Source: https://e-prawnik.pl/artykuly/jak-powolac-inspektora-ochrony-danych.html
Timestamp: 2018-11-19 04:43:17+00:00

Document:
Jak powołać inspektora ochrony danych? - Pozostałe - e-prawnik.pl
W jakiej formie należy zatrudnić inspektora ochrony danych?
Wedle art. 37 ust. 6 RODO, inspektorem ochrony danych może zostać zarówno pracownik administratora bądź podmiotu przetwarzającego dane, jak też osoba spoza grona pracowników tych odmiotów. Możliwe będzie zatem nadal pełnienie funkcji inspektora ochrony danych w modelu outsourcingu, na podstawie umowy o świadczenie usług.
Chociaż takze teraz funkcję ABI wykonują zarówno osoby będące pracownikami administratorów danych, jak i osoby, które zawarły z administratorem danych umowę cywilnoprawną, ustawa o ochronie danych osobowych nie zawiera obecnie przepisu wprost odnoszącego się do tego zagadnienia.
Osoba wykonująca funkcję DPO na podstawie umowy o świadczenie usług musi spełniać wszystkie wymogi stawiane przez przepisy RODO, np. warunki co do unikania konfliktu interesów, gwarancji niezależności, łatwości nawiązania z kontaktu z DPO, właściwego oraz terminowego włączania go we wszystkie sprawy dotyczące ochrony danych osobowych.
Grupa Robocza art. 29 w Wytycznych dotyczących inspektorów danych osobowych wyjaśniła, iż funkcja DPO może być też pełniona na podstawie umowy o świadczenie usług zawartej nie tylko z osobą fizyczną, ale także z innym podmiotem. W pracy zespołowej można bowiem połączyć indywidualne atuty oraz umiejętności poszczególnych osób tak, żeby zapewnić wydajniejszą obsługę administratora danych. W takiej sytucaji konieczne jest jednak, by każdy członek podmiotu sprawującego funkcję DPO spełniał wszystkie istotne wymogi wskazane w Sekcji 4 RODO, oraz miał zapewnioną, wynikającą z tych przepisów ochronę. W celu zapewnienia przejrzystości prawnej i dobrej organizacji zalecany jest również wyraźny podział zadań i wyznaczenie jednej osoby jako wiodącej osoby kontaktowej oraz osoby "odpowiedzialnej" za każdego klienta. Kwestie te winny być jasno określone w umowie o świadczenie usług.
Jakie gwarancje niezależności DPO przewidzano?
Podobnie jak dotąd obowiązująca ustawa o ochronie danych osobowych (art. 36a ust. 8 ustawy), inspektorzy ochrony danych – bez względu na to, czy są pracownikami administratora, czy nie – muszą być w stanie wykonywać swoje obowiązki oraz zadania w sposób niezależny (motyw 97 RODO). W celu zapewnienia niezależności DPO administrator bądź podmiot przetwarzający powinni wprowadzić wewnętrzne regulacje gwarantujące inspektorowi ochrony danych niezależność w wykonywaniu przez niego obowiązków i zadań. Dotyczy to podmiotów publicznych i podmiotów o złożonych strukturach, które muszą dostosować swoje regulaminy organizacyjne oraz statuty do wymogów RODO - tak żeby zapewnić niezależność DPO.
Zgodnie z Wytycznymi Grupy Roboczej art. 29 dotyczącymi inspektora ochrony danych, umiejscowienie inspektora ochrony danych w strukturze organizacyjnej danego podmiotu powinno być czytelne dla całego personelu administratora lub podmiotu przetwarzającego, w związku z czym w razie powołania DPO, administrator bądź podmiot przetwarzający powinien zawiadomić o tym fakcie pozostałych pracowników.
Dla zapewnienia niezależności inspektorowi ochrony danych RODO wprowadza kilka szczegółowych gwarancji takich jak:
wymóg unikania konfliktu interesów DPO;
bezpośrednia podległość DPO najwyższemu kierownictwu;
zakaz wydawania instrukcji DPO co do wykonywania przez niego zadań;
wspieranie DPO w wypełnianiu jego zadań;
zapewnienie udziału DPO we wszystkich sprawach związanych z ochroną danych osobowych;
zakaz odwoływania oraz karania DPO;
obowiązek zachowania tajemnicy i poufności co do wykonywania zadań przez DPO.
Unikanie konfliktu interesów DPO
Zgodnie z art. 38 ust. 6 RODO, istnieje możliwość nakładania na inspektora ochrony danych innych zadań i obowiązków, lecz administrator i podmiot przetwarzający muszą zapewnić, aby nie powodowało to konfliktu interesów. Oznacza to np., iż DPO nie może zajmować w organizacji stanowiska związanego z określaniem sposobów oraz celów przetwarzania danych. Kwestie te powinny być analizowane osobno i indywidualne dla każdego podmiotu. Powierzając inspektorowi ochrony danych inne zadania, dla uniknięcia konfliktu interesów administrator danych lub podmiot przetwarzających winni w swojej organizacji zidentyfikować stanowiska niekompatybilne z pełnieniem funkcji DPO.
Co do zasady, za powodujące konflikt interesów uważane będą stanowiska kierownicze (jak np. dyrektor generalny, dyrektor ds. operacyjnych, dyrektor finansowy, dyrektor ds. medycznych, kierownik działu IT kierownik działu HR czy kierownik działu marketingu), a także niższe stanowiska, o ile biorą udział w określaniu celów oraz sposobów przetwarzania danych. Poza tym konflikt interesów może powstać, kiedy zewnętrzny DPO zostanie poproszony o reprezentowanie administratora bądź podmiotu przetwarzającego przed sądem w sprawie dotyczącej ochrony danych osobowych.
