RODO: Zgłaszanie IOD i odwoływanie ABI od 25 maja 2018 r.

Zawiadomienia o wyznaczeniu IOD należy dokonywać od 25 maja 2018 r. Od tego dnia nie należy kierować do GIODO zgłoszeń powołania i odwołania ABI.

Nowy obowiązek

Obowiązek wyznaczenia inspektora ochrony danych określony został w art. 37 ust. 1 RODO (w przypadku podmiotów publicznych należy dodatkowo uwzględnić art. 9 nowej ustawy o ochronie danych osobowych przekazanej 16 maja 2018 r. do podpisu Prezydenta RP). Z kolei obowiązek zawiadamiania Prezesa Urzędu Ochrony Danych Osobowych (to nowa nazwa organu nadzorczego) o danych kontaktowych inspektora ochrony danych przewidziany został w art. 37 ust. 7 RODO.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Sposób i terminy wykonania

Sposób i terminy wykonania tego obowiązku zostały szczegółowo określone w przepisach nowej ustawy o ochronie danych osobowych. Zgodnie z art. 10 ust. 1 i 3 tej ustawy, w zawiadomieniu o wyznaczeniu należy wskazać:

1)     imię, nazwisko oraz adres poczty elektronicznej lub numer telefonu inspektora,

2)     imię i nazwisko oraz adres zamieszkania, w przypadku gdy administratorem lub podmiotem przetwarzającym jest osoba fizyczna,

3)     firmę przedsiębiorcy oraz adres miejsca prowadzenia działalności gospodarczej, w przypadku gdy administratorem lub podmiotem przetwarzającym jest osoba fizyczna prowadząca działalność gospodarczą,

4)     pełną nazwę oraz adres siedziby, w przypadku gdy administratorem lub podmiotem przetwarzającym jest podmiot inny niż wskazany w pkt. 2 i 3,

5)     numer identyfikacyjny REGON, jeżeli został nadany administratorowi lub podmiotowi przetwarzającemu.

W okresie przejściowym, bezpośrednio po wejściu w życie ustawy, zostały przewidziane różne terminy na dopełnienie tego obowiązku. Zależą one od tego, czy dany podmiot przed 25 maja 2018 r. miał powołanego administratora bezpieczeństwa informacji (ABI), a także od tego, czy nowe przepisy nakładają na niego obowiązek wyznaczenia inspektora ochrony danych.

Zobacz: RODO w firmie

Jeżeli na administratorze w świetle nowych przepisów spoczywa obowiązek wyznaczenia IOD, to powiadomienia należy dokonać:

• do 1 września 2018 r. - gdy administrator wyznaczył ABI przed 25 maja 2018 r. i decyduje, że ta sama osoba będzie pełnić u niego funkcję inspektora ochrony danych (art. 158 ust. 1 i 2 nowej ustawy),
• do 1 września 2018 r.- gdy administrator wyznaczył administratora bezpieczeństwa informacji (ABI) przed 25 maja 2018 r., ale do pełnienia funkcji inspektora ochrony danych chce wyznaczyć inną osobę (art. 158 ust. 1 nowej ustawy),
• do 31 lipca 2018 r. - gdy administrator nie powołał ABI przed 25 maja 2018 r. (art. 158 ust. 4 nowej ustawy).