Inspektor Ochrony Danych (IOD) w firmie

KIEDY WYZNACZYĆ INSPEKTORA OCHRONY DANYCH (IOD)?

Zgodnie z art. 37 RODO, administratorzy danych osobowych zobligowani są do wyznaczania funkcji Inspektora Ochrony Danych Osobowych zawsze, gdy przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości. W sektorze prywatnym administrator danych/podmiot przetwarzający zobowiązany jest do wyznaczenia IOD, gdy główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania podmiotów danych na dużą skalę. Obowiązek taki pojawi się również gdy główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa.

Przykładem organu lub podmiotu publicznego, zobowiązanego do powołania IOD może być na przykład Urząd Gminy, który przetwarza dane swoich pracowników, dostawców usług, a w szczególności mieszkańców danego obszaru. Z kolei podmioty, których główna działalność polega na przetwarzaniu danych, to de facto wszystkie podmioty świadczące usługi na rzecz konsumentów, m.in. agencje, biura informacji, czy instytucje finansowe.

Przepisy RODO w tym zakresie zawierają jednak wiele niedopowiedzeń, a pojęcia takie jak „główna działalność” czy „duża skala” wymagają doprecyzowania. Motyw 97 preambuły RODO wskazuje, że dana działalność może być uznana za główną, jeśli oznacza jego zasadnicze, a nie poboczne czynności. Obejmie to sytuację, gdy dana działalność administratora/podmiotu przetwarzającego dla prawidłowego i efektywnego wykonywania wymaga przetwarzania danych osobowych (nawet jeśli samo przetwarzanie nie należy do statutowej, głównej działalności podmiotu. Dla przykładu, jeśli główną działalnością spółki jest dostarczanie prywatnej opieki medycznej, można domniemywać, że dla zapewnienia prawidłowej działalności spółka ta będzie musiała również przetwarzać dane osobowe.

Oceniając, czy administrator danych/podmiot przetwarzający przetwarza dane na „dużą skalę” warto wziąć pod uwagę wytyczne Grupy Roboczej Art. 29. Konieczne jest przeanalizowanie takich aspektów jak: liczba osób, których dane są przetwarzane; zakres przetwarzania danych osobowych; okres, przez jak są przetwarzane oraz zakres geograficznego przetwarzania danych. Brak jest jednak obecnie dalszych wytycznych w tym zakresie, a każdy przypadek powinien podlegać indywidualnej ocenie.

Niezależnie od tego, administratorzy danych/podmioty przetwarzające mogą dobrowolnie wyznaczyć inspektora ochrony danych. Może to ułatwić przestrzeganie przepisów, jak również przyczynić się do wzrostu konkurencyjności przedsiębiorstwa. Należy jednak pamiętać, że niezależnie od tego, czy na administratorze ciążył obowiązek wyznaczenia IOD czy zrobił to dobrowolnie, konieczne jest aby zagwarantować osobie wykonującej te obowiązku odpowiednią pozycję w przedsiębiorstwie administratora oraz pełną niezależność. Podmiot powinien także poinformować o wyznaczeniu w jego organizacji IOD i upubliczniać informacje pozwalające na podjęcie kontaktu z osobą pełniąca funkcję IOD. 

Zobacz również: Jak legalnie stosować profilowanie z RODO?

CO ZYSKUJE FIRMA WYZNACZAJĄC INSPEKTORA OCHRONY DANYCH OSOBOWYCH?

Dla podmiotów zobligowanych do wyznaczenia IOD zasadniczą korzyścią jest zgodność działania z prawem. W przypadku niepowołania inspektora ochrony danych pomimo prawnego obowiązku trzeba liczyć się z karą w wysokości do 10 milionów euro, zaś w przypadku przedsiębiorców do 2% całkowitego rocznego światowego obrotu (zastosowanie ma kwota wyższa). Niemniej jednak powołanie IOD warto rozważyć również w sytuacji, kiedy nie jest to obowiązkowe.

Wymierną korzyścią jest przede wszystkim pomoc w zarządzaniu danymi osobowymi oraz identyfikowaniu potencjalnych obszarów ryzyka. Ma to znaczenie w szczególności w średniej wielkości przedsiębiorstwach, gdzie danych osobowych może być już na tyle dużo, że ich samodzielne przetwarzanie przez administratora (przedsiębiorcę) jest praktycznie niemożliwe bez uszczerbku dla gwarancji osób, których dane dotyczą.

