Inspektor ochrony danych (dalej IOD) powinien być powołany w organizacjach zgodnie z wytycznymi RODO (z ang. GDPR). Kryteria powoływania IOD zostały przedstawione w art. 37 GDPR i zależą od wielkości organizacji, rodzaju przetwarzanych danych oraz liczby wykonywanych operacji przetwarzania danych.
Aby określić, czy Twoja organizacja potrzebuje inspektora ochrony danych, powinieneś rozważyć następujące kwestie:
Jeśli Państwa organizacja stwierdzi, że potrzebuje IOD, proces wyznaczania jest następujący:
Warto pamiętać, że IOD musi być niezależny i nie może mieć konfliktu interesów z operacjami przetwarzania danych, za których nadzorowanie jest odpowiedzialny. IOD powinien również raportować bezpośrednio do najwyższego szczebla zarządzania organizacją.
Zgodnie z art. 83 GDPR, organizacje mogą być narażone na kary administracyjne w wysokości do 10 mln EUR lub 2% całkowitego rocznego przychodu na świecie, w zależności od tego, która kwota jest wyższa, za niepowołanie IOD, gdy jest to wymagane. Jeśli naruszenie zostanie uznane za poważniejsze, organizacje mogą zostać obciążone administracyjnymi karami pieniężnymi w wysokości do 20 mln EUR lub 4% całkowitego rocznego przychodu na całym świecie, w zależności od tego, która kwota jest wyższa.
Należy zauważyć, że powołanie IOD jest nie tylko wymogiem prawnym, ale również najlepszą praktyką dla organizacji przetwarzających dane osobowe. IOD może pomóc zapewnić, że organizacja jest zgodna z przepisami i regulacjami dotyczącymi ochrony danych, a także może dostarczyć cennych wskazówek dotyczących najlepszych praktyk w zakresie ochrony danych osobowych klientów, pracowników i innych interesariuszy.
Podsumowując, niepowołanie IOD, gdy jest to wymagane, może skutkować znaczącymi karami finansowymi, a także uszczerbkiem na reputacji organizacji. Zachęca się zatem organizacje do poważnego potraktowania wyznaczenia IOD i zapewnienia, że spełniają one odpowiednie wymogi GDPR.
Administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze, gdy przetwarzają organy lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
Grupa przedsiębiorstw może wyznaczyć jednego inspektora ochrony danych, o ile można będzie łatwo nawiązać z nim kontakt z każdą jednostką organizacyjną.
Jeżeli administrator lub podmiot przetwarzający są organem lub podmiotem publicznym, dla kilku takich organów lub podmiotów można wyznaczyć – z uwzględnieniem ich struktury organizacyjnej i wielkości – jednego inspektora ochrony danych.
W przypadkach innych niż te, o których mowa w ust. 1, administrator, podmiot przetwarzający, zrzeszenia lub inne podmioty reprezentujące określone kategorie administratorów lub podmiotów przetwarzających mogą wyznaczyć lub jeżeli wymaga tego prawo Unii lub prawo państwa członkowskiego, wyznaczają inspektora ochrony danych. Inspektor ochrony danych może działać w imieniu takich zrzeszeń i innych podmiotów reprezentujących administratorów lub podmioty przetwarzające.
Inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełniania zadań, o których mowa w art. 39.
Inspektor ochrony danych może być członkiem personelu administratora lub podmiotu przetwarzającego lub wykonywać zadania na podstawie umowy o świadczenie usług.
Administrator lub podmiot przetwarzający publikują dane kontaktowe inspektora ochrony danych i zawiadamiają o nich organ nadzorczy.
Dlaczego ważne jest określenie ram statusu inspektora ochrony danych w firmie? Jakie są konsekwencje prawne zdefiniowania statusu inspektora ochrony danych w firmie? Kto powinien określać status inspektora ochrony danych w firmie?
Niezależność. IOD musi być niezależny i nie może mieć konfliktu interesów z operacjami przetwarzania danych, za których nadzorowanie jest odpowiedzialny. Określenie statusu IOD może pomóc w zapewnieniu mu niezależności niezbędnej do skutecznego wykonywania obowiązków.
