| IFK | IRB | INFORLEX | GAZETA PRAWNA | INFORORGANIZER | APLIKACJE | KARIERA | SKLEP
reklama
Jesteś tutaj: STRONA GŁÓWNA > Moja firma > Biznes > Firma > Mała firma > ABC małej firmy > Kiedy firma będzie musiała powołać inspektora ochrony danych osobowych

Kiedy firma będzie musiała powołać inspektora ochrony danych osobowych

Od 25 maja 2018 r. obecnie obowiązujące przepisy o ochronie danych osobowych zostaną zastąpione przez nowe unijne Rozporządzenie ogólne o ochronie danych osobowych (RODO). Wśród wielu zmian, wprowadzona zostanie nowa funkcja – inspektora ochrony danych osobowych. Zastąpi on ABI (Administratora Bezpieczeństwa Informacji). Podmioty publiczne i niektórzy przedsiębiorcy będą musieli powołać inspektora ochrony danych osobowych. Jego rolą będzie nadzorowanie przestrzegania przepisów w zakresie ochrony danych i współpraca z organem nadzorczym.

Obowiązek powołania inspektora ochrony danych

Zgodnie z postanowieniami RODO ustanowienie inspektora ochrony danych osobowych będzie obowiązkowe nie tylko u administratorów danych (podmiotów decydujących o celach i środkach przetwarzania danych), ale także u podmiotów, którym powierzono przetwarzanie danych, jeżeli:

  1. przetwarzanie danych dokonywane będzie przez podmiot publiczny, za wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
  2. główna działalność administratora danych lub podmiotu przetwarzającego polegać będzie na operacjach przetwarzania, które wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę;
  3. główna działalność administratora danych lub podmiotu, któremu powierzono przetwarzanie polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (danych wrażliwych).

Pod pojęciem podmiotów publicznych należy rozumieć wszystkie jednostki administracji rządowej i samorządowej (urzędy, agencje, organy administracji itd.). Co do pozostałych podmiotów, działających w sferze prawa publicznego i realizujących zadania publiczne jak uczelnie, szkoły, szpitale rozstrzygnięcie należeć będzie do polskiego ustawodawcy.

Obowiązek powołania inspektora ochrony danych przez podmioty prywatne dotyczyć będzie tylko podmiotów wskazanych w punktach c i b, których główna działalność polega na przetwarzaniu danych na dużą skalę. Jak to rozumieć? Moim zdaniem należy sprawdzić, czy administrator danych lub podmiot przetwarzający spełniają następujące przesłanki:

  1. główna działalność podmiotu polega na przetwarzaniu danych. Główna działalność oznacza takie czynności, które polegają na bezpośredniej realizacji celów gospodarczych danej organizacji. Przykładowo, zatrudnianie pracowników nie jest zazwyczaj celem przedsiębiorcy jako takim, tylko niezbędnym działaniem dla realizacji podstawowego celu biznesowego: produkcji, handlu, świadczenia usług etc. W związku z tym niezależnie od ilości pracowników, samo przetwarzanie ich danych osobowych związanych z zatrudnieniem nie będzie wywoływało obowiązku powołania inspektora danych. Dla przedsiębiorców główna działalność to prowadzona przez nich działalność gospodarcza np. dla dealerów samochodowych będzie to sprzedaż aut, a dla szpitala świadczenie opieki zdrowotnej wobec pacjentów. Jeżeli jednak główna działalność podmiotu jest nieodłącznie związana z przetwarzaniem danych osobowych, jak ma to miejsce np. w wypadku świadczenia opieki zdrowotnej na rzecz pacjentów, lub agencji pośredniczącej w zatrudnianiu pracowników to wtedy podstawowa przesłanka dla obowiązku powołania inspektora ochrony danych osobowych będzie spełniona.
  2. Przetwarzanie danych dokonywane jest na dużą skalę. Obecnie brak jest wytycznych wskazujących konkretne liczby, które mogłyby jednoznacznie określać, kiedy następuje przetwarzanie na dużą skalę. W mojej opinii można założyć, że np. przetwarzanie danych osób ubezpieczonych dokonywane przez towarzystwo ubezpieczeniowe będzie działaniem na dużą skalę, podczas gdy operowanie na danych osobowych tych samych kategorii osób przez samodzielnego agenta ubezpieczeniowego raczej takim przetwarzaniem nie będzie. Uważam też, że przetwarzanie danych przez szpital, będzie przetwarzaniem na dużą skalę, podczas gdy przetwarzanie ich przez lekarza prowadzącego indywidualną praktykę, nie będzie kwalifikować się do tej kategorii.

Jeżeli przesłanki wymienione powyżej są spełnione łącznie, dla powstania obowiązku ustanowienia inspektora ochrony danych konieczne będzie dodatkowo wystąpienie jednej z dwóch poniższych okoliczności:

  1. Operacje przetwarzania danych wymagają regularnego i systematycznego monitorowania osób, których te dane dotyczą – monitorowanie osób występować będzie w szczególności w środowisku internetowym (aplikacje mobilne, usługi lokalizacyjne, rozwiązania typu smart), ale nie jest to pojęcie ograniczone wyłącznie do tej sfery, przesłanka ta będzie spełniona wszędzie tam gdzie w sposób zorganizowany i stały obserwowane jest zachowanie osób fizycznych, co ma także miejsce w przypadku m. in. usług bankowych, telekomunikacyjnych, leczniczych, ubezpieczeniowych, programów lojalnościowych itd.; albo
  2. Przetwarzanie danych następuje na dużą skalę i dotyczy danych wrażliwych. Chodzi tu o dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej, dane dotyczące zdrowia, seksualności lub orientacji seksualnej, a także dane dotyczące wyroków skazujących oraz naruszeń prawa lub powiązanych środków bezpieczeństwa.

Jeżeli powyższe przesłanki są spełnione, wówczas przedsiębiorca lub inny podmiot niebędący organem administracji ma obowiązek powołania inspektora ochrony danych.

Sprawdź: INFORLEX SUPERPREMIUM

reklama

Polecamy artykuły

Data publikacji:

Ekspert:

KSP Legal & Tax Advice

Tworzymy rozwiązania dla biznesu. Zespół Doradztwa Podatkowego. Obsługa prawna.

Zdjęcia

Czy trzeba powołać inspektora ochrony danych osobowych w firmie
Czy trzeba powołać inspektora ochrony danych osobowych w firmie

Grzegorz Olszewski – radca prawny w Kancelarii KSP Legal & Tax Advice w Katowicach
Grzegorz Olszewski – radca prawny w Kancelarii KSP Legal & Tax Advice w Katowicach

CIT 2018. Komentarz299.00 zł

Narzędzia przedsiębiorcy

POLECANE

Dotacje dla firm

reklama

Ostatnio na forum

Fundusze unijne

Pomysł na biznes

Eksperci portalu infor.pl

Miłosz Hady

Radca prawny

Zostań ekspertem portalu Infor.pl »
Notyfikacje
Czy chcesz otrzymywać informacje o najnowszych zmianach? Zaakceptuj powiadomienia od mojafirma.Infor.pl
Powiadomienia można wyłączyć w preferencjach systemowych
NIE
TAK