REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć?

Paweł Domagała
Specjalista ds. ochrony danych, ODO 24. Doktorant przy Wydziale Prawa i Administracji UKSW w Warszawie.
Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć? /fot. Shutterstock
Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć? /fot. Shutterstock

REKLAMA

REKLAMA

IOD – Inspektor ochrony danych, to stanowisko powstałe w wyniku obowiązującego od 25 maja rozporządzenia o ochronie danych osobowych (RODO). Kim jest? Jakie pełni funkcje? W jakich sytuacjach powołanie go jest dla danej organizacji obowiązkiem, a kiedy – mimo braku uwarunkowania tego obowiązkiem prawnym – okaże się opłacalnym działaniem, także wizerunkowym? Poniższy artykuł ma na celu odpowiedź na wszelkie nurtujące przedsiębiorców kwestie związane z piastowaniem stanowiska IOD.

Od 25 maja 2018 r. zaczęło obowiązywać europejskie rozporządzenie o ochronie danych osobowych (RODO)[1]. Nałożyło ono na niektórych administratorów danych obowiązek powołania inspektora ochrony danych (IOD). Celem poniższego artykułu jest przedstawienie osoby IOD, jego pozycji, zadań w organizacji oraz sytuacji, w których powołanie go będzie obowiązkowe dla danej organizacji. Ponadto zaprezentowane zostaną zalety oraz wady przejęcia funkcji IOD-a (outsourcing IOD) przez różne podmioty. Podsumowanie wskaże natomiast okoliczności, w których dla danej organizacji korzystne będzie posiadanie IOD-a, nawet kiedy nie będzie to uwarunkowane obowiązkiem prawnym.

REKLAMA

Kim jest inspektor ochrony danych?

REKLAMA

Stoi on na straży zgodnego z prawem przetwarzania informacji w organizacji. Gwarancją prawidłowego wykonywania zadań przez IOD-a pozostaje jego niezależność, oznaczająca autonomię działania w zakresie spraw dotyczących ochrony informacji, które realizować ma w sposób wolny od instrukcji i nacisków. Taki status zapewnić ma suwerenne, oparte na wiedzy i doświadczeniu formułowanie ocen, uwag i zaleceń w ramach realizowanych zadań i pełnionych obowiązków[2].

Administrator oraz podmiot przetwarzający zobligowani są do zapewnienia IOD zasobów niezbędnych przy wykonywanych przez niego zadaniach, a także utrzymania oraz rozwijania fachowej wiedzy, kwalifikacji i umiejętności. Oznacza, że IOD powinien posiadać środki organizacyjne, techniczne, technologiczne i finansowe, pozwalające na realizację jego funkcji[3]. Zadania IOD określone zostały w art. 39 ust. 1 RODO. Wśród nich wymienić można m.in. obowiązek informowania administratora, podmiotu przetwarzającego oraz ich pracowników, przetwarzających dane osobowe, o spoczywających na nich obowiązkach na gruncie RODO oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzania im w tym zakresie, monitorowanie przestrzegania RODO oraz innych aktów prawnych z zakresu ochrony danych osobowych.[4]

Zobacz: RODO dla firm

IOD pełni niejako rolę łącznika pomiędzy organizacją a organem nadzorczym, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych. Zobowiązany jest także do pełnienia funkcji punktu kontaktowego dla tego organu w kwestiach związanych z przetwarzaniem danych osobowych. IOD jest punktem kontaktowym dla osób, których dane dotyczą[5].

Dalszy ciąg materiału pod wideo

Kiedy trzeba wyznaczyć inspektora ochrony danych w organizacji?

Zgodnie z art. 37 ust. 1 RODO administrator i podmiot przetwarzający mają obowiązek wyznaczenia IOD-a w sytuacji:

  1. Przetwarzania danych osobowych przez organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości. Należy podkreślić, że zgodnie z wytycznymi[6] Grupy Roboczej Art. 29 obowiązek powołania IOD-a nie dotyczy prywatnych jednostek realizujących zadania w interesie publicznym (np. przedsiębiorstwa energetyczne świadczące usługi dystrybucyjne) lub sprawujących władzę publiczną. W tym przypadku zaleca się jednak powołanie IOD-a w ramach dobrych praktyk[7];
  2. Dotyczącej podmiotów, których główna działalność polega na operacjach przetwarzania danych osobowych na dużą skalę;
  3. Obligatoryjnego powołania IOD-a dotyczącego podmiotów, których główna działalność opiera się na przetwarzaniu na dużą skalę szczególnych informacji oraz danych dotyczących wyroków skazujących i naruszeń prawa.