Wskazane jest również opracowanie wewnętrznej polityki określającej stanowiska będące w konflikcie interesów i opracowanie generalnego dokumentu dotyczącego konfliktu interesów. Ponadto administrator bądź podmiot przetwarzający winni wprowadzić odpowiednie zabezpieczenia do wewnętrznych zasad organizacji, w celu zapewnienia, aby ogłoszenia o rekrutacji na stanowisko inspektora ochrony danych były sformułowane w jasny, precyzyjny sposób i niwelowały ryzyko powstania konfliktu interesów.
Bezpośrednia podległość DPO najwyższemu kierownictwu
Jednym ze szczegółowych rozwiązań służących niezależności DPO jest umieszczenie go w strukturze organizacyjnej administratora danych czy podmiotu przetwarzającego bezpośrednio pod najwyższym kierownictwem. Wedle art. 38 ust. 3 RODO, inspektor ochrony danych ma podlegać bezpośrednio najwyższemu kierownictwu administratora lub podmiotu przetwarzającego.
Bezpośrednia podległość oznacza, iż w ramach podejmowanych przez siebie czynności inspektor ochrony danych nie może podlegać jakimkolwiek innym osobom czy jednostkom organizacyjnym wchodzącym w skład struktury administratora danych (art. 38 ust. 3 RODO). Termin "najwyższe kierownictwo" należy interpretować z uwzględnieniem formy prawnej, w jakiej działa administrator bądź podmiot przetwarzający.
„Najwyższym kierownictwem” danej organizacji będzie osoba lub osoby wchodzące w skład organu, które kierują jej pracami (ministrowie kierujący działami administracji rządowej, dyrektorzy szkół), albo prowadzą jej sprawy (zarząd spółki, wspólnicy spółki jawnej, właściciel jednoosobowej działalności gospodarczej).
Podległość najwyższemu kierownictwu jest jedną z gwarancji niezależnej, wysokiej pozycji inspektora ochrony danych w strukturze administratora danych, a także skraca drogę raportowania, co ma istotne znaczenie w razie konieczności podejmowania szybkich działań naprawczych w przypadku naruszenia ochrony danych osobowych.
Zakaz wydawania instrukcji DPO co do wykonywania przez niego zadań
Gwarancją niezależności inspektora ochrony danych jest obowiązujący zakaz wydawania przez administratora lub podmiotu przetwarzającego instrukcji (poleceń) dla DPO dotyczących wykonywania przez niego zadań (przewidziany w art. 38 ust. 3 RODO). Zakaz wydawania instrukcji inspektorowi ochrony danych, oznacza, iż w ramach wypełniania swoich zadań inspektor ochrony danych nie może otrzymywać poleceń dotyczących sposobu załatwienia sprawy, środków, jakie mają zostać podjęte, bądź odnośnie celu, jaki powinien zostać osiągnięty.
Administrator nie może też uniemożliwiać ani ograniczać inspektorowi ochrony danych kontaktu z organem nadzorczym. DPO nie może również zostać zobligowany do przyjęcia określonego stanowiska w sprawie z zakresu prawa ochrony danych, w tym określonej wykładni przepisów.
Niezależność DPO nie oznacza jednak, że inspektor ochrony danych posiada uprawnienia decyzyjne wykraczające poza zadania wynikające z art. 39 RODO.
W każdym razie, zgodnie z zasadą rozliczelności, za zapewnienie zgodności z przepisami o ochronie danych osobowych oraz wykazanie zgodności odpowiedzialni są administrator i podmiot przetwarzający. W razie podjęcia przez administratora lub podmiot przetwarzający decyzji niezgodnej z przepisami RODO czy zaleceniami DPO, inspektor ochrony danych winien zaś mieć możliwość jasnego przedstawienia swojego stanowiska osobom podejmującym decyzję.
Respektowanie powyższego zakazu może być szczególnie problematyczne na styku wykonywania wewnętrznego audytu różnych sfer działalności podmiotu będącego administratorem danych. Stąd ważne jest dokonanie wnikliwej analizy zakresu oraz celów poszczególnych stanowisk związanych z wewnętrznym audytem, tak żeby inne osoby wewnątrz organizacji, np. prawnicy czy audytorzy, mogli realizować swoje zadania, nie naruszając przedmiotowego zakazu.
Wspieranie DPO w wypełnianiu jego zadań
Administrator danych, jak i podmiot przetwarzający zostali zobowiązani do wspierania DPO - np. poprzez zapewnienie mu zasobów niezbędnych do wykonania tych zadań. Na gruncie dotychczasowej ustawy o ochronie danych osobowych funkcję ABI mogła pełnić osoba, która miała zapewnione środki i organizacyjną odrębność, niezbędne do niezależnego wykonywania przez niego zadań. Przy tym określenie „środki” rozumiane było szeroko, np. w sensie organizacyjnym, technicznym, infrastrukturalnym i finansowym.
Grupa Robocza art. 29 w Wytycznych dotyczących inspektora ochrony danych także opowiedziała się za szerokim rozumieniem zasobów, wskazując, iż ważne - szczególnie w przypadku DPO zatrudnionych w niepełnym wymiarze czasu pracy albo łączących obowiązki DPO z innymi zadaniami – jest zapewnienie inspektorowi ochrony danych odpowiedniej ilości czasu na wykonywanie zadań. Wystąpienie sprzecznych priorytetów skutkować mogłoby zaniedbaniem obowiązków pełnionych przez DPO. Zdaniem Grupy Roboczej art. 29, dobrą praktyką będzie wskazanie czasu, który należy poświęcić na obowiązki DPO, oszacowane czasu potrzebnego na wypełnienie tych obowiązków oraz ustalenie priorytetów DPO oraz stworzenie planu pracy DPO.
W zakresie innych form wspierania inspektora ochrony danych Grupa Robocza art. 29 wskazuje np. wsparcie kadrowe, szczególnie, gdy DPO obsługuje podmiot o szerokim spektrum działania. Ponadto zaleca się, by oficjalnie zakomunikować wszystkim pracownikom w danej organizacji, o fakcie powołania DPO i o pełnionych przez niego obowiązkach.
