Source: https://konstytucjabiznesu.biz/wyznaczenie-iod-w-firmie-cz-2/
Timestamp: 2018-10-16 20:28:08+00:00

Document:
Wyznaczenie IOD w firmie - Konstytucja biznesu
Oliwia Radlak 20 września 2018 in RODO Możliwość komentowania Wyznaczenie IOD w firmie została wyłączona
Czy Twoja firma potrzebuje Inspektora Ochrony Danych?Administratorem danych osobowych jest… – kto jest kim w RODO?Obowiązek informacyjny RODO
W poprzednim wpisie, z którym można zapoznać się tutaj, wskazałam, że przedsiębiorca dokonując oceny konieczności wyznaczenia IOD w firmie powinien w pierwszej kolejności zapoznać się z art. 37 ust. 1 RODO. W lit. b) oraz c) tego przepisu wyszczególnione zostały przesłanki, których spełnienie obliguje przedsiębiorcę do wyznaczenia IOD w jego firmie.
Do omówienia pozostała lit. c) wskazanego artykułu, aczkolwiek niektóre przesłanki w niej wskazane będą analogiczne do tych określonych w lit. b). Mianowicie, chodzi o takie przesłanki jak pojęcie głównej działalności administratora polegającej na przetwarzaniu danych oraz pojęcie dużej skali.
Dla przypomnienia, art. 37 ust. 1 lit. c) RODO stanowi o tym, że administrator danych lub procesor wyznaczają IOD, zawsze gdy ich główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych kategorii lub danych dotyczących wyroków skazujących i naruszeń prawa.
Czym są dane szczególnych kategorii reguluje art. 9 ust. 1 RODO, w którym wymienione zostały takie dane jak:
Dane: genetyczne, biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej, dotyczące zdrowia, seksualności lub orientacji seksualnej.
Przykładem podmiotu, który w związku ze swoją działalnością przetwarza dane szczególnych kategorii na dużą skalę są szpitale.
Zarówno art. 10 jak i art. 37 ust. 1 lit. c) RODO stanowią o przetwarzaniu danych dotyczących wyroków skazujących oraz (i) naruszeń prawa. Zastosowanie w art. 10 łącznika „oraz”, natomiast w art. 37 ust. 1 lit. c) łącznika „i” mogłoby sugerować, że obie wskazane przesłanki powinny być stosowane jednocześnie (zarówno przetwarzanie danych dotyczących wyroków skazujących jak i naruszeń prawa).
Jednakże według Wytycznych dotyczących Inspektorów Danych Osobowych Grupy Roboczej Art. 29 ds. ochrony danych, zastosowanie w przypadku tych artykułów powinien mieć łącznik „lub”. W związku z tym przedsiębiorca określając skalę przetwarzania danych musi osobno wziąć pod uwagę dane dotyczące wyroków skazujących oraz dane dotyczące naruszeń prawa.
Przykładem podmiotu, który w związku ze swoją działalnością przetwarza dane dotyczące wyroków skazujących lub naruszeń prawa na dużą skalę są duże kancelarie prawne.
Tak więc, przedsiębiorca, który w ramach swojej głównej działalności na dużą skalę przetwarza dane szczególnych kategorii lub dane dotyczące wyroków skazujących lub też dane dotyczące naruszeń prawa powinien wyznaczyć w swojej firmie IOD.
Tagi: dane o wyrokach skazujących i naruszeniach prawa, dane szczególnych kategorii, duża skala przetwarzania, Główna działalność administratora, Inspektor Ochrony Danych, IOD

References: art. 37
 art. 37
 art. 9
 art. 10
 art. 37
 art. 10
 art. 37
 Art. 29