KTO MOŻE PEŁNIĆ FUNKCJĘ INSPEKTORA OCHRONY DANYCH (IOD) ?

Rozporządzenie o ochronie danych osobowych nie przewiduje szczególnie wysokich wymagań w stosunku do osoby pełniącej funkcję inspektora ochrony danych. Powinna ona jedynie wykazywać odpowiednie kwalifikacje zawodowe, w szczególności posiadać fachową wiedzę na temat prawa i praktykę w dziedzinie ochrony danych oraz umiejętności niezbędne do wykonywania zadań IOD. Na pełnienie tej funkcji może być wyznaczona zarówno osoba zatrudniona w oparciu o umowę o pracę (np. dotychczasowy pracownik) jak również osoba wykonująca obowiązki IOD na podstawie umowy o świadczenie usług. Konieczne jest jednak zapewnienie takiej osobie odpowiedniego stopnia niezależności, zatem nie rekomenduje się, aby funkcję tę sprawował członek zarządu.

W wytycznych Grupy Roboczej Art. 29 wskazuje się, że z uwagi na brak jednoznacznego określenia wymagań względem IOD, poziom wymaganych kwalifikacji powinien być współmierny do charakteru skomplikowania i ilości danych przetwarzanych w ramach jednostki. Można więc oczekiwać, że np. w krajowej instytucji płatniczej poziom oczekiwań względem IOD będzie większy, niż np. w średniej wielkości biurze rachunkowym. Jednocześnie Grupa Robocza wskazała, że od IOD powinno się oczekiwać:

• praktycznej wiedzy z zakresu krajowych i europejskich przepisów ochrony danych osobowych, w tym znajomości praktyk organu nadzoru,
• wiedzy biznesowej i sektorowej w zakresie działalności prowadzonej przez administratora,
• wiedzy z zakresu przetwarzania danych, zabezpieczeń informatycznych i systemów stosowanych u administratora,
• znajomości potrzeb administratora w zakresie ochrony danych.

Obecnie zawód inspektora ochrony danych nie jest zawodem regulowanym. Podmiot wyznaczający osobę do pełnienia funkcji IOD powinien zatem samodzielnie przeanalizować dotychczasowe doświadczenie kandydata, jego znajomość regulacji prawnych w dziedzinie ochrony danych osobowych, jak również ukończone szkolenia i uzyskane certyfikaty. W praktyce najczęściej zadania IOD wypełniają osoby z wykształceniem prawniczym, biegłe w przepisach i procedurach. Obecnie na wielu uczelniach w Polsce możliwe jest ukończenia studiów z zakresu ochrony danych osobowych lub zaawansowanych szkoleń w tym zakresie.

Ustawa o ochronie danych osobowych zobowiązuje podmioty, które wyznaczyły inspektora ochrony danych do zawiadomienia o tym fakcie Prezesa Urzędu Ochrony Danych Osobowych w terminie 14 dni od dnia jego wyznaczenia. Zawiadomienia można dokonać pisemnie bądź elektronicznie, samodzielnie lub przez pełnomocnika. Informacja o wyznaczeniu inspektora ochrony danych powinna również znaleźć się na stronie internetowej podmiotu wyznaczającego IOD, a jeśli nie prowadzi on takiej strony – dane inspektora powinny być ujawnione w sposób ogólnie dostępny w miejscu prowadzenia działalności.

Zobacz również: Powierzenie przetwarzania danych i umowa z procesorem

POZYCJA INSPEKTORA OCHRONY DANYCH (IOD) W PRZEDSIĘBIORSTWIE

Rozporządzenie o ochronie danych osobowych wskazuje, że inspektorowi ochrony danych powinno się zapewnić odpowiednią pozycję w organizacji niezbędna do wykonywania jego zadań. Do środków to umożliwiających należy zaliczyć: udział inspektora w spotkaniach przedstawicieli wyższego i średniego szczebla w organizacji; uczestnictwo inspektora przy podejmowaniu decyzji dotyczących przetwarzania danych osobowych; branie pod uwagę stanowiska inspektora przy podejmowaniu decyzji dotyczących poszczególnych procesów w organizacji, w trakcie których dochodzi do przetwarzania danych.

Zapewnieniu odpowiedniej pozycji IOD ma pomóc również obowiązek nałożony na podmiot wyznaczający włączania inspektora we wszelkie sprawy dotyczące danych osobowych. Obowiązek ten występuje zarówno w ramach toczących się już procesów, jak również w fazie ich projektowania, a przede wszystkim – w przypadku wystąpienia naruszeń bądź w razie wszczęcia postępowania przez Prezesa Urzędu Ochrony Danych Osobowych.