Zapewnienie udziału DPO we wszystkich sprawach związanych z ochroną danych osobowych
Artykuł 38 RODO zobowiązuje administratora oraz podmiot przetwarzający do zapewnienia, aby inspektor ochrony danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych. Norma ta ma zapobiegać próbom ograniczania inspektorowi dostępu do niezbędnych dla realizacji jego zadań informacji, a przez to sprzyja zachowaniu jego niezależności.
Istotne jest, żeby DPO był zaangażowany od najwcześniejszego etapu we wszystkie kwestie związane z przetwarzaniem danych osobowych, gdyż ułatwi to zapewnienie zgodności z RODO oraz uwzględnianie ochrony danych w fazie projektowania. Przepisy RODO w określonych przypadkach wprost nakazują administratorowi angażowanie DPO w podejmowanie określonych czynności lub decyzji, np. nakazują administratorowi konsultowanie się z DPO przy dokonywaniu oceny skutków. W związku z tym angażowanie inspektora ochrony danych we wszelkie kwestie związane z ich przetwarzaniem winno być standardową procedurą w organizacji.
Inspektor ochrony danych powinien być postrzegany jako partner w dyskusji i powinien być włączany w prace grup roboczych poświęconych procesom związanym z przetwarzaniem danych osobowych w ramach organizacji. Należy zapewnić mu np.: udział w spotkaniach przedstawicieli wyższego oraz średniego szczebla organizacji, uczestnictwo przy podejmowaniu kluczowych decyzji dotyczących przetwarzania danych osobowych (z odpowiednio wcześniejszym udostępnieniem DPO informacji umożliwiających zajęcie mu stanowiska), natychmiastowe konsultowanie w razie stwierdzenia naruszenia czy innego zdarzenia związanego z danymi osobowymi. Warto też, by administrator lub podmiot przetwarzający określił inne przypadki, które wymagają konsultacji z DPO.
Stanowisko inspektora ochrony danych powinno być zawsze brane pod uwagę przez kierownictwo, jak i pracowników danego podmiotu. Grupa Robocza art. 29 zaleca, by w ramach dobrych praktyk, dokumentować przypadki i powody postępowania niezgodnego z zaleceniem DPO.
Zakaz odwoływania oraz karania DPO
Zachowaniu niezależności przez inspektora ochrony danych służy też art. 36 ust 3 RODO. Stanowi on, że administrator lub podmiot przetwarzający nie może odwołać ani karać DPO za wypełnianie przez niego zadań. Oczywiście przepis ten należy dotyczy przypadków obiektywnie prawidłowego wykonywania zadań przez DPO. Nie chroni on inspektora, który nie wywiązuje się należycie ze swoich zadań. Jest to jedyny przepis w RODO dotyczący odwołania DPO.
Wytyczne Grupy Roboczej art. 29 dotyczące inspektora ochrony danych wskazują, że inspektor nie może zostać odwołany ani ukarany za udzielenie określonego zalecenia, nawet jeżeli jest ono niezgodne ze stanowiskiem reprezentowanym przez administratora lub podmiot przetwarzający. Chodzi tu o kary w różnych formach, bezpośrednie albo pośrednie, jak np. brak albo opóźnienie awansu, utrudnienie rozwoju zawodowego, ograniczenie dostępu do korzyści oferowanych pozostałym pracownikom. Zakaz odwoływania inspektora ochrony danych nie oznacza natomiast, że DPO nie może zostać odwołany w uzasadnionych sytuacjach, z przyczyn innych niż wykonywanie swoich obowiązków (np. z powodu kradzieży). Grupa Robocza art. 29 zaleca stosowanie polityki, że im stabilniejsza podstawa zatrudnienia oraz szerszy zakres ochrony inspektora ochrony danych przed odwołaniem, tym większa szansa na wykonywanie przez DPO zadań w sposób niezależny.
Obowiązek zachowania tajemnicy i poufności co do wykonywania zadań przez DPO
Inspektor ochrony danych jest zobowiązany do zachowania tajemnicy i poufności co do wykonywania swoich zadań, zgodnie z prawem Unii lub państwa członkowskiego (art. 38 ust. 5 RODO). Obowiązująca dotychczas ustawa o ochronie danych osobowych w art. 39 ust. 2 stanowiła, iż osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia. Przepis ten odnosił się również do pełniącego swoje obowiązki i upoważnionego do przetwarzania danych osobowych administratora bezpieczeństwa informacji.
DPO, w związku z wykonywaniem swoich zadań, może on mieć dostęp do danych osobowych, w tym danych osobowych, o których mowa w art. 9 ust. 1 RODO (czyli tzw. danych wrażliwych) oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o których mowa w art. 10 RODO, jak też do informacji dotyczących środków technicznych i organizacyjnych zapewniających przetwarzanie zgodne z przepisami RODO, w tym polityk ochrony danych.
Inspektor ochrony danych będzie również zobowiązany do przestrzegania wszystkich przepisów prawa krajowego i unijnego, które będą miały do niego zastosowanie i na mocy których, określone informacje objęte są prawnie chronionymi tajemnicami.
Zobowiązanie inspektora ochrony danych do przestrzegania tajemnicy jest w pełni uzasadnione i służyć będzie nie tylko bezpieczeństwu danych osobowych, ale też wzmocnieniu zaufania do inspektorów ze strony administratorów danych i podmiotów przetwarzających.
W Wytycznych dotyczących inspektora ochrony danych Grupa Robocza art. 29 podkreśla, że obowiązek zachowania tajemnicy oraz poufności nie uniemożliwia DPO kontaktu z organem nadzorczym i zasięgania jego opinii.
Co należy do zadań inspektora ochrony danych?
