Od 25 maja 2018 r. zaczęło obowiązywać europejskie rozporządzenie o ochronie danych osobowych (RODO)[1]. Nałożyło ono na niektórych administratorów danych obowiązek powołania inspektora ochrony danych (IOD). Celem poniższego artykułu jest przedstawienie osoby IOD, jego pozycji, zadań w organizacji oraz sytuacji, w których powołanie go będzie obowiązkowe dla danej organizacji. Ponadto zaprezentowane zostaną zalety oraz wady przejęcia funkcji IOD-a (outsourcing IOD) przez różne podmioty. Podsumowanie wskaże natomiast okoliczności, w których dla danej organizacji korzystne będzie posiadanie IOD-a, nawet kiedy nie będzie to uwarunkowane obowiązkiem prawnym.
Kim jest inspektor ochrony danych?
Stoi on na straży zgodnego z prawem przetwarzania informacji w organizacji. Gwarancją prawidłowego wykonywania zadań przez IOD-a pozostaje jego niezależność, oznaczająca autonomię działania w zakresie spraw dotyczących ochrony informacji, które realizować ma w sposób wolny od instrukcji i nacisków. Taki status zapewnić ma suwerenne, oparte na wiedzy i doświadczeniu formułowanie ocen, uwag i zaleceń w ramach realizowanych zadań i pełnionych obowiązków[2].
Administrator oraz podmiot przetwarzający zobligowani są do zapewnienia IOD zasobów niezbędnych przy wykonywanych przez niego zadaniach, a także utrzymania oraz rozwijania fachowej wiedzy, kwalifikacji i umiejętności. Oznacza, że IOD powinien posiadać środki organizacyjne, techniczne, technologiczne i finansowe, pozwalające na realizację jego funkcji[3]. Zadania IOD określone zostały w art. 39 ust. 1 RODO. Wśród nich wymienić można m.in. obowiązek informowania administratora, podmiotu przetwarzającego oraz ich pracowników, przetwarzających dane osobowe, o spoczywających na nich obowiązkach na gruncie RODO oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzania im w tym zakresie, monitorowanie przestrzegania RODO oraz innych aktów prawnych z zakresu ochrony danych osobowych.[4]
Zobacz: RODO dla firm
IOD pełni niejako rolę łącznika pomiędzy organizacją a organem nadzorczym, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych. Zobowiązany jest także do pełnienia funkcji punktu kontaktowego dla tego organu w kwestiach związanych z przetwarzaniem danych osobowych. IOD jest punktem kontaktowym dla osób, których dane dotyczą[5].
Kiedy trzeba wyznaczyć inspektora ochrony danych w organizacji?
Zgodnie z art. 37 ust. 1 RODO administrator i podmiot przetwarzający mają obowiązek wyznaczenia IOD-a w sytuacji:
- Przetwarzania danych osobowych przez organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości. Należy podkreślić, że zgodnie z wytycznymi[6] Grupy Roboczej Art. 29 obowiązek powołania IOD-a nie dotyczy prywatnych jednostek realizujących zadania w interesie publicznym (np. przedsiębiorstwa energetyczne świadczące usługi dystrybucyjne) lub sprawujących władzę publiczną. W tym przypadku zaleca się jednak powołanie IOD-a w ramach dobrych praktyk[7];
- Dotyczącej podmiotów, których główna działalność polega na operacjach przetwarzania danych osobowych na dużą skalę;
- Obligatoryjnego powołania IOD-a dotyczącego podmiotów, których główna działalność opiera się na przetwarzaniu na dużą skalę szczególnych informacji oraz danych dotyczących wyroków skazujących i naruszeń prawa.
W przypadku oceny, czy przetwarzanie prowadzone jest na dużą skalę rozważyć należy dwa aspekty: geograficzny i ilościowy. W związku z tym można wskazać, że z przetwarzaniem na dużą skalę nie mamy do czynienia w przypadku operacji realizowanych na szczeblu lokalnym oraz na niskim wolumenie danych, który oceniać należy jako konkretną liczbę lub procent populacji w danym regionie. W pozostałych sytuacjach administrator oraz podmiot przetwarzający mogą samodzielnie zdecydować, czy w ramach swojej organizacji chcą powołać IOD-a.
Zobacz: Prawo dla firm
Różne oblicza IOD-a
IOD wyznaczany jest na podstawie kwalifikacji zawodowych, w skład których wchodzą: fachowa wiedza na temat prawa i praktyk w dziedzinie ochrony danych osobowych oraz operacji przetwarzania danych i systemów informatycznych, a także umiejętność wypełnienia przedstawionych wcześniej zdań IOD-a. Wymagany poziom wiedzy fachowej nie został określony, należy oceniać go indywidualnie w każdej sprawie. Zgodnie z art. 37 ust. 6 RODO IOD może być członkiem personelu administratora lub podmiotu przetwarzającego, albo wykonywać zadania na podstawie umowy o świadczenie usług. Dozwolone jest zatem, aby funkcja IOD-a powierzona została pracownikowi danego podmiotu lub została outsourcingowaną.
