Upoważnienie do przetwarzania danych osobowych jest wymagane przez art. 37 ustawy o ochronie danych osobowych. Upoważnienie należy wydać każdemu pracownikowi, który przetwarza dane osobowe, niezależnie od tego czy wykonuje zawód medyczny czy inny. Upoważnienie powinno zawierać zakres, na jaki jest udzielane. Z praktycznego punktu widzenia lepiej jest wydać upoważnienie na zakres ogólny, ale możliwy do określenia.