W przypadku oceny, czy przetwarzanie prowadzone jest na dużą skalę rozważyć należy dwa aspekty: geograficzny i ilościowy. W związku z tym można wskazać, że z przetwarzaniem na dużą skalę nie mamy do czynienia w przypadku operacji realizowanych na szczeblu lokalnym oraz na niskim wolumenie danych, który oceniać należy jako konkretną liczbę lub procent populacji w danym regionie. W pozostałych sytuacjach administrator oraz podmiot przetwarzający mogą samodzielnie zdecydować, czy w ramach swojej organizacji chcą powołać IOD-a.

Zobacz: Prawo dla firm

Różne oblicza IOD-a

REKLAMA

IOD wyznaczany jest na podstawie kwalifikacji zawodowych, w skład których wchodzą: fachowa wiedza na temat prawa i praktyk w dziedzinie ochrony danych osobowych oraz operacji przetwarzania danych i systemów informatycznych, a także umiejętność wypełnienia przedstawionych wcześniej zdań IOD-a. Wymagany poziom wiedzy fachowej nie został określony, należy oceniać go indywidualnie w każdej sprawie. Zgodnie z art. 37 ust. 6 RODO IOD może być członkiem personelu administratora lub podmiotu przetwarzającego, albo wykonywać zadania na podstawie umowy o świadczenie usług. Dozwolone jest zatem, aby funkcja IOD-a powierzona została pracownikowi danego podmiotu lub została outsourcingowaną.

Stanowisko IOD-a najczęściej powierzane jest jednak pracownikowi danej organizacji. W tym przypadku zatrudniony jest on jako pracownik lub współpracownik w danym podmiocie i realizuje swoje zadania w jego siedzibie.

Zalety:

  • dobra znajomość organizacji, jej pracowników i faktycznego zakresu ich obowiązków, realizacja powierzonych zadań w czasie pracy, stała dostępność w organizacji.

Wady:

  • trudność znalezienia osoby, posiadającej wszechstronną wiedzę z zakresu ochrony danych osobowych (obszar formalnoprawny) oraz operacji przetwarzania danych i systemów informatycznych (obszar IT);
  • ryzyko wpływu przełożonych na sposób realizowanie przez nią zadania, możliwość naruszenia jej niezależności.

Drugą możliwością jest powierzenie funkcji IOD-a, na podstawie umowy o świadczenie usług, zewnętrznemu prawnikowi, który – prowadząc jednoosobową działalność - może obsługiwać jako IOD klika mniejszych podmiotów.

Zalety:

  • szeroka wiedza z zakresu ochrony danych osobowych, łatwość postępowania w przypadku naruszeń.

Wady:

  • trudność w znalezieniu osoby z kompleksową wiedzą z zakresu obszaru formalnoprawnego oraz IT,
  • możliwy problem z bezzwłoczną realizacją powierzonych zadań, wynikający z równoległej obsługi kilku klientów.

Kolejną możliwością jest powierzenie funkcji IOD-a kancelarii prawnej. W tym modelu zadania realizowane będą przez zespół kilku prawników.

Zalety:

  • możliwie szybka reakcja w przypadku wystąpienia naruszenia ochrony danych osobowych,
  • bezzwłoczne wykonywanie obowiązków uwarunkowane realizacją obowiązków IOD-a przez kilka osób

Wady:

  • trudność w znalezieniu kancelarii ściśle wyspecjalizowanej w zagadnieniach związanych z ochroną danych osobowych,
  • generacja dużych kosztów.

Funkcję IOD-a powierzyć można także wyspecjalizowanej firmie świadczącej kompleksowe usługi w zakresie ochrony danych osobowych i bezpieczeństwa informacji.

Zalety:

  • realizacja zadań w obszarze formalnoprawnym oraz IT na wysokim poziomie;
  • szybka realizacja powierzonych zadań;
  • niezwłoczna reakcja w przypadku naruszenia ochrony danych osobowych;

Wady:

  • czas potrzebny na zapoznanie się ze strukturą firmy oraz zachodzących w niej procesów;
  • stanowisko zdalne, nie w siedzibie organizacji.

Czy opłaca się powoływać IOD-a?

Posiadanie IOD-a może mieć pozytywny wydźwięk wizerunkowy. Firma, która powoła takie stanowisko postrzegana będzie jako, ta przywiązująca wagę do ochrony danych osobowych i bezpieczeństwa informacji.

Skupienie zadań z zakresu ochrony danych osobowych w osobie IOD-a zapewni również spójność działań podejmowanych przez organizację we wskazanym zakresie. Posiadanie IOD-a powinno być korzystne dla organizacji, które nie przetwarzają danych osobowych w bardzo ograniczonym zakresie. Ponadto wskazuje się, że w przypadku outsourcingu funkcji IOD-a, najbezpieczniejszym rozwiązaniem jest korzystanie z usług podmiotów mających wieloletnie doświadczenie.

