Source: https://monitorprzedszkola.pl/artykul/czy-powolanie-iod-jest-obowiazkowe-w-przedszkolu-niepublicznym
Timestamp: 2019-07-16 14:52:34+00:00

Document:
Czy powołanie IOD jest obowiązkowe w przedszkolu niepublicznym? - Czasopismo dla dyrektorów przedszkoli publicznych oraz niepublicznych - MonitorPrzedszkola.pl
Czy powołanie IOD jest obowiązkowe w przedszkolu niepublicznym?
Inspektor ochrony danych (dalej: IOD) to podmiot, którego powołanie przewidziane jest w sekcji 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. UE L. z 2016 r. Nr 119, poz. 1) – dalej RODO. Uznać można, że IOD w obecnym kształcie stanowi odpowiednik ABI – administratora bezpieczeństwa informacji (ABI), którego powołanie przewidywała ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2016 r., poz. 922 ze zm.).
Zgodnie z art. 36a ust. 2 tej ustawy o ochronie danych osobowych do zadań ABI należało:
nadzorowanie opracowania i aktualizowania dokumentacji, o której mowa w art. 36 ust. 2 (opisującej sposób przetwarzania danych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych), oraz przestrzegania zasad w niej określonych,
Przepis art. 36a ustawy o ochronie danych osobowych z dnia 29 sierpnia 1997 r. już jednak nie obowiązuje, a instytucja ABI została zastąpiona właśnie przez wspomnianego na wstępie IOD – inspektora ochrony danych. Pod wieloma względami obowiązki IOD są bardzo podobne do tych, jakie były nałożone na ABI. Zgodnie z art. 39 ust. 1 RODO inspektor ochrony danych ma następujące zadania:
monitorowanie przestrzegania rozporządzenia RODO, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty;
pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami oraz – gdy zaistnieje taka potrzeba – prowadzenie konsultacji we wszelkich innych sprawach.
Rodzi się pytanie o to, czy obowiązek wyznaczenia IOD dotyczy również niepublicznego przedszkola. Jest ono o tyle zasadne, że zgodnie z nieobowiązującym art. 36a ust. 1 administrator danych mógł, ale nie miał obowiązku powołania ABI, co wynikało ze sposobu zredagowania tego przepisu – „administrator danych może powołać administratora bezpieczeństwa informacji”. Administrator danych miał tutaj zatem pełną dowolność i mógł zdecydować, że powołanie ABI nie jest mu potrzebne.
RODO do kwestii powołania IOD podchodzi zupełnie inaczej. Zgodnie z art. 37 tego aktu administrator wyznacza inspektora ochrony danych, ilekroć:
główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9, albo danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o czym mowa w art. 10.
Zaczynając od ostatniego z tych punktów, zauważyć należy, że do szczególnych kategorii danych osobowych, o których mowa w art. 9, należą dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzanie danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
Tutaj pojawia się pierwsza przesłanka wskazująca na konieczność powołania IOD w niepublicznym przedszkolu– jednostki te bowiem przetwarzają dane osobowe dotyczące zdrowia uczniów i wychowanków. Takie dane są gromadzone z różnych powodów – ujawniają je rodzice, nakazując zwracanie szczególnej uwagi na określone substancje, na które dziecko jest uczulone. Ujawn...

References: art. 36
 art. 36
 art. 36
 art. 39
 art. 36
 art. 37
 art. 9
 art. 10
 art. 9