REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Inspektor Ochrony Danych – w pytaniach i odpowiedziach

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Paweł Bronisław Ludwiczak
Radca prawny, specjalizujący się w tematach związanych z obsługą prawną przedsiębiorców, prawem korporacyjnym, zamówieniami in house, publicznym transportem zbiorowym i Compliance.
Inspektor Ochrony Danych – w pytaniach i odpowiedziach
Inspektor Ochrony Danych – w pytaniach i odpowiedziach

REKLAMA

REKLAMA

Inspektor Ochrony Danych – odpowiedzi na najważniejsze pytania. Niedługo miną 3 lata jak obowiązuje RODO a zrozumienie funkcji i roli Inspektorach Danych Osobowych (dalej IOD lub IOD`a) nadal rodzi problemy. Świadczą o tym chociażby to, że na stronie Prezesa Urzędu Ochrony Danych Osobowych jest już prawie sto artykułów o funkcji i zadaniach IODa i cały czas pojawiają się kolejne. Często też spotykam się w praktyce z różnymi wątpliwościami lub nieprawidłowościami.

 Kto musi wyznaczyć Inspektora Danych Osobowych? 

Zgodnie z RODO, administrator i podmiot przetwarzający wyznaczają IOD zawsze gdy:

REKLAMA

  • przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości,
  • główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę,
  • główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa.

Oczywiście administrator podmiot przetwarzający, gdy nie mają takiego obowiązku, to zawsze mogą powołać IOD'a. Zachęcam do tego zwłaszcza średnie i duże podmioty.

Czy Inspektorem Ochrony Danych można być w paru podmiotach?

Tak, można.

Po pierwsze grupa przedsiębiorstw może wyznaczyć jednego IOD`a, o ile można będzie łatwo nawiązać z nim kontakt z każdej jednostki organizacyjnej i analogicznie dla kilku organów lub podmiotów publicznych można wyznaczyć, z uwzględnieniem ich struktury organizacyjnej i wielkości, jednego IOD`a.

Po drugie nikt z IOD`ami nie podpisuje umowy na wyłączność i bywa, że jedna osoba jest IOD`em w kilku, kilkunastu a rekordziści w kilkudziesięciu podmiotach.

Dalszy ciąg materiału pod wideo

W tym miejscu mam tylko jedno pytanie. Jak można należycie wykonywać swoje obowiązki IOD`a w kilkudziesięciu podmiotach? Notabene położonych czasami w różnych miastach.

Czyżby IOD władał mocą bycia równocześnie w paru miejscach.

Czy IOD musi być pracownikiem? Jakie powinien mieć kompetencje?

IOD może być pracownikiem lub może wykonywać na podstawie umowy o świadczenie usług.

IOD powinien być wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań.

Czy IOD może wykonywać inne obowiązki?

IOD może wykonywać inne zadania i obowiązki. Administrator lub podmiot przetwarzający zapewniają, by takie zadania i obowiązki nie powodowały konfliktu interesów. Niestety bardzo często IOD wykonuje inne zadania i obowiązki, np. informatyka, co powoduje konflikt interesów.

Szerzej o łączeniu funkcji IOD z innymi stanowiskami pisałem w artykule: „Łączenie funkcji oficera Compliance lub Inspektora Ochrony Danych z innymi funkcjami w organizacji”.

Jaki powinien być status IOD w podmiocie?

IOD powinien bezpośrednio podlegać najwyższemu kierownictwu administratora lub podmiotu przetwarzającego. Jednocześnie powinien być w stałym kontakcie z wyższym kierownictwem.

IOD powinien mieć zapewnione wsparcie, w wypełnianiu swoich zadań, przez Administratora lub podmiotu przetwarzającego. W szczególności Administrator lub podmiot przetwarzający zapewniają IOD`owi zasoby niezbędne mu do wykonania tych zadań oraz dostęp do danych osobowych i operacji przetwarzania, a także zasoby niezbędne do utrzymania jego wiedzy fachowej (IOD powinien cały czas się szkolić).

Administrator lub podmiot przetwarzający są zobowiązani właściwie i niezwłocznie włączać IOD`a we wszystkie sprawy dotyczące ochrony danych osobowych.

Administrator lub podmiot przetwarzający nie mogą IOD`owi dawać instrukcji dotyczących wykonywania jego zadań.

Administrator lub podmiot przetwarzający nie mogą odwołać ani karać IOD`a za wypełnianie przez niego swoich zadań. Ale za nie wykonywanie lub nienależyte wykonywanie według mnie już mogą.

IOD powinien znać swoją organizację, jej procesy oraz przepisy branżowe.

IOD musi mieć zmapowane dane w organizacji, co powinno znaleźć odzwierciedlenie w stosownych rejestrach.

