Source: https://www.eporady24.pl/inspektor_ochrony_danych,artykuly,17,233,1591.html
Timestamp: 2019-10-15 03:54:46+00:00

Document:
Autor: Monika Wycykał • Opublikowane: 11.01.2018
Po przyjęciu RODO sytuacja ulegnie zmianie. Prawodawca unijny przewidział bowiem w treści rozporządzenia taką postać, jak „inspektor danych osobowych”. Zgodnie z założeniem ma to być przede wszystkim osoba, która posiada fachową wiedzę z zakresu ochrony danych osobowych i może czuwać nad przestrzeganiem przepisów RODO w danej organizacji, czynnie współpracując z administratorem danych osobowych lub podmiotem przetwarzającym. Jest to tym bardziej istotne, że RODO przenosi ciężar budowania odpowiedniego systemu ochrony danych osobowych z poziomu przepisów na poziom samej organizacji — to ona powinna wiedzieć najlepiej, jakie środki będą najwłaściwsze dla zabezpieczenia danych osobowych, i zaprojektować wewnętrzny system, który będzie odpowiadał zasadom przewidzianym w RODO. W tym kontekście inspektor danych osobowych może stać się ważnym filarem w strukturze takiego systemu.
Kiedy wyznaczenie inspektora ochrony danych jest obowiązkowe?
RODO przewiduje sytuacje, gdy powołanie inspektora danych osobowych będzie obowiązkowe, a dany administrator danych osobowych lub podmiot przetwarzający nie będzie się mógł uchylić od tego obowiązku — w art. 37 ust. 1 RODO:
„1. Administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze gdy:
c) główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1, oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o czym mowa w art. 10”.
Takie sformułowania mogą przysporzyć (i zapewne przysporzą) wielu wątpliwości dotyczących interpretacji takich pojęć, jak „główna działalność” czy „duża skala”. W związku z powyższym Grupa Robocza Art. 29 wydała w dniu 13 grudnia 2016 r. (zmienione w dniu 5 kwietnia 2017 r.) wytyczne dotyczące inspektorów danych osobowych (dalej: Wytyczne), gdzie znajdują się pewne kryteria ułatwiające wykładnię przepisów.
Po pierwsze, obowiązek powołania inspektora ochrony danych będzie obciążał organ lub podmiot publiczny.
Po drugie, obowiązek powołania inspektora ochrony danych będzie obciążał administratora danych osobowych lub podmiot przetwarzający, którego:
główna działalność polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą;
przetwarzanie odbywa się na dużą skalę.
Po trzecie, obowiązek powołania inspektora ochrony danych będzie obciążał administratora danych osobowych lub podmiot przetwarzający, którego:
główna działalność polega na przetwarzaniu szczególnych danych (danych wrażliwych) lub
główna działalność polega na przetwarzaniu danych osobowych dotyczących wyroków skazujących i naruszeń prawa;
Odnośnie „głównej działalności” Grupa Robocza rekomenduje następującą interpretację:
„»Głównej działalności« nie należy interpretować w sposób wyłączający działalność w zakresie przetwarzania danych nierozerwalnie związaną z działalnością główną administratora lub podmiotu przetwarzającego. Dla przykładu działalnością główną szpitali będzie zapewnianie opieki medycznej. Natomiast prowadzenie efektywnej opieki medycznej nie byłoby możliwe bez przetwarzania danych medycznych, jak np. historii choroby pacjenta. W związku z tym działalność polegająca na przetwarzaniu historii choroby pacjenta również powinna zostać zaklasyfikowana jako działalność główna. Oznacza to, że szpitale będą miały obowiązek powołania DPO.
Z drugiej strony wszystkie podmioty, spółki i inne organizacje prowadzą określone działania wspierające, np. prowadząc listę płac albo korzystając ze standardowej obsługi IT. Są to przykłady niezbędnych działań wspierających prowadzenie działalności głównej. Mimo że działania te są konieczne lub niezbędne, zazwyczaj uznawane są raczej za działania dodatkowe niż za główną działalność”.
W przedmiocie określania dużej skali należy wziąć pod uwagę następujące kryteria:
Przykłady przetwarzania na dużą skalę:
Przetwarzanie danych dotyczących podróży osób korzystających ze środków komunikacji miejskiej (np. śledzenie za pośrednictwem „kart miejskich”;
Przetwarzanie danych geolokalizacyjnych klientów w czasie rzeczywistym przez wyspecjalizowany podmiot na rzecz międzynarodowej sieci fast food do celów statystycznych;
Obowiązek powoływania inspektora ochrony danych powinien jednak być interpretowany w odniesieniu do konkretnego administratora. Możemy sobie bowiem wyobrazić sytuację, gdy w małej miejscowości mamy dostawcę Internetu, który świadczy usługi tylko dla mieszkańców społeczności, a zatem obiektywnie niewielkiej liczby osób. W takim przypadku będzie to można zakwalifikować jako działalność na dużą skalę, ponieważ występuje wysoki procent przetwarzania danych osobowych w odniesieniu do zbioru danych osobowych wszystkich mieszkańców.
