Inspektor ochrony danych osobowych. Kim jest IOD i czym się zajmuje?

Inspektor ochrony danych osobowych (IOD) to osoba odpowiedzialna za nadzór nad przestrzeganiem przepisów ochrony danych osobowych w organizacji. Jej głównym zadaniem jest monitorowanie i kontrola zgodności działań firmy z prawem ochrony danych, udzielanie informacji i porad dotyczących przetwarzania danych oraz współpraca z organem nadzorczym ds. ochrony danych osobowych.

Inspektora ochrony danych powołuje administrator lub podmioty przetwarzające.

Obowiązki w zakresie ochrony danych osobowych

Obowiązkowe zadania inspektora ochrony danych zostały wprost określone w RODO i należą do nich:

• informowanie administratora i/lub podmiotu przetwarzającego o obowiązkach wynikających z RODO oraz innych przepisów Unii, lub państw członkowskich o ochronie danych,
• monitorowanie przestrzegania RODO, innych właściwych przepisów Unii lub państw członkowskich o ochronie danych osobowych,
• monitorowanie przestrzegania polityk ochrony danych osobowych,
• prowadzenie działań zwiększających świadomość personelu w zakresie obowiązków wynikających z RODO lub przyjętych polityk administratora (działania zwiększające świadomość personelu administratora/podmiotu przetwarzającego są niezwykle istotnym elementem całego systemu ochrony danych osobowych. Wg statystyk pracownik stanowi najpoważniejsze źródło naruszeń ochrony danych osobowych. Szkolenia personelu uczestniczącego w procesach związanych z operacjami przetwarzania danych są zatem kluczowe). O obowiązkach spoczywających na pracownikach w związku z przetwarzaniem danych nie wystarczy poinformować raz – to proces ciągły i tylko taki zapewni właściwy poziom świadomości,
• udzielanie zaleceń co do oceny skutków dla ochrony danych – monitorowanie wykonania i ocena prawidłowości przeprowadzonej oceny skutków dla ochrony danych (Inspektor, na podstawie oceny ryzyka związanego z przetwarzaniem danych w określonym procesie doradza, czy należy przeprowadzić ocenę skutków dla ochrony danych),

Poza tym do obowiązków IOD należą:

• współpraca z organem nadzorczym oraz pełnienie funkcji punktu kontaktowego dla Prezesa UODO w kwestiach związanych z przetwarzaniem danych (np. w postępowaniach administracyjnych prowadzonych przez Urząd). Zgodnie z artykułem 39 (1)(d) i (e) RODO, "IOD powinien „współpracować z organem nadzorczym” i „pełnić funkcję punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o których mowa w art. 36, oraz w stosownych przypadkach prowadzić konsultacje we wszelkich innych sprawach.”
• pełnienie funkcji punktu kontaktowego dla podmiotów danych (osoby, których dane dotyczą, mogą kontaktować się z Inspektorem Ochrony Danych we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz wykonywaniem praw przysługujących im na mocy RODO – art. 38 ust. 4 RODO),
• uczestniczenie w konsultacjach we wszelkich sprawach w zakresie ochrony danych osobowych.

Inspektor ochrony danych osobowych. Najważniejsze zadania

Wiemy już, że główne zadania Inspektora ochrony danych polegają na wypełnianiu obowiązków wskazanych powyżej.

Obowiązki Inspektora ochrony danych osobowych często jednak nie ograniczają się do nich. W zakresie wykonywania swoich zadań Inspektor ochrony danych bierze również udział w procesie realizacji praw osób, reaguje na skargi osób, których dane dotyczą.

Istotnym elementem jego codziennej pracy jest również współpraca z organem nadzorczym, czy dokonywanie oceny naruszenia, jeżeli takie wystąpi, a także kontrola podmiotów przetwarzających zgodnie z uprawnieniami, które przysługują administratorom na mocy RODO.

Obowiązki Inspektora ochrony danych to również:

• przygotowanie i/lub opiniowanie umów powierzenia przetwarzania danych (a także prowadzenie rejestru zawartych umów),
• koordynowanie zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych (jeżeli wystąpią okoliczności obowiązku zgłoszenia),
• opracowywanie treści klauzul informacyjnych dla osób, których dane dotyczą i zgód na przetwarzanie danych,
• opracowywanie treści pism, do osób których dane dotyczą/UODO,
• udział w procesach certyfikacji oraz przystępowania do funkcjonujących kodeksów postępowania.

Zadania IOD to zatem bardzo szeroki wachlarz obowiązków.

Ważne, aby zadania IOD nie rodziły konfliktu interesów i nie naruszały zasady niezależności IOD. Konflikt interesów może powstać np., gdy zewnętrzny Inspektor ochrony danych zostanie poproszony o reprezentowanie administratora lub podmiotu przetwarzającego przed sądem w sprawie dotyczącej ochrony danych osobowych. Zadania inspektora ochrony danych powinny być zatem precyzyjnie określone, a jego wiedza z zakresu ochrony danych osobowych zweryfikowana.