Uprawnienia. IOD musi mieć uprawnienia do wykonywania swoich obowiązków, które obejmują monitorowanie zgodności z przepisami o ochronie danych, udzielanie porad i wskazówek oraz przeprowadzanie ocen skutków ochrony danych. Określenie statusu IOD może pomóc w zapewnieniu, że IOD posiada uprawnienia niezbędne do skutecznego wykonywania tych zadań.
Zasoby. IOD musi mieć zapewnione wystarczające zasoby do wykonywania swoich obowiązków, w tym odpowiedni personel pomocniczy, szkolenia i dostęp do niezbędnych informacji. Określenie statusu IOD może pomóc w zapewnieniu mu dostępu do niezbędnych zasobów.
Ważne jest, aby określić ramy statusu IOD w firmie, ponieważ może to pomóc w zapewnieniu, że IOD ma niezbędną niezależność, uprawnienia i zasoby do skutecznego wykonywania swoich obowiązków. Dobrze zdefiniowane ramy mogą również pomóc w zapewnieniu, że IOD jest w stanie wykonywać swoje obowiązki bez obawy przed odwetem, co jest szczególnie ważne ze względu na wrażliwy charakter danych, za których ochronę IOD jest odpowiedzialny.
Implikacje prawne określenia statusu IOD w przedsiębiorstwie są takie, że IOD musi być niezależny i nie może mieć konfliktu interesów z operacjami przetwarzania danych, za których nadzorowanie jest odpowiedzialny. IOD musi również posiadać niezbędne uprawnienia i zasoby, aby skutecznie wykonywać swoje obowiązki. Jeśli status IOD nie jest odpowiednio zdefiniowany, organizacja może naruszać Ogólne Rozporządzenie o Ochronie Danych (GDPR) i może być narażona na kary administracyjne.
Status IOD w firmie powinien być określony przez najwyższy szczebel zarządzania organizacją, w porozumieniu z IOD. Pomoże to zapewnić, że IOD posiada niezbędną niezależność, uprawnienia i zasoby do skutecznego wykonywania swoich obowiązków, a także, że IOD jest w stanie wykonywać swoje obowiązki bez obaw przed odwetem.
Jakie zadania powinien wykonywać inspektor ochrony danych w organizacji? Dlaczego ważne jest określenie zadań i celów pracy inspektora ochrony danych w firmie? Jakie są konsekwencje prawne niewykonania zadań inspektora ochrony danych w firmie? Kto powinien określić zadania inspektora ochrony danych w firmie?
Zadania inspektora ochrony danych (IOD) w organizacji są określone przez ogólne rozporządzenie o ochronie danych (GDPR) i obejmują:
Ważne jest określenie zadań i celów pracy dla IOD firmy, ponieważ pomaga to zapewnić, że IOD ma jasne zrozumienie swoich obowiązków i roli, jaką odgrywa w organizacji. Może to pomóc w zapewnieniu, że IOD jest w stanie skutecznie wykonywać swoje obowiązki, a organizacja jest zgodna z przepisami i regulacjami dotyczącymi ochrony danych.
Konsekwencje prawne niewykonania zadań IOD w firmie mogą być poważne. Organizacje mogą otrzymać kary administracyjne w wysokości do 10 mln EUR lub 2% całkowitego rocznego przychodu globalnego, w zależności od tego, która z tych kwot jest wyższa, za niepowołanie IOD, gdy jest to wymagane, lub za niezapewnienie, że IOD jest w stanie skutecznie wykonywać swoje obowiązki. Jeśli naruszenie zostanie uznane za poważniejsze, organizacje mogą zostać obciążone grzywnami administracyjnymi w wysokości do 20 mln EUR lub 4% całkowitego rocznego przychodu globalnego, w zależności od tego, która kwota jest wyższa.
Zadania firmowego IOD powinny być określone przez najwyższy szczebel zarządzania organizacją, w porozumieniu z IOD. Pomoże to zapewnić, że IOD ma jasne zrozumienie swoich obowiązków i roli, jaką odgrywa w organizacji, oraz że organizacja jest zgodna z przepisami i regulacjami dotyczącymi ochrony danych.
Inspektor ochrony danych ma następujące zadania:
a) informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy niniejszego rozporządzenia oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzanie im w tej sprawie;
b) monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty;
c) udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania zgodnie z art. 35;
d) współpraca z organem nadzorczym;
e) pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o których mowa w art. 36, oraz w stosownych przypadkach prowadzenia konsultacji we wszelkich innych sprawach.