Inspektorowi ochrony danych nie można wydawać instrukcji w zakresie wykonywania przez niego zadań określonych w art. 39 RODO. Zakaz ten obejmuje instrukcje dotyczące sposobu rozpoznania sprawy, środków, jakie mają zostać podjęte, celu, jaki powinien zostać osiągnięty czy decyzji o skontaktowaniu się z organem nadzorczym. Inspektor ochrony danych nie może zostać zmuszony do przyjęcia określonego stanowiska. Ograniczenia związane z pozycją IOD w organizacji mają zmierzać do zapewnienia jego pełnej niezależności w wykonywaniu zadań, dla których został wyznaczony.

Zobacz również: Incydent RODO

NIEZALEŻNOŚĆ INSPEKTORA OCHRONY DANYCH (IOD)

Niezależność inspektora ochrony danych jest kluczowa dla swobodnego wykonywania przez niego zadań określonych w art. 39 RODO oraz zapewnienia odpowiedniego poziomu ochrony danych. Gwarancje niezależności inspektora ochrony danych zostały ujęte w art. 38 RODO. Obejmują one nie tylko wspomniany już wcześniej obowiązek włączania inspektora ochrony danych we wszystkie sprawy dotyczące przetwarzania danych osobowych, ale również zapewnienie mu zasobów niezbędnych do wykonywania jego zadań. Inspektor ochrony danych powinien mieć również dostęp do danych osobowych i operacji przetwarzania, a także zostać wyposażonym w zasoby niezbędne do aktualizowania jego fachowej wiedzy.

Niezależność inspektora ochrony danych musi mieć charakter faktyczny, nie wystarczy zatem jedynie zamieszczenie odpowiednich postanowień w regulaminie pracy czy umowie pomiędzy podmiotem wyznaczającym a pełniącym funkcje IOD. Konieczne jest zagwarantowanie funkcjonowania narzędzi przeciwdziałającym konfliktom interesów. Z tego względu nie rekomenduje się, aby funkcje IOD pełnili np. dyrektorzy czy menagerowie poszczególnych działów w przedsiębiorstwie. Każdy przypadek powinien być oceniany indywidualnie biorąc pod uwagę takie kryteria jak np. możliwość swobodnego podejmowania decyzji, istnienie w przedsiębiorstwie polityki mających na celu przeciwdziałanie konfliktom interesów, jak również przejmowanie przez IOD odpowiedzialności za proces przetwarzania danych osobowych.

Zapewnieniu niezależności inspektora ochrony danych ma służyć również zakaz jego odwoływania bądź karania z tytułu wykonywania przez niego obowiązków określonych w art. 39 RODO. Nie oznacza to jednak, że raz wyznaczonego IOD nie można odwołać. Jeśli wystąpią inny przyczyny niż te związane z wykonywaniem jego obowiązków, podmiot wyznaczający IOD może zadecydować o jego odwołaniu zgodnie z regułami wynikającymi z prawa pracy czy prawa cywilnego, a środek ten może być stosowany tak samo jak w przypadku każdego innego pracownika bądź zleceniobiorcy czy w przypadku zaistnienia uzasadnionych przyczyn. Zakaz karania inspektora ochrony danych za wykonywanie obowiązków określonych w art. 39 RODO powinien być rozumiany szeroko i obejmować również między innymi: utrudnienia w otrzymywaniu awansów, zakaz pracy z domu, jeśli przysługuje ona pozostałym pracownikom, nieuzasadnione pozbawianie możliwości wzięcia udziału w szkoleniach czy brania na siebie dodatkowych obowiązków.

Zobacz również: Compliance w zakresie ochrony danych osobowych. Co obejmuje i na co trzeba zwrócić uwagę?

JAK WYGLĄDA ODPOWIEDZIALNOŚĆ INSPEKTORA OCHRONY DANYCH ?

Zgodnie z treścią art. 24 ust. 1 RODO na administratorze (analogicznie: na procesorze) spoczywa odpowiedzialność za wdrożenie środków technicznych i organizacyjnych zapewniających zgodność z prawem przetwarzania danych osobowych i realizację zasady rozliczalności. Czy w takim razie IOD nie ponosi żadnej odpowiedzialności za swoje działania lub zaniechania? Odpowiedź na to pytanie jest nieco bardziej złożona.

