REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć?

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Paweł Domagała
Specjalista ds. ochrony danych, ODO 24. Doktorant przy Wydziale Prawa i Administracji UKSW w Warszawie.
Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć? /fot. Shutterstock
Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć? /fot. Shutterstock

REKLAMA

REKLAMA

IOD – Inspektor ochrony danych, to stanowisko powstałe w wyniku obowiązującego od 25 maja rozporządzenia o ochronie danych osobowych (RODO). Kim jest? Jakie pełni funkcje? W jakich sytuacjach powołanie go jest dla danej organizacji obowiązkiem, a kiedy – mimo braku uwarunkowania tego obowiązkiem prawnym – okaże się opłacalnym działaniem, także wizerunkowym? Poniższy artykuł ma na celu odpowiedź na wszelkie nurtujące przedsiębiorców kwestie związane z piastowaniem stanowiska IOD.

Od 25 maja 2018 r. zaczęło obowiązywać europejskie rozporządzenie o ochronie danych osobowych (RODO)[1]. Nałożyło ono na niektórych administratorów danych obowiązek powołania inspektora ochrony danych (IOD). Celem poniższego artykułu jest przedstawienie osoby IOD, jego pozycji, zadań w organizacji oraz sytuacji, w których powołanie go będzie obowiązkowe dla danej organizacji. Ponadto zaprezentowane zostaną zalety oraz wady przejęcia funkcji IOD-a (outsourcing IOD) przez różne podmioty. Podsumowanie wskaże natomiast okoliczności, w których dla danej organizacji korzystne będzie posiadanie IOD-a, nawet kiedy nie będzie to uwarunkowane obowiązkiem prawnym.

REKLAMA

Kim jest inspektor ochrony danych?

REKLAMA

Stoi on na straży zgodnego z prawem przetwarzania informacji w organizacji. Gwarancją prawidłowego wykonywania zadań przez IOD-a pozostaje jego niezależność, oznaczająca autonomię działania w zakresie spraw dotyczących ochrony informacji, które realizować ma w sposób wolny od instrukcji i nacisków. Taki status zapewnić ma suwerenne, oparte na wiedzy i doświadczeniu formułowanie ocen, uwag i zaleceń w ramach realizowanych zadań i pełnionych obowiązków[2].

Administrator oraz podmiot przetwarzający zobligowani są do zapewnienia IOD zasobów niezbędnych przy wykonywanych przez niego zadaniach, a także utrzymania oraz rozwijania fachowej wiedzy, kwalifikacji i umiejętności. Oznacza, że IOD powinien posiadać środki organizacyjne, techniczne, technologiczne i finansowe, pozwalające na realizację jego funkcji[3]. Zadania IOD określone zostały w art. 39 ust. 1 RODO. Wśród nich wymienić można m.in. obowiązek informowania administratora, podmiotu przetwarzającego oraz ich pracowników, przetwarzających dane osobowe, o spoczywających na nich obowiązkach na gruncie RODO oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzania im w tym zakresie, monitorowanie przestrzegania RODO oraz innych aktów prawnych z zakresu ochrony danych osobowych.[4]

Zobacz: RODO dla firm

IOD pełni niejako rolę łącznika pomiędzy organizacją a organem nadzorczym, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych. Zobowiązany jest także do pełnienia funkcji punktu kontaktowego dla tego organu w kwestiach związanych z przetwarzaniem danych osobowych. IOD jest punktem kontaktowym dla osób, których dane dotyczą[5].

Dalszy ciąg materiału pod wideo

Kiedy trzeba wyznaczyć inspektora ochrony danych w organizacji?

