Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć?

Od 25 maja 2018 r. zaczęło obowiązywać europejskie rozporządzenie o ochronie danych osobowych (RODO)[1]. Nałożyło ono na niektórych administratorów danych obowiązek powołania inspektora ochrony danych (IOD). Celem poniższego artykułu jest przedstawienie osoby IOD, jego pozycji, zadań w organizacji oraz sytuacji, w których powołanie go będzie obowiązkowe dla danej organizacji. Ponadto zaprezentowane zostaną zalety oraz wady przejęcia funkcji IOD-a (outsourcing IOD) przez różne podmioty. Podsumowanie wskaże natomiast okoliczności, w których dla danej organizacji korzystne będzie posiadanie IOD-a, nawet kiedy nie będzie to uwarunkowane obowiązkiem prawnym.

Kim jest inspektor ochrony danych?

Stoi on na straży zgodnego z prawem przetwarzania informacji w organizacji. Gwarancją prawidłowego wykonywania zadań przez IOD-a pozostaje jego niezależność, oznaczająca autonomię działania w zakresie spraw dotyczących ochrony informacji, które realizować ma w sposób wolny od instrukcji i nacisków. Taki status zapewnić ma suwerenne, oparte na wiedzy i doświadczeniu formułowanie ocen, uwag i zaleceń w ramach realizowanych zadań i pełnionych obowiązków[2].

Administrator oraz podmiot przetwarzający zobligowani są do zapewnienia IOD zasobów niezbędnych przy wykonywanych przez niego zadaniach, a także utrzymania oraz rozwijania fachowej wiedzy, kwalifikacji i umiejętności. Oznacza, że IOD powinien posiadać środki organizacyjne, techniczne, technologiczne i finansowe, pozwalające na realizację jego funkcji[3]. Zadania IOD określone zostały w art. 39 ust. 1 RODO. Wśród nich wymienić można m.in. obowiązek informowania administratora, podmiotu przetwarzającego oraz ich pracowników, przetwarzających dane osobowe, o spoczywających na nich obowiązkach na gruncie RODO oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzania im w tym zakresie, monitorowanie przestrzegania RODO oraz innych aktów prawnych z zakresu ochrony danych osobowych.[4]

Zobacz: RODO dla firm

IOD pełni niejako rolę łącznika pomiędzy organizacją a organem nadzorczym, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych. Zobowiązany jest także do pełnienia funkcji punktu kontaktowego dla tego organu w kwestiach związanych z przetwarzaniem danych osobowych. IOD jest punktem kontaktowym dla osób, których dane dotyczą[5].

Kiedy trzeba wyznaczyć inspektora ochrony danych w organizacji?

Zgodnie z art. 37 ust. 1 RODO administrator i podmiot przetwarzający mają obowiązek wyznaczenia IOD-a w sytuacji:

1. Przetwarzania danych osobowych przez organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości. Należy podkreślić, że zgodnie z wytycznymi[6] Grupy Roboczej Art. 29 obowiązek powołania IOD-a nie dotyczy prywatnych jednostek realizujących zadania w interesie publicznym (np. przedsiębiorstwa energetyczne świadczące usługi dystrybucyjne) lub sprawujących władzę publiczną. W tym przypadku zaleca się jednak powołanie IOD-a w ramach dobrych praktyk[7];
2. Dotyczącej podmiotów, których główna działalność polega na operacjach przetwarzania danych osobowych na dużą skalę;
3. Obligatoryjnego powołania IOD-a dotyczącego podmiotów, których główna działalność opiera się na przetwarzaniu na dużą skalę szczególnych informacji oraz danych dotyczących wyroków skazujących i naruszeń prawa.

W przypadku oceny, czy przetwarzanie prowadzone jest na dużą skalę rozważyć należy dwa aspekty: geograficzny i ilościowy. W związku z tym można wskazać, że z przetwarzaniem na dużą skalę nie mamy do czynienia w przypadku operacji realizowanych na szczeblu lokalnym oraz na niskim wolumenie danych, który oceniać należy jako konkretną liczbę lub procent populacji w danym regionie. W pozostałych sytuacjach administrator oraz podmiot przetwarzający mogą samodzielnie zdecydować, czy w ramach swojej organizacji chcą powołać IOD-a.

Zobacz: Prawo dla firm

Różne oblicza IOD-a

IOD wyznaczany jest na podstawie kwalifikacji zawodowych, w skład których wchodzą: fachowa wiedza na temat prawa i praktyk w dziedzinie ochrony danych osobowych oraz operacji przetwarzania danych i systemów informatycznych, a także umiejętność wypełnienia przedstawionych wcześniej zdań IOD-a. Wymagany poziom wiedzy fachowej nie został określony, należy oceniać go indywidualnie w każdej sprawie. Zgodnie z art. 37 ust. 6 RODO IOD może być członkiem personelu administratora lub podmiotu przetwarzającego, albo wykonywać zadania na podstawie umowy o świadczenie usług. Dozwolone jest zatem, aby funkcja IOD-a powierzona została pracownikowi danego podmiotu lub została outsourcingowaną.

