Inspektor ochrony danych, czyli IOD, pomaga organizacji przestrzegać przepisów, doradza i niezależnie monitoruje sposób przetwarzania danych. Nie każda firma musi go wyznaczyć, ale tam, gdzie obowiązek istnieje, samo wpisanie nazwiska do dokumentacji nie wystarcza. Inspektor potrzebuje wiedzy, czasu, dostępu do informacji i możliwości przedstawiania własnych ocen najwyższemu kierownictwu.
Obowiązek wyznaczenia wynika przede wszystkim z art. 37 RODO. Pozycję i zadania IOD określają art. 38–39, a polskie formalności doprecyzowują art. 8–11a ustawy o ochronie danych osobowych. Poniższy przewodnik pokazuje, jak przejść od oceny obowiązku do rzeczywistego działania inspektora, bez automatycznych progów liczby klientów i bez przenoszenia na IOD odpowiedzialności zarządu.
Trzy sytuacje, w których wyznaczenie jest obowiązkowe
Pierwsza przesłanka dotyczy przetwarzania przez organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości. Wyjątek nie oznacza ogólnego wyłączenia wszystkich operacji wykonywanych przez sądy. W Polsce art. 9 ustawy wskazuje jednostki sektora finansów publicznych, instytuty badawcze oraz Narodowy Bank Polski. Status podmiotu należy ustalić na podstawie prawa, a nie wyłącznie źródła otrzymanej dotacji.
Druga przesłanka obejmuje sytuację, w której główna działalność administratora lub podmiotu przetwarzającego polega na operacjach wymagających regularnego i systematycznego monitorowania osób na dużą skalę. Wszystkie te elementy mają znaczenie. Samo korzystanie z prostego narzędzia statystycznego na niewielkiej stronie internetowej nie rozstrzyga jeszcze, że administrator prowadzi takie monitorowanie jako główną działalność.
Trzecia przesłanka dotyczy głównej działalności polegającej na przetwarzaniu na dużą skalę szczególnych kategorii danych z art. 9 albo danych dotyczących wyroków skazujących i naruszeń prawa z art. 10. Nie trzeba przetwarzać jednocześnie obu tych grup. Nie wystarcza natomiast stwierdzenie, że organizacja posiada jakikolwiek dokument zawierający informację o zdrowiu.
Ocena obejmuje administratorów oraz podmioty przetwarzające. Dostawca obsługujący wiele małych organizacji może sam spełniać przesłanki dużej skali, mimo że poszczególni klienci ich nie spełniają. Odwrotnie, obowiązek klienta nie oznacza automatycznie takiego samego obowiązku u każdego dostawcy. Każdy podmiot analizuje własną działalność i rolę, a nie tylko nazwę usługi.
Co oznacza główna działalność i duża skala?
Główna działalność obejmuje zasadnicze czynności służące realizacji celów organizacji, także przetwarzanie danych nierozerwalnie związane z tymi czynnościami. Dla szpitala podstawowym zadaniem jest leczenie, ale bez danych pacjentów nie można go właściwie wykonywać. Przetwarzanie dokumentacji medycznej może więc stanowić główną działalność w rozumieniu art. 37. Inaczej ocenia się typową pomocniczą obsługę płac własnych pracowników.
Wytyczne WP243 rev.01 dotyczące inspektorów ochrony danych zalecają analizę liczby osób, zakresu danych, czasu przetwarzania i zasięgu geograficznego. Nie ustanawiają uniwersalnego progu stu tysięcy użytkowników. Mniejszy zbiór może obejmować znaczną część określonej populacji i bardzo szczegółowe informacje. Liczba rekordów w bazie również nie musi odpowiadać liczbie osób.
Regularność oznacza między innymi stałość, powtarzalność lub działanie w określonych odstępach czasu. Systematyczność wiąże się z planowym, zorganizowanym sposobem obserwacji. Monitoring nie ogranicza się do kamer ani internetu: może obejmować profilowanie ryzyka, śledzenie lokalizacji czy systematyczną analizę zachowań. O obowiązku IOD decyduje jednak spełnienie całej przesłanki, razem z główną działalnością i dużą skalą.
