| IFK | IRB | INFORLEX | GAZETA PRAWNA | INFORORGANIZER | APLIKACJE | KARIERA | SKLEP
Jesteś tutaj: STRONA GŁÓWNA > Moja firma > Biznes > Prawo > RODO w firmie > Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć?

Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć?

IOD – Inspektor ochrony danych, to stanowisko powstałe w wyniku obowiązującego od 25 maja rozporządzenia o ochronie danych osobowych (RODO). Kim jest? Jakie pełni funkcje? W jakich sytuacjach powołanie go jest dla danej organizacji obowiązkiem, a kiedy – mimo braku uwarunkowania tego obowiązkiem prawnym – okaże się opłacalnym działaniem, także wizerunkowym? Poniższy artykuł ma na celu odpowiedź na wszelkie nurtujące przedsiębiorców kwestie związane z piastowaniem stanowiska IOD.

Od 25 maja 2018 r. zaczęło obowiązywać europejskie rozporządzenie o ochronie danych osobowych (RODO)[1]. Nałożyło ono na niektórych administratorów danych obowiązek powołania inspektora ochrony danych (IOD). Celem poniższego artykułu jest przedstawienie osoby IOD, jego pozycji, zadań w organizacji oraz sytuacji, w których powołanie go będzie obowiązkowe dla danej organizacji. Ponadto zaprezentowane zostaną zalety oraz wady przejęcia funkcji IOD-a (outsourcing IOD) przez różne podmioty. Podsumowanie wskaże natomiast okoliczności, w których dla danej organizacji korzystne będzie posiadanie IOD-a, nawet kiedy nie będzie to uwarunkowane obowiązkiem prawnym.

Kim jest inspektor ochrony danych?

Stoi on na straży zgodnego z prawem przetwarzania informacji w organizacji. Gwarancją prawidłowego wykonywania zadań przez IOD-a pozostaje jego niezależność, oznaczająca autonomię działania w zakresie spraw dotyczących ochrony informacji, które realizować ma w sposób wolny od instrukcji i nacisków. Taki status zapewnić ma suwerenne, oparte na wiedzy i doświadczeniu formułowanie ocen, uwag i zaleceń w ramach realizowanych zadań i pełnionych obowiązków[2].

Administrator oraz podmiot przetwarzający zobligowani są do zapewnienia IOD zasobów niezbędnych przy wykonywanych przez niego zadaniach, a także utrzymania oraz rozwijania fachowej wiedzy, kwalifikacji i umiejętności. Oznacza, że IOD powinien posiadać środki organizacyjne, techniczne, technologiczne i finansowe, pozwalające na realizację jego funkcji[3]. Zadania IOD określone zostały w art. 39 ust. 1 RODO. Wśród nich wymienić można m.in. obowiązek informowania administratora, podmiotu przetwarzającego oraz ich pracowników, przetwarzających dane osobowe, o spoczywających na nich obowiązkach na gruncie RODO oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzania im w tym zakresie, monitorowanie przestrzegania RODO oraz innych aktów prawnych z zakresu ochrony danych osobowych.[4]

Zobacz: RODO dla firm

IOD pełni niejako rolę łącznika pomiędzy organizacją a organem nadzorczym, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych. Zobowiązany jest także do pełnienia funkcji punktu kontaktowego dla tego organu w kwestiach związanych z przetwarzaniem danych osobowych. IOD jest punktem kontaktowym dla osób, których dane dotyczą[5].

Kiedy trzeba wyznaczyć inspektora ochrony danych w organizacji?

Zgodnie z art. 37 ust. 1 RODO administrator i podmiot przetwarzający mają obowiązek wyznaczenia IOD-a w sytuacji:

  1. Przetwarzania danych osobowych przez organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości. Należy podkreślić, że zgodnie z wytycznymi[6] Grupy Roboczej Art. 29 obowiązek powołania IOD-a nie dotyczy prywatnych jednostek realizujących zadania w interesie publicznym (np. przedsiębiorstwa energetyczne świadczące usługi dystrybucyjne) lub sprawujących władzę publiczną. W tym przypadku zaleca się jednak powołanie IOD-a w ramach dobrych praktyk[7];
  2. Dotyczącej podmiotów, których główna działalność polega na operacjach przetwarzania danych osobowych na dużą skalę;
  3. Obligatoryjnego powołania IOD-a dotyczącego podmiotów, których główna działalność opiera się na przetwarzaniu na dużą skalę szczególnych informacji oraz danych dotyczących wyroków skazujących i naruszeń prawa.

W przypadku oceny, czy przetwarzanie prowadzone jest na dużą skalę rozważyć należy dwa aspekty: geograficzny i ilościowy. W związku z tym można wskazać, że z przetwarzaniem na dużą skalę nie mamy do czynienia w przypadku operacji realizowanych na szczeblu lokalnym oraz na niskim wolumenie danych, który oceniać należy jako konkretną liczbę lub procent populacji w danym regionie. W pozostałych sytuacjach administrator oraz podmiot przetwarzający mogą samodzielnie zdecydować, czy w ramach swojej organizacji chcą powołać IOD-a.

