Source: http://e-prawnik.pl/artykuly/prawo-cywilne-1/jak-powolac-inspektora-ochrony-danych.html
Timestamp: 2018-06-21 16:00:54+00:00

Document:
Jak powołać inspektora ochrony danych? - Prawo cywilne - e-prawnik.pl
e-prawnik.pl Prawo na co dzień Prawo cywilneJak powołać inspektora ochrony danych?
Kto może, a kto ma obowiązek wyznaczenia inspektora ochrony danych?
Ogólne rozporządzenie o ochronie danych (RODO), które musi być stosowane od 25 maja 2018 r., w art. 37 ust 1 przewiduje obowiązek wyznaczenia inspektora dla administratorów i podmiotów przetwarzających wówczas, gdy:
Jeżeli chodzi o "organ lub podmiot publiczny" to pojęcie powinno zostać określone na poziomie przepisów krajowych. W Polsce stanie się to w nowej ustawie o ochronie danych osobowych. Grupa Robocza art. 29 wskazała, iż do podmiotów takich najczęściej zalicza się organy władzy, ale również na mocy właściwego prawa krajowego - szereg innych podmiotów prawa publicznego oraz inne osoby fizyczne i prawne, które realizują zadania w interesie publicznym bądź sprawują władzę publiczną. W takich przypadkach możliwość wpływu osób, których dane dotyczą, na charakter tego przetwarzania może być ograniczona lub wyłączona, co może wymagać dodatkowej ochrony, jaką daje powołanie DPO.
Jeśli chodzi o drugi przypadek konieczności powołania DPO, to ww. przepis posługuje się kilkoma kryteriami, wymagającymi wykładni ze względu na ich treść („główna działalność”, „regularne i systematyczne monitorowanie” i „na dużą skalę”). O obowiązku wyznaczenia inspektora ochrony danych przesądza spełnienie wszystkich wymienionych w tym przepisie kryteriów łącznie. W dokonywaniu wykładni użytych terminów pomocne mogą być bezpośrednie bądź pośrednie wskazówki interpretacyjne zawarte w motywach RODO, stanowiących jego kontekst normatywny oraz Wytyczne Grupy Roboczej art. 29 dotyczące inspektora ochrony danych.
W interpretacji terminu „główna działalność” pomocny jest motyw 97 RODO, według którego przetwarzanie danych osobowych jest główną działalnością administratora, jeżeli oznacza jego zasadnicze, a nie poboczne czynności. Grupa Robocza art. 29 w Wytycznych wyjaśniła, iż „główną działalnością” będzie działalność kluczowa z punktu widzenia osiągnięcia celów administratora, ale też działalność w zakresie przetwarzania danych nierozerwalnie związanego z działalnością główną, np. działalnością główną szpitali jest zapewnianie opieki medycznej, lecz ta działalność nie byłaby możliwa bez przetwarzania danych w formie dokumentacji medycznej, a więc przetwarzanie danych zawartych w tej dokumentacji należy zaklasyfikować jako „działalność główną”. Np. szpitale będą zatem miały obowiązek powołania DPO.
RODO nie definiuje także pojęcia „dużej skali”. Wskazówki dotyczące interpretacji tego pojęcia są w motywie 91 RODO, zgodnie z którym ocena skutków dla ochrony danych powinna „mieć zastosowanie w szczególności do operacji przetwarzania o dużej skali – które służą przetwarzaniu znacznej ilości danych osobowych na szczeblu regionalnym, krajowym lub ponadnarodowym i które mogą wpłynąć na dużą liczbę osób, których dane dotyczą”. Ocena kryterium „dużej skali” musi być dokonywana w kontekście konkretnego stanu faktycznego, niemniej z przytoczonych fragmentów RODO wynika, że w poszczególnych przypadkach konieczne być może uwzględnienie proporcji, np. wielkości terytorium, na którym następować będzie przetwarzanie danych osobowych (im większe terytorium, tym większa liczba danych będzie podstawą uznania, że przetwarzanie odbywa się na dużą skalę).
Grupa Robocza art. 29 aktualnie nie zaleca wskazywania konkretnej wartości ani rozmiaru zbioru danych czy liczby osób, których dane dotyczą, która determinowałaby „dużą skalę”. Niemniej nie wyklucza ona sytuacji, w której, wraz z rozwojem praktyki, ukształtują się standardy, które umożliwiałyby kwantytatywne określenie „dużej skali” w odniesieniu do określonych rodzajów przetwarzania.
Wedle Wytycznych Grupy Roboczej art. 29 przy określaniu tego pojęcia należy uwzględnić następujące kryteria:
W pojęciu przetwarzania danych na „dużą skalę” mieści się np. przetwarzanie danych pacjentów przez szpital w ramach prowadzonej działalności, śledzenie za pośrednictwem kart miejskich, przetwarzanie danych geo-lokalizacyjnych, przetwarzanie danych przez banki i ubezpieczycieli, przetwarzanie danych do celów reklamy behawioralnej. Pojęciem „dużej skali” nie będzie natomiast objęte np. przetwarzanie danych pacjentów dokonywane przez pojedynczego lekarza, przetwarzanie danych dotyczących wyroków skazujących lub naruszeń prawa przez adwokata lub radcę prawnego.
