Kim jest IOD i jakie ma obowiązki?

Rozporządzenie RODO nakłada na wielu administratorów danych osobowych oraz podmioty przetwarzające obowiązek powołania Inspektora Ochrony Danych (IOD). Nie w każdym przypadku jest jednak oczywiste, kto musi takie stanowisko utworzyć, a także, czym właściwie zajmuje się i za co odpowiada IOD. Przeczytaj nasz poradnik, w którym wyjaśniamy najważniejsze zagadnienia krok po kroku.

Kim jest Inspektor Ochrony Danych?

Inspektor Ochrony Danych to osoba fizyczna, która wspiera administratora danych osobowych lub procesora w realizacji zadań związanych z przetwarzaniem danych osobowych. Pełni on przede wszystkim funkcję konsultacyjną, doradczą, a także edukacyjną, szkoląc pracowników organizacji.

Zadaniem IOD jest monitorowanie compliance z obowiązującymi przepisami, ale nie odpowiada on za to, czy administrator lub procesor faktycznie zrealizują swoje obowiązki wynikające z przepisów.

Kto musi powołać IOD?

Unijny ustawodawca wytypował grupy podmiotów, które są zobligowane do powołania IOD. Stosownie do art. 37 ust. 1 RODO na tej liście znaleźli się administratorzy i podmioty przetwarzające, których:

• główna działalność polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę (np. sklep internetowy, duża agencja marketingowa),

• główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych (np. klinika medyczna).

Do powołania IOD są też zobowiązane organy i podmioty publiczne, np. urzędy gmin lub uczelnie wyższe.

Potrzebujesz wdrożenia RODO w swojej organizacji? Sprawdź, jak możemy Ci pomóc: https://rpms.pl/obsluga-prawna-rodo/https://rpms.pl/obsluga-prawna-rodo/

Poznaj korzyści z ustanowienia IOD

Dla wszystkich pozostałych administratorów danych osobowych i procesorów poza wyżej wymienionymi ustanowienie IOD jest fakultatywne, co nie oznacza, że nie warto tego robić. Co zyskujesz, wyznaczając IOD w swojej firmie?

Przede wszystkim osoba z doświadczeniem w zakresie ochrony danych osobowych dba o zgodność wewnętrznych procesów z obowiązującymi przepisami. Dla organizacji oznacza to większe bezpieczeństwo danych osobowych oraz mniejsze ryzyko kar za naruszenie przepisów RODO. IOD wspiera efektywne zarządzanie danymi osobowymi, a także zwiększa świadomość pracowników poprzez ich edukację.

Jakie obowiązki spoczywają na IOD?

Zadania spoczywające na IOD zostały wskazane w art. 39 rozporządzenia RODO i obejmują:

1. Informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy RODO i innych aktów prawnych regulujących przetwarzanie danych osobowych,

2. Monitorowanie zgodności działań organizacji z przepisami dotyczącymi RODO,

3. Szkolenie pracowników w zakresie bezpieczeństwa postępowania z danymi osobowymi,

4. Regularne audytowanie organizacji w zakresie compliance z RODO,

5. Udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania,

6. Współpraca z organem nadzorczym (w Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych),

7. Pełnienie funkcji punktu kontaktowego dla organu nadzorczego, ale też osób, których dane są przetwarzane przez administratora.

Można powiedzieć, że IOD odpowiada za organizację pracy organizacji w taki sposób, aby administrator albo procesor mogli wykazać, że w swoich działaniach kierowali się zasadą rozliczalności.

Potrzebujesz szybkiej porady prawnej z zakresu ochrony danych osobowych? Zadzwoń do nas: 61 307 09 91 lub napisz na adres: kancelaria@rpms.pl.

Jak wybierać IOD?

Unijny ustawodawca dosyć lapidarnie odniósł się do kwalifikacji wymaganych dla IOD. W art. 37 ust. 5 RODO można odnaleźć jedynie ogólnikowe odniesienie się do kwalifikacji zawodowych, przy czym poziom wiedzy powinien być ustalany w odniesieniu do konkretnych operacji przetwarzania danych osobowych oraz potrzeb ich ochrony przez administratora lub procesora (motyw 97 RODO). Nieco więcej wskazówek można odnaleźć w komunikacie Grupy Roboczej Art. 29 która zwraca uwagę na charakter, stopień i ilość przetwarzanych danych osobowych. Czego zatem możesz oczekiwać od IOD?

• Doskonałej znajomości RODO, a także pozostałych aktów europejskich i międzynarodowych, jeśli mają one zastosowanie do Twoich procesów przetwarzania danych osobowych,

• Znajomości dobrych praktyk dotyczących ochrony danych osobowych, w tym aktualnych wytycznych organu nadzorczego,

• Zrozumienia procesów biznesowych charakterystycznych dla swojego klienta,

• Wiedzy z zakresu cyberbezpieczeństwa na poziomie odpowiadającym stopniowi złożoności procesów.

Logiczną konstatacją będzie więc stwierdzenie, że Fintech, który świadczy swoje usługi na terenie całej Unii Europejskiej i przetwarza dane kilkuset tysięcy klientów ma większe potrzeby w zakresie RODO, niż działający lokalnie e-commerce, który operuje wyłącznie na obszarze Rzeczpospolitej Polskiej.

Jak wygląda pozycja IOD w przedsiębiorstwie?

W celu realizacji spoczywających na nim obowiązków IOD powinien mieć zagwarantowaną pełną niezależność na etapie oceny i podejmowania decyzji. W tym celu powinien zostać wyposażony w odpowiednie zasoby oraz uzyskać dostęp do wszystkich informacji i procedur związanych z przetwarzaniem danych (np. kartoteki, bazy danych).

Polityka organizacji powinna uwzględniać też istnienie mechanizmów gwarantujących brak konfliktu interesów. Dlatego nie rekomenduje się np. łączenia funkcji IOD z funkcją dyrektora, managera albo członka zarządu, ponieważ realizacja obu puli kompetencji mogłaby prowadzić do kolizji.

Obsługa w zakresie RODO – jak możemy Ci pomóc?

Kancelaria Prawna RPMS świadczy kompleksową obsługę z zakresu RODO na rzecz przedsiębiorców. Co możemy dla Ciebie zrobić?

• Pełnimy funkcje IOD – monitorujemy compliance z RODO oraz udzielamy stosownych zaleceń dotyczących realizacji DPIA,

• Prowadzimy regularne audyty wewnętrzne i realizujemy działania naprawcze związane z RODO,

• Obsługujemy incydenty w Twojej organizacji – zapewniamy pomoc w przypadku naruszenia oraz na etapie zgłaszania incydentu i postępowania przed organem naprawczym,

• Opracowujemy i aktualizujemy polityki i procedury związane z RODO.

Planujesz skorzystać z usługi outsourcingu IOD? Sprawdź nasz artykuł!