Source: https://skutecznyiod.pl/zadania-inspektora-ochrony-danych/
Timestamp: 2020-02-19 20:18:32+00:00

Document:
Zadania Inspektora Ochrony Danych - Skuteczny IOD. Blog o byciu skutecznym IOD
Strona główna jchi Zadania Inspektora Ochrony Danych
IOD ma za zadanie wspierać organizację w dostosowywaniu i przestrzeganiu RODO poprzez realizację powierzonych mu zadań. Dzięki swoim zadaniom IOD ma możliwość realnego wpływania na poziom bezpieczeństwa danych osobowych w organizacji. Obowiązki inspektora są natomiast określone w art. 39 unijnego rozporządzenia.
Główne obowiązki IOD
Artykuł 39 ust. 1 RODO statuuje, że Inspektor Ochrony Danych jest odpowiedzialny za wykonywanie poniższych zadań:
Powyższe zadania można podzielić na zadania o charakterze:
informacyjno – doradczym;
nadzorczym;
Zadania inspektora danych można również podzielić na te o charakterze wewnętrznym (w związku z procesami zachodzącymi wewnątrz organizacji) i zewnętrznym (w związku ze współpracą z organem nadzorczym lub osobami, których dane dotyczą).
Zadania o charakterze informacyjno – doradczym
Należy tu wymienić przede wszystkim informowanie o obowiązkach wynikających z RODO oraz innych przepisów unijnych i krajowych, dotyczących ochrony danych osobowych. Związany jest z tym również obowiązek doradzania w tym zakresie ADO. Ponadto IOD jest zobowiązany do realizacji zadań o charakterze informacyjno – doradczym nie tylko wobec osób reprezentujących organizację, ale także w stosunku do osób zatrudnionych przy przetwarzaniu danych osobowych. Najczęściej może to być dokonywane za pomocą szkoleń czy to stacjonarnych czy e-learningowych.
Zadania o charakterze nadzorczym
Zgodnie z art. 39 ust. 1 lit. b RODO IOD ma za zadanie nadzorować także realizację przepisów dotyczących RODO w Twoim przedsiębiorstwie. Działalność ta odbywa się poprzez monitorowanie sytuacji wewnątrz organizacji oraz ocenę przyjętych przez nią polityk w zakresie ochrony danych osobowych. Co do zasady obowiązek ten realizowany jest w formie audytu RODO. Więcej na temat wykonywania go zadania odnajdziesz w artykule: Prowadzenie sprawdzenia przez IOD.
Zadania o charakterze komunikacyjnym
W tym obszarze do obowiązków IOD należy:
współpraca z organem nadzorczym oraz
pełnienie przez IOD funkcji punktu kontaktowego.
Współpraca z organem nadzorczym będzie najczęściej przejawiać się poprzez współpracę w prowadzeniu postępowań administracyjnych, w szczególności związanych z:
naruszeniem ochrony danych,
rozpatrywaniem skarg podmiotów danych a także
uprzednimi konsultacjami związanymi z oceną skutków.
Obowiązek pełnienia funkcji punktu kontaktowego jest realizowany wobec osób, których dane są przetwarzane przez Twoje przedsiębiorstwo. Podmioty te mają bowiem prawo do kontaktu z IOD we wszystkich sprawach związanych z przetwarzaniem ich danych oraz wykorzystaniem praw przysługujących im na gruncie RODO.
Sposób wykonywania zadań IOD
Zgodnie z art. 39 ust. 2 RODO Inspektor Ochrony Danych uwzględnia w każdym przypadku w ramach wykonywanych przez niego zadań ryzyko związane z przetwarzaniem danych, a także charakter, zakres, kontekst i cele przetwarzania. Oznacza to, że IOD powinien nadawać różne priorytety swoim działaniom i skupić się na tych aspektach, które powodują największe ryzyko związane z przetwarzaniem danych osobowych. Nie oznacza to przyzwolenia na pomijanie operacji, które niosą niższe ryzyko, albowiem IOD musi czuwać nad całością procesów związanych z przetwarzaniem danych osobowych w organizacji.
