Zadania i obowiązki Inspektora Ochrony Danych
Program do RODO dla IOD
Zadania inspektora ochrony danych zgodne z art. 39 RODO
Zgodnie z art. 39 ust. 1 oraz 38 ust. 4 RODO do zadań inspektora ochrony danych należą:
• Informowanie administratora, podmiotu przetwarzającego oraz pracowników przetwarzających dane osobowe o obowiązkach na nich spoczywających na mocy rozporządzenia RODO oraz innych przepisach Unii lub państw członkowskich o ochronie danych. A dodatkowo – doradzanie im w tej sprawie.
• Monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych. W szczególności – podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty.
Działania inspektora ochrony danych w wymienionych zakresach powinny mieć charakter ciągły i długofalowy. Zgodnie z wytycznymi monitorowanie obejmuje: zbieranie informacji w celu identyfikacji procesów przetwarzania, analizowanie i sprawdzanie zgodności przetwarzania, informowanie, doradzanie i rekomendowanie określonych działań.
-
udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania zgodnie z art. 35.
Według art. 35 ust. 2 RODO administrator dokonując oceny skutków konsultuje się z IOD, jeżeli został wyznaczony, w celu wydania przez niego zaleceń. Konsultacje z IOD dotyczą niniejszych kwestii:
· czy należy przeprowadzić ocenę skutków dla ochrony danych;
· metodologii przeprowadzenia oceny skutków dla ochrony danych;
· czy należy przeprowadzić wewnętrzną ocenę, czy też zlecić ją podmiotowi zewnętrznemu;
· zabezpieczeń (w tym środków technicznych i organizacyjnych) stosowanych do łagodzenia wszelkich zagrożeń praw i interesów osób, których dane dotyczą;
· prawidłowości przeprowadzonej oceny skutków dla ochrony danych i zgodności jej wyników z RODO (czy należy kontynuować przetwarzanie, czy też nie oraz jakie zabezpieczenia należy zastosować).
-
współpraca z Prezesem Urzędu Ochrony Danych Osobowych.
W artykule 39 ust. 1 lit. d RODO mamy zapis, iż IOD powinien współpracować z organem nadzorczym w kwestiach związanych z przetwarzaniem danych osobowych oraz w stosownych przypadkach zwracać się do niego.
-
pełnienie funkcji punktu kontaktowego dla Prezesa Urzędu Ochrony Danych Osobowych w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o których mowa w art. 36. Oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach.
Obowiązek pełnienia roli punktu kontaktowego przez IOD dla organu nadzorczego, wynika z art. 39 ust. 1 lit. e RODO. Wobec czego, jeżeli organ nadzorczy zwróci się do IOD o udzielenie mu informacji w określonych przypadkach (w tym dostępu do dokumentów), inspektor powinien się z tego obowiązku należycie wywiązać.
-
sprawowanie funkcji punktu kontaktowego dla osób, których dane dotyczą. We wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących im na mocy niniejszego rozporządzenia.
Zgodnie z art. 38 ust. 4 RODO, osoby których dane dotyczą powinny mieć możliwość skontaktowania się z IOD we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonaniem praw przysługującym im na mocy rozporządzenia RODO. W związku z tym administrator, bądź podmiot przetwarzający, powinien na stronie internetowej wskazać dane kontaktowego do inspektora ochrony danych.
Zadania IOD w RODO zostały sformułowane w sposób ogólny, bez wskazania trybu oraz terminów ich realizacji. Należy zatem pamiętać, iż podmiotem, który faktycznie podejmuje decyzje, odpowiada za wdrożenie środków bezpieczeństwa oraz wykazanie, że przetwarzanie danych odbywa się zgodnie z przepisami ochrony danych osobowych jest administrator lub podmiot przetwarzający.