Kto musi mieć Inspektora Ochrony Danych (IOD)?

Jedno z najczęstszych pytań, jakie słyszymy od przedsiębiorców, brzmi: „czy ja w ogóle muszę mieć Inspektora Ochrony Danych?”. Odpowiedź nie mieści się w jednym zdaniu. RODO wskazuje konkretne kryteria, a ich spełnienie oznacza obowiązek, nie dobrą praktykę. Poniżej wyjaśniamy, jak je czytać, kto może być inspektorem i co trzeba zrobić po jego wyznaczeniu.

Trzy sytuacje, w których IOD jest obowiązkowy

Zgodnie z art. 37 ust. 1 RODO wyznaczenie Inspektora Ochrony Danych jest obowiązkowe, gdy spełniony jest przynajmniej jeden z poniższych warunków:

• Przetwarzania danych dokonuje organ lub podmiot publiczny (urząd gminy, szkoła, szpital publiczny, biblioteka), niezależnie od skali działalności. Wyjątkiem są sądy w zakresie sprawowania wymiaru sprawiedliwości.
• Główna działalność administratora lub podmiotu przetwarzającego polega na operacjach wymagających regularnego i systematycznego monitorowania osób na dużą skalę, na przykład profilowania użytkowników, śledzenia zachowań w sieci albo rozbudowanego monitoringu wizyjnego.
• Główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych, w tym danych o zdrowiu, danych biometrycznych czy danych dotyczących wyroków skazujących.

Co znaczy „główna działalność” i „duża skala”

RODO nie podaje liczb, więc interpretacji szukamy w wytycznych. „Główna działalność” to czynności kluczowe dla realizacji celów firmy, a nie takie, które tylko ją wspierają. Szpital leczy pacjentów, więc dane o zdrowiu są dla niego czynnością podstawową. Zwykła firma budowlana przetwarza dane pracowników, ale to nie jest jej główna działalność, bo zarabia na budowaniu.

Przy ocenie „dużej skali” bierze się pod uwagę kilka czynników. Liczy się liczba osób, których dane dotyczą, ilość i rodzaj przetwarzanych danych, czas trwania przetwarzania oraz zasięg geograficzny. Dawna Grupa Robocza Art. 29, poprzedniczka obecnej Europejskiej Rady Ochrony Danych, wskazała w swoich wytycznych, że szpital przetwarzający dane pacjentów robi to na dużą skalę, a pojedynczy lekarz prowadzący własną praktykę zwykle nie.

Przykłady, które pomagają to ocenić

Poniższe zestawienia są orientacyjne, bo ostateczna ocena zawsze zależy od konkretnych procesów w firmie.

• Zwykle obowiązek występuje: szpitale i duże przychodnie, urzędy, szkoły i uczelnie publiczne, firmy ochroniarskie prowadzące monitoring na dużą skalę, platformy internetowe śledzące zachowania użytkowników, firmy windykacyjne i biura informacji gospodarczej.
• Zwykle obowiązku nie ma: mały sklep, biuro rachunkowe z kilkoma klientami, jednoosobowy gabinet, firma budowlana, agencja marketingowa z ograniczoną bazą kontaktów.
• Wymaga analizy: średniej wielkości sieć gabinetów, e-commerce z bardzo dużą bazą klientów, firmy z rozbudowanym monitoringiem pracowników, laboratoria diagnostyczne.

Kto może zostać Inspektorem Ochrony Danych

Zgodnie z art. 37 ust. 6 RODO inspektorem może być pracownik administratora albo osoba spoza firmy, zatrudniona na podstawie umowy o świadczenie usług. To drugie rozwiązanie nazywamy outsourcingiem IOD i jest ono w Polsce bardzo popularne, szczególnie w małych i średnich firmach.

Niezależnie od formy współpracy inspektor musi spełniać kilka wymogów. Powinien mieć wiedzę fachową z zakresu prawa i praktyk ochrony danych, adekwatną do złożoności przetwarzania w danej organizacji. Nie może działać w konflikcie interesów, więc na stanowisko inspektora zwykle nie nadają się osoby, które same decydują o celach i sposobach przetwarzania danych, czyli na przykład prezes, dyrektor IT albo kierownik działu HR. Musi też mieć zapewnioną niezależność: nie otrzymuje instrukcji dotyczących wykonywania zadań, raportuje bezpośrednio do najwyższego kierownictwa i nie może być odwołany ani ukarany za prawidłowe wykonywanie obowiązków.