W związku z brakiem określenia w przepisach RODO, jak powinna wyglądać współpraca administratora z Inspektorem Ochrony Danych, proponowany model współpracy może opierać się na analizie procesów lub czynności związanych z przetwarzaniem danych dokonywanej przez IOD, zaopiniowaniu ich oraz przedstawieniu efektów swojej pracy administratorowi i udzieleniu mu konsultacji.
Należy pamiętać, że RODO nakłada na IOD obowiązek zachowania tajemnicy lub poufności co do wykonywania swoich zadań.
Czy to wszystkie obowiązki IOD?
Wbrew wykładni językowej przepisu nie jest to jednak katalog zamknięty obowiązków IOD. Polska wersja językowa RODO w tym zakresie nie przedstawia dokładnego tłumaczenia oryginalnej treści art. 39 ust. 1 RODO, który w wersji angielskiej stanowi DPO shall have at least the following tasks, czyli IOD wypełnia co najmniej poniższe obowiązki. Oznacza to, że IOD musi minimalnie wykonywać powyższe zadania, jednak zakres jego powinności może być o wiele szerszy.
W dokumencie 16/EN WP 243 rew. 01 Grupy Roboczej Art. 29 ds. ochrony danych o nazwie Wytyczne dotyczące inspektorów ochrony danych przyjęte w dniu 13 grudnia 2016 r. w wersji zmienionej i przyjętej w dniu 05 kwietnia 2017 r. wskazano także, że tworzenie rejestrów czynności przetwarzania danych będzie najczęściej należało do obowiązków IOD. Taki rejestr może być uznany za jedno z narzędzi umożliwiających realizację zadań IOD w zakresie monitorowania ochrony danych osobowych w organizacji.
Inspektor Ochrony Danych powinien stanowić realne wsparcie dla administratora danych przy zapewnianiu bezpieczeństwa danym osobowych w jego organizacji. Wymagania stawiane Inspektorom Ochrony Danych są wysokie, jednakże tylko osoby o szerokich kompetencjach będą w stanie wykonywać zadania określone przepisami RODO.
Należy pamiętać, że administrator i podmiot przetwarzający mają obowiązek wspierać IOD w wypełnianiu przez niego zadań poprzez zapewnienie mu zasobów niezbędnych do wykonania tych zadań, a także środki niezbędne do utrzymania wiedzy fachowej. Inspektor Ochrony Danych nie może otrzymywać wiążących instrukcji dot. wykonywania obowiązków i podlega tylko najwyższemu kierownictwu w organizacji. Nie może być także odwoływany lub karany za wypełnianie swoich zadań.
Naruszenie przepisów dotyczących IOD oraz jego zadań zostało zagrożone w karą wynikającą z art. 84 ust. 4 lit. a RODO w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Oznacza to, że niedostosowanie się do każdego przepisu znajdującego się w sekcji poświęcanej Inspektorowi Ochrony Danych zagrożone jest sankcją tej wysokości.
Należy pamiętać, że to na administratorze, a nie na IOD, ciąży odpowiedzialność za brak wdrożenia zaleceń IOD. Również administrator jest odpowiedzialny za wszelkie niezgodności z przepisami RODO, które organ nadzoru wykryje w jego organizacji.
Grupa Robocza Art. 29 ds. ochrony danych, 16/EN WP 243 rew. 01 Wytyczne dotyczące inspektorów ochrony danych (‘DPO’), przyjęte w dniu 13 grudnia 2016 r. w wersji zmienionej i przyjętej w dniu 05 kwietnia 2017 r.;
P. Litwiński (red.), P. Barta, M. Kawecki, Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Warszawa 2018.
Poprzedni artykułPierwsza kara (1 mln zł) za naruszenie RODO!
Następny artykułTest równowagi prawnie uzasadnionego interesu ADO

References: art. 39
 art. 39
 art. 39
 art. 39
 Art. 29
 art. 84
 Art. 29