W sytuacji, kiedy IOD jest zatrudniony na umowę o pracę, można mówić o typowej odpowiedzialności pracowniczej w rozumieniu kodeksu pracy – zarówno porządkowej, jak i materialnej. Jeśli współpraca na linii administrator (procesor) – inspektor ochrony danych odbywa się na mocy umowy cywilnoprawnej, to w tej umowie należy dokładnie zakreślić granice i zakres odpowiedzialności.

W przypadku braku jakichkolwiek postanowień w tym zakresie odpowiedzialność IOD będzie obejmowała szkody rzeczywiste i utracone korzyści, chyba że uszczerbek wynikał z okoliczności, na które IOD nie miał wpływu. Zwłaszcza w przypadku współpracy B2B kluczowe znaczenie ma precyzyjne określenie zadań IOD, ale też jego odpowiedzialności.

W praktyce więc IOD ma obowiązek monitorować sytuację związaną z przetwarzaniem danych osobowych i ich ochroną, a także sygnalizować uchybienia i sugerować zmiany. Nie będzie jednak odpowiadał za to, że administrator nie zastosował się do zaleceń.

CZY MOŻNA ŁĄCZYĆ FUNKCJĘ IOD ORAZ INNE FUNKCJE W PRZEDSIĘBIORSTWIE?

Rozporządzenie RODO nie zakazuje wprost łączenia funkcji IOD z innymi stanowiskami w przedsiębiorstwie. Nie zmienia to faktu, że na administratorze nadal pełni obowiązek zagwarantowania inspektorowi należycie uprzywilejowanej pozycji. Chcąc połączyć kilka wiązek uprawnień w jednej osobie, w szczególności należy upewnić się, że IOD zachował niezależność, a także że wykonywanie przez niego obowiązków zastrzeżonych dla dwóch lub większej liczby stanowisk nie powoduje konfliktu interesów. Grupa Robocza wskazuje, że z założenia należy przyjąć, że konflikt interesów będzie powodowało powołanie jako IOD osób zajmujących stanowiska kierownicze, dyrektorskie, związane z określaniem celu lub sposobu przetwarzania danych osobowych.

Niezbędne jest, aby IOD poświęcił na zadania związane z danymi osobowymi wystarczająco dużą ilość czasu, aby swoje obowiązki realizować z należytą starannością. Na administratorze ciąży obowiązek dokonania oceny liczby i stopnia skomplikowania tych obowiązków, ale też zapewnienie zasobów organizacyjnych, sprzętowych i finansowych, aby dało się je wykonywać.

INSPEKTOR OCHRONY DANYCH – WSPARCIE KANCELARII

Jak zostało wskazane na wstępie, zadania Inspektora Ochrony Danych nie muszą być wypełniane w oparciu o zatrudnienie na umowę o pracę. Możliwe jest skorzystanie z usług tzw. zewnętrznego IOD, a więc podmiotu świadczącego takie usługi w oparciu o umowę cywilnoprawną. W przypadku niektórych mniejszych przedsiębiorstw pełnoetatowa obecność IOD nie jest wymagana – takie rozwiązanie posiada kilka zasadniczych zalet. Po pierwsze, takie działanie pozwala na efektywne zarządzanie kwestią ochrony danych w organizacji, przy jednoczesnej optymalizacji kosztów.

Po drugie, zewnętrzne firmy wyspecjalizowane w ochronie danych, oddają do dyspozycji wiedzę i doświadczenie ekspertów w dziedzinie, którzy potrafią spojrzeć na zagadnienie z należnym obiektywizmem i niezależnością.Korzystanie z outsourcingu zewnętrznych specjalistów ma także i tę zaletę, że są oni spojrzeć na organizację obiektywnie. Często to właśnie ten obiektywizm okazuje się nieoceniony w realizacji obowiązków związanych z danymi osobowymi.

Poniższej przedstawiamy zakres obsługi w ramach pełnienia funkcji Inspektora Ochrony Danych przez kancelarię RPMS.