Jakie kwalifikacje i doświadczenie powinien posiadać Inspektor ochrony danych? Czy na sprawowanie tej funkcji administrator/podmiot przetwarzający powinien powołać pracownika czy też zatrudnić podmiot zewnętrzny?

Obowiązki Inspektora ochrony danych mogą być wykonywane skutecznie pod warunkiem, że posiada on:

• fachową wiedzę z zakresu krajowych i europejskich przepisów dotyczących ochrony danych osobowych;
• fachową wiedzę z zakresu praktyk w dziedzinie ochrony danych osobowych;
• dogłębną znajomość przepisów Rozporządzenia o ochronie danych osobowych;
• wiedzę biznesową i sektorową dotycząca działalności administratora;
• odpowiednią wiedzę na temat procesów przetwarzania danych, systemów informatycznych oraz zabezpieczeń stosowanych u administratora i jego potrzeb w zakresie ochrony danych;
• w przypadku organów i podmiotów publicznych IOD powinien również wykazywać się znajomością procedur administracyjnych i funkcjonowania jednostki.

Wymagany poziom wiedzy inspektora ochrony danych musi być współmierny do charakteru, stopnia skomplikowania i ilości danych przetwarzanych przez administratora/podmiot przetwarzający.

Grupa Robocza Art. 29 w Wytycznych dotyczących inspektorów w odniesieniu do umiejętności wykonywania zadań inspektora ochrony danych wskazuje, że priorytetem dla niego powinno być zapewnienie przestrzegania rozporządzenia parlamentu europejskiego.

IOD ma odgrywać kluczową rolę w zakresie wspierania „kultury ochrony danych” oraz pomagać w implementacji niezbędnych elementów RODO, tj.:

• zasad przetwarzania danych osobowych,
• praw osób, których dane dotyczą,
• ochrony danych w fazie projektowania oraz domyślnej ochrony danych,
• rejestru czynności przetwarzania
• wymogów bezpieczeństwa przetwarzania,
• zgłaszania naruszeń.

Wybór inspektora ochrony danych powinien być poprzedzony rzetelną analizą dotyczącą jego umiejętności, a także cech osobowych.

Zgodnie z art. 37 ust. 6 Rozporządzenia o ochronie danych osobowych u podmiotów, które przetwarzają dane osobowe, zadania inspektora ochrony danych może wypełniać zarówno pracownik, jak i osoba spoza grona pracowników tych podmiotów. Istotne jest jednak, by osoba wykonująca funkcję IOD na podstawie umowy o świadczenie usług spełniała wszystkie wymogi stawiane przez RODO, np. wymogi dotyczące unikania konfliktu interesów, gwarancji niezależności, łatwości nawiązania kontaktu z inspektorem, właściwego i terminowego włączania go we wszystkie sprawy dotyczące ochrony danych osobowych.

GR Art. 29 rekomenduje by administrator jasno, np. w umowie z Inspektorem, ale również w informacjach przekazywanych pracownikom, kierownikom i innym, wskazał zakres obowiązków IOD w danej organizacji, w szczególności w kontekście przeprowadzania oceny skutków dla ochrony danych.

Podkreślenia wymaga fakt, iż konieczne jest zawiadomienie organu nadzorczego o wyznaczeniu konkretnej osoby oraz jak wynika z art. 10 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, podania następujących informacji tj.: imię, nazwisko oraz adres poczty elektronicznej lub numer telefonu inspektora.

Obowiązek powołania Inspektora ochrony danych

Obowiązkowe wyznaczenie inspektora przewiduje art. 37 ust 1 RODO Ogólnego rozporządzenie o ochronie danych i są to następujące przypadki: 

• gdy przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości.

Przez organy i podmioty publiczne obowiązane do wyznaczenia IOD, o których mowa w art. 37 ust. 1 lit., a RODO, rozumie się jednostki sektora finansów publicznych (np. jednostki samorządu terytorialnego, uczelnie publiczne), instytuty badawcze oraz Narodowy Bank Polski (art. 9 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych).

• główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą na dużą skalę (mówimy tu o operacjach przetwarzania stanowiących wszelkie formy śledzenia i profilowania w sieci, w tym przetwarzanie danych do celów reklamy behawioralnej. Nie jest to jednak ograniczone jedynie do środowiska online i śledzenie w sieci powinno być traktowane jedynie jako jeden z przykładów monitorowania zachowań osób, których dane dotyczą).
• główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o których mowa w art. 10 RODO

W interpretacji terminów „główna działalność”, „regularne i systematyczne monitorowanie” i „na dużą skalę”) pomocne mogą być motywy RODO oraz Wytyczne Grupy Roboczej art. 29 dotyczące inspektora ochrony danych.

W pozostałych przypadkach wyznaczenie inspektora będzie fakultatywne. Jednakże nawet w sytuacji, gdy z przepisów nie wynika obowiązek wyznaczenia IOD, Grupa Robocza art. 29 w swoich wytycznych dotyczących inspektora ochrony danych zaleca administratorom i podmiotom przetwarzającym udokumentowanie wewnętrznej procedury, przeprowadzonej w celu ustalenia i uwzględnienia poszczególnych przesłanek z art. 37 ust. 1 RODO istnienia lub braku tego obowiązku.

Należy zwrócić uwagę, że artykuł 37 RODO w kontekście powołania Inspektora ma zastosowanie zarówno do administratorów, jak i podmiotów przetwarzających dane.

Obowiązki administratora w związku z powołaniem IOD

Administrator, w związku z powołaniem IOD powinien pamiętać o podstawowych zasadach, których musi przestrzegać w związku z tym powołaniem. Powinien m.in. dopilnować, by IOD był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych w organizacji.

Powinien zapewnić, aby IOD uczestniczył w podejmowaniu decyzji mających wpływ na ochronę danych w organizacji i by mógł zapoznać się z niezbędnymi informacjami, które powinny zostać mu odpowiednio wcześniej udostępnione, poinformować wszystkich pracowników o fakcie powołania inspektora ochrony danych oraz zapewnić im stały kontakt z Inspektorem.

27 pytań Urzędu ochrony Danych Osobowych — działalność IOD kontrolowana przez organ nadzorczy

Urząd Ochrony Danych Osobowych opublikował 27 pytań dotyczących inspektorów ochrony danych osobowych i kieruje je obecnie do administratorów danych celem oceny prawidłowości powoływania i funkcjonowania inspektorów ochrony danych. UODO, wykorzystując swoje uprawnienia nadzorcze określone w art. 58 RODO, już wcześniej badał przypadki potencjalnych naruszeń przepisów dotyczących inspektora danych osobowych. 

Naruszenia te dotyczyły najczęściej:

• nieopublikowania na stronie internetowej administratora imienia i nazwiska inspektora,
• nieaktualizowania danych inspektora na stronie internetowej administratora,
• pomijania inspektora w sprawach dotyczących przetwarzania danych osobowych (w tym takich, w których administratorzy prosili o opinię UODO, nie zwracając się wcześniej o opinię do inspektora),
• przyjęcia procedur obciążających inspektora obowiązkami powodującymi konflikt interesów,
• zapisania w regulaminie organizacyjnym, że IOD może być odwołany w każdym czasie,
• przyczyn odwołania inspektora ochrony danych,
• nieprawidłowego usytuowania IOD w strukturze organizacyjnej administratora – IOD nie podlegał bezpośrednio najwyższemu kierownictwu,
• niezapewnienia inspektorowi wystarczającej ilości czasu oraz innych zasobów niezbędnych do wykonywania jego zadań,
• niezapewnienia inspektorowi wsparcia finansowego, infrastrukturalnego oraz możliwości aktualizowania wiedzy.

Na bazie zgłoszeń inspektorów ochrony danych osobowych oraz swoich doświadczeń UODO stworzył wspomnianą listę pytań. Kierowane są one zarówno do administratorów danych osobowych, jak i podmiotów przetwarzających z sektora publicznego i prywatnego. 

Nieprawidłowości mogą zostać uznane za naruszenie RODO, a negatywne konsekwencje mogą dotknąć administratorów/podmioty przetwarzające również w przypadku odmowy udzielenia odpowiedzi lub udzielenia ich w formie niepełnej.

Zaufaj ekspertom w dziedzinie ochrony danych osobowych

Nie każda organizacja jest zobowiązana do wyznaczenia Inspektora ochrony danych, jednak prawie każda przetwarza dane osobowe i w związku z tym musi przestrzegać przepisów w tym zakresie obowiązujących. Fachowa wiedza IOD-a, jego doświadczenie i umiejętności personalne mogą ułatwić prowadzenie działalności przez administratora i zminimalizować ryzyko wystąpienia naruszenia przepisów w zakresie ochrony danych osobowych, a co za tym idzie zminimalizować ryzyko otrzymania kary pieniężnej, nadszarpnięcia wizerunku, czy utraty klientów.

Potrzebujesz sprawdzonej osoby na stanowisko Inspektora Ochrony Danych, która zminimalizuje ryzyko wystąpienia naruszeń ochrony danych osobowych i nałożenia kar? Napisz do nas maila: biuro@lexdigital.pl lub zadzwoń: +48 500 214 942. Więcej o korzyściach outsourcingu funkcji IOD dowiesz się z tego artykułu.