Zadania inspektora ochrony danych w RODO zostały sformułowane w sposób ogólny, bez wskazania trybu czy terminów ich realizacji. Jest to istotna różnica w stosunku do tego, co dotąd przewidywała polska ustawa o ochronie danych osobowych oraz akty do niej wykonawcze w zakresie zadań ABI.
Taki sposób ujęcia obowiązków inspektora wynika z nowego podejścia do ochrony danych osobowych opartego na analizie ryzyka oraz zasadzie rozliczalności, zapisanej w art. 5 ust. 2 RODO. Wyznaczenie inspektorowi ochrony danych roli doradczej i weryfikacyjnej wobec działań administratora danych czy podmiotu przetwarzającego (oraz ich pracowników) sprawia, że zarówno zadania DPO, jak też sposób ich realizacji są powiązane nie tylko z obowiązkami administratorów danych lub podmiotów przetwarzających, ale też z nowym sposobem podejścia do ich realizacji.
Na podstawie art. 24 RODO administratorzy i podmioty przetwarzające są zobowiązani uwzględniać: charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia, i odpowiednio do nich - dobierać i wdrażać środki techniczne i organizacyjne, tak aby przetwarzanie odbywało się zgodnie z rozporządzeniem i aby móc to wykazać. Środki te powinny być w razie potrzeby poddawane przeglądom i uaktualniane. Poza tym zarówno przy określaniu ilości zbieranych danych osobowych, jak też zakresu ich przetwarzania, okresu przechowywania, dostępności oraz sposobów przetwarzania, konieczne jest stosowanie mechanizmów takich jak zapewnienie ochrony danych osobowych na etapie projektowania oraz domyślnej ochrony danych („privacy by design” oraz „privacy by default”), tak przed przystąpieniem do przetwarzania danych, jak i w czasie prowadzonego przetwarzania (art. 25 RODO).
Przepis dotyczący zadań inspektora ochrony danych (art. 39 ust. 2 RODO) wyraźnie wskazuje na konieczność dostosowania trybu i metod pracy do specyfiki przetwarzania danych oraz związanego z tym przetwarzaniem ryzyka. Inspektor ma wypełniać swoje zadania z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania. Chodzi tu o ogólną, zdroworozsądkową zasadę, którą DPO może odnieść do wielu aspektów swojej codziennej pracy. Wypełnianie zadań „z należytym uwzględnieniem ryzyka” wymaga od DPO ustalania priorytetów w swojej pracy oraz koncentrowania się na aspektach pociągających za sobą większe ryzyko.
Według Grupy Roboczej Art. 29, takie podejście powinno ułatwić DPO doradzenie administratorowi m.in.:
DPO, wykonując swoje zadania (art. 39 ust. 2), winien więc stosować rozwiązania dostosowane do potrzeb podmiotów, w których pełni swoją funkcję, a także cech konkretnego przetwarzania danych i związanego z tym przetwarzaniem ryzyka. Konieczność realizacji obowiązków w powyższy sposób w konsekwencji ma prowadzić do skuteczniejszej ochrony danych.
Zakres zadań inspektora ochrony danych zawiera art. 39 ust. 1 RODO. Wyliczenie zawarte w tym przepisie nie jest jednak katalogiem zamkniętym, gdyż obowiązki inspektora ochrony danych można wywodzić też innych przepisów RODO (np. z art. 38 ust. 4 RODO - pełnienie roli punktu kontaktowego, dla osób, których dane dotyczą). W Wytycznych Grupy Roboczej Art. 29 dotyczących inspektorów danych osobowych do zadań DPO zaliczono także prowadzenie rejestru czynności i kategorii czynności, o których mowa w art. 30 RODO.
Do zadań inspektora ochrony danych należy więc m.in.:
pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o których mowa w art. 36 RODO, oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach;
pełnienie roli punktu kontaktowego dla osób, których dane dotyczą, we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących im na mocy tego rozporządzenia;
Informowanie oraz doradzanie administratorowi i podmiotowi przetwarzającemu oraz ich pracownikom w zakresie ich obowiązków, jak i monitorowanie przestrzegania RODO, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych - oznaczają, że DPO ma przede wszystkim pełnić doradczą i weryfikacyjną rolę wobec działań i decyzji administratorów danychi podmiotów przetwarzających dane. Podmiotem, który faktycznie podejmuje decyzje i odpowiada za wdrożenie odpowiednich środków technicznych i organizacyjnych, zapewniających odpowiedni stopień bezpieczeństwa oraz wykazanie, że przetwarzanie odbywa się zgodnie z przepisami ochrony danych osobowych, jest administrator danych lub podmiot przetwarzający. DPO występuje natomiast niejako w potrójnej roli: wskazuje obowiązki, doradza co do sposobu ich wykonania, a następnie ocenia poprawność wykonania tych obowiązków.
Niewątpliwie prawidłowe wykonywanie powyższego zadania przez DPO bezpośrednio przekłada się na podejmowanie przez administratorów oraz podmioty przetwarzające świadomych i właściwych decyzji.
Ponieważ RODO wprowadza szereg nowych praw podmiotów danych oraz obowiązków administratorów (np. prawo do byciazapomnianym, prawo do przenoszenia danych, uwzględnianie ochrony danych w fazie projektowania, domyślną ochronę danych, konieczność zgłaszania naruszeń ochrony danych osobowych) należy spodziewać się, że zwłaszcza w pierwszych latach stosowania RODO niezbędne będzie duże zaangażowanie DPO w edukowanie innych osób. Żeby kompetentnie edukować i doradzać innym, DPO musi być do tego dobrze przygotowany merytorycznie, musi sam bardzo dobrze znać obowiązki administratorów oraz podmiotów przetwarzających, jak i związane z nimi uprawnienia podmiotów danych. Konieczne jest posiadanie przez niego rzetelnej wiedzy, zarówno teoretycznej (w zakresie przepisów prawa unijnych, krajowych, sektorowych związanych z działalnością obsługiwanego administratora danych lub podmiotu przetwarzającego oraz ich regulacji wewnętrznych), jak też praktycznej w zakresie właściwego stosowania tych przepisów, przekładania ich na sprawdzone rozwiązania, procedury i środki służące ochronie danych. Przygotowanie DPO winno obejmować także stale uaktualnianą wiedzę na temat m.in. metod przetwarzania danych, systemów informatycznych i zabezpieczeń danych osobowych.
