Dokumenty RODO dla pracownika: podpisy pierwszego dnia i akta osobowe

Szkolenie wstępne BHP i aktualne orzeczenie lekarskie to papiery, bez których nie dopuścisz nowej osoby do pracy (art. 237³ § 2 i art. 229 § 4 Kodeksu pracy). Dokumenty RODO dla pracownika nie mają w przepisach tak wyraźnego zakazu dopuszczenia do pracy, więc łatwo odłożyć je na później.

A potem pracownik odchodzi i w jego teczce nie ma ani upoważnienia do przetwarzania danych, ani oświadczenia o poufności. Takiego braku kadry już nie uzupełnią. Z tego wpisu dowiesz się, jakie podpisy zebrać pierwszego dnia, dlaczego właśnie wtedy, gdzie je trzymać w aktach osobowych i co zrobić, jeśli firma działa od lat bez nich.

Jakie dokumenty RODO podpisuje pracownik w dniu zatrudnienia?

Przepisy nie podają jednej listy dokumentów RODO, które podpisuje pracownik. Zalecamy trzy podpisy RODO i zebranie ich tego samego dnia co dokumenty BHP, przy jednym stole:

Upoważnienie wydaje firma. Dobre upoważnienie wskazuje z imienia i nazwiska, kogo dotyczy, do jakich danych i programów daje dostęp i kto w imieniu firmy je wydał (podpis tej osoby). Brak nazwiska i podpisu to dokładnie to, za co urząd odrzucił upoważnienia „z automatu”, o czym niżej. W oświadczeniu pracownik potwierdza, że zna firmowe zasady ochrony danych i zachowa w tajemnicy dane, do których ma dostęp. Potwierdzenie szkolenia pokazuje, że zasady ktoś mu wyjaśnił, a nie tylko podsunął do przeczytania.

Upoważnienie dotyczy osób, które mają dostęp do danych osobowych (art. 29 RODO). Informację o tym, jak przetwarzasz dane samego pracownika, przekazujesz osobno: najpierw przy rekrutacji, a potem przy zatrudnieniu, bo wtedy zbierasz nowe dane w nowych celach (art. 13 ust. 1 i 3 RODO). Jak często powtarzać szkolenie z ochrony danych i jak udokumentować, że zadziałało, piszemy we wpisie Szkolenie RODO obok BHP: jak często i jak dokumentować skuteczność.

Dlaczego upoważnienie podpisać przed pierwszym logowaniem?

Bo obowiązek zaczyna się razem z dostępem do danych. Każda osoba, która działa z upoważnienia administratora i ma dostęp do danych, przetwarza je wyłącznie na jego polecenie, a administrator ma o to zadbać (art. 29 i art. 32 ust. 4 RODO). Administrator to w tym przypadku Ty, czyli firma, która decyduje, po co i jak używa danych.

Do tego dochodzi rozliczalność: masz nie tylko przestrzegać zasad, ale też umieć to wykazać (art. 5 ust. 2 i art. 24 ust. 1 RODO). Upoważnienie z datą o trzy miesiące późniejszą niż początek pracy nie wykaże niczego za te trzy miesiące. Pokaże raczej, że przez ten czas pracownik korzystał z danych, a w teczce nie było na to żadnego dokumentu.

Czy upoważnienie do przetwarzania danych osobowych dla pracownika musi być na piśmie?

Co do zasady nie. Prezes Urzędu Ochrony Danych Osobowych (UODO) w opinii z 2025 r. (DPNT.401.329.2025) napisał, że RODO nie wymaga pisemnych upoważnień. Upoważnienie może mieć formę pisemną albo dokumentową (np. plik czy mail), może też wynikać z czynności faktycznej, np. z tego, że przełożony założył pracownikowi konto w programie i zlecił mu pracę na danych. Kto rezygnuje z pisma, ma jednak umieć wykazać, że upoważnienia nadał i że ktoś realnie kontroluje dostęp do danych.