Inspektor ochrony danych wypełnia swoje zadania z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania.
W jaki sposób IOD powinien informować i doradzać administratorowi, podmiotowi przetwarzającemu i pracownikom, którzy przetwarzają dane osobowe?
Inspektor ochrony danych (IOD) może i powinien informować i doradzać swoim administratorom, podmiotom przetwarzającym i pracownikom, którzy przetwarzają dane osobowe, o ich obowiązkach wynikających z ogólnego rozporządzenia o ochronie danych (GDPR) oraz innych przepisów Unii lub państw członkowskich dotyczących ochrony danych poprzez:
Zapewnienie regularnych sesji szkoleniowych. IOD może zapewnić regularne sesje szkoleniowe dla pracowników, aby pomóc im w dobrym zrozumieniu obowiązków wynikających z GDPR i innych odpowiednich przepisów dotyczących ochrony danych.
Opracowywanie i rozpowszechnianie wytycznych. IOD może opracować i rozpowszechniać wytyczne, które wyjaśniają kluczowe wymogi GDPR i innych odpowiednich przepisów dotyczących ochrony danych oraz zapewniają praktyczne porady dotyczące przestrzegania tych wymogów.
Odpowiadanie na zapytania. IOD powinien być dostępny, aby odpowiadać na zapytania pracowników, administratorów i przetwórców dotyczące kwestii związanych z ochroną danych, a także udzielać wskazówek i porad dotyczących przestrzegania odpowiednich przepisów.
Przeprowadzanie regularnych audytów. IOD może przeprowadzać regularne audyty działań związanych z przetwarzaniem danych, aby zapewnić, że organizacja jest zgodna z GDPR i innymi odpowiednimi przepisami dotyczącymi ochrony danych.
Dostarczanie raportów kierownictwu. IOD może dostarczać kierownictwu regularne raporty na temat stanu ochrony danych w organizacji, podkreślając wszelkie obszary niezgodności i przedstawiając zalecenia dotyczące poprawy.
Przykłady roli IOD w informowaniu i doradzaniu pracownikom:
Zapewnienie szkoleń na temat znaczenia poufności i prywatności oraz kroków, które pracownicy powinni podjąć, aby zapewnić bezpieczne i zgodne z GDPR przetwarzanie danych osobowych.
Wydanie wytycznych dotyczących tego, jak pracownicy powinni postępować z wnioskami osób fizycznych o dostęp do ich danych osobowych oraz jakie kroki powinni podjąć pracownicy w przypadku otrzymania skargi dotyczącej przetwarzania danych osobowych.
Odpowiadanie na pytania pracowników dotyczące konkretnych kwestii związanych z ochroną danych, np. co stanowi wrażliwe dane osobowe i jakie kroki należy podjąć, aby zapewnić bezpieczne przetwarzanie takich danych.
Przykłady roli IOD w informowaniu i doradzaniu administratorom i podmiotom przetwarzającym:
Przedstawienie wytycznych dotyczących kroków, jakie administratorzy i podmioty przetwarzające powinni podjąć w celu przeprowadzenia oceny skutków dla ochrony danych przed rozpoczęciem nowej operacji przetwarzania danych.
Doradzanie administratorom i podmiotom przetwarzającym w zakresie rodzajów danych osobowych, które mogą i nie mogą przetwarzać, oraz kroków, które powinni podjąć, aby zapewnić bezpieczne i zgodne z GDPR przetwarzanie danych osobowych.
Odpowiadanie na pytania administratorów i podmiotów przetwarzających dotyczące konkretnych kwestii związanych z ochroną danych, np. jak spełnić wymóg GDPR dotyczący zgodnego z prawem, rzetelnego i przejrzystego przetwarzania danych osobowych.