W praktyce ocenę warto opisać w krótkiej, uzasadnionej notatce. Powinna wskazywać rzeczywiste procesy, kategorie danych, grupy osób i powody przyjętego wniosku. To zalecany sposób wykazania przeprowadzonej analizy, a nie urzędowy formularz, którego nazwa przesądza o poprawności. Analizę trzeba ponowić, gdy zmieni się działalność, na przykład po uruchomieniu nowej usługi profilowania lub połączeniu baz kilku podmiotów.
Przykłady pomagające podjąć decyzję
Publiczna jednostka oświatowa należąca do sektora finansów publicznych wyznacza IOD ze względu na swój status. Prywatna placówka nie uzyskuje tego statusu automatycznie przez prowadzenie edukacji. Musi jednak sprawdzić pozostałe przesłanki. W szkołach i uczelniach znaczenie mogą mieć między innymi skala danych uczniów, specyfika badań oraz sposób monitorowania korzystania z usług.
Szpital przetwarzający dane pacjentów na dużą skalę stanowi typowy przykład zastosowania trzeciej przesłanki. Samodzielna praktyka jednego lekarza jest w wytycznych przykładem przeciwnego krańca skali. Nie oznacza to jednak, że każda organizacja nazwana gabinetem jest zwolniona. Wraz z rozwojem sieci, usług zdalnych i wspólnej dokumentacji trzeba ocenić jej faktyczny zakres. Kontekst opisuje przewodnik o RODO w ochronie zdrowia.
Podobnie kancelaria prawna nie ma automatycznego obowiązku tylko dlatego, że prowadzi sprawę karną i otrzymuje dane z art. 10. Istotne pozostają główna działalność oraz duża skala. Niewielka firma handlowa może natomiast wymagać ponownej oceny, jeśli zacznie świadczyć innym przedsiębiorcom rozbudowane usługi śledzenia i profilowania klientów. Ocenia się operacje, nie sam kod działalności.
Dobrowolny IOD i koordynator to różne role
Organizacja może wyznaczyć IOD dobrowolnie. Wtedy stosuje wymagania dotyczące jego statusu, zadań i niezależności, a także właściwe obowiązki zgłoszeniowe i informacyjne. Nie jest to lżejsza wersja funkcji, którą można nazwać inspektorem, lecz pozbawić dostępu do kierownictwa lub prawa do samodzielnego stanowiska.
Jeżeli obowiązek nie występuje i organizacja nie chce dobrowolnego IOD, może korzystać z pomocy koordynatora lub doradcy. Nazwa oraz komunikacja powinny jasno odróżniać tę osobę od inspektora w rozumieniu RODO. Taki model może być użyteczny między innymi w stowarzyszeniach i fundacjach, ale nie zastępuje obowiązkowego wyznaczenia, gdy faktyczna działalność spełnia art. 37.
Brak IOD nie zwalnia z ochrony danych, obsługi praw osób ani zapewnienia bezpieczeństwa. Także zwolnienie z określonych obowiązków dokumentacyjnych nie jest automatycznie zwolnieniem z wyznaczenia inspektora. Poszczególne przepisy mają własne przesłanki. Dlatego progu zatrudnienia występującego przy innych obowiązkach nie należy przenosić do oceny art. 37.
Jak zweryfikować kwalifikacje kandydata?
RODO wymaga kwalifikacji zawodowych, wiedzy fachowej o prawie i praktykach ochrony danych oraz umiejętności wykonywania zadań z art. 39. Nie wskazuje obowiązkowego kierunku studiów, jednego certyfikatu ani minimalnej liczby lat pracy. Dokument ukończenia szkolenia może pomóc w ocenie, ale nie zastąpi sprawdzenia, czy kandydat rozumie procesy organizacji.
Rozmowę warto oprzeć na konkretnym przypadku: wdrażaniu nowego systemu, żądaniu usunięcia danych albo ocenie ryzyka ujawnienia dokumentacji. Kandydat powinien umieć wyjaśnić właściwe pytania, rozpoznać brakujące informacje i odróżnić swoją rekomendację od decyzji administratora. W organizacji medycznej lub finansowej potrzebna wiedza może być inna niż w lokalnym stowarzyszeniu.
