Art. 41. Wymagania wobec osób dopuszczonych do przetwarzania danych osobowych

1. Do przetwarzania danych osobowych może być dopuszczona wyłącznie osoba zapewniająca bezpieczeństwo przetwarzanych danych osobowych oraz posiadająca upoważnienie do przetwarzania danych osobowych w ramach danej kategorii czynności przetwarzania, nadane przez administratora lub podmiot przetwarzający. Zatwierdzony przez administratora lub podmiot przetwarzający wniosek o nadanie uprawnień do dostępu do danych osobowych w ramach danej kategorii czynności przetwarzania uznaje się za nadanie takiego upoważnienia.

2. Wniosek o nadanie uprawnień dostępu do danych osobowych powinien zawierać:

1) imię i nazwisko, stanowisko, miejsce zatrudnienia osoby, której wniosek dotyczy;

2) zakres i czasookres dostępu do danych osobowych;

3) rodzaj danych osobowych i sposób ich przetwarzania.

3. Do wniosku należy dołączyć oświadczenie osoby, której wniosek dotyczy, o zobowiązaniu się do zapewnienia bezpieczeństwa danych osobowych, w tym ochrony przed niedozwolonym lub niezgodnym z prawem przetwarzaniem danych osobowych oraz ich przypadkową utratą, zniszczeniem lub uszkodzeniem.

4. Wniosek oraz oświadczenie, o których mowa odpowiednio w ust. 2 i 3, mogą być sporządzone w formie elektronicznej.

Komentarz do Art. 41.

Przepis określa, kto może zostać dopuszczony do przetwarzania danych osobowych oraz jak dokumentuje się takie uprawnienie. Dostęp może uzyskać wyłącznie osoba, która zapewnia bezpieczeństwo przetwarzanych danych i ma upoważnienie nadane przez administratora albo podmiot przetwarzający. Upoważnienie musi dotyczyć konkretnej kategorii czynności przetwarzania. Za jego nadanie uznaje się także zatwierdzony przez administratora lub podmiot przetwarzający wniosek o przyznanie dostępu do danych w ramach tej kategorii.

Wniosek o nadanie uprawnień powinien wskazywać trzy grupy informacji:

imię i nazwisko, stanowisko oraz miejsce zatrudnienia osoby, której dotyczy;
zakres i czasookres dostępu do danych osobowych;
rodzaj danych osobowych oraz sposób ich przetwarzania.

Oznacza to, że dokument powinien określać zarówno osobę uprawnianą, jak i granice jej dostępu. Zakres uprawnień nie jest opisany ogólnie, lecz odnosi się do rodzaju danych, sposobu ich przetwarzania oraz czasu, na jaki dostęp jest przyznawany.

Do wniosku trzeba dołączyć oświadczenie osoby, której on dotyczy. Osoba ta zobowiązuje się w nim do zapewnienia bezpieczeństwa danych, w tym do ochrony przed niedozwolonym lub niezgodnym z prawem przetwarzaniem, a także przed przypadkową utratą, zniszczeniem lub uszkodzeniem danych. Wniosek i oświadczenie mogą być sporządzone elektronicznie. W praktyce przepis tworzy więc pełny zestaw warunków dostępu, obejmujący upoważnienie, określenie jego zakresu oraz przyjęcie przez osobę odpowiedzialności za bezpieczeństwo przetwarzanych danych.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt uchwalony przez Sejm Rzeczypospolitej Polskiej, Dziennik Ustaw z 2023 r. poz. 1206.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 40.Art. 42.