IOD (Inspektor Ochrony Danych)

IOD to funkcja przewidziana w art. 37–39 RODO. Inspektor wspiera administratora (i podmiot przetwarzający) w realizacji obowiązków wynikających z RODO: doradza w sprawach ochrony danych, monitoruje przestrzeganie przepisów, prowadzi szkolenia i audyty, pełni rolę punktu kontaktowego dla osób, których dane dotyczą, oraz współpracuje z organem nadzorczym (w Polsce — Prezesem UODO). IOD raportuje najwyższemu kierownictwu organizacji i działa niezależnie — nie otrzymuje instrukcji w zakresie wykonywania zadań.

Art. 37 ust. 1 RODO przewiduje obowiązkowe wyznaczenie IOD w trzech przypadkach:

• Organy lub podmioty publiczne — z wyjątkiem sądów w zakresie sprawowania władzy sądowniczej (m.in. urzędy, szkoły publiczne, szpitale publiczne, gminy),
• Główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę — m.in. operatorzy telekomunikacyjni, duże platformy internetowe, sieci marketingu lokalizacyjnego, agencje detektywistyczne,
• Główna działalność polega na przetwarzaniu danych szczególnych kategorii lub danych karnych na dużą skalę — m.in. szpitale, kliniki, ubezpieczyciele zdrowotni, podmioty z sektora bezpieczeństwa.

Polska ustawa o ochronie danych osobowych dopuszcza także dobrowolne wyznaczenie IOD — administrator wówczas również musi spełnić wszystkie wymogi z art. 38–39 RODO. Grupa kapitałowa może wyznaczyć jednego IOD wspólnego dla kilku podmiotów, jeśli można się z nim łatwo skontaktować z każdego z nich.

Art. 39 RODO wymienia minimalny katalog zadań:

• Informowanie i doradzanie administratorowi, podmiotowi przetwarzającemu oraz pracownikom o obowiązkach z RODO i innych przepisów o ochronie danych,
• Monitorowanie przestrzegania RODO i polityk ochrony danych — w tym podziału obowiązków, szkoleń personelu i audytów,
• Udzielanie zaleceń co do oceny skutków dla ochrony danych (DPIA) oraz monitorowanie jej realizacji,
• Współpraca z UODO — m.in. w sprawach kontroli, postępowań i zgłoszeń naruszeń,
• Pełnienie funkcji punktu kontaktowego dla UODO oraz dla osób, których dane dotyczą, w sprawach przetwarzania danych i wykonywania ich praw.

IOD nie ponosi osobistej odpowiedzialności za nieprzestrzeganie RODO przez administratora — odpowiedzialność spoczywa na administratorze. IOD odpowiada wewnętrznie za jakość wykonywanych zadań w ramach umowy lub stosunku pracy.

RODO wprowadza istotne gwarancje statusu IOD. Administrator zapewnia, że IOD nie otrzymuje instrukcji dotyczących wykonywania zadań, nie jest karany ani odwoływany za ich wykonywanie, oraz że bezpośrednio podlega najwyższemu kierownictwu. IOD powinien być wyznaczony na podstawie kwalifikacji zawodowych, w szczególności wiedzy fachowej o przepisach i praktykach ochrony danych — może być pracownikiem albo zewnętrznym usługodawcą.

Konflikt interesów — IOD nie może łączyć funkcji z innymi zadaniami w organizacji, które same wyznaczają cele i sposoby przetwarzania danych (np. kierownik IT, dyrektor HR, dyrektor marketingu na stanowiskach decyzyjnych). Polska ustawa o ochronie danych osobowych wymaga zgłoszenia wyznaczenia IOD Prezesowi UODO w terminie 14 dni od wyznaczenia — drogą elektroniczną. Dane kontaktowe IOD muszą być opublikowane (typowo w polityce prywatności i na stronie WWW).

Pojęcia ściśle związane z IOD:

• RODO (GDPR) — całość rozporządzenia 2016/679,
• Podstawy prawne (art. 6) — IOD doradza w doborze podstaw prawnych przetwarzania,
• Naruszenie ochrony danych — IOD koordynuje obsługę naruszeń i zgłoszeń do UODO,
• Baner cookies — IOD weryfikuje zgodność banerów z RODO,
• ISAP — tam znajdziesz ustawę o ochronie danych osobowych,
• E-commerce — branża, w której obowiązek IOD często wynika z monitorowania użytkowników,
• Biura rachunkowe — typowy dobrowolny IOD wspierający obsługę klientów.