Istotna jest również zdolność komunikowania się z pracownikami, kierownictwem i osobami, których dane dotyczą. Inspektor powinien przekładać wymagania na zrozumiałe działania, a jednocześnie jasno zgłaszać ryzyka. Organizacja musi zapewnić mu możliwość aktualizowania wiedzy. Jednorazowe szkolenie przy zatrudnieniu nie rozwiązuje potrzeb związanych ze zmianami prawa, technologii i działalności.
Niezależność nie oznacza przejęcia zarządzania firmą
IOD ma być właściwie i terminowo włączany we wszystkie sprawy dotyczące ochrony danych. Powinien otrzymywać materiały na etapie, na którym jego uwagi mogą jeszcze wpłynąć na projekt. Przekazanie gotowej umowy do podpisu po uruchomieniu usługi nie zapewnia takiego udziału. Warto ustalić, kto informuje inspektora o nowych procesach i znaczących zmianach.
Inspektor nie może otrzymywać instrukcji dotyczących wykonywania swoich zadań i podlega bezpośrednio najwyższemu kierownictwu. Zarząd może organizować współpracę, lecz nie powinien narzucać wyniku audytu ani nakazywać pominięcia stwierdzonego problemu. Jeżeli nie przyjmuje rekomendacji IOD, dobrą praktyką jest zapisanie powodów i podjętej decyzji, tak aby później można było odtworzyć odpowiedzialność.
Ochrona przed odwołaniem lub karaniem dotyczy wykonywania zadań inspektora. Nie jest bezwarunkowym zwolnieniem z odpowiedzialności za każde zachowanie pracownika lub usługodawcy. Jednocześnie negatywna ocena zgodności, zalecenie dodatkowych zabezpieczeń czy kontakt z organem w ramach zadań nie powinny prowadzić do odwetu. Poufność i tajemnica związana z funkcją muszą być zachowane niezależnie od modelu zatrudnienia.
Konflikt interesów ocenia się według rzeczywistych kompetencji
IOD może wykonywać inne zadania, o ile nie powodują konfliktu interesów. Kluczowe pytanie brzmi, czy w drugiej roli sam ustala cele i sposoby przetwarzania, które następnie miałby niezależnie kontrolować. W praktyce może to dotyczyć kierownika IT decydującego o zasadniczych rozwiązaniach systemowych lub dyrektora HR określającego cele monitorowania pracowników.
Nie należy jednak zastępować analizy listą bezwzględnie dozwolonych i zakazanych nazw stanowisk. Osoba bez kierowniczego tytułu może mieć rozległą decyzyjność, a zakres obowiązków podobnie nazwanego pracownika może różnić się między organizacjami. Trzeba sprawdzić uprawnienia, podległość, cele premiowe i sytuacje, w których inspektor oceniałby własną decyzję.
Outsourcing nie usuwa konfliktu automatycznie. Dostawca może jednocześnie projektować rozwiązania i oczekiwać od swojego inspektora niezależnego potwierdzenia ich zgodności. Problem może także powstać przy reprezentowaniu klienta w sporze dotyczącym ocenianego przetwarzania. Umowa oraz podział pracy powinny pozwalać rozpoznać takie sytuacje i skutecznie im zapobiegać, a nie tylko zawierać ogólne oświadczenie o niezależności.
Wyznaczenie, zawiadomienie i publikacja danych
Najpierw należy jasno udokumentować, kogo wyznaczono, od kiedy pełni funkcję i jak ma wykonywać zadania. Forma wewnętrznej decyzji zależy od zasad reprezentacji oraz organizacji podmiotu. RODO nie ustanawia jednej uniwersalnej uchwały obowiązkowej dla każdej firmy. Dokument powinien jednak pozwalać odróżnić wyznaczenie inspektora od zamówienia ogólnej konsultacji.
Zgodnie z art. 10 polskiej ustawy podmiot zawiadamia Prezesa UODO w terminie 14 dni od wyznaczenia. Wskazuje imię i nazwisko IOD oraz adres poczty elektronicznej lub numer telefonu. Zawiadomienie obejmuje również właściwe dane identyfikacyjne administratora lub procesora, takie jak nazwa i adres, oraz REGON, jeżeli został nadany. Przekazanie samego ogólnego adresu skrzynki nie zastępuje identyfikacji inspektora.
