Jak określić zakres upoważnienia do przetwarzania danych

Podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego (art. 29 RODO). Żaden przepis nie określa treści takiego upoważnienia, co oznacza, że w upoważnieniu nie ma obowiązku wskazywania kategorii czy zbiorów danych osobowych. W praktyce w upoważnieniu ujmuje się cel, w jakim dane osobowe będą przetwarzanie w ramach upoważnienia. W ten sposób można dość łatwo ograniczyć zakres upoważnienia.