Inspektor ochrony danych (IOD) może i powinien monitorować przestrzeganie ogólnego rozporządzenia o ochronie danych (GDPR) oraz innych przepisów Unii lub państw członkowskich dotyczących ochrony danych, a także polityki administratora lub podmiotu przetwarzającego w zakresie ochrony danych osobowych poprzez:
Przeprowadzanie regularnych audytów. Regularne audyty RODO (GDPR) działań związanych z przetwarzaniem danych, aby zapewnić, że organizacja jest zgodna z GDPR i innymi odpowiednimi przepisami dotyczącymi ochrony danych. Może to obejmować przegląd przetwarzania danych osobowych, systemów i procesów, które są wykorzystywane do zarządzania danymi osobowymi, oraz środków bezpieczeństwa, które są stosowane w celu ochrony danych osobowych.
Przegląd polityk i procedur. IOD może dokonać przeglądu polityk i procedur, które organizacja posiada w zakresie przetwarzania danych osobowych, aby upewnić się, że są one zgodne z GDPR i innymi odpowiednimi przepisami dotyczącymi ochrony danych.
Ocena podziału obowiązków. Inspektor ochrony danych może ocenić podział obowiązków w organizacji, aby zapewnić, że różni pracownicy, którzy przetwarzają dane osobowe, mają jasno określone role i obowiązki oraz że istnieją odpowiednie kontrole i równowagi w celu zapobiegania nieautoryzowanemu dostępowi do danych osobowych.
Ocena działań zwiększających świadomość. IOD może ocenić działania zwiększające świadomość, które organizacja prowadzi w celu edukowania pracowników, administratorów i podmiotów przetwarzających na temat znaczenia ochrony danych i ich obowiązków wynikających z GDPR i innych odpowiednich przepisów dotyczących ochrony danych.
Monitorowanie programów szkoleniowych. IOD może monitorować programy szkoleniowe, które organizacja zapewnia pracownikom przetwarzającym dane osobowe, aby zapewnić, że są one odpowiednie i aktualne, a pracownicy są świadomi swoich obowiązków wynikających z GDPR i innych odpowiednich przepisów dotyczących ochrony danych.
Przykłady roli IOD w monitorowaniu zgodności:
Przeprowadzanie regularnych audytów działań związanych z przetwarzaniem danych w celu zapewnienia, że dane osobowe są przetwarzane zgodnie z GDPR i innymi odpowiednimi przepisami dotyczącymi ochrony danych, a systemy i procesy stosowane do zarządzania danymi osobowymi są bezpieczne i aktualne.
Przegląd polityk i procedur organizacji dotyczących przetwarzania danych osobowych w celu zapewnienia, że są one zgodne z GDPR i innymi odpowiednimi przepisami dotyczącymi ochrony danych oraz że zapewniają odpowiednią ochronę praw i wolności osób fizycznych.
Ocena podziału obowiązków w organizacji w celu zapewnienia, że różni pracownicy, którzy przetwarzają dane osobowe, mają jasno określone role i obowiązki oraz że istnieją odpowiednie kontrole i równowagi w celu zapobiegania nieautoryzowanemu dostępowi do danych osobowych.
Ocena działań zwiększających świadomość, które organizacja prowadzi w celu edukacji pracowników, administratorów i podmiotów przetwarzających na temat znaczenia ochrony danych i ich obowiązków wynikających z GDPR i innych odpowiednich przepisów dotyczących ochrony danych.
Monitorowanie programów szkoleniowych, które organizacja zapewnia pracownikom przetwarzającym dane osobowe, aby zapewnić, że są one odpowiednie i aktualne, a pracownicy są świadomi swoich obowiązków wynikających z GDPR i innych odpowiednich przepisów dotyczących ochrony danych.
W jaki sposób inspektor ochrony danych powinien wydawać na wniosek zalecenia dotyczące oceny skutków dla ochrony danych i monitorować jej realizację zgodnie z art. 35?
Inspektor ochrony danych (IOD) może i powinien wydawać na żądanie zalecenia dotyczące oceny skutków dla ochrony danych (DPIA) oraz monitorować jej realizację zgodnie z art. 35 ogólnego rozporządzenia o ochronie danych (GDPR) w następujący sposób:
Doradzanie w sprawie wymogów DPIA. IOD może doradzać administratorowi lub podmiotowi przetwarzającemu w zakresie wymogów dotyczących przeprowadzania DPIA zgodnie z art. 35 GDPR. Może to obejmować udzielenie wskazówek dotyczących zakresu i celu DPIA, rodzajów operacji przetwarzania, które wymagają DPIA, oraz metod, które można wykorzystać do oceny ryzyka związanego z przetwarzaniem danych osobowych.