Zawiadomienie składa się elektronicznie z kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym. Należy wybrać formularz i sposób przesłania opisany w aktualnej instrukcji UODO dotyczącej zgłoszenia IOD. Instrukcja rozróżnia wyznaczenie, odwołanie i zmianę danych, a także zawiadomienia na podstawie RODO i odrębnego reżimu dotyczącego zwalczania przestępczości. Sam skan nie rozwiązuje wymogu prawidłowego podpisania.
Publikacja danych to osobny obowiązek z art. 11, wykonywany niezwłocznie po wyznaczeniu. Na stronie internetowej trzeba udostępnić imię i nazwisko oraz adres poczty elektronicznej lub numer telefonu inspektora. Gdy podmiot nie ma strony, robi to w sposób ogólnie dostępny w miejscu prowadzenia działalności. UODO wyjaśnia wprost wymóg podania nazwiska. Nie należy czekać z publikacją do końca czternastodniowego terminu zgłoszenia.
Zmiany, wspólny inspektor i zastępstwo
Termin 14 dni obejmuje również zmianę danych wskazanych w art. 10 ust. 1 i 3 oraz odwołanie IOD. Dotyczy to nie tylko nowego numeru telefonu inspektora, lecz także odpowiednich danych podmiotu, który go wyznaczył. Warto przypisać odpowiedzialność za aktualizacje konkretnej funkcji administracyjnej, aby zmiana siedziby lub nazwiska nie została pominięta.
Grupa przedsiębiorstw może mieć jednego IOD, jeżeli można z nim łatwo nawiązać kontakt z każdej jednostki. Jeden inspektor może też obsługiwać kilka organów lub podmiotów publicznych, z uwzględnieniem ich struktury i wielkości. Każdy z podmiotów dokonuje jednak własnego zawiadomienia wymaganego przez polską ustawę. Wspólny kontrakt nie usuwa tych indywidualnych formalności.
Artykuł 11a pozwala wyznaczyć osobę zastępującą IOD podczas nieobecności. Jest to możliwość, a nie powszechny obowiązek posiadania zastępcy. Wybrana osoba musi odpowiadać kryteriom art. 37 ust. 5 i 6, a podczas wykonywania obowiązków stosuje się do niej odpowiednio przepisy o inspektorze. Wyznaczenie zastępcy wymaga również zawiadomienia i udostępnienia jego danych zgodnie z ustawą.
Zadania IOD w codziennej pracy
Artykuł 39 obejmuje informowanie i doradztwo, monitorowanie przestrzegania przepisów i polityk, działania związane ze świadomością oraz szkoleniami, a także audyty. IOD współpracuje z organem nadzorczym i jest jego punktem kontaktowym. Osoby, których dane dotyczą, mogą kontaktować się z nim w sprawach przetwarzania oraz wykonywania praw. Inspektor powinien ustalać priorytety z uwzględnieniem ryzyka, charakteru i celów operacji.
Przy ocenie skutków dla ochrony danych administrator zasięga opinii wyznaczonego IOD. Inspektor doradza i monitoruje wykonanie oceny, ale nie przejmuje odpowiedzialności administratora za jej przeprowadzenie. Gdy przetwarzanie może powodować wysokie ryzyko, DPIA jest obowiązkiem przed rozpoczęciem operacji. Jeżeli pozostaje wysokie ryzyko, którego nie można odpowiednio ograniczyć, konieczna jest uprzednia konsultacja z organem zgodnie z art. 36.
Podobnie rejestr czynności przetwarzania pozostaje obowiązkiem właściwego administratora lub procesora. IOD może pomagać w jego prowadzeniu i używać go do monitorowania zgodności. Dane o procesach muszą jednak dostarczać osoby, które je znają. Powierzenie inspektorowi obsługi dokumentu nie sprawia, że odpowiada on za każdą nieujawnioną zmianę wprowadzoną przez inny dział.
