Obowiązek powołania Inspektora Ochrony Danych
Dowiedz się, które instytucje muszą posiadać IOD
Powołanie inspektora ochrony danych w danej instytucji – czy jest konieczne?
Postaramy się odpowiedzieć na pytanie, czy w małej instytucji konieczne jest powołanie inspektora ochrony danych? Postanowiliśmy rozwiać wątpliwości w zakresie sytuacji, w których powołanie IOD jest konieczne, a kiedy jedynie opcjonalne.
Obowiązek wyznaczenia inspektora
Ogólne rozporządzenie o ochronie danych w art. 37 ust. 1 przewiduje obowiązek wyznaczenia inspektora dla administratorów i podmiotów przetwarzających, wówczas gdy:
- Po pierwsze, gdy przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
- Po drugie, gdy główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę;
- Po trzecie, gdy główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których jest mowa w art. 9 ust.1 oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o których mowa w art. 10.
W pozostałych przypadkach wyznaczenie inspektora będzie fakultatywne. Jednakże, zgodnie z art. 29, Grupa Robocza zaleca administratorom i podmiotom przetwarzającym udokumentowanie wewnętrznej procedury przeprowadzonej w celu ustalenia i uwzględnienia poszczególnych przesłanek z art. 37 ust. 1 RODO istnienia lub braku tego obowiązku.
Jakie są kwalifikacje do pełnienia funkcji Inspektora Ochrony Danych?
Zgodnie z art. 37 ust. 5 RODO inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, o których mowa w art. 39 RODO. Poziom wiedzy inspektora powinien być ustalany w kontekście konkretnych potrzeb administratora danych i procesora. Jak wskazuje Grupa Robocza, wymagany poziom wiedzy fachowej nie jest nigdzie jednoznacznie określony, ale musi być współmierny do charakteru, skomplikowania i ilości danych przetwarzanych w ramach jednostki. Zgodnie z tymi przesłankami wybór inspektora ochrony danych powinien być dokonany z zachowaniem należytej staranności i z uwzględnieniem charakteru przetwarzania danych osobowych w ramach jednostki.
Inspektor ochrony danych powinien posiadać:
- wiedzę z zakresu krajowych i europejskich przepisów o ochronie danych osobowych,
- wiedzę z zakresu praktyk w dziedzinie ochrony danych osobowych,
- dogłębną znajomość przepisów RODO,
- wiedzę biznesową i sektorową dotyczącą działalności administratora,
- odpowiednią wiedzę na temat procesów przetwarzania danych, systemów informatycznych oraz zabezpieczeń stosowanych u administratora i jego potrzeb w zakresie ochrony danych,
- w przypadku organów i podmiotów publicznych IOD powinien również posiadać wiedzę w zakresie procedur administracyjnych i funkcjonowania jednostki.
Inspektor ma odgrywać kluczową rolę w zakresie wspierania „kultury ochrony danych” oraz pomagać w implementacji niezbędnych elementów RODO, tj.:
- zasady przetwarzania danych osobowych,
- prowadzenia rejestru czynności przetwarzania,
- ochrony danych w fazie projektowania oraz domyślnej ochrony danych,
- prawa osób, których dane dotyczą,
- wymogów bezpieczeństwa przetwarzania,
- zgłaszanie naruszeń.
Forma zatrudnienia IOD
Zgodnie z art. 37 ust. 6 RODO, Inspektor ochrony danych może być członkiem personelu administratora lub podmiotu przetwarzającego lub wykonywać zadania na podstawie umowy o świadczenie usług.