Gwarancje niezależności IOD - RODO 2018

Podobnie jak ma to miejsce na gruncie aktualnie obowiązującej ustawy o ochronie danych osobowych (art. 36a ust. 8 uodo) inspektorzy ochrony danych – bez względu na to, czy są pracownikami administratora, czy też nie – powinni być w stanie wykonywać swoje obowiązki i zadania w sposób niezależny (motyw 97 RODO). W celu zapewnienia niezależności DPO administrator lub podmiot przetwarzający powinni wprowadzić wewnętrzne regulacje gwarantujące inspektorowi ochrony danych niezależność w wykonywaniu przez niego obowiązków i zadań.

Odnosi się to w szczególności do podmiotów publicznych czy też podmiotów o złożonych strukturach, które będą musiały dostosować swoje regulaminy organizacyjne oraz statuty tak, aby zapewnić niezależność DPO.

Zgodnie z Wytycznymi Grupy Roboczej art. 29 dotyczącymi inspektora ochrony danych umiejscowienie inspektora ochrony danych w strukturze organizacyjnej danego podmiotu powinno być czytelne dla całego personelu administratora lub podmiotu przetwarzającego, w związku z czym w przypadku powołania DPO, administrator lub podmiot przetwarzający powinien zawiadomić o tym fakcie pozostałych pracowników. W celu zapewnienia niezależności inspektorowi ochrony danych ogólne rozporządzenie o ochronie danych, wprowadza kilka szczegółowych rozwiązań, które pozwalają na osiągnięcie ww. celu, mianowicie:

1) Bezpośrednia podległość DPO najwyższemu kierownictwu:

Jednym ze szczegółowych rozwiązań służących niezależności DPO jest umieszczenie go w strukturze organizacyjnej administratora danych lub podmiotu przetwarzającego bezpośrednio pod najwyższym kierownictwem. Zgodnie z art. 38 ust. 3 RODO inspektor ochrony danych ma podlegać bezpośrednio najwyższemu kierownictwu administratora lub podmiotu przetwarzającego. Bezpośrednia podległość oznacza, że w ramach podejmowanych przez siebie czynności inspektor ochrony danych nie może podlegać jakimkolwiek innym osobom lub jednostkom organizacyjnym wchodzącym w skład struktury administratora danych (art. 38 ust. 3 RODO).

Sposób rozumienia terminu najwyższe kierownictwo na pewno zależy od typu podmiotu jakim jest administrator lub podmiot przetwarzający. Tytułem przykładu wskazać można, że „najwyższym kierownictwem” będzie osoba lub osoby wchodzące w skład organu, które kierują jej pracami (ministrowie kierujący działami administracji rządowej, dyrektorzy szkół), albo prowadzą jej sprawy (zarząd spółki, wspólnicy spółki jawnej, właściciel jednoosobowej działalności gospodarczej).

2) Wspieranie DPO w wypełnianiu jego zadań:

Administrator danych i podmiot przetwarzający zostali zobowiązani do wspierania  inspektora ochrony danych poprzez m.in. zapewnienie mu zasobów niezbędnych do wykonania tych zadań. Na gruncie obecnie obowiązującej ustawy o ochronie danych osobowych funkcję ABI może pełnić osoba, która ma zapewnione środki i organizacyjną odrębność, niezbędne do niezależnego wykonywania przez niego zadań. Przy czym określenie „środki” rozumiane jest szeroko, np. w sensie organizacyjnym, technicznym, infrastrukturalnym, jak i finansowym.

3) Zapewnienie udziału DPO we wszystkich zagadnieniach związanych z ochroną danych osobowych:

Artykuł 38 RODO zobowiązuje administratora oraz podmiot przetwarzający do zapewnienia, by inspektor ochrony danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych. Norma ta ma zapobiegać próbom ograniczania inspektorowi dostępu do niezbędnych dla realizacji jego zadań informacji, a tym samym  sprzyja zachowaniu jego niezależności.