Zgodnie z art. 37 ust. 1 RODO administrator i podmiot przetwarzający mają obowiązek wyznaczenia IOD-a w sytuacji:

  1. Przetwarzania danych osobowych przez organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości. Należy podkreślić, że zgodnie z wytycznymi[6] Grupy Roboczej Art. 29 obowiązek powołania IOD-a nie dotyczy prywatnych jednostek realizujących zadania w interesie publicznym (np. przedsiębiorstwa energetyczne świadczące usługi dystrybucyjne) lub sprawujących władzę publiczną. W tym przypadku zaleca się jednak powołanie IOD-a w ramach dobrych praktyk[7];
  2. Dotyczącej podmiotów, których główna działalność polega na operacjach przetwarzania danych osobowych na dużą skalę;
  3. Obligatoryjnego powołania IOD-a dotyczącego podmiotów, których główna działalność opiera się na przetwarzaniu na dużą skalę szczególnych informacji oraz danych dotyczących wyroków skazujących i naruszeń prawa.

W przypadku oceny, czy przetwarzanie prowadzone jest na dużą skalę rozważyć należy dwa aspekty: geograficzny i ilościowy. W związku z tym można wskazać, że z przetwarzaniem na dużą skalę nie mamy do czynienia w przypadku operacji realizowanych na szczeblu lokalnym oraz na niskim wolumenie danych, który oceniać należy jako konkretną liczbę lub procent populacji w danym regionie. W pozostałych sytuacjach administrator oraz podmiot przetwarzający mogą samodzielnie zdecydować, czy w ramach swojej organizacji chcą powołać IOD-a.

Zobacz: Prawo dla firm

Różne oblicza IOD-a

REKLAMA

IOD wyznaczany jest na podstawie kwalifikacji zawodowych, w skład których wchodzą: fachowa wiedza na temat prawa i praktyk w dziedzinie ochrony danych osobowych oraz operacji przetwarzania danych i systemów informatycznych, a także umiejętność wypełnienia przedstawionych wcześniej zdań IOD-a. Wymagany poziom wiedzy fachowej nie został określony, należy oceniać go indywidualnie w każdej sprawie. Zgodnie z art. 37 ust. 6 RODO IOD może być członkiem personelu administratora lub podmiotu przetwarzającego, albo wykonywać zadania na podstawie umowy o świadczenie usług. Dozwolone jest zatem, aby funkcja IOD-a powierzona została pracownikowi danego podmiotu lub została outsourcingowaną.

Stanowisko IOD-a najczęściej powierzane jest jednak pracownikowi danej organizacji. W tym przypadku zatrudniony jest on jako pracownik lub współpracownik w danym podmiocie i realizuje swoje zadania w jego siedzibie.

Zalety:

  • dobra znajomość organizacji, jej pracowników i faktycznego zakresu ich obowiązków, realizacja powierzonych zadań w czasie pracy, stała dostępność w organizacji.

Wady:

  • trudność znalezienia osoby, posiadającej wszechstronną wiedzę z zakresu ochrony danych osobowych (obszar formalnoprawny) oraz operacji przetwarzania danych i systemów informatycznych (obszar IT);
  • ryzyko wpływu przełożonych na sposób realizowanie przez nią zadania, możliwość naruszenia jej niezależności.

Drugą możliwością jest powierzenie funkcji IOD-a, na podstawie umowy o świadczenie usług, zewnętrznemu prawnikowi, który – prowadząc jednoosobową działalność - może obsługiwać jako IOD klika mniejszych podmiotów.

Zalety:

  • szeroka wiedza z zakresu ochrony danych osobowych, łatwość postępowania w przypadku naruszeń.

Wady:

  • trudność w znalezieniu osoby z kompleksową wiedzą z zakresu obszaru formalnoprawnego oraz IT,
  • możliwy problem z bezzwłoczną realizacją powierzonych zadań, wynikający z równoległej obsługi kilku klientów.

Kolejną możliwością jest powierzenie funkcji IOD-a kancelarii prawnej. W tym modelu zadania realizowane będą przez zespół kilku prawników.