Przeglądanie dokumentów DPIA. IOD może dokonać przeglądu dokumentów powstałych w ramach procesu DPIA, aby upewnić się, że są one zgodne z GDPR i innymi odpowiednimi przepisami dotyczącymi ochrony danych oraz że zapewniają odpowiednią ochronę praw i wolności osób fizycznych.
Monitorowanie wdrażania DPIA. IOD może monitorować wdrożenie DPIA i zapewnić, że zalecenia wydane w ramach procesu DPIA są skutecznie wdrażane. Może to obejmować przegląd środków, które zostały wprowadzone w celu wyeliminowania ryzyka związanego z przetwarzaniem danych osobowych i zapewnienia, że są one skuteczne w ochronie praw i wolności osób fizycznych.
Przykłady roli IOD w wydawaniu zaleceń dotyczących DPIA i monitorowaniu jej wdrażania:
Doradztwo dla administratora lub podmiotu przetwarzającego w zakresie wymogów dotyczących przeprowadzenia DPIA zgodnie z art. 35 GDPR, w tym zakresu i celu DPIA, rodzajów operacji przetwarzania, które wymagają DPIA, oraz metod, które można wykorzystać do oceny ryzyka związanego z przetwarzaniem danych osobowych.
Przegląd dokumentów powstałych w ramach procesu DPIA w celu zapewnienia, że są one zgodne z GDPR i innymi właściwymi przepisami dotyczącymi ochrony danych oraz że zapewniają odpowiednią ochronę praw i wolności osób fizycznych.
Monitorowanie realizacji DPIA i zapewnienie, że zalecenia sformułowane w ramach procesu DPIA są skutecznie wdrażane. Może to obejmować przegląd środków, które zostały wprowadzone w celu wyeliminowania ryzyka związanego z przetwarzaniem danych osobowych i zapewnienia, że są one skuteczne w ochronie praw i wolności osób fizycznych.
Inspektor ochrony danych (IOD) może i powinien współpracować z organem nadzorczym w następujący sposób:
Informowanie. IOD może na bieżąco informować o działaniach organu nadzorczego i wytycznych związanych z ochroną danych oraz informować administratora lub podmiot przetwarzający o wszelkich istotnych zmianach.
Dostarczanie informacji. IOD może przekazać organowi nadzorczemu informacje, które są mu niezbędne do wykonywania zadań i pełnienia obowiązków. Może to obejmować informacje o operacjach przetwarzania wykonywanych przez administratora lub podmiot przetwarzający, wszelkich przeprowadzonych ocenach skutków dla ochrony danych (DPIA) oraz wszelkich środkach, które zostały wprowadzone w celu wyeliminowania ryzyka związanego z przetwarzaniem danych osobowych.
Odpowiadanie na wnioski. IOD może odpowiadać na wnioski o informacje lub pomoc ze strony organu nadzorczego i dostarczać wszelkie niezbędne dokumenty lub dowody.
Współpraca w zakresie dochodzeń. Inspektor ochrony danych może współpracować z organem nadzorczym w kontekście wszelkich dochodzeń lub audytów, które może on przeprowadzać, oraz udzielać wszelkich niezbędnych informacji lub wsparcia.
Przykłady roli IOD we współpracy z organem nadzorczym:
Informowanie o działaniach organu nadzorczego i wytycznych związanych z ochroną danych oraz informowanie administratora lub podmiotu przetwarzającego o wszelkich istotnych zmianach.
Przekazanie organowi nadzorczemu informacji o operacjach przetwarzania dokonywanych przez administratora lub podmiot przetwarzający, wszelkich przeprowadzonych DPIA oraz wszelkich środkach, które zostały wprowadzone w celu wyeliminowania ryzyka związanego z przetwarzaniem danych osobowych.
Odpowiadanie na wnioski o informacje lub pomoc ze strony organu nadzorczego oraz dostarczanie wszelkiej niezbędnej dokumentacji lub dowodów.
Współpraca z organem nadzorczym w kontekście wszelkich dochodzeń lub audytów, które może on przeprowadzać, oraz dostarczania wszelkich niezbędnych informacji lub wsparcia
Jak inspektor ochrony danych wykonuje swoje zadania z uwzględnieniem ryzyka związanego z operacjami przetwarzania, biorąc pod uwagę charakter, zakres, kontekst i cele przetwarzania?
