Outsourcing IOD-a – konieczność czy zbyteczność?

Wdrożenie przepisów RODO w strukturze organizacji to jedno, natomiast utrzymanie stworzonego systemu ochrony danych osobowych to drugie. Na wiele podmiotów został również nałożony obowiązek powołania inspektora ochrony danych (IOD). Nawet w razie jego braku Grupa Robocza Art. 29 rekomenduje ocenę przydatności wyznaczenia osoby do pełnienia danej funkcji w organizacji, przy czym zalecane jest, aby w ramach dobrych praktyk IOD został powołany przez jednostki realizujące zadania w interesie publicznym lub sprawujące władzę publiczną.

Z obserwacji praktyki rynkowej wynika, że organizacje nie zbagatelizowały tych rekomendacji. Ciężko powiedzieć, czy w trosce o bezpieczeństwo przetwarzanych danych, czy z obawy przed wysokimi karami administracyjnymi, ale wiele podmiotów decyduje się na powołanie IOD-a, mimo że RODO nie nakłada na nie takiego obowiązku. W doktrynie zwraca się uwagę, że wyznaczenie osoby pełniącej taką funkcję w organizacji może zostać wzięte pod uwagę przez organ nadzorczy (Prezesa UODO) przy ustalaniu wysokości ewentualnej kary administracyjnej jako oznaka podejmowania przez organizację działań mających na celu minimalizację ryzyka naruszenia przepisów prawa.

Trudno również nie odnotować tendencji, zgodnie z którą organizacje wyznaczają „koordynatora ds. ochrony danych osobowych”, tj. nieformalnego IOD-a, który nadzoruje i monitoruje przestrzeganie przepisów RODO w organizacji, odpowiada za kierowane żądania realizacji praw osób fizycznych, a gdy nastąpi taka potrzeba - dopilnuje procedury przewidzianej w razie wystąpienia incydentu ochrony danych.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Dostępne modele współpracy

Zapotrzebowanie na specjalistów z tej dziedziny jest olbrzymie, a organizacje stają przed dylematem, czy wykonywanie zadań związanych z ochroną danych osobowych – zarówno w charakterze IOD-a, jak i „nieformalnego” koordynatora ds. ochrony danych powierzyć szeregowemu pracownikowi, który obowiązki w tym zakresie będzie wykonywał równolegle do reszty zadań związanych z piastowanym stanowiskiem, czy outsourcować je doświadczonemu ekspertowi ds. ochrony danych osobowych.

Wielu – nie dysponując odpowiednim zapleczem w postaci wykwalifikowanych specjalistów z zakresu ochrony danych osobowych – powierzyło ten aspekt do prowadzenia zewnętrznej organizacji. Takie rozwiązanie z pewnością niesie za sobą poczucie bezpieczeństwa. Jednak wiele organizacji postrzega taki model za nie do końca wydajny, a jednocześnie generujący dodatkowe nakłady pieniężne.