Kiedy wyznaczenie inspektora ochrony danych jest fakultatywne?
W innych przypadkach niż wskazane w art. 27 ust. 1 RODO powołanie inspektora danych osobowych jest dobrowolne i fakultatywne — administrator danych osobowych nie ma takiego obowiązku. Jednakże ustanowienie takiej osoby w organizacji jest ze wszech miar pożądane, ponieważ po pierwsze, inspektor danych osobowych posiada wiedzę i kwalifikacje umożliwiające przestrzeganie przepisów RODO, co jest ułatwieniem dla administratora danych osobowych, po drugie, dobrowolne wyznaczenie inspektora danych osobowych będzie uwzględniane przez Prezesa Urzędu Ochrony Danych Osobowych w toku prowadzonego postępowania i może przyczynić się np. do zmniejszenia kary pieniężnej, jaka zostanie nałożona w związku z naruszeniem przepisów RODO.
Co ważne, kilku administratorów danych osobowych może powołać jednego inspektora danych osobowych, o ile będzie on dostępny dla administratorów i osób, których danych osobowe są przetwarzane przez tych administratorów. Stąd też np. przedsiębiorcy prowadzący niewielkie przedsiębiorstwa mogą zminimalizować koszty wyznaczenia inspektora ochrony danych, dzieląc między siebie wydatki.
Jakie zadania wykonuje inspektor danych osobowych?
Zadania inspektora ochrony danych osobowych zostały wyliczone w art. 39 RODO — nie oznacza to jednak, że inspektor danych osobowych nie może wykonywać również innych obowiązków, nałożonych na niego w drodze umowy z administratorem danych osobowych:
„1. Inspektor ochrony danych ma następujące zadania:
2. Inspektor ochrony danych wypełnia swoje zadania z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania”.
Z powyższych przepisów wynika, że podstawowe zadania inspektora ochrony danych osobowych koncentrują się wokół:
informowania administratora danych osobowych, podmiotu przetwarzającego oraz pracowników o wymogach prawnych, jakie na nich ciążą w związku z RODO oraz innymi przepisami;
kontrolowania, czy w organizacji rzeczywiście są przestrzegane przepisy z zakresu ochrony danych osobowych;
wskazywania podziału obowiązków w organizacji w związku z przetwarzaniem danych osobowych;
uświadamiania w przedmiocie ochrony danych osobowych;
przeprowadzania wewnętrznych audytów;
formułowania zaleceń w przedmiocie ochrony danych osobowych w organizacji, jak również konsultowanie np. wdrażania nowych technologii czy usług, które mogą wiązać się z ryzykiem naruszenia danych osobowych;
współpracy z organem nadzorczym, czyli w Polsce najprawdopodobniej z Urzędem Ochrony Danych Osobowych;
komunikacji z organem nadzorczym, czyli w Polsce najprawdopodobniej z Urzędem Ochrony Danych Osobowych.
Oprócz tego do inspektora danych osobowych może zwrócić się każda osoba, której dane osobowe są przetwarzane w organizacji — a zatem inspektor danych osobowych będzie również odpowiedzialny za komunikację z tymi osobami.
Kto może zostać inspektorem ochrony danych i jaki jest jego status?
Z przepisów RODO jednoznacznie wynika, że inspektorem danych osobowych może być członek personelu lub osoba z zewnątrz, świadcząca usługi związane z ochroną danych osobowych. Nie oznacza to jednak, że administrator lub podmiot przetwarzający ma prawo wyznaczyć dowolną osobę do pełnienia tej funkcji. Ponadto administrator danych osobowych lub podmiot przetwarzający muszą zapewnić inspektorowi ochrony danych odpowiednie warunki do wypełniania zadań.
Po pierwsze, inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań.
Po drugie, inspektorem ochrony danych nie może być osoba pozostająca w „konflikcie interesów”. Zgodnie z Wytycznymi Grupy Roboczej: „Co do zasady, za powodujące konflikt interesów uważane będą stanowiska kierownicze (dyrektor generalny, dyrektor ds. operacyjnych, dyrektor finansowy, dyrektor ds. medycznych, kierownik działu marketingu, kierownik działu HR, kierownik działu IT), ale również niższe stanowiska, jeśli biorą udział w określaniu celów i sposobów przetwarzania danych. Ponadto, konflikt interesów może powstać, gdy zewnętrzny DPO zostanie poproszony o reprezentowanie administratora lub podmiotu przetwarzającego przed sądem w sprawie dotyczącej ochrony danych osobowych”.