Dbanie o edukację osób podejmujących działania i decyzje w zakresie ochrony danych osobowych jest działaniem ciągłym i powtarzalnym, wymagającym umiejętności interpersonalnych oraz dydaktycznych. Z pewnością możliwe będzie wykorzystywanie na tym polu dotychczasowych doświadczeń obecnych ABI w zakresie zapewniania zapoznania osób upoważnionych do przetwarzania danych osobowych z przepisami o ochronie danych osobowych.
Monitorowanie przestrzegania przepisów ogólnego rozporządzenia o ochronie danych, pozostałych przepisów unijnych oraz krajowych przepisów odnoszących się do ochrony danych, polityk administratora lub podmiotu przetwarzającego w zakresie ochrony danych osobowych, polega na prowadzeniu ciągłego bieżącego nadzoru, w czym pomocne mają być ww. instrumenty, tzn.: polityki w dziedzinie ochrony danych, podział obowiązków i audyty, działania zwiększające świadomość personelu uczestniczącego w operacjach przetwarzania i szkolenia.
Grupa Robocza art. 29 w Wytycznych dotyczących inspektorów ochrony danych wskazała m.in. następujące działania DPO w ramach sprawowania przez niego stałego bieżącego nadzoru przestrzegania przepisów ogólnego rozporządzenia o ochronie danych, pozostałych przepisów unijnych oraz krajowych przepisów odnoszących się do ochrony danych, polityk administratora lub podmiotu przetwarzającego w zakresie ochrony danych osobowych:
informowanie, doradzanie i rekomendowanie określonych działań.
Audyty i inne działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania, są bardzo ważną częścią zadań DPO. Sformułowanie „działania” świadczy o tym, że aktywność inspektora ochrony danych w tym zakresie nie powinna mieć charakteru jednorazowego, a charakter ciągły i długofalowy. Wykonując ten obowiązek, inspektor ochrony danych powinien dostosować sposób oraz rodzaj przekazywanych informacji do grupy docelowej, tak żeby zadanie to było realizowane w sposób efektywny i skuteczny. W wykonywaniu tego obowiązku administrator lub podmiot przetwarzający powinni wspierać inspektora ochrony danych, np. zapewniając mu odpowiednie zasoby oraz zobowiązując swoich pracowników do udziału w ww. szkoleniach.
Dotąd zadaniem ABI było zapewnianie przestrzegania przepisów o ochronie danych osobowych, czemu służyć ma m.in.: przeprowadzanie sprawdzeń i sporządzanie sprawozdań dla administratora danych oraz nadzorowanie dokumentacji w postaci Polityki bezpieczeństwa informacji i Instrukcji zarządzania systemem informatycznym oraz przestrzegania zasad w nich określonych. Szczegółowe wymagania dotyczące zarówno trybu i terminów wykonywania sprawdzeń, jak też zawartości dokumentacji przetwarzania danych osobowych określały rozporządzenia wykonawcze do ustawy o ochronie danych osobowych. W pewnym zakresie odpowiednikiem tego zadania po 25 maja 2018 r. będzie wskazane monitorowanie przez inspektorów ochrony danych osobowych przestrzegania RODO, innych przepisów Unii lub państw członkowskich o ochronie danych oraz wewnętrznych polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych (art. 39 ust. 1 pkt b RODO). Powołany przepis wskazuje kilka przykładów działań wspomagających monitorowanie, takich jak przeprowadzane przez inspektora audyty, które powinny być powiązane z wewnętrznym podziałem obowiązków w organizacji, działaniami zwiększającymi świadomość oraz szkoleniami personelu uczestniczącego w operacjach przetwarzania. Przepisy RODO nie wskazują natomiast trybu i terminów realizacji tych obowiązków, gdyż te kwestie musi samodzielnie rozstrzygnąć inspektor ochrony danych. Jest to istotna różnica w stosunku do tego, co dotąd przewidywała ustawa o ochronie danych osobowych oraz akty wykonawcze do niej odnoszące się do zadań ABI. Różnica ta wynika z nowego podejścia do ochrony danych osobowych opartego na analizie ryzyka i zasadzie rozliczalności, zapisanej w art. 5 ust. 2 RODO.
Grupa Robocza Art. 29 w Wytycznych dotyczących inspektorów ochrony danych osobowych wskazała, że w ramach monitorowania IOD może podejmować wiele działań (m.in. zbierać informacje w celu identyfikacji procesów przetwarzania, analizować i sprawdzać zgodność tego przetwarzania, informować, doradzać i rekomendować określone działania administratorowi albo podmiotowi przetwarzającemu). Ich celem jest dostarczanie administratorowi i podmiotowi przetwarzającemu wyczerpujących informacji o procesach przetwarzania danych w zakresie zgodności z przepisami prawa, a zatem również analizy zebranych informacji w postaci wniosków i zaleceń. Na ich podstawie powinny być podejmowane przez administratora bądź podmiot przetwarzający decyzje i działania mające na celu zgodne z prawem przetwarzanie danych osobowych.