Inspektor ochrony danych (IOD) może i powinien wykonywać swoje zadania z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania, biorąc pod uwagę charakter, zakres, kontekst i cele przetwarzania. IOD może to zrobić poprzez:
Ocena ryzyka. IOD może ocenić ryzyko związane z operacjami przetwarzania i uwzględnić przy tym charakter, zakres, kontekst i cele przetwarzania. Może to obejmować przeprowadzanie ocen skutków dla ochrony danych (DPIA) lub przegląd wyników DPIA przeprowadzonych przez inne podmioty.
Wydawanie zaleceń. IOD może wydawać administratorowi lub podmiotowi przetwarzającemu zalecenia dotyczące tego, jak zaradzić ryzyku związanemu z operacjami przetwarzania, biorąc pod uwagę charakter, zakres, kontekst i cele przetwarzania. Może to obejmować sugerowanie zmian w czynnościach przetwarzania lub zalecanie wdrożenia dodatkowych środków technicznych i organizacyjnych w celu przeciwdziałania ryzyku.
Monitorowanie zgodności z przepisami. IOD może monitorować zgodność administratora lub podmiotu przetwarzającego z GDPR oraz innymi przepisami i polityką w zakresie ochrony danych Unii lub państwa członkowskiego, uwzględniając charakter, zakres, kontekst i cele przetwarzania. Może to obejmować przeprowadzanie regularnych audytów lub przeglądów czynności przetwarzania w celu zapewnienia, że administrator lub podmiot przetwarzający wypełnia swoje obowiązki.
Przykłady roli inspektora ochrony danych w wykonywaniu swoich zadań z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania:
Ocena ryzyka związanego z operacją przetwarzania, taką jak gromadzenie i wykorzystywanie danych osobowych do celów marketingu bezpośredniego, oraz wydawanie zaleceń administratorowi lub podmiotowi przetwarzającemu dotyczących sposobu rozwiązania tego ryzyka.
Monitorowanie przestrzegania przez administratora lub podmiot przetwarzający GDPR oraz innych przepisów i polityk Unii lub państw członkowskich w zakresie ochrony danych w kontekście operacji przetwarzania, takich jak przechowywanie i przekazywanie danych osobowych usługodawcom zewnętrznym.
Przeprowadzenie DPIA nowej operacji przetwarzania, takiej jak wykorzystanie danych biometrycznych do celów uwierzytelniania, oraz przedstawienie administratorowi lub podmiotowi przetwarzającemu zaleceń dotyczących sposobu rozwiązania problemów związanych z ryzykiem związanym z przetwarzaniem.
GIODO opisuje wyznaczenie inspektora ochrony danych osobowych IOD.
Przytaczamy fragment materiałów; “Kto może, a kto musi wyznaczyć inspektora ochrony danych?”
” …funkcja DPO (czyli IOD) może być również pełniona na podstawie umowy o świadczenie usług zawartej nie tylko z osobą fizyczną, ale też innym podmiotem. W pracy zespołowej można bowiem połączyć indywidualne atuty i umiejętności poszczególnych osób tak, aby zapewnić wydajniejszą obsługę administratora danych. W takim przypadku konieczne jest jednak , aby każdy członek podmiotu sprawującego funkcję DPO spełniał wszystkie istotne wymogi wskazane w Sekcji 4* RODO, oraz miał zapewnioną, wynikającą z tych przepisów ochronę. W celu zapewnienia przejrzystości prawnej i dobrej organizacji zalecany jest ponadto wyraźny podział zadań oraz wyznaczenie jednej osoby jako wiodącej osoby kontaktowej i osoby ‘odpowiedzialnej’ za każdego klienta. Kwestie te powinny być jasno określone w umowie o świadczenie usług.”
“Ogólne rozporządzenie o ochronie danych w art. 37 ust 1 przewiduje obowiązek wyznaczenia inspektora dla administratorów i podmiotów przetwarzających wówczas, gdy:
a) przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
b) główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą na dużą skalę.
c) główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1, oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o których mowa w art. 10.