Zobacz: Prawo dla firm

Różne oblicza IOD-a

IOD wyznaczany jest na podstawie kwalifikacji zawodowych, w skład których wchodzą: fachowa wiedza na temat prawa i praktyk w dziedzinie ochrony danych osobowych oraz operacji przetwarzania danych i systemów informatycznych, a także umiejętność wypełnienia przedstawionych wcześniej zdań IOD-a. Wymagany poziom wiedzy fachowej nie został określony, należy oceniać go indywidualnie w każdej sprawie. Zgodnie z art. 37 ust. 6 RODO IOD może być członkiem personelu administratora lub podmiotu przetwarzającego, albo wykonywać zadania na podstawie umowy o świadczenie usług. Dozwolone jest zatem, aby funkcja IOD-a powierzona została pracownikowi danego podmiotu lub została outsourcingowaną.

Stanowisko IOD-a najczęściej powierzane jest jednak pracownikowi danej organizacji. W tym przypadku zatrudniony jest on jako pracownik lub współpracownik w danym podmiocie i realizuje swoje zadania w jego siedzibie.

Zalety:

  • dobra znajomość organizacji, jej pracowników i faktycznego zakresu ich obowiązków, realizacja powierzonych zadań w czasie pracy, stała dostępność w organizacji.

Wady:

  • trudność znalezienia osoby, posiadającej wszechstronną wiedzę z zakresu ochrony danych osobowych (obszar formalnoprawny) oraz operacji przetwarzania danych i systemów informatycznych (obszar IT);
  • ryzyko wpływu przełożonych na sposób realizowanie przez nią zadania, możliwość naruszenia jej niezależności.

Drugą możliwością jest powierzenie funkcji IOD-a, na podstawie umowy o świadczenie usług, zewnętrznemu prawnikowi, który – prowadząc jednoosobową działalność - może obsługiwać jako IOD klika mniejszych podmiotów.

Zalety:

  • szeroka wiedza z zakresu ochrony danych osobowych, łatwość postępowania w przypadku naruszeń.

Wady:

  • trudność w znalezieniu osoby z kompleksową wiedzą z zakresu obszaru formalnoprawnego oraz IT,
  • możliwy problem z bezzwłoczną realizacją powierzonych zadań, wynikający z równoległej obsługi kilku klientów.

Kolejną możliwością jest powierzenie funkcji IOD-a kancelarii prawnej. W tym modelu zadania realizowane będą przez zespół kilku prawników.

Zalety:

  • możliwie szybka reakcja w przypadku wystąpienia naruszenia ochrony danych osobowych,
  • bezzwłoczne wykonywanie obowiązków uwarunkowane realizacją obowiązków IOD-a przez kilka osób

Wady:

  • trudność w znalezieniu kancelarii ściśle wyspecjalizowanej w zagadnieniach związanych z ochroną danych osobowych,
  • generacja dużych kosztów.

Funkcję IOD-a powierzyć można także wyspecjalizowanej firmie świadczącej kompleksowe usługi w zakresie ochrony danych osobowych i bezpieczeństwa informacji.

Zalety:

  • realizacja zadań w obszarze formalnoprawnym oraz IT na wysokim poziomie;
  • szybka realizacja powierzonych zadań;
  • niezwłoczna reakcja w przypadku naruszenia ochrony danych osobowych;

Wady:

  • czas potrzebny na zapoznanie się ze strukturą firmy oraz zachodzących w niej procesów;
  • stanowisko zdalne, nie w siedzibie organizacji.

Czy opłaca się powoływać IOD-a?

Posiadanie IOD-a może mieć pozytywny wydźwięk wizerunkowy. Firma, która powoła takie stanowisko postrzegana będzie jako, ta przywiązująca wagę do ochrony danych osobowych i bezpieczeństwa informacji.

Skupienie zadań z zakresu ochrony danych osobowych w osobie IOD-a zapewni również spójność działań podejmowanych przez organizację we wskazanym zakresie. Posiadanie IOD-a powinno być korzystne dla organizacji, które nie przetwarzają danych osobowych w bardzo ograniczonym zakresie. Ponadto wskazuje się, że w przypadku outsourcingu funkcji IOD-a, najbezpieczniejszym rozwiązaniem jest korzystanie z usług podmiotów mających wieloletnie doświadczenie.

Autor: Paweł Domagała - specjalista ds. ochrony danych, ODO 24. Doktorant przy Wydziale Prawa i Administracji UKSW w Warszawie. Obszar jego zainteresowania stanowi problematyka bezpieczeństwa energetycznego, ochrony danych osobowych oraz prawa nowych technologii. Prelegent na kilkudziesięciu konferencjach, a także autor kilkunastu publikacji naukowych.

Czytaj także

Data publikacji:

Ekspert:

ODO 24

ODO 24 – to firma, która od 2012 roku oferuje kompleksowe rozwiązania w zakresie ochrony danych osobowych i bezpieczeństwa informacji. Stawia na merytorykę, praktyczne rozwiązania oraz trwałe relacje z klientami budowane w oparciu o partnerstwo, uczciwość i zaufanie. Swoim klientom pomaga chronić dane, minimalizując ryzyko związane z kontrolą, wyciekiem lub ich utratą.

Autor:

Zdjęcia

Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć? /fot. Shutterstock
Inspektor Ochrony Danych (IOD) – co warto o nim wiedzieć? /fot. Shutterstock

Nowa ustawa o ochronie danych osobowych z uzasadnieniem rządowym59.00 zł

Narzędzia przedsiębiorcy

POLECANE

Dotacje dla firm

reklama

Ostatnio na forum

Artykuł partnerski

Pomysł na biznes

Eksperci portalu infor.pl

Marcin Krasoń, Home Broker

Zostań ekspertem portalu Infor.pl »