Według art. 35 RODO, jeżeli dany rodzaj przetwarzania, w szczególności z użyciem nowych technologii ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Artykuł ten nakłada obowiązek na administratora konsultowania się przy dokonywaniu oceny z inspektorem ochrony danych, jeżeli został on wyznaczony. Po stronie inspektora ochrony danych odpowiada mu obowiązek DPO przedstawienia administratorowi opinii w tym zakresie oraz monitorowania wykonania zaleceń (art. 39 ust. 1 lit. c RODO)
RODO określa, kiedy i jak należy dokonywać oceny skutków dla ochrony danych, natomiast nie zawiera konkretnych wskazówek, w jaki sposób oceny takiej należałoby dokonać. jak wskazują Wytyczne Grupy Roboczej art. 29, administrator, dokonując takiej oceny, powinien konsultować się z DPO w następujących kwestiach:
czy należy przeprowadzić ocenę skutków dla ochrony danych, metodologii przeprowadzenia oceny skutków dla ochrony danych,
czy należy przeprowadzić wewnętrzną ocenę czy też zlecić ją podmiotowi zewnętrznemu,
zabezpieczeń (w tym środków technicznych i organizacyjnych) stosowanych do łagodzenia wszelkich zagrożeń praw i interesów osób, których dane dotyczą,
prawidłowości przeprowadzonej oceny skutków dla ochrony danych i zgodności jej wyników z RODO (czy należy kontynuować przetwarzanie, czy też nie oraz jakie zabezpieczenia należy zastosować).
Jeżeli administrator nie zgadza się z zaleceniami DPO w wyżej wymienionych kwestiach, to dokumentacja oceny skutków dla ochrony danych powinna zawierać pisemne uzasadnienie nieuwzględnienia zaleceń DPO. Grupa Robocza art. 29 razi też, aby administrator jasno, np. w umowie z DPO i w informacjach przekazywanych pracownikom, kierownikom i innym zainteresowanym, wskazał zakres obowiązków DPO w danej organizacji, w szczególności w odniesieniu do przeprowadzania oceny skutków dla ochrony danych.
Reforma ochrony danych zakłada nowy, bardziej efektywny system monitorowania zgodności przetwarzania danych z RODO. W celu skonsolidowania tego systemu i zapewnienia jego efektywności w katalogu zadań inspektorów ochrony danych wyraźnie zapisano obowiązek współpracy z organem nadzorczym, a w art. 57 RODO - obowiązek wypełniania przez organ nadzorczy zadań na rzecz np. inspektora ochrony danych. Współpracę między DPO a organem nadzorczym należy rozumieć jako działanie dwukierunkowe oraz jako działanie we wspólnych celach i obszarach. Tzn., że pojęcie to obejmuje, z jednej strony, np. monitorowanie i egzekwowanie stosowania RODO, upowszechnianie wśród administratorów i podmiotów przetwarzających wiedzy o obowiązkach spoczywających na nich na mocy RODO, udzielanie osobie, której dane dotyczą, na jej żądanie, informacji o wykonywaniu praw przysługujących jej na mocy RODO, monitorowanie zmian w dziedzinach nauki (o ile zmiany te mają wpływ na ochronę danych osobowych), w szczególności monitorowanie rozwoju technologii informacyjno-komunikacyjnych i praktyk handlowych oraz udzielanie zaleceń administratorowi w zakresie oceny skutków. Inspektor ochrony danych, jako profesjonalista i osoba odpowiedzialna w danym podmiocie za monitorowanie przestrzegania przepisów RODO, dysponuje często najszerszą wiedzą na temat przetwarzania danych przez dany podmiot. Jego pomoc może być więc nieoceniona w wielu przypadkach związanych z realizacją zadań organu nadzorczego. Z drugiej strony, organ nadzorczy winien wspierać inspektorów ochrony danych swoimi działaniami, tzn. szeroko rozumianymi działaniami edukacyjnymi (jak np. szkolenia, debaty, konferencje naukowe), legislacyjnymi i konsultacyjnymi.
Inspektor ochrony danych ma obowiązek pełnienia roli punktu kontaktowego dla organu nadzorczego. Jeśli więc organ nadzorczy zwróci się do inspektora ochrony danych o udzielenie mu informacji w określonych przypadkach, to DPO winien się z tego obowiązku należycie wywiązać.
Jednym z przykładów w tym zakresie może być art. 33 RODO, zgodnie z którym, w razie zgłoszenia naruszenia ochrony danych przez administratora organowi nadzorczemu, administrator jest zobowiązany do podania danych kontaktowych DPO w celu uzyskania przez organ wszelkich ważnych w tej sprawie informacji. Przepis ten zobowiązuje jednocześnie inspektora ochrony danych do współpracy i przekazywania wszelkich niezbędnych informacji organowi nadzorczemu.
Kolejnym przepisem, z którego może wynikać obowiązek pełnienia funkcji punktu kontaktowego przez DPO dla organu nadzorczego jest art. 36 RODO. Według art. 35 RODO, na administratora danych nałożony jest obowiązek dokonywania oceny skutków dla ochrony danych oraz konsultowania się w tej sprawie z powołanym DPO. Ponadto, kiedy zmienia się ryzyko wynikające z operacji przetwarzania, administrator powinien dokonać przeglądu, aby stwierdzić, czy przetwarzanie odbywa się zgodnie z oceną skutków dla ochrony danych. Jeśli ocena ta wykaże, iż przetwarzanie może powodować wysokie ryzyko przy braku zastosowania przez administratora środków dla zminimalizowania tego ryzyka, to zgodnie z art. 36 RODO administrator konsultuje się w tej sprawie z organem nadzorczym. DPO, jako doradca administratora, winien w tej sprawie ściśle współpracować z organem nadzorczym, przedstawiając wszystkie istotne informacje, mogące mieć wpływ na treść przyszłego zalecenia.
Zgodnie z Wytycznymi Grupy Roboczej art. 29, powołany inspektor ochrony danych winien, komunikować się w języku używanym przez organ nadzorczy. Jest to istotne, gdyż przepisy RODO umożliwiają sprawowanie funkcji DPO przez obcokrajowca, niemniej w celu wykonywania nałożonych zadań, osoba ta musi być w stanie porozumiewać się z organem nadzorczym.