Zalety:

  • możliwie szybka reakcja w przypadku wystąpienia naruszenia ochrony danych osobowych,
  • bezzwłoczne wykonywanie obowiązków uwarunkowane realizacją obowiązków IOD-a przez kilka osób

Wady:

  • trudność w znalezieniu kancelarii ściśle wyspecjalizowanej w zagadnieniach związanych z ochroną danych osobowych,
  • generacja dużych kosztów.

Funkcję IOD-a powierzyć można także wyspecjalizowanej firmie świadczącej kompleksowe usługi w zakresie ochrony danych osobowych i bezpieczeństwa informacji.

Zalety:

  • realizacja zadań w obszarze formalnoprawnym oraz IT na wysokim poziomie;
  • szybka realizacja powierzonych zadań;
  • niezwłoczna reakcja w przypadku naruszenia ochrony danych osobowych;

Wady:

  • czas potrzebny na zapoznanie się ze strukturą firmy oraz zachodzących w niej procesów;
  • stanowisko zdalne, nie w siedzibie organizacji.

Czy opłaca się powoływać IOD-a?

Posiadanie IOD-a może mieć pozytywny wydźwięk wizerunkowy. Firma, która powoła takie stanowisko postrzegana będzie jako, ta przywiązująca wagę do ochrony danych osobowych i bezpieczeństwa informacji.

Skupienie zadań z zakresu ochrony danych osobowych w osobie IOD-a zapewni również spójność działań podejmowanych przez organizację we wskazanym zakresie. Posiadanie IOD-a powinno być korzystne dla organizacji, które nie przetwarzają danych osobowych w bardzo ograniczonym zakresie. Ponadto wskazuje się, że w przypadku outsourcingu funkcji IOD-a, najbezpieczniejszym rozwiązaniem jest korzystanie z usług podmiotów mających wieloletnie doświadczenie.

Autor: Paweł Domagała - specjalista ds. ochrony danych, ODO 24. Doktorant przy Wydziale Prawa i Administracji UKSW w Warszawie. Obszar jego zainteresowania stanowi problematyka bezpieczeństwa energetycznego, ochrony danych osobowych oraz prawa nowych technologii. Prelegent na kilkudziesięciu konferencjach, a także autor kilkunastu publikacji naukowych.


[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, Dz. Urz. UE z 2016 r. Nr L 119/1 (dalej "RODO").

[2] D. Lubasz, RODO, Ogólne Rozporządzenie o Ochronie Danych, Komentarz, Warszawa 2017, s. 795.

[3] Tamże, s. 797.

[4] RODO, art. 39 ust. 1 lit. a-c.

[5] Tamże. art. 38 ust. 4.

[6] Wytyczne Grupy Roboczej Art. 29 WP 243.

[7] P. Litwiński, Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Warszawa 2018, s. 558.

Zapisz się na newsletter
Zakładasz firmę? A może ją rozwijasz? Chcesz jak najbardziej efektywnie prowadzić swój biznes? Z naszym newsletterem będziesz zawsze na bieżąco.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Ponad 80 proc. specjalistów pozytywnie ocenia szkolenia z cyberbezpieczeństwa przeprowadzane w firmie

Szybki rozwój technologii oraz zwiększone ryzyko cyberataków przyczyniają się do rosnącego zainteresowania bezpieczeństwem IT. Zdaniem szkolonych menadżerów, szkolenia z cyberbezpieczeństwa przeprowadzane w firmie: są nie tylko potrzebne, ale i skuteczne.

Dłużnicy wykorzystują brak znajomości prawa u wierzycieli i specjalnie zwlekają z zapłatą za faktury, traktując zwłokę jako formę bezpłatnego kredytu. Powinni i mogą jednak słono za to zapłacić

Słaba znajomość podstawowych przepisów prawa finansowego u przedsiębiorców sprawia, że dłużnicy celowo przeciągają płatności, zyskując w ten sposób darmowy, nieoprocentowany kredyt. Dzieje się to w czasie, gdy zatory płatnicze w polskich przedsiębiorstwach cały czas rosną, a utrata płynności finansowej jest realnym zagrożeniem dla małych i średnich firm.