W kadrach są dwa wyjątki. Pierwszy to art. 22¹b § 3 Kodeksu pracy: do danych szczególnych kategorii, np. o zdrowiu, które pracownik przekazał z własnej inicjatywy, mogą mieć dostęp tylko osoby z pisemnym upoważnieniem pracodawcy. Drugi dotyczy firm, które mają procedurę przyjmowania zgłoszeń od sygnalistów, czyli osób zgłaszających naruszenia prawa w firmie (obowiązkową od 50 osób pracujących zarobkowo, a w niektórych branżach, np. finansowej, bez względu na liczbę osób; mniejsze firmy mogą ją mieć dobrowolnie): osoby, które przyjmują takie zgłoszenia, też potrzebują pisemnego upoważnienia (art. 27 ust. 2 ustawy o ochronie sygnalistów). Forma pisemna oznacza podpis własnoręczny, a w wersji elektronicznej tylko kwalifikowany podpis elektroniczny (art. 78 i art. 78¹ Kodeksu cywilnego). Ciekawostka: dawna ustawa o ochronie danych osobowych z 1997 r. też nie wymagała wprost pisma. Wymagała upoważnienia przed dopuszczeniem do danych i ewidencji osób upoważnionych (art. 37 i art. 39).

Jeśli dokumenty od pracowników, np. te z danymi o zdrowiu, przychodzą do kadr na darmową pocztę, sprawdź też umowę powierzenia z jej dostawcą. Piszemy o tym we wpisie RODO w rekrutacji i kadrach: CV i dane pracowników na darmowym Gmailu, WP, Onecie i Interii.

Uważaj za to na upoważnienia „z automatu”. W sprawie opisanej w komunikacie UODO z 23 lutego 2026 r. nowi pracownicy zaliczali test na platformie szkoleniowej, a system sam tworzył plik z ogólnikową formułką sugerującą, że to upoważnienie, bez imienia i nazwiska pracownika i bez podpisu osoby udzielającej upoważnienia. Urząd uznał, że to nie jest upoważnienie, i stwierdził naruszenie art. 29 i art. 32 ust. 4 RODO. Za niewdrożenie środków organizacyjnych, w tym prawidłowych upoważnień, duża firma kurierska dostała 5,209 mln zł kary (wysokość kary zależy m.in. od skali firmy). Jak wygląda korespondencja z urzędem po stronie pracodawcy, opisujemy we wpisie Pismo z UODO u pracodawcy: o co pyta urząd i jak odpowiedzieć.

Pracownik odszedł bez podpisu: czego kadry nie uzupełnią

Podpisu z okresu zatrudnienia. Były pracownik nie musi Ci już niczego podpisywać. A jeśli się zgodzi, uczciwy dokument będzie miał dzisiejszą datę. Upoważnienia, oświadczenia ani potwierdzenia szkolenia nie da się złożyć wstecz.

Pokusa bywa prosta: wydrukować formularz, wpisać datę sprzed dwóch lat i podpisać. To nie jest uzupełnienie dokumentacji, tylko dokument, który mija się z prawdą co do daty. Z punktu widzenia prawa karnego liczy się, kto i jak go podpisał:

• podpis złożony za byłego pracownika to podrobienie dokumentu. Jeśli ktoś robi to po to, żeby papier uchodził za prawdziwy, art. 270 § 1 Kodeksu karnego przewiduje karę pozbawienia wolności od 3 miesięcy do 5 lat, a w wypadku mniejszej wagi łagodniejszą;
• prawdziwy podpis z fałszywą datą, np. osoby, która w firmie wydaje upoważnienia, to inna sytuacja. Poświadczenie nieprawdy z art. 271 Kodeksu karnego dotyczy funkcjonariusza publicznego lub innej osoby uprawnionej do wystawienia dokumentu, a Sąd Najwyższy łączy to uprawnienie z charakterem publicznoprawnym, nie z dokumentami prywatnymi (wyrok SN z 27 czerwca 2012 r., V KK 112/12). Ten wyrok dotyczył jednak fikcyjnej umowy o pracę i zaświadczenia o zarobkach, a nie upoważnienia wydawanego w wykonaniu obowiązku z RODO. Ocena konkretnej sprawy zawsze należy do prokuratora i sądu.

Nawet gdy antydatowanie nie jest przestępstwem, nadal nie jest dowodem. Rozliczalność polega na pokazaniu, jak było naprawdę. W aktach osobowych widać to zresztą gołym okiem: dokumenty w każdej części leżą w porządku chronologicznym, są numerowane, a każda część ma wykaz (§ 4 ust. 1 rozporządzenia w sprawie dokumentacji pracowniczej). Kartka z dawną datą, dołożona po roku, do tego porządku nie pasuje.