4) Zakaz wydawania instrukcji DPO co do wykonywania przez niego zadań:

Istotną gwarancją w zakresie niezależności inspektora ochrony danych jest niewątpliwie wprowadzenie zakazu wydawania przez administratora lub podmiotu przetwarzającego instrukcji (poleceń) dla DPO dotyczących wykonywania przez niego zadań (art. 38 ust. 3 RODO). Zakaz wydawania instrukcji inspektorowi ochrony danych, oznacza, że w ramach wypełniania swoich zadań inspektor ochrony danych, nie może otrzymywać poleceń dotyczących sposobu załatwienia sprawy, środków jakie mają zostać podjęte, czy też celu jaki powinien zostać osiągnięty.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach - PREMIUM

Ponadto, administrator nie powinien uniemożliwiać, bądź ograniczać inspektorowi ochrony danych kontaktu z organem nadzorczym. W Wytycznych dotyczących inspektora ochrony danych Grupa Robocza art. 29 wskazuje, że DPO nie może również zostać zobligowany do przyjęcia określonego stanowiska w sprawie z zakresu prawa ochrony danych, w tym określonej wykładni przepisów.

5) Unikanie konfliktu interesów DPO:

Zgodnie z art. 38 ust. 6 RODO, istnieje możliwość nakładania na inspektora ochrony danych innych zadań i obowiązków, ale administrator i podmiot przetwarzający muszą zapewnić by nie powodowało to konfliktu interesów. Zatem jak wyjaśnia Grupa Robocza art. 29 w Wytycznych dotyczących inspektora ochrony danych oznacza to m.in., że DPO nie może zajmować  w  organizacji stanowiska związanego z określaniem sposobów i celów przetwarzania danych. Aspekt ten powinien być analizowany osobno i indywidualne dla każdego podmiotu.

6) Zakaz odwoływania i karania DPO:

Zachowanie niezależności przez inspektora ochrony danych wspiera również art. 36 ust 3 RODO, stanowiący, że administrator lub podmiot przetwarzający nie może odwołać ani karać DPO za wypełnianie przez niego zadań. Oczywiście przepis ten należy odnosić do obiektywnie prawidłowego wykonywania zadań. Nie chodzi tu o ochronę inspektora, który nie wywiązuje się należycie ze swoich zadań.Jest to jedyny przepis w ogólnym rozporządzeniu o ochronie danych dotyczący odwołania DPO.

Zgodnie z Wytycznymi Grupy Roboczej art. 29 dotyczącymi inspektora ochrony danych inspektor nie  może zostać odwołany ani ukarany za udzielenie określonego zalecenia, nawet jeśli jest ono niezgodne ze stanowiskiem reprezentowanym przez  administratora lub podmiot przetwarzający. Grupa Robocza art. 29 wyjaśnia, że chodzi tu o kary w różnych formach, bezpośrednie albo pośrednie, np. brak albo opóźnienie awansu, utrudnienie rozwoju zawodowego, ograniczenie dostępu do korzyści oferowanych pozostałym pracownikom. Zakaz odwoływania inspektora ochrony danych, nie oznacza natomiast, że DPO nie może zostać odwołany w uzasadnionych sytuacjach z przyczyn innych niż wykonywanie swoich obowiązków (np. z powodu kradzieży). 

7) Obowiązek zachowania tajemnicy lub poufności co do wykonywania zadań przez DPO

Inspektor ochrony danych jest zobowiązany do zachowania tajemnicy lub poufności, co do wykonywania swoich zadań zgodnie z prawem Unii lub państwa członkowskiego (art. 38 ust. 5 RODO). Obowiązująca ustawa o ochronie danych osobowych w art. 39 ust. 2 stanowi, że osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia. Przepis ten odnosi się również do pełniącego swoje obowiązki i upoważnionego do przetwarzania danych osobowych administratora bezpieczeństwa informacji.