeszcze podstawy prowadzenia rejestru upoważnień. Podstawą prawną prowadzenia takiego rejestru może być art 6 ust. 1 lit. c RODO – w kontekście obowiązku pracodawcy zakresie pełnego wykorzystania czasu pracy, w tym zmniejszania uciążliwości pracy. Można również rozważyć zastosowanie przepisu art. 6 ust. 1 lit. f RODO poprzez odwołanie się do prawnie uzasadnionych interesów realizowanych przez administratora.