Zamiast tego szukasz śladów z tamtego czasu. Według Prezesa UODO upoważnienie może wynikać także z czynności faktycznej, więc liczą się ślady decyzji firmy o dostępie: zakres obowiązków, maile przełożonego, data założenia konta w programie. Lista obecności ze szkolenia pokaże, że zasady wyjaśniono, ale samo szkolenie upoważnieniem nie jest. Dołączasz te ślady do dokumentacji i opisujesz brak w notatce z dzisiejszą datą.

Akta osobowe część B czy segregator RODO: gdzie trzymać podpisy?

Akta osobowe mają pięć części, od A do E (§ 3 rozporządzenia w sprawie dokumentacji pracowniczej). Część A to dokumenty z etapu ubiegania się o pracę, a także skierowania i orzeczenia z badań lekarskich (wstępnych, okresowych i kontrolnych), część B to nawiązanie stosunku pracy i przebieg zatrudnienia, część C to jego zakończenie, część D to kary porządkowe, a część E to kontrola trzeźwości.

Papiery BHP z pierwszego dnia rozporządzenie wprost kieruje do części B: potwierdzenie zapoznania z przepisami BHP, potwierdzenie informacji o ryzyku zawodowym i dokumenty ze szkolenia BHP. Upoważnienia RODO z nazwy tam nie ma. Lista dokumentów w części B zaczyna się jednak od słów „w tym”, więc jest otwarta, a upoważnienie wiąże się z przebiegiem zatrudnienia. Dlatego podpisane upoważnienie, oświadczenie i potwierdzenie szkolenia z ochrony danych możesz włożyć do części B, obok dokumentów ze szkolenia BHP.

Najważniejsze, żeby przy każdym pracowniku dało się szybko pokazać trzy podpisy z datą pierwszego dnia. Akta przechowujesz przez cały okres zatrudnienia i 10 lat od końca roku, w którym stosunek pracy się skończył, chyba że odrębne przepisy przewidują dłuższy okres (art. 94 pkt 9b Kodeksu pracy). Podpisy z części B zostają więc razem z resztą teczki.

Zleceniobiorca, student na praktykach czy stażysta z urzędu pracy akt osobowych nie ma, bo rozporządzenie dotyczy pracowników. Art. 29 RODO nie pyta jednak o rodzaj umowy, więc podpisy zbierasz tak samo i odkładasz je w dokumentacji RODO firmy. Inaczej jest z firmą zewnętrzną, np. biurem rachunkowym, która przetwarza dane na Twoje zlecenie u siebie. Z nią zawierasz umowę powierzenia (art. 28 RODO), a nie upoważnienie.

Ewidencja osób upoważnionych do przetwarzania danych osobowych

Ewidencji nie wkładasz do teczki pracownika, bo to jedno zestawienie dla całej firmy. RODO nie wymaga jej z nazwy, ale to najprostszy sposób, żeby wykazać, kto i od kiedy miał dostęp do danych. Układ możesz wziąć z art. 39 dawnej ustawy: imię i nazwisko, data nadania i ustania upoważnienia, jego zakres oraz login, jeśli dane są w programie.

Nową osobę dopisujesz w dniu podpisania upoważnienia, a w dniu odejścia wpisujesz datę ustania. To też dobry moment, żeby odebrać loginy i klucze.

Firma działa od lat bez dokumentów RODO dla pracowników: jak to uporządkować

Przeszłości nie poprawisz. Możesz za to od dziś mieć porządek i umieć pokazać, od kiedy go masz.

Krok czwarty zamyka sprawę na przyszłość. Szkolenie wstępne i tak musi się odbyć przed dopuszczeniem do pracy, więc trzy dodatkowe podpisy nie wymagają osobnego terminu. Ile czasu zarezerwować na samo szkolenie, wyjaśniamy we wpisie Ile trwa szkolenie wstępne BHP: skrót do 1,5 godziny to za mało, a zakres naszych szkoleń wstępnych znajdziesz w ofercie.

Najczęstsze pytania o dokumenty RODO dla pracownika

Trzy podpisy RODO w tej samej teczce co BHP

Pamiętaj: podpisy RODO zbierasz tego samego dnia co dokumenty BHP, zanim nowa osoba dostanie login i klucze. Wtedy w teczce masz dowód z właściwą datą, a przy odejściu pracownika wpisujesz już tylko datę ustania upoważnienia w ewidencji.

Wzory upoważnień i zobowiązań do poufności dla pracowników są częścią dokumentacji RODO, którą przygotowujemy w Lejdis Prawo. Napisz albo zadzwoń, jeśli chcesz uporządkować podpisy u obecnych pracowników.