Czy wspólnik mniejszościowy zawsze jest na straconej pozycji?

Wspólnik posiadający mniejszościowy pakiet udziałów w spółce z o.o. nie musi już na starcie znajdować się na przegranej pozycji w potencjalnym sporze ze wspólnikiem większościowym. Kluczowe jest, aby taki udziałowiec znał swoje prawa w spółce oraz aktywnie i umiejętnie z nich korzystał, co w ostatecznym rozrachunku może przyczynić się do skutecznej obrony interesu wspólnika mniejszościowego i zachowania przez niego wpływu na spółkę.

Polski Akt o Dostępności – jakie zmiany czekają przedsiębiorców?

Od 28 czerwca 2025 r. produkty i usługi wprowadzane na rynek będą musiały spełniać określone wymogi i być dostosowane również do osób z niepełnosprawnościami. To oznacza wiele zmian również dla małych i średnich przedsiębiorstw.

REKLAMA

Polski Akt o Dostępności – jak się przygotować?

Już pod koniec czerwca wchodzi w życie Polski Akt o Dostępności. Nowe przepisy oznaczają dla przedsiębiorców nie tylko obowiązki, ale i nowe możliwości. Kogo dotyczą te zmiany? Co czeka konsumentów, a co przedsiębiorców? Skąd można wziąć pieniądze na ich wprowadzenie?

Zaprojektuj z nami swoją pierwszą innowację – poznaj bezpłatną usługę Innovation Coach i weź udział w wydarzeniu w Łodzi

W dobie dynamicznych zmian technologicznych i rosnącej konkurencji, przedsiębiorcy coraz częściej poszukują sposobów na wdrażanie innowacji w swoich firmach. Nie każdy jednak wie, od czego zacząć, jak zdobyć fundusze na rozwój, czy jak skutecznie przejść przez proces planowania i realizacji innowacyjnego projektu.

Odroczenie terminu płatności składek ZUS. Kto i na jakich zasadach może skorzystać z odroczenia terminu płatności składek?

Odroczenie terminu płatności składek ZUS. Kto i na jakich zasadach może skorzystać z odroczenia terminu płatności składek? W ubiegłym roku z odroczenia terminu płatności składek najczęściej korzystali mali płatnicy.

Przewodnik po spółce w Delaware – wszystko, co musisz wiedzieć zanim założysz firmę w USA

Założenie spółki w Stanach Zjednoczonych, a w szczególności w stanie Delaware, to marzenie wielu przedsiębiorców – zarówno z Polski, jak i z całego świata. Delaware od dekad uważany jest za światowe centrum dla biznesu dzięki swojej wyjątkowej legislacji, przyjaznemu klimatowi dla przedsiębiorców oraz elastycznym strukturze prawnej. Ale czy spółka w Delaware to dobry wybór dla każdego? I co warto wiedzieć zanim złożysz wniosek o rejestrację?

REKLAMA

Europejski Akt Dostępności zacznie obowiązywać od 28 czerwca 2025 roku. Za niespełnienie wymagań dyrektywy wysokie kary

Zbliża się termin, od którego wszystkie firmy świadczące określone usługi lub sprzedające wybrane produkty będą musiały zapewnić ich dostępność dla osób z niepełnosprawnościami. Od 28 czerwca 2025 r. niespełnienie wymagań może wiązać się z wysokimi grzywnami oraz utratą reputacji.

JDG a spółka z o.o. Którą formę działalności wybrać? [Porównanie]

Podejmując decyzję o własnym biznesie, każdy przedsiębiorca staje przed wyborem formy działalności. Większość z nas waha się pomiędzy jednoosobową działalnością gospodarczą (JDG) a spółką z ograniczoną odpowiedzialnością (sp. z o.o.). Każda z tych form ma swoje plusy i minusy. W artykule spróbuję przybliżyć czym się różnią.

REKLAMA