W zakresie interpretacji pojęcia „systematyczne i regularne monitorowanie osób” należy posiłkować się motywem 24 RODO, zgodnie z którym, „aby stwierdzić, czy czynność przetwarzania można uznać za „monitorowanie zachowania” osób, których dane dotyczą, należy ustalić, czy osoby fizyczne są obserwowane w Internecie, w tym także czy później potencjalnie stosowane są techniki przetwarzania danych polegające na profilowaniu osoby fizycznej, w szczególności w celu podjęcia decyzji jej dotyczącej lub przeanalizowania lub prognozowania jej osobistych preferencji, zachowań i postaw”. Motyw 24 poświęcony jest eksterytorialnemu zastosowaniu RODO. Ponadto zauważyć trzeba, że jest różnica pomiędzy pojęciem „monitorowanie ich zachowania” (artykuł 3(2)(b)) a pojęciem „regularne i systematyczne monitorowanie” z art. 37(1)(b), co może skutkować odmiennym rozumieniem tych dwóch zwrotów. Według Grupy Roboczej art. 29, przez „systematyczne i regularne monitorowanie osób” należy rozumieć wszelkie formy śledzenia i profilowania w sieci, w tym na potrzeby reklam behawioralnych. Nie należy jednakże ograniczać tego pojęcia tylko do środowiska on-line, zaś śledzenie w internecie winno być traktowane jedynie jako jeden z przykładów takiego monitorowania.
Grupa Robocza Art. 29 definiuje „regularne” jako jedno lub więcej z następujących pojęć:
Przykładami regularnego i systematycznego monitorowania osób jest m.in.: obsługa sieci telekomunikacyjnej, świadczenie usług telekomunikacyjnych, profilowanie oraz ocenianie dla celów oceny ryzyka kredytowego, ustanawianie składek ubezpieczeniowych, wykrywanie prania pieniędzy, śledzenie lokalizacji w aplikacjach telefonicznych, reklama behawioralna, monitoring wizyjny, urządzenia skomunikowane, jak np. inteligentne liczniki, inteligentne samochody czy automatyka domowa typu „smartdom”.
Jeśli chodzi o ostatni ww. przypadek obowiązkowego powoływania DPO, to ten przepis RODO również posługuje się kryterium „główna działalność” i „na dużą skalę”, w wykładni których pomocne mogą być wskazówki przytoczone wyżej oraz w Wytycznych Grupy Roboczej art. 29 dotyczących inspektora ochrony danych. Szczególne kategorie danych (tzw. dane wrażliwe) określa art. 9 RODO. Należą do nich dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne, służące do jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących jej zdrowia, seksualności lub orientacji seksualnej.
Według art. 10 RODO, przetwarzanie danych osobowych dotyczących wyroków skazujących oraz naruszeń prawa lub powiązanych środków bezpieczeństwa, dozwolone jest tylko w przypadku spełnienia wskazanych w tym artykule enumeratywnie wymienionych przesłanek. Powołany art. 10, jak też inne przepisy RODO nie definiują tej kategorii danych. Jednak, biorąc pod uwagę dotychczasowe stosowanie starej ustawy o ochronie danych osobowych, do tej kategorii danych zalicza się np. informacje dotyczące skazań, orzeczenia o ukaraniu lub inne orzeczenia wydane w postępowaniu sądowym i administracyjnym (w tym orzeczenia o karach dyscyplinarnych), dane zawarte w Krajowym Rejestrze Karnym, dane dotyczące mandatów bądź innych zastosowanych środków karnych czy środków zabezpieczających. Grupa Robocza art. 29 w wytycznych wskazała, iż mimo, że przepis posługuje się określeniem „danych osobowych dotyczących wyroków skazujących i naruszeń prawa”, nie ma powodu, dla którego obie przesłanki powinny być stosowane jednocześnie. Zastosowanie powinien mieć łącznik „lub”.
Poza tym, zgodnie z art. 37 ust. 4 RODO, obowiązek powołania inspektora ochrony danych (DPO, IOD) może wprowadzić prawo Unii lub prawo państwa członkowskiego UE. Oznacza to, że np. ustawodawca polski może rozszerzyć obowiązek wyznaczenia DPO na inne podmioty.
W pozostałych zaś przypadkach wyznaczenie inspektora będzie fakultatywne. Jednakże nawet w sytuacji, gdy z przepisów nie wynika obowiązek wyznaczenia DPO, Grupa Robocza art. 29 w swoich Wytycznych dotyczących inspektora ochrony danych zaleca administratorom i podmiotom przetwarzającym udokumentowanie wewnętrznej procedury przeprowadzonej w celu ustalenia i uwzględnienia poszczególnych normatywnych przesłanek istnienia lub braku tego obowiązku.
Obowiązek wyznaczenia DPO dotyczy też podmiotów przetwarzających. Mogą zatem wystąpić sytuacje, gdy administrator nie będzie zobowiązany do wyznaczenia DPO, natomiast obowiązek taki będzie ciążył na podmiocie przetwarzającym.
Mała, rodzinna firma dystrybuująca artykuły gospodarstwa domowego na terenie jednego miasta korzysta z usług podmiotu przetwarzającego, którego podstawowa działalność polega na świadczeniu usług analityki internetowej i pomocy w ukierunkowanej reklamie i marketingu. Działalność firmy rodzinnej, biorąc pod uwagę niewielką liczbę klientów i stosunkowo ograniczone działania, nie spowoduje obowiązku wyznaczania inspektora ochrony danych. Jednakże działania podmiotu przetwarzającego, posiadającego wielu klientów takich jak to małe przedsiębiorstwo, zbiorczo kwalifikuje się jako przetwarzanie „na dużą skalę”. W związku z tym podmiot przetwarzający, w przeciwieństwie do lokalnego przedsiębiorstwa, zobowiązany będzie do wyznaczenia inspektora ochrony danych.
Powyższe zasady nie uniemożliwiają podmiotom niezobowiązanym do wyznaczenia DPO skorzystania z innego rozwiązania niż wyznaczenie inspektora ochrony danych, np. wyznaczenia pracownika albo zatrudnienie zewnętrznego konsultanta do wypełniania zadań związanych z ochroną danych osobowych. W takiej sytuacji, według zaleceń