Osoby, których dane dotyczą, zgodnie z art. 38 ust. 4 RODO, muszą mieć możliwość skontaktowania się z inspektorem ochrony danych we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących im na mocy tego rozporządzenia. Na stronie internetowej administratora lub podmiotu przetwarzającego powinny więc znaleźć się dane kontaktowe inspektora ochrony danych, umożliwiające kontakt z nim zainteresowanym podmiotom. W dużej organizacji, ilość pytań wpływających do inspektora ochrony danych może być tak duża, że mogłoby to powodować trudności w wykonywaniu przez niego innych zadań. Pożądane jest w takiej sytuacji wyznaczenie pracowników bądź powołanie zespołu osób, które wspierałyby inspektora ochrony danych w zakresie wykonywania tego zadania.
Ważną zmianą, jaką wprowadza RODO, jest odejście od obowiązku zawartego w Dyrektywie 95/46/WE, tzn. obowiązku notyfikacji procesów zautomatyzowanego przetwarzania danych organowi nadzorczemu. Uzasadnieniem rezygnacji z tego rozwiązania, jest to, że obowiązek ten powoduje duże obciążenia administracyjne i finansowe oraz nie zawsze przyczynia się do poprawy ochrony danych osobowych (motyw 89 RODO). Powyższe nie oznacza jednak, iż instytucja rejestru nie będzie w dalszym ciągu wykorzystywana jako pomocna w ewidencjonowaniu przetwarzanych danych osobowych. Art. 30 ust. 1 i 2 RODO nakłada obowiązek prowadzenia wewnętrznego rejestru czynności przetwarzania danych osobowych, za które odpowiada administrator danych (obowiązek administratora danych) i rejestru kategorii czynności przetwarzania danych dokonywanych w imieniu administratora (obowiązek podmiotu przetwarzającego). Z wskazanego przepisu wynika, iż obowiązki powyższe są obowiązkami administratora oraz podmiotu przetwarzającego, co podkreśliła też Grupa Robocza Art. 29 w Wytycznych dotyczących inspektorów ochrony danych. W praktyce często to DPO będzie tworzył i prowadził powyższe rejestry w oparciu o dane otrzymane od pozostałych komórek organizacji. Taka procedura została ustalona na mocy wielu obowiązujących przepisów państw członkowskich UE oraz przepisów o ochronie danych osobowych mających zastosowanie do instytucji i organów UE.
W rejestrach prowadzonych na podstawie RODO będą zamieszczanenastępujące dane:
Zawartość rejestru czynności przetwarzania prowadzonego przez administratora danych
Zawartość rejestru czynności przetwarzania prowadzonego przez podmiot przetwarzający
imię i nazwisko lub nazwa oraz dane kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz DPO
imię i nazwisko lub nazwa oraz dane kontaktowe podmiotu przetwarzającego lub podmiotów przetwarzających oraz każdego administratora, w imieniu którego działa podmiot przetwarzający, a gdy ma to zastosowanie – przedstawiciela administratora lub podmiotu przetwarzającego oraz DPO
kategorie przetwarzań dokonywanych w imieniu każdego z administratorów
kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych
gdy ma to zastosowanie – informacje o przekazaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi, dokumentacja odpowiednich zabezpieczeń
jeżeli jest to możliwe – planowane terminy usunięcia poszczególnych kategorii danych
jeżeli jest to możliwe – ogólny opis technicznych i organizacyjnych środków bezpieczeństwa, o których mowa w art. 32 ust. 1 RODO
jeżeli jest to możliwe – ogólny opis technicznych i organizacyjnych środków bezpieczeństwa , o których mowa w art. 32 ust. 1 RODO
Pojęcie „czynności przetwarzania” i „kategorii czynności przetwarzania” nie zostało doprecyzowanie w przepisach RODO. Biorąc jednak pod uwagę podobieństwo elementów tych rejestrów do elementów zgłoszenia zbioru do rejestracji oraz lokalnego zbioru danych osobowych prowadzonego przez ABI na podstawie dotychczasowej ustawy o ochronie danych osobowych i aktów wykonawczych do tej ustawy, uznać należy, iż przez "rejestrowanie czynności przetwarzania danych" można rozumieć klasyfikowanie przetwarzanych danych ze względu m.in. na: zakres przetwarzanych danych, cele przetwarzania, kategorie osób, których dane dotyczą oraz jeżeli jest to możliwe - środki bezpieczeństwa.
Celem tego obowiązku jest - jak wskazuje motyw 82 RODO - zachowanie zgodności z niniejszym rozporządzeniem. Z uwagi na swoją zawartość, rejestry mogą być pomocnym narzędziem w stosowaniu zasady rozliczalności, zapewnianiu przestrzegania RODO oraz prowadzeniu prawidłowej polityki w zakresie ochrony danych. Ponadto rejestry te mają ułatwiać organowi nadzorczemu efektywne wypełnianie jego obowiązków kontrolnych (art. 30 ust. 4 w zw. z art. 31 RODO – każdy administrator i każdy podmiot przetwarzający zobowiązani są współpracować z organem nadzorczym i na jego żądanie udostępniać mu rejestry w celu monitorowania operacji przetwarzania). Rejestr powinien być prowadzony w formie pisemnej, w tym formie elektronicznej (art. 30 ust. 3 RODO).
Prowadzenie wspomnianych rejestrów nie będzie jednak obowiązkiem powszechnym. Zgodnie z art. 30 ust. 5 RODO, z obowiązku prowadzenia powyższych rejestrów zwolniono przedsiębiorców lub podmioty zatrudniające mniej niż 250 pracowników, jeżeli przetwarzanie przez nie danych nie powoduje ryzyka naruszenia praw lub wolności osób, których dane dotyczą, ma sporadyczny charakter i nie obejmuje szczególnych kategorii danych osobowych ani danych dotyczących wyroków skazujących i naruszeń prawa.