Przy bezpieczeństwie IOD ocenia i doradza w zakresie wymagań art. 32 RODO, natomiast wdrożenie odpowiednich środków należy do odpowiedzialnych osób w organizacji. Powinien wiedzieć o incydentach i istotnych brakach, aby móc wykonać swoje zadania. Nie należy uzależniać obowiązkowych działań administratora od tego, czy inspektor zdążył formalnie podpisać wewnętrzną kartę zdarzenia.
Jak porównać etat i usługę zewnętrzną?
Oba modele są dopuszczalne na podstawie art. 37 ust. 6. Pracownik może dobrze znać organizację, ale potrzebuje wystarczającego czasu i pozycji. Zewnętrzny specjalista może zapewniać doświadczenie z kilku projektów, lecz musi poznać realne procesy klienta i być dostępny także w trudnych sytuacjach. Żaden model sam w sobie nie gwarantuje niezależności ani lepszej jakości.
Nie ma ustawowego limitu piętnastu czy dwudziestu klientów jednego inspektora. Znaczenie mają rzeczywiste zasoby, złożoność obsługiwanych podmiotów i możliwość skutecznego wykonywania zadań. Przy ocenie oferty warto zapytać, kto odbierze pilne zgłoszenie, jak zorganizowano nieobecności oraz ile czasu przewidziano na poznanie procesów. Sama obietnica nieograniczonego kontaktu nie pokazuje, czy usługa jest wykonalna.
W umowie należy jasno opisać zakres zadań, dostęp do informacji, współpracę z kierownictwem, poufność i przekazanie dokumentacji po zakończeniu usługi. Status usługodawcy w odniesieniu do powierzonych danych ocenia się według rzeczywistego zakresu operacji. Sama nazwa zewnętrzny IOD nie przesądza, że każda dodatkowa usługa jest albo nie jest przetwarzaniem w imieniu klienta. W razie takiego powierzenia trzeba uwzględnić wymagania art. 28.
Koszt porównuje się dla podobnego zakresu: dostępności, liczby lokalizacji, wsparcia zespołu, audytów i szkoleń. Ustawa nie określa urzędowej stawki ani obowiązkowej sumy ubezpieczenia. Oferta, która obejmuje wyłącznie udostępnienie nazwiska i adresu poczty, nie zapewnia sama przez się realizacji zadań. Warto ustalić również sposób rozliczania dodatkowej pracy przy większym projekcie lub incydencie.
Odpowiedzialność i ocena skuteczności funkcji
Wyznaczenie IOD nie przenosi na niego obowiązku zapewnienia zgodności całej organizacji. Administrator i procesor odpowiadają za własne obowiązki wynikające z RODO. Ewentualna odpowiedzialność pracownicza lub kontraktowa inspektora za jego własne uchybienia jest odrębną sprawą. Nie można z niej wyprowadzać zasady, że zarząd może zignorować ryzyko, ponieważ zatrudnił specjalistę.
Naruszenia obowiązków z art. 37–39 należą do kategorii wskazanej w art. 83 ust. 4 RODO, z górną granicą 10 mln euro lub, dla przedsiębiorstwa, 2% całkowitego światowego rocznego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa. Nie jest to kara automatyczna. W odniesieniu do wskazanych w polskiej ustawie podmiotów publicznych trzeba uwzględnić szczególny reżim art. 102.
Przy analizie kar UODO należy sprawdzać konkretną decyzję i jej zakres, zamiast powtarzać nieudokumentowane przykłady. Także rola Prezesa UODO obejmuje więcej niż nakładanie kar. Współpraca inspektora z organem nie oznacza jednak powszechnego obowiązku wysyłania corocznego raportu z jego pracy do UODO. Sprawozdanie dla kierownictwa może być użytecznym narzędziem wewnętrznym.
Skuteczność funkcji warto oceniać przez dostępność, odpowiednio wczesne włączanie do projektów, jakość zaleceń i realizację uzgodnionych działań. Mała liczba zgłoszonych problemów nie musi świadczyć o dobrej ochronie danych, jeśli pracownicy nie wiedzą, jak skontaktować się z inspektorem. Prawidłowo wyznaczony IOD powinien mieć możliwość zauważenia problemu, wyjaśnienia go kierownictwu i sprawdzenia, co organizacja z nim zrobiła.