Po trzecie, inspektor ochrony danych nie może otrzymywać instrukcji dotyczących wykonywania tych zadań. Nie jest on odwoływany ani karany przez administratora ani podmiot przetwarzający za wypełnianie swoich zadań. Inspektor ochrony danych bezpośrednio podlega najwyższemu kierownictwu administratora lub podmiotu przetwarzającego.
Po czwarte, administrator oraz podmiot przetwarzający wspierają inspektora ochrony danych w wypełnianiu przez niego zadań, zapewniając mu zasoby niezbędne do wykonania tych zadań oraz dostęp do danych osobowych i operacji przetwarzania, a także zasoby niezbędne do utrzymania jego wiedzy fachowej.
Po piąte, administrator oraz podmiot przetwarzający zapewniają, by inspektor ochrony danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych.
Należy stanowczo podkreślić, że wyznaczenie inspektora ochrony danych nie zwalania administratora danych osobowych i podmiotu przetwarzającego z odpowiedzialności za naruszenie przepisów. Tym samym np. Urząd Ochrony Danych Osobowych będzie mógł nałożyć karę pieniężną w wyniku stwierdzonych nieprawidłowości, nawet jeżeli winę za powstałe naruszenie ponosi inspektor ochrony danych.
Inspektor ochrony danych nie ponosi bezpośredniej odpowiedzialności za naruszenie przepisów, w tym przepisów RODO. Administrator danych osobowych lub podmiot przetwarzający mogą go jedynie pociągnąć do odpowiedzialności we własnym zakresie, żądając np. naprawienia szkody w postaci zapłaconej kary pieniężnej. W związku z powyższym odpowiedzialność inspektora ochrony danych będzie zróżnicowana, przede wszystkim z uwagi na podstawę zatrudnienia takiej osoby:
jeżeli inspektorem ochrony danych zostanie wyznaczona osoba będąca zatrudniona na podstawie umowy o pracę — ponosi odpowiedzialność pracowniczą zgodnie z przepisami Kodeksu pracy (a zatem w przypadku nieumyślnego wyrządzenia szkody pracodawca będzie mógł żądać naprawienia szkody tylko do trzykrotności wynagrodzenia);
jeżeli inspektorem ochrony danych zostanie osoba zatrudniona na podstawie umowy cywilnoprawnej, np. umowy o świadczenie usług, ukształtowanie zasad odpowiedzialności zależy wyłącznie od woli stron — inspektor ochrony danych może ponosić odpowiedzialność za szkodę do pełnej wysokości, ale również jego odpowiedzialność może zostać ograniczona, np. do kwoty przewidzianej w polisie ubezpieczeniowej od odpowiedzialności cywilnej.
Stan prawny obowiązujący na dzień 11.01.2018
Co to jest RODO i czy trzeba się bać? Od jakiegoś czasu w mediach pojawia się tajemniczo brzmiące słowo „RODO”. Niewiele osób zdaje sobie sprawę, że sprawa RODO to nie kolejna ciekawostka w środowisku prawników, lecz prawdziwa rewolucja, która dotknie setki tysięcy przedsi�
Robienie żartów przez telefon a odpowiedzialność prawna Montaż kamer na budynku należącym do wspólnoty a RODO Przetwarzanie danych kontaktowych (telefon, email) w sprawach urzędowych - RODO Wysłanie listu służbowego pod zły adres a RODO Czy szkoła ma prawo żądać nr PESEL od wolontariusza? Omyłkowe wysłanie faktur do innych klientów a RODO Upublicznienie danych zgłaszającego zakłócanie ciszy nocnej Rozpowszechnianie informacji o chorobach i operacjach a RODO Podszycie się pod inną osobę i wyłudzenie danych Robienie żartów przez telefon a odpowiedzialność prawna Jak rozliczyć przychody za muzykę udostępnianą w serwisach streamingowych? Montaż kamer na budynku należącym do wspólnoty a RODO Pomyłka w cenie wystawionego produktu - jak odstąpić od umowy sprzedaży? Wybór nazwy firmy w kontekście przepisów o znaku towarowym Rezygnacja z zawarcia umowy za pośrednictwem Allegro Przetwarzanie danych kontaktowych (telefon, email) w sprawach urzędowych - RODO Podpisanie umowy z SAWP Prawa autorskie do nierejestrowanego wzoru przemysłowego Zabezpieczenie na wypadek kradzieży pomysłu na biznes Wykorzystanie zdjęć sprzedanego domu w celach reklamowych

References: art. 37
 art. 9
 art. 10
 Art. 29
 art. 27
 art. 39