We współpracy z IOD`em powinna być przygotowana odpowiednia dokumentacja. Obecnie toczy się dyskusja czy dokumentację, w tym polityki powinien pisać IOD czy tylko służyć w tym zakresie radę i to nadzorować. Przeważnie to IOD pisze dokumentację. Sam tak uważałem jeszcze jakiś czas temu. Teraz jednak uważam, że powinien tylko nadzorować sporządzanie dokumentacji i służyć radą w trakcie jej tworzenia.

IOD powinien regularnie szkolić pracowników.

IOD powinien monitorować, sprawdzać, i wspierać.

IOD powinien być niezależny i mieć odwagę powiedzieć NIE.

IOD powinien pamiętać, że jego praca nigdy się nie kończy. Systemem Bezpieczeństwa Danych Osobowych trzeba zarządzać i non-stop go aktualizować i poprawiać.

Niestety pomiędzy tym co powinno być a jest, często jest spora różnica. Wystarczy spytać IOD`a czy ma numery telefonów komórkowych wyższego kierownictwa i jaki ma budżet na szkolenia by zwykle wyszło szydło z worka.

Kontakt z Inspektorem Ochrony Danych

REKLAMA

Administrator lub podmiot przetwarzający publikują dane kontaktowe IOD'a i zawiadamiają o nich PUODO. Zgodnie z ustawą, podmiot, który wyznaczył IOD`a, udostępnia jego dane (imię, nazwisko oraz adres poczty elektronicznej lub numer telefonu IOD`a) niezwłocznie po jego wyznaczeniu, na swojej stronie internetowej, a jeżeli nie prowadzi własnej strony internetowej, w sposób ogólnie dostępny w miejscu prowadzenia działalności - bardzo częstą praktyką jest podawania tylko adresu email, co według mnie jest błędną praktyką.

Osoby, których dane dotyczą, mogą kontaktować się z IOD`em we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących im na mocy RODO.

Jakie są zadania Inspektora Ochrony Danych?

IOD ma następujące zadania:

  • informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy RODO oraz innych przepisów o ochronie danych i doradzanie im w tym zakresie,
  • monitorowanie przestrzegania RODO i innych przepisów o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych. Ponadto monitoruje m.in.: podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania, powiązane z tym audyty itp.,
  • udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie ich wykonania zgodnie z RODO,
  • współpraca z PUODO,
  • pełnienie funkcji punktu kontaktowego dla PUODO w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach.

IOD wypełnia swoje zadania z należytym uwzględnieniem ryzyk związanych z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania.

IOD jest zobowiązany do zachowania tajemnicy lub poufności co do wykonywania swoich zadań.

Czy zadania IOD`a obejmują wydawanie polityk bezpieczeństwa, pełnomocnictw i innej dokumentacji RODO?

Gdy RODO wchodziło w życie w wielu podmiotach to IOD wydawał polityki bezpieczeństwa, upoważnienia do przetwarzania danych osobowych itd. W dniu dzisiejszym jest to nadal częsta praktyka.

Natomiast PUODO stoi na stanowisku, że wydawanie dokumentacji RODO to obowiązek Administratora Danych Osobowych a IOD może tylko w tym zakresie doradzać oraz nadzorować.

Kto odpowiada za ewentualne naruszenie? IOD czy Administrator?

Zawsze Administrator. Zatrudnienie IOD`a nie zwalnia go z odpowiedzialności. Ale zatrudnienie właściwego IOD`a, zapewnienie mu odpowiedniej pozycji w organizacji itd. pozwala zmniejszyć ryzyko Administratora.

Niestety Administratorzy traktują często IOD`a jak zło konieczne, oszczędzają na nim ile mogą i go lekceważą. A powinni traktować go jak partnera i bezcenne wsparcie na którym nie opłaca się oszczędzać.

Chciałbym podkreślić, że Inspektor Ochrony Danych ma kluczowe znaczenie dla funkcjonowania systemu bezpieczeństwa danych osobowych. Podobnie jak oficer Compliance w przypadku Systemów Compliance. A niestety często brak go, jest nim nieodpowiednia osoba lub najczęściej brak mu odpowiednich zasobów i umocowania lub jest lekceważony przez najwyższe kierownictwo.

Zapisz się na newsletter
Śledź na bieżąco nowe inicjatywy, projekty i ważne decyzje, które wpływają na Twoje życie codzienne. Zapisz się na nasz newsletter samorządowy.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Sektor publiczny
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Odpowiedzialność trenera personalnego za kontuzje

Branża fitness dynamicznie się rozwija. Coraz więcej osób uzyskuje kwalifikacje trenera personalnego lub instruktora fitness i podejmuje się trenowania podopiecznych w ramach współpracy z siłownią, czy klubem fitness, albo działając na własną rękę. W toku takich treningów zdarzają się jednak kontuzje.