Wsparcie jest podzielone na trzy obszary działania:

a) Zadania cykliczne realizowane raz w roku:

• przeprowadzenie audytu z zakresu zgodności działalności podmiotu z przepisami o ochronie danych osobowych oraz opracowanie raportu z audytu w obszarze ochrony danych osobowych, ze wskazaniem obszarów potencjalnego zagrożenia i zaleceń do wdrożenia, 
• koordynowanie oraz wsparcie podczas przeprowadzania analizy ryzyka ochrony danych osobowych zgodnie z przyjętą metodyką, wsparcie przy identyfikacji ryzyka, pomoc w doborze mechanizmów kontrolnych, opracowanie raportu,
• aktualizacja rejestru czynności przetwarzania oraz rejestru kategorii czynności przetwarzania (jeśli dotyczy),
• przegląd regulacji wewnętrznych pod kątem ich aktualności i adekwatności – przygotowywanie lub aktualizacja dokumentacji dotyczącej ochrony danych osobowych oraz wewnętrznych procedur, instrukcji oraz innej dokumentacji w zakresie ochrony danych osobowych oraz przekazywanie rekomendacji w zakresie ich wdrożenia. 

b) Zadania realizowane w ramach stałego wsparcia:

• opracowywanie treści zgód na przetwarzanie danych osobowych i klauzul informacyjnych,
• w ramach zarządzania naruszeniami ochrony danych osobowych – prowadzenie postępowania wyjaśniającego (we współpracy ze Zleceniodawcą), wydawanie rekomendacji w zakresie oceny ryzyka naruszenia praw lub wolności osób fizycznych, przygotowywanie treści notyfikacji do UODO i Podmiotu danych,
• wsparcie merytoryczne przy przeprowadzaniu Privacy by design,
• w ramach procedury realizacji praw Podmiotu danych – wsparcie merytoryczne w zakresie oceny formalnej wniosku i realizacji dyspozycji,
• wsparcie merytoryczne w zakresie ochrony danych osobowych w przypadku nawiązywania współpracy z kontrahentami/klientami (element zarządzania Podmiotami przetwarzającymi),
• wsparcie w ramach zewnętrznych audytów w obszarze ochrony danych osobowych, w ramach uzasadnionej potrzeby wsparcie będzie udzielone w siedzibie Zamawiającego,
• wsparcie w prowadzeniu rejestru kategorii i rejestru czynności przetwarzania,
• w ramach Procedury oceny skutków dla ochrony danych (DPIA) – udzielanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania zgodnie z art. 35 RODO
• współpraca z organem nadzorczym,
• pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o których mowa w art. 36, oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach,
• budowanie świadomości pracowników i osób zaangażowanych w utrzymanie systemu ODO: przygotowanie i wysyłka materiałów edukacyjnych z zakresu ochrony danych osobowych (w formie mailingu) – raz w miesiącu:

c) Szkolenie dla pracowników w zakresie ochrony danych osobowych,

• przypomnienie podstawowych zasad bezpieczeństwa związanych z ochroną danych osobowych w organizacji,
• informacje o istotnych zmianach w przepisach dotyczących ochrony danych osobowych oraz o wydanych decyzjach organu nadzorczego,

d) Pozostałe, bieżące konsultacje w ramach obsługi:

• stałe doradztwo w zakresie ochrony danych osobowych obejmujące zagadnienia prawne oraz wypełnianie innych obowiązków wynikających z przepisów prawa dotyczących ochrony danych osobowych.

Zobacz również: Szkolenie RODO

JEŚLI NIE IOD TO CO?

Jeśli dany administrator/podmiot przetwarzający uważa, że nie ma obowiązku wyznaczania inspektora ochrony danych powinien zachować dokumentację wewnętrznej procedury przeprowadzonej w celu ustalenia obowiązku bądź braku obowiązku wyznaczenia inspektora, aby wykazać, że stosowne czynniki zostały uwzględnione. Ma to umożliwić administratorowi/podmiotowi przetwarzającemu wywiązanie się z zasady rozliczalności i wykazanie przed organem nadzorczym, że wyznaczenie inspektora nie było konieczne. Jednocześnie warto rozważyć powierzenie chociaż części obowiązków IOD w ręce bądź to wyznaczonego pracownika bądź zespołu prawnego w przedsiębiorstwie. Przyczynić się to może do zwiększenia poziomu ochrony danych osobowych w przedsiębiorstwie oraz podniesienia świadomości pracowników. Część podmiotów decyduje się na wyznaczenie np. komitetu ochrony danych bądź administratora informacji. W razie kontroli takie podmioty nie zostaną jednak uznane za pełniące funkcje inspektora ochrony danych.

Konieczne jest dokonywanie okresowego przeglądu procesów przetwarzania danych osobowych, aby wykluczyć pojawienie się obowiązku wyznaczenia inspektora ochrony danych w przyszłości.

Zobacz również: Ochrona danych osobowych we współpracy z kontrahentami spoza UE – na co zwrócić szczególną uwagę?

Pytania i odpowiedzi

Zaufali nam: