Inspektor ochrony danych osobowych

W ramach usłu­gi — obsłu­ga praw­na firm — świad­czy­my kom­plek­so­we usłu­gi z zakre­su ochro­ny danych oso­bo­wych, w tym tak­że usłu­gi out­so­ur­cin­gu funk­cji inspek­to­ra ochro­ny danych na tere­nie War­sza­wy i oko­lic zgod­nie z wymo­ga­mi prze­pi­sów roz­po­rzą­dze­nia Par­la­men­tu Euro­pej­skie­go i Rady UE 2016/679 z dnia 27 kwiet­nia 2016 r. w spra­wie ochro­ny osób fizycz­nych w związ­ku z prze­twa­rza­niem danych oso­bo­wych i w spra­wie swo­bod­ne­go prze­pły­wu takich danych oraz uchy­le­nia dyrek­ty­wy 95/46/WE (ogól­ne roz­po­rzą­dze­nie o ochro­nie danych – RODO) oraz usta­wy o ochro­nie danych oso­bo­wych z dnia 10 maja 2018 r.

Nowe obowiązki nałożone na administratorów

RODO wpro­wa­dza m.in. łatwiej­szy dostęp do danych, obo­wią­zek infor­mo­wa­nia o naru­sze­niu danych oso­bo­wych czy sze­reg nowych obo­wiąz­ków nało­żo­nych na admi­ni­stra­to­rów danych oso­bo­wych, a w tym koniecz­ność powo­ła­nia inspek­to­ra ochro­ny danych oso­bo­wych. War­to wska­zać, iż koniecz­ność powo­ła­nia inspek­to­ra ochro­ny danych oso­bo­wych w sytu­acjach okre­ślo­nych prze­pi­sa­mi RODO cią­ży rów­nież na pod­mio­cie prze­twa­rza­ją­cym. Pod­mio­ty te, zamiast zatrud­niać oso­bę na sta­no­wi­sku inspek­to­ra ochro­ny danych oso­bo­wych, mogą zawrzeć umo­wę z fir­mą zewnętrz­ną, któ­ra będzie na ich zle­ce­nie wyko­ny­wa­ła czyn­no­ści w ramach usłu­gi out­so­ur­cin­gu funk­cji inspek­to­ra ochro­ny danych.

Powołanie inspektora ochrony danych osobowych

Zgod­nie z RODO obo­wią­zek wyzna­cze­nia IOD ist­nie­je, gdy:

1. prze­twa­rza­nie danych oso­bo­wych jest doko­ny­wa­ne przez orga­ny publiczne;
2. głów­na dzia­łal­ność pod­mio­tów pole­ga na takich ope­ra­cjach prze­twa­rza­nia danych oso­bo­wych, któ­re wyma­ga­ją moni­to­ro­wa­nia osób (musi być to jed­nak moni­to­ro­wa­nie regu­lar­ne i systematyczne);
3. na dużą ska­lę prze­twa­rza­ne są szcze­gól­ne kate­go­rie danych oso­bo­wych lub dane oso­bo­we doty­czą­ce wyro­ków ska­zu­ją­cych i czy­nów zabronionych.

W przy­pad­ku wystą­pie­nia powyż­szych oko­licz­no­ści przed­się­bior­cy będą zobli­go­wa­ni do powo­ła­nia IOD, a zatem do zawar­cia poro­zu­mień z zakre­su out­so­ur­cin­gu funk­cji IOD.

W prze­pi­sach RODO zabra­kło defi­ni­cji ter­mi­nu „duża ska­la”. W jed­nym z jego moty­wów wska­zu­je się jed­nak m. in. na prze­twa­rza­nie znacz­nej ilo­ści danych oso­bo­wych, co wpły­wać może na dużą licz­bę osób, któ­rych dane doty­czą. Oce­na czy kry­te­rium takie zacho­dzi musi więc być doko­ny­wa­ne za każ­dym razem indywidualnie.

Za prze­twa­rza­nie danych na „dużą ska­lę” uznać moż­na nastę­pu­ją­ce okoliczności:

1. prze­twa­rza­nie danych pacjen­tów przez szpital;
2. śle­dze­nie osób za pomo­cą kart miejskich;
3. dzia­łal­ność ban­ko­wa, ubez­pie­cze­nio­wa itp.

Prze­pi­sy RODO nie wpro­wa­dza­ją defi­ni­cji pod­mio­tów admi­ni­stra­cji publicz­nej, pozo­sta­wia­jąc to do kogni­cji usta­wo­dawstw kra­jo­wych. Pol­ski usta­wo­daw­ca dopre­cy­zo­wał w usta­wie o ochro­nie danych oso­bo­wych, iż za orga­ny i pod­mio­ty publicz­ne uwa­ża­ne być powin­ny m. in.:

1. jed­nost­ki sek­to­ra finan­sów publicznych;
2. insty­tu­ty badawcze;
3. Naro­do­wy Bank Polski.