Czym zajmuje się IOD

Zadania inspektora wskazuje art. 39 RODO. To przede wszystkim:

• informowanie administratora i pracowników o obowiązkach wynikających z RODO oraz doradzanie w tym zakresie,
• monitorowanie przestrzegania przepisów i wewnętrznych polityk, w tym szkolenie osób biorących udział w przetwarzaniu i przeprowadzanie audytów,
• doradzanie przy ocenie skutków dla ochrony danych, gdy ta jest wymagana,
• współpraca z organem nadzorczym i pełnienie roli punktu kontaktowego dla UODO oraz dla osób, których dane dotyczą.

Warto pamiętać, że inspektor doradza i kontroluje, ale odpowiedzialność za zgodność z RODO nadal ponosi administrator, czyli firma. IOD nie odpowiada osobiście za to, że przedsiębiorstwo narusza przepisy, ale jego rolą jest to ryzyko wychwycić i o nim poinformować.

Co trzeba zrobić po wyznaczeniu inspektora

• Zgłosić wyznaczenie IOD do Prezesa UODO. W Polsce zawiadomienie trzeba złożyć w ciągu 14 dni od wyznaczenia, przez formularz elektroniczny dostępny na stronie urzędu.
• Udostępnić dane kontaktowe inspektora, na przykład na stronie internetowej firmy, tak aby osoby, których dane dotyczą, mogły się z nim skontaktować.
• Poinformować pracowników, kto pełni funkcję IOD i w jakich sprawach można się do niego zwracać.
• Zapewnić inspektorowi dostęp do informacji, danych i zasobów potrzebnych do pracy oraz włączać go odpowiednio wcześnie we wszystkie sprawy związane z ochroną danych.

Co grozi za brak IOD, gdy jest obowiązkowy

Niewyznaczenie inspektora, mimo że przepisy tego wymagają, jest naruszeniem RODO. Zgodnie z art. 83 ust. 4 organ nadzorczy może za to nałożyć administracyjną karę pieniężną do 10 mln euro albo do 2% rocznego światowego obrotu przedsiębiorstwa, zależnie od tego, która kwota jest wyższa. W praktyce brak IOD bywa też wykrywany przy okazji kontroli, która dotyczy zupełnie innego problemu, na przykład wycieku danych.

A co z mniejszymi firmami?

Jeśli żadne z powyższych kryteriów nie ma zastosowania, wyznaczenie IOD formalnie nie jest obowiązkowe. To nie znaczy jednak, że firma jest zwolniona z obowiązków RODO. Każdy administrator danych musi zapewnić zgodność z przepisami, prowadzić rejestr czynności przetwarzania i reagować na naruszenia. Art. 37 ust. 4 pozwala na dobrowolne wyznaczenie inspektora, a wiele firm z tej możliwości korzysta, bo koszt pomyłki, czyli kara i utrata zaufania klientów, bywa znacznie wyższy niż koszt stałej opieki.

Jedna uwaga na przyszłość: według wytycznych europejskich organów nadzorczych, jeśli firma dobrowolnie wyznaczy inspektora, wiążą ją wobec niego te same zasady, co w przypadku obowiązkowego wyznaczenia. Dotyczy to niezależności, zgłoszenia do UODO i zasad odwoływania. Dlatego warto przemyśleć taką decyzję, zanim ją podejmiesz.

Jak to sprawdzić dla swojej firmy

Ocena, czy dany podmiot spełnia kryteria z art. 37 RODO, wymaga przeanalizowania konkretnych procesów przetwarzania danych: ich skali, charakteru i celu. Nie da się tego ocenić na podstawie samej branży czy liczby zatrudnionych osób. Dwie firmy z tej samej branży mogą mieć zupełnie inną sytuację, jeśli jedna przetwarza dane tysięcy pacjentów, a druga kilkuset.

Czy jednoosobowa działalność gospodarcza musi mieć IOD?

Zwykle nie. Obowiązek pojawia się dopiero wtedy, gdy główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych kategorii albo na regularnym, systematycznym monitorowaniu osób. Pojedynczy gabinet czy kancelaria zazwyczaj nie spełniają tych kryteriów, ale RODO stosuje się do nich tak samo jak do większych firm.

Czy IOD może być osobą, która zajmuje się u nas kadrami albo IT?

To ryzykowne. Inspektor nie może mieć konfliktu interesów, a osoba, która decyduje o tym, jakie dane i w jakim celu firma przetwarza, zwykle jest w takiej sytuacji. Każdy przypadek trzeba ocenić osobno, ale w małych firmach rozwiązaniem najczęściej bywa inspektor zewnętrzny.

Czy jeden inspektor może obsługiwać kilka firm?

Tak. Art. 37 ust. 2 RODO pozwala grupie przedsiębiorstw wyznaczyć jednego inspektora, jeśli jest on łatwo dostępny z każdej jednostki. Zewnętrzny inspektor może też obsługiwać wiele niepowiązanych ze sobą firm, o ile ma na to czas i nie dochodzi do konfliktu interesów.