Ponadto zgodnie z art. 37 ust. 4 ogólnego rozporządzenia o ochronie danych obowiązek powołania inspektora ochrony danych może wprowadzić prawo Unii lub prawo państwa członkowskiego. Oznacza to, iż m.in. ustawodawca polski będzie mógł rozszerzyć obowiązek wyznaczenia DPO na inne podmioty.
W pozostałych przypadkach wyznaczenie inspektora będzie fakultatywne. Jednakże nawet w sytuacji, gdy z przepisów nie wynika obowiązek wyznaczenia DPO, Grupa Robocza art. 29 w swoich Wytycznych dotyczących inspektora ochrony danych zaleca administratorom i podmiotom przetwarzającym udokumentowanie wewnętrznej procedury przeprowadzonej w celu ustalenia i uwzględnienia poszczególnych normatywnych przesłanek istnienia lub braku tego obowiązku.
Ponadto Grupa Robocza art. 29 rekomenduje wyznaczenie DPO nawet w odniesieniu do podmiotów do tego niezobowiązanych. Inspektorzy ochrony danych mogą bowiem znacznie ułatwić przestrzeganie nowych przepisów oraz odegrać istotną rolę w pośredniczeniu pomiędzy zainteresowanymi stronami (np. organem ochrony danych osobowych, podmiotami danych oraz poszczególnymi jednostkami w ramach jednej organizacji).
Grupa Robocza art. 29 w Wytycznych dotyczących inspektora ochrony danych uznaje za dobrą praktykę powoływanie DPO przez prywatne jednostki realizujące zadania w interesie publicznym lub sprawujące władzę publiczną. W takim przypadku działalność inspektora ochrony danych powinna obejmować wszelkie operacje przetwarzania prowadzone przez jednostkę, w tym te niezwiązane z zadaniami realizowanymi w interesie publicznym.
Obowiązek wyznaczenia DPO dotyczy również podmiotów przetwarzających.
Mogą zatem wystąpić sytuacje, kiedy administrator nie będzie zobowiązany do wyznaczenia DPO, natomiast obowiązek taki będzie ciążył na podmiocie przetwarzającym. Jako przykład Grupa Robocza art. 29 podaje sytuację, w której mała, rodzinna firma dystrybuująca artykuły gospodarstwa domowego na terenie jednego miasta korzysta z usług podmiotu przetwarzającego, którego podstawowa działalność polega na świadczeniu usług analityki internetowej i pomocy w ukierunkowanej reklamie i marketingu. Działalność firmy rodzinnej, biorąc pod uwagę niewielką liczbę klientów i stosunkowo ograniczone działania, nie spowoduje obowiązku wyznaczania inspektora ochrony danych. Jednakże działania podmiotu przetwarzającego, posiadającego wielu klientów takich jak to małe przedsiębiorstwo, zbiorczo kwalifikuje się jako przetwarzanie „na dużą skalę”. W związku z tym podmiot przetwarzający, w przeciwieństwie do lokalnego przedsiębiorstwa, zobowiązany będzie do wyznaczenia inspektora ochrony danych.
Powyższe zasady nie uniemożliwiają podmiotom niezobowiązanym do wyznaczenia DPO skorzystania z innego rozwiązania niż wyznaczenie inspektora ochrony danych, np.wyznaczenia pracownika albo zatrudnienie zewnętrznego konsultanta do wypełniania zadań związanych z ochroną danych osobowych. W takim przypadku wedle zaleceń Grupy Roboczej art. 29 ważne jest, aby nazwa stanowiska, status pracownika, pozycja i zadania nie wprowadzały w błąd. W związku z tym należy poinformować pracowników organizacji, organ nadzorczy, osoby, których dane dotyczą, i ogół społeczeństwa, iż osoba zatrudniona nie jest DPO w świetle przepisów RODO.”
Źródło: artykuł jest ze strony https://abi.giodo.gov.pl/inspektor-ochrony-danych/kto-moze-a-kto-musi-wyznaczyc-inspektora-ochrony-danych
Jak stanowi art. 4 pkt 2 ustawy z dnia 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych, przedmiotu prawa autorskiego nie stanowią dokumenty urzędowe, materiały, znaki i symbole.
Zobacz naszą ofertę wdrożenia RODO
Inspektor ochrony danych