Stanowisko IOD-a najczęściej powierzane jest jednak pracownikowi danej organizacji. W tym przypadku zatrudniony jest on jako pracownik lub współpracownik w danym podmiocie i realizuje swoje zadania w jego siedzibie.
Zalety:
- dobra znajomość organizacji, jej pracowników i faktycznego zakresu ich obowiązków, realizacja powierzonych zadań w czasie pracy, stała dostępność w organizacji.
Wady:
- trudność znalezienia osoby, posiadającej wszechstronną wiedzę z zakresu ochrony danych osobowych (obszar formalnoprawny) oraz operacji przetwarzania danych i systemów informatycznych (obszar IT);
- ryzyko wpływu przełożonych na sposób realizowanie przez nią zadania, możliwość naruszenia jej niezależności.
Drugą możliwością jest powierzenie funkcji IOD-a, na podstawie umowy o świadczenie usług, zewnętrznemu prawnikowi, który – prowadząc jednoosobową działalność - może obsługiwać jako IOD klika mniejszych podmiotów.
Zalety:
- szeroka wiedza z zakresu ochrony danych osobowych, łatwość postępowania w przypadku naruszeń.
Wady:
- trudność w znalezieniu osoby z kompleksową wiedzą z zakresu obszaru formalnoprawnego oraz IT,
- możliwy problem z bezzwłoczną realizacją powierzonych zadań, wynikający z równoległej obsługi kilku klientów.
Kolejną możliwością jest powierzenie funkcji IOD-a kancelarii prawnej. W tym modelu zadania realizowane będą przez zespół kilku prawników.
Zalety:
- możliwie szybka reakcja w przypadku wystąpienia naruszenia ochrony danych osobowych,
- bezzwłoczne wykonywanie obowiązków uwarunkowane realizacją obowiązków IOD-a przez kilka osób
Wady:
- trudność w znalezieniu kancelarii ściśle wyspecjalizowanej w zagadnieniach związanych z ochroną danych osobowych,
- generacja dużych kosztów.
Funkcję IOD-a powierzyć można także wyspecjalizowanej firmie świadczącej kompleksowe usługi w zakresie ochrony danych osobowych i bezpieczeństwa informacji.
Zalety:
- realizacja zadań w obszarze formalnoprawnym oraz IT na wysokim poziomie;
- szybka realizacja powierzonych zadań;
- niezwłoczna reakcja w przypadku naruszenia ochrony danych osobowych;
Wady:
- czas potrzebny na zapoznanie się ze strukturą firmy oraz zachodzących w niej procesów;
- stanowisko zdalne, nie w siedzibie organizacji.
Czy opłaca się powoływać IOD-a?
Posiadanie IOD-a może mieć pozytywny wydźwięk wizerunkowy. Firma, która powoła takie stanowisko postrzegana będzie jako, ta przywiązująca wagę do ochrony danych osobowych i bezpieczeństwa informacji.
Skupienie zadań z zakresu ochrony danych osobowych w osobie IOD-a zapewni również spójność działań podejmowanych przez organizację we wskazanym zakresie. Posiadanie IOD-a powinno być korzystne dla organizacji, które nie przetwarzają danych osobowych w bardzo ograniczonym zakresie. Ponadto wskazuje się, że w przypadku outsourcingu funkcji IOD-a, najbezpieczniejszym rozwiązaniem jest korzystanie z usług podmiotów mających wieloletnie doświadczenie.
Autor: Paweł Domagała - specjalista ds. ochrony danych, ODO 24. Doktorant przy Wydziale Prawa i Administracji UKSW w Warszawie. Obszar jego zainteresowania stanowi problematyka bezpieczeństwa energetycznego, ochrony danych osobowych oraz prawa nowych technologii. Prelegent na kilkudziesięciu konferencjach, a także autor kilkunastu publikacji naukowych.
[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, Dz. Urz. UE z 2016 r. Nr L 119/1 (dalej "RODO").
[2] D. Lubasz, RODO, Ogólne Rozporządzenie o Ochronie Danych, Komentarz, Warszawa 2017, s. 795.
[3] Tamże, s. 797.
[4] RODO, art. 39 ust. 1 lit. a-c.
[5] Tamże. art. 38 ust. 4.
[6] Wytyczne Grupy Roboczej Art. 29 WP 243.
[7] P. Litwiński, Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Warszawa 2018, s. 558.