Strefa czystego transportu (STC) w Krakowie od 1 stycznia 2026 r.

W głosowaniu przeprowadzonym w nocy ze środy (11.06.) na czwartek (12.06.), Rada Miasta Krakowa większością głosów zdecydowała, że SCT zacznie obowiązywać od stycznia 2026 r. i obejmie obszar do granic IV obwodnicy. Oznacza to, że nowymi przepisami objęta zostanie niemal cała powierzchnia miasta – z wyłączeniem jego obrzeży, w tym m.in. Wzgórz Krzesławickich i Swoszowic.

Konkurs MEN: Bezpłatne studia podyplomowe przygotowujące do wykonywania zawodu nauczyciela w kształceniu zawodowym /zgłoszenia do 10 lipca 2025/

Ministerstwo Edukacji Narodowej ogłosiło konkurs na studia podyplomowe przygotowujące do wykonywania zawodu nauczyciela w kształceniu zawodowym dla obecnych i przyszłych nauczycieli. Na realizację projektów przeznaczono niemal 50 mln zł.

Patologie publicznej służby zdrowia. OZPSP: Pieniądze ze składki zdrowotnej nie idą na leczenie, ale na zyski dla prywatnych firm; lekarz na kontrakcie to prywatna działalność prowadzona na szpitalnym sprzęcie

W ochronie zdrowia państwo nie istnieje; publiczny system to maszynka do zarabiania pieniędzy - powiedział w wywiadzie dla PAP Mariusz Trojanowski z Ogólnopolskiego Związku Pracodawców Szpitali Powiatowych (OZPSP). Pieniądze ze składki zdrowotnej nie idą na leczenie, ale na zyski dla prywatnych podmiotów - podkreślił.

REKLAMA

Wysokość opłat za krew i jej składniki w 2026 r. [PROJEKT RESORTU ZDROWIA z 3 czerwca 2025 r.]

6 czerwca 2025 r. do uzgodnień i konsultacji publicznych trafił projekt rozporządzenia Ministra Zdrowia w sprawie określenia wysokości opłat za krew i jej składniki w 2026 r. Resort zdrowia ma czas na określenie tych opłat do 30 czerwca 2025 r.

Tańsze leki dzięki importowi równoległemu? Konieczne są zmiany legislacyjne w obszarze importu równoległego. Apel do resortu zdrowia

Trwają prace nad nowelizacją ustawy o refundacji leków, środków spożywczych specjalnego przeznaczenia żywieniowego oraz wyrobów medycznych oraz niektórych innych ustaw. Stowarzyszenie reprezentujące importerów równoległych leków apeluje o uproszczenie procedur i likwidację barier administracyjnych, które dziś blokują ten segment rynku.

Ponad 500 pociągów PKP Intercity na dobę w nowym rozkładzie jazdy na lato

15 czerwca wchodzi w życie letni rozkład jazdy PKP Intercity. Wiceminister infrastruktury Piotr Malepszak zapowiedział, że planowanych jest ponad 500 pociągów na dobę.

Prof. Jerzy Stępień: Potrzebujemy holistycznego spojrzenia na samorząd

Po raz pierwszy w historii niepubliczna uczelnia została współorganizatorem Zjazdu Katedr i Zakładów Prawa Konstytucyjnego. Wydarzenie, które na stałe wpisało się w kalendarz akademicki, w tym roku odbywa się na Uczelni Łazarskiego. O znaczeniu tej zmiany, stanie polskiego samorządu terytorialnego oraz wyzwaniach dla prawa konstytucyjnego rozmawiamy z prof. Jerzym Stępniem – byłym prezesem Trybunału Konstytucyjnego, współtwórcą reformy samorządowej i wykładowcą Uczelni Łazarskiego.

REKLAMA

Pożar w lesie. Co robić?

Od stycznia do 28 maja w Polsce odnotowano 2491 pożarów lasów. Brak śniegu zimą i sucha wiosna zwiększyły zagrożenie pożarowe. W lasach panuje susza, dlatego strażacy i leśnicy apelują o ostrożność.

Minimum 8000 zł brutto dla pracowników sądów? Związki zawodowe apelują o reformy

Brak rąk do pracy, niskie wynagrodzenia i narastający problem rotacji – pracownicy sądów alarmują, że bez systemowych reform i podwyżek polski wymiar sprawiedliwości może się załamać. Związek Zawodowy Ad Rem wskazuje, że choć podpisano porozumienie z rządem, jest to dopiero pierwszy krok do normalizacji.

REKLAMA