Prowadzenie ww. rejestrów nie wyklucza możliwości prowadzenia także innych (np. bardziej szczegółowych) ewidencji przetwarzanych danych, jeżeli wynika to z analizy ryzyka oraz konkretnych potrzeb administratora danych czy podmiotu przetwarzającego.
Powiadomienie o danych kontaktowych inspektora
Według przepisów RODO, nie ma obowiązku rejestracji inspektora ochrony danych w organie nadzorczym, a samo powołanie takiej osoby przez administratora lub podmiot przetwarzający będzie wystarczające dla przyjęcia wszelkich skutków, jakie z tym faktem wiąże rozporządzenie o ochronie danych.
RODO przewiduje natomiast obowiązek publikowania danych kontaktowych inspektora ochrony danych oraz poinformowania o jego powołaniu i przekazanie odpowiednich danych kontaktowych DPO organowi nadzorczemu.
Grupa Robocza art. 29 w Wytycznych dotyczących inspektorów danych osobowych wyjaśniła, iż celem tego obowiązku jest zapewnienie, by osoby, których dane dotyczą (zarówno wewnątrz, jak i spoza organizacji) oraz organy nadzorcze mogły mieć łatwy, bezpośredni oraz poufny kontakt z DPO, bez konieczności kontaktowania się z innymi jednostkami podmiotu. Dane kontaktowe DPO powinny zawierać informacje umożliwiające osobom, których dane dotyczą, i organom nadzorczym nawiązanie kontaktu w łatwy sposób (adres korespondencyjny, telefon kontaktowy, dedykowany adres email). Gdy to potrzebne, winny również zostać udostępnione inne środki komunikacji dla ogółu społeczeństwa, jak np. dedykowania infolinia, formularz kontaktowy z DPO na stronie internetowej danego podmiotu. W opinii Grupy Roboczej art. 29, chociaż art. 37 ust. 7 RODO nie wymaga publikowania (podawania do powszechnej wiadomości) imienia i nazwiska DPO, to taka informacja powinna zostać wskazana w ramach dobrej praktyki. Decyzja o tym, czy w określonych okolicznościach udostępnienie tych danych może być konieczne lub pomocne, należy do administratora i DPO.
Dlaczego administrator danych lub podmiot przetwarzający powinien unikać naruszenia przepisów odnoszących się do inspektora ochrony danych?
Stosownie do art. 83 ust. 4 lit. a RODO, naruszenia przepisów bezpośrednio odnoszących się do inspektorów ochrony danych (art. 37–39 RODO) podlegają administracyjnej karze pieniężnej do 10 mln euro, a w przypadku przedsiębiorstwa – do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Karami administracyjnymi obwarowane są więc zarówno poszczególne obowiązki administratorów danych oraz podmiotów przetwarzających dotyczące wyznaczania inspektora ochrony danych i zapewnienia mu określonych warunków wykonywania funkcji, jak i wykonywanie zadań przez inspektorów ochrony danych. Organ nadzorczy, nakładając karę finansową, będzie brał pod uwagę m.in. charakter oraz wagę naruszenia, a także skutki dla ochrony praw i wolności osób, których dane dotyczą.
Twoja firma/organizacja, bez względu na to, czy jest administratorem, czy podmiotem przetwarzającym, powinna wyznaczyć IOD, jeśli jej główna działalność obejmuje przetwarzanie danych wrażliwych na dużą skalę lub regularne i systematyczne monitorowanie osób na dużą skalę. W takim przypadku monitorowanie zachowań osób oznacza między innymi wszelkie formy obserwowania i profilowania w internecie, także dla celów reklamy behawioralnej.
Organy administracji publicznej mają zawsze obowiązek wyznaczenia IOD (z wyjątkiem sądów w ramach sprawowania wymiaru sprawiedliwości).
Inspektor ochrony danych może być członkiem personelu organizacji lub wykonywać zadania na podstawie umowy o świadczenie usług. Inspektorem może być zarówno osoba fizyczna, jak i organizacja.
Tagi: wyznaczenie, inspektor ochrony danych, IOD, RODO, ochrona danych, dane osobowe, administrator, podmiot przetwarzający, DPO
Według RODO, zawsze kiedy administrator danych nie może znaleźć środków wystarczających do zmniejszenia ryzyka do dopuszczalnego poziomu (np. ryzyko szczątkowe wciąż jest wysokie), (...)
Od wszystkich administratorów danych wymagać się będzie, aby wszelkie informacje kierowane do osób, których dane dotyczą, były formułowane jasnym i prostym językiem, by były (...)
"Prowadzę jednoosobowa działalność gospodarczą, polegającą na świadczeniu usług drogą elektroniczna (...)"
"Jak wygląda tryb powołania Powiatowego inspektora nadzoru budowlanego?"
Komercyjna baza danych klientów
"Czy pracując w firmie handlowej, zbierając informację o rynku i klientach (nie tylko tej firmy, ale (...)"
"Moja firma (państwowy zakład budżetowy) podjęła inwestycję budowlaną. W związku z tym zobowiązaliśmy (...)"

References: art. 37
 art. 29
 art. 29
 art. 38
 art. 38
 art. 38
 art. 39
 art. 29
 art. 29
 art. 29
 art. 29
 art. 36
 art. 29
 art. 29
 art. 39
 art. 9
 art. 10
 art. 29
 art. 5
 art. 24
 Art. 29
 art. 39
 art. 38
 Art. 29
 art. 30
 art. 36
 art. 29
 art. 5
 Art. 29
 art. 35
 art. 29
 art. 29
 art. 57
 art. 33
 art. 36
 art. 35
 art. 36
 art. 29
 art. 38
 Art. 30
 Art. 29
 art. 49
 art. 32
 art. 32
 art. 31
 art. 30
 art. 29
 art. 29
 art. 37
 art. 83