War­to wska­zać, iż gru­pa przed­się­bior­ców może wyzna­czyć jed­ne­go IOD.

Ponad­to nale­ży pod­kre­ślić, iż Gru­pa Robo­cza powo­ła­na na mocy art. 29 dyrek­ty­wy 95/46/WE Par­la­men­tu Euro­pej­skie­go i Rady z dnia 24 paź­dzier­ni­ka 1995 r. będą­ca nie­za­leż­nym orga­nem dorad­czym w zakre­sie ochro­ny danych i pry­wat­no­ści (dalej „Gru­pa Robo­cza”) reko­men­du­je wyzna­cze­nie IOD rów­nież w odnie­sie­niu do pod­mio­tów do tego niezobowiązanych.

Zadania IOD  

Zgod­nie z RODO zada­nia­mi IOD są:

1. infor­mo­wa­nie admi­ni­stra­to­ra oraz pod­mio­tu prze­twa­rza­ją­ce­go (jak rów­nież ich pra­cow­ni­ków) o obo­wiąz­kach, jakie spo­czy­wa­ją na nich na grun­cie RODO oraz innych prze­pi­sów powszech­nie obo­wią­zu­ją­cych z zakre­su ochro­ny danych osobowych;
2. moni­to­ro­wa­nie prze­strze­ga­nia prze­pi­sów o ochro­nie danych osobowych;
3. udzie­la­nie zale­ceń celem wspar­cia admi­ni­stra­to­ra w stwo­rze­niu oce­ny skut­ków dla ochro­ny danych oso­bo­wych zgod­nie z wymo­ga­mi RODO;
4. peł­nie­nie funk­cji oso­by kon­tak­to­wej pośred­ni­czą­cej pomię­dzy admi­ni­stra­to­rem (pod­mio­tem prze­twa­rza­ją­cym) a orga­nem nadzorczym.

Wszyst­kie czyn­no­ści wska­za­ne powy­żej są rów­nież wyko­ny­wa­ne przez naszą Kan­ce­la­rię w ramach out­so­ur­cin­gu IOD m.in. na tere­nie War­sza­wy i okolic.

Status inspektora ochrony danych osobowych

Inspek­tor RODO może peł­nić swą funk­cję na pod­sta­wie umo­wy cywil­no­praw­nej i jest zobo­wią­za­ny do zacho­wa­nia tajem­ni­cy lub pouf­no­ści co do wyko­ny­wa­nia swo­ich zadań. Inspek­tor ochro­ny danych oso­bo­wych jest nie­za­leż­ny, co ozna­cza, że nie może otrzy­my­wać jakich­kol­wiek instruk­cji doty­czą­cych wyko­ny­wa­nia swych zadań. Nie jest on rów­nież odwo­ły­wa­ny ani kara­ny za wypeł­nia­nie swo­ich zadań. Inspek­tor RODO pod­le­ga bez­po­śred­nio i wyłącz­nie kie­row­nic­twu admi­ni­stra­to­ra (pod­mio­tu prze­twa­rza­ją­ce­go), np. zarzą­do­wi spółki.

Podsumowanie

Obo­wią­zek wyzna­cze­nia IOD ist­nie­je wyłącz­nie w przy­pad­kach wska­za­nych w prze­pi­sach RODO. Mając jed­nak na uwa­dze, iż czę­ścio­wo usta­wo­daw­ca posłu­żył się sfor­mu­ło­wa­nia­mi nie­do­okre­ślo­ny­mi, taki­mi jak „sta­łe moni­to­ro­wa­nie osób”, czy prze­twa­rza­nie danych oso­bo­wych na „dużą ska­lę”, admi­ni­stra­to­rzy oraz pod­mio­ty prze­twa­rza­ją­ce win­ny w spo­sób kom­plek­so­wy prze­ana­li­zo­wać dane przez sie­bie prze­twa­rza­ne oraz cha­rak­ter takie­go prze­twa­rza­nia celem usta­le­nia, czy obo­wią­zek powo­ła­nia inspek­to­ra ochro­ny danych oso­bo­wych spo­czy­wa rów­nież na nich. Obo­wią­zek taki może być rów­nież speł­nio­ny poprzez out­so­ur­cing funk­cji IOD. War­to wska­zać, iż Gru­pa Robo­cza z ostroż­no­ści reko­men­du­je wyzna­cze­nie IOD tak­że przez pod­mio­ty do tego nie­obo­wią­za­ne, zatem rów­nież pozo­sta­li przed­się­bior­cy m.in. z War­sza­wy i oko­lic mogą sko­rzy­stać z ofer­ty naszej Kan­ce­la­rii w zakre­sie peł­nie­nia funk­cji inspek­to­ra ochro­ny danych osobowych.

Powrót do pod­stro­ny — Szko­le­nie RODO