Zgodnie z ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych, administratorzy i podmioty przetwarzające, którzy nie powołali administratora bezpieczeństwa informacji (ABI), a mają obowiązek wyznaczenia IOD wynikający z RODO, powinni do 31 lipca 2018 r. przesłać do Prezesa UODO zawiadomienie o jego wyznaczeniu. Na realizację tego obowiązku ustawodawca przewidział czas od momentu wejścia w życie ustawy o ochronie danych osobowych. Zatem był na to czas od 25 maja 2018 r. do 31 lipca 2018 r.
Zawiadamianie drogą elektroniczną
Co ważne, zgodnie z art. 10 ust. 6 ustawy o ochronie danych osobowych, jedynym prawidłowym i skutecznym sposobem zawiadomienia Prezesa UODO o wyznaczeniu IOD jest zawiadomienie w postaci elektronicznej, opatrzone kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP.
Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach
Do podmiotów, które nie dopełniają ustawowego wymogu i przesyłają zawiadomienia pocztą tradycyjną, Prezes UODO kieruje stosowne wyjaśnienia informujące o zasadach dokonywania zgłoszenia, które przesądzają o skutecznym wywiązaniu się z obowiązku.
W związku z tym, że wiele podmiotów zobowiązanych zgłoszenie inspektorów zaplanowało na ostatnia chwilę, 31 lipca, kiedy wystąpił krótkookresowy problem techniczny, sygnalizowały go w obawie, że ich zgłoszenie mogło do UODO nie wpłynąć. Dlatego warto przypomnieć, że podmioty, którym nie udało się skutecznie przesłać zawiadomienia, automatycznie otrzymywały komunikat w tej sprawie.
Kolejny termin – 1 września 2018 r.
Przypominamy, że kolejny termin związany z wyznaczaniem IOD i informowaniem o tym Prezesa UODO upływa 1 września 2018 r. Dotyczy on podmiotów, w których 24 maja 2018 r. działał administrator bezpieczeństwa informacji (ABI), a który 25 maja 2018 r. z mocy prawa stał się inspektorem (więcej informacji na ten temat można znaleźć w materiale dostępnym pod linkiem https://uodo.gov.pl/pl/138/271).
Zobacz: RODO w firmie
Bieżąca weryfikacja wykonania obowiązku
Jednocześnie informujemy, że to, czy podmioty zobowiązane wywiązały się z ciążących na nich obowiązków wyznaczenia IOD, Prezes UODO będzie weryfikował przy okazji wszelkich swoich kontaktów z administratorami i podmiotami przetwarzającymi. Jeżeli nie wyznaczyły one takiej osoby, to zgodnie z wynikającą z RODO zasadą rozliczalności, będą musiały umieć wykazać, że dokonały analizy w tym zakresie i wskazać przesłanki, na podstawie których przesądziły o tym, że nie są zobowiązane do wyznaczenia IOD.