Stanowisko IOD-a najczęściej powierzane jest jednak pracownikowi danej organizacji. W tym przypadku zatrudniony jest on jako pracownik lub współpracownik w danym podmiocie i realizuje swoje zadania w jego siedzibie.

Zalety:

• dobra znajomość organizacji, jej pracowników i faktycznego zakresu ich obowiązków, realizacja powierzonych zadań w czasie pracy, stała dostępność w organizacji.

Wady:

• trudność znalezienia osoby, posiadającej wszechstronną wiedzę z zakresu ochrony danych osobowych (obszar formalnoprawny) oraz operacji przetwarzania danych i systemów informatycznych (obszar IT);
• ryzyko wpływu przełożonych na sposób realizowanie przez nią zadania, możliwość naruszenia jej niezależności.

Drugą możliwością jest powierzenie funkcji IOD-a, na podstawie umowy o świadczenie usług, zewnętrznemu prawnikowi, który – prowadząc jednoosobową działalność - może obsługiwać jako IOD klika mniejszych podmiotów.

Zalety:

• szeroka wiedza z zakresu ochrony danych osobowych, łatwość postępowania w przypadku naruszeń.

Wady:

• trudność w znalezieniu osoby z kompleksową wiedzą z zakresu obszaru formalnoprawnego oraz IT,
• możliwy problem z bezzwłoczną realizacją powierzonych zadań, wynikający z równoległej obsługi kilku klientów.

Kolejną możliwością jest powierzenie funkcji IOD-a kancelarii prawnej. W tym modelu zadania realizowane będą przez zespół kilku prawników.

Zalety:

• możliwie szybka reakcja w przypadku wystąpienia naruszenia ochrony danych osobowych,
• bezzwłoczne wykonywanie obowiązków uwarunkowane realizacją obowiązków IOD-a przez kilka osób

Wady:

• trudność w znalezieniu kancelarii ściśle wyspecjalizowanej w zagadnieniach związanych z ochroną danych osobowych,
• generacja dużych kosztów.

Funkcję IOD-a powierzyć można także wyspecjalizowanej firmie świadczącej kompleksowe usługi w zakresie ochrony danych osobowych i bezpieczeństwa informacji.

Zalety:

• realizacja zadań w obszarze formalnoprawnym oraz IT na wysokim poziomie;
• szybka realizacja powierzonych zadań;
• niezwłoczna reakcja w przypadku naruszenia ochrony danych osobowych;

Wady:

• czas potrzebny na zapoznanie się ze strukturą firmy oraz zachodzących w niej procesów;
• stanowisko zdalne, nie w siedzibie organizacji.

Czy opłaca się powoływać IOD-a?

Posiadanie IOD-a może mieć pozytywny wydźwięk wizerunkowy. Firma, która powoła takie stanowisko postrzegana będzie jako, ta przywiązująca wagę do ochrony danych osobowych i bezpieczeństwa informacji.

Skupienie zadań z zakresu ochrony danych osobowych w osobie IOD-a zapewni również spójność działań podejmowanych przez organizację we wskazanym zakresie. Posiadanie IOD-a powinno być korzystne dla organizacji, które nie przetwarzają danych osobowych w bardzo ograniczonym zakresie. Ponadto wskazuje się, że w przypadku outsourcingu funkcji IOD-a, najbezpieczniejszym rozwiązaniem jest korzystanie z usług podmiotów mających wieloletnie doświadczenie.

Autor: Paweł Domagała - specjalista ds. ochrony danych, ODO 24. Doktorant przy Wydziale Prawa i Administracji UKSW w Warszawie. Obszar jego zainteresowania stanowi problematyka bezpieczeństwa energetycznego, ochrony danych osobowych oraz prawa nowych technologii. Prelegent na kilkudziesięciu konferencjach, a także autor kilkunastu publikacji naukowych.

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, Dz. Urz. UE z 2016 r. Nr L 119/1 (dalej "RODO").

[2] D. Lubasz, RODO, Ogólne Rozporządzenie o Ochronie Danych, Komentarz, Warszawa 2017, s. 795.

[3] Tamże, s. 797.

[4] RODO, art. 39 ust. 1 lit. a-c.

[5] Tamże. art. 38 ust. 4.

[6] Wytyczne Grupy Roboczej Art. 29 WP 243.

[7] P. Litwiński, Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Warszawa 2018, s. 558.