Autor: Paweł Domagała - specjalista ds. ochrony danych, ODO 24. Doktorant przy Wydziale Prawa i Administracji UKSW w Warszawie. Obszar jego zainteresowania stanowi problematyka bezpieczeństwa energetycznego, ochrony danych osobowych oraz prawa nowych technologii. Prelegent na kilkudziesięciu konferencjach, a także autor kilkunastu publikacji naukowych.


[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, Dz. Urz. UE z 2016 r. Nr L 119/1 (dalej "RODO").

[2] D. Lubasz, RODO, Ogólne Rozporządzenie o Ochronie Danych, Komentarz, Warszawa 2017, s. 795.

[3] Tamże, s. 797.

[4] RODO, art. 39 ust. 1 lit. a-c.

[5] Tamże. art. 38 ust. 4.

[6] Wytyczne Grupy Roboczej Art. 29 WP 243.

[7] P. Litwiński, Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Warszawa 2018, s. 558.

Autopromocja

REKLAMA

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

QR Code
Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Skuteczne zarządzanie zespołem: relacje i współpraca

W dzisiejszym, dynamicznie zmieniającym się środowisku biznesowym, skuteczne zarządzanie zespołem jest kluczowym czynnikiem sukcesu każdej organizacji. Budowanie relacji, współpraca oraz efektywna komunikacja stanowią fundamenty, na których opiera się sprawne funkcjonowanie zespołu.

Wniosek o zwrot nadpłaty składki zdrowotnej warto złożyć do 3 czerwca 2024 r.

Przedsiębiorcy do 3 czerwca 2024 r. mają czas na złożenie wniosku o zwrot nadpłaty składki zdrowotnej. Co, jeśli przedsiębiorca nie złoży wniosku o zwrot nadpłaty?

Walka o przetrwanie. W ciągu dekady zniknie większość sklepów internetowych

Na rynku e-commerce, który jest niezwykle konkurencyjny, już w pierwszym roku działalności zanika 5% firm. Po upływie dziesięciu lat nadal funkcjonuje jedynie 37% z nich - informuje wtorkowe wydanie "Rzeczpospolitej".

Handel w dwie niedziele w każdym miesiącu - jest wniosek o odrzucenia projektu nowelizacji

Polska Izba Handlu wnioskuje o odrzucenie w całości poselskiego projektu przywracającego handel w 2 niedziele w miesiącu - wynika z opinii PIH złożonego w trakcie procesu legislacyjnego.

REKLAMA

Dzień Matki. Jak wygląda rynek pracy kobiet?

W ciągu ostatnich kilku lat sytuacja kobiet na rynku pracy mocno ewoluowała. Pomimo podejmowania przez firmy działań na rzecz równouprawnienia płci panie bywają niejednokrotnie w nieco gorszej sytuacji zawodowej niż panowie. Jak wygląda rynek pracy kobiet? Czy pracodawcy oferują dodatkowe benefity dla rodziców? Co jest dla nich ważne u pracodawcy?

Pablo Escobar jako znak towarowy? Sąd odmawia

Sąd UE odmówił rejestracji oznaczenia słownego „Pablo Escobar” pod unijnym znakiem towarowym. Sąd uznał je za sprzeczne z porządkiem publicznym i dobrymi obyczajami. Za bardzo kojarzy się z handlem narkotykami i zbrodnią.

Ogromne grzywny za niewdrożenie dyrektywy NIS2. Do kiedy trzeba to zrobić?

Dyrektywa Unii Europejskiej w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (NIS2) ma duże znaczenie dla poprawy cyberbezpieczeństwa UE. Jej wejście w życie nastąpiło w styczniu 2023 r. - z terminem na dostosowanie niezbędnych do wykonania niniejszej dyrektywy przepisów krajowych do 18 października 2024 r. Kto powinien przygotować się do działania w zgodzie z NIS2-  analizuje Michał Borowiecki, dyrektor Netskope na Polskę i Europę Wschodnią.

Nowa usługa dla indywidualnych przedsiębiorców w aplikacji mObywatel 2.0

W aplikacji mObywatel 2.0 pojawiła się usługa "Firma" skierowana do osób prowadzących jednoosobową działalność gospodarczą. Jak z niej skorzystać?

REKLAMA

Onboarding w hybrydowym modelu pracy

Czym jest onboarding? Jak wygląda w pracy hybrydowej? 

Efekt Marywilskiej i fali pożarów: przedsiębiorcy pytają o ubezpieczenia i podatki pod względem strat

Tragedia tysięcy kupców, którzy prowadzili swoje biznesy często poniżej poziomu ryzyka skłania wielu przedsiębiorców do refleksji nad warunkami w jakich oni sami prowadzą swoją działalność. Efekt Marywilskiej i fali pożarów w ogóle: dwie ważne kwestie, w których doradzają eksperci to rozliczanie strat i inne aspekty podatkowe nieszczęścia oraz skuteczność polis jako zabezpieczenia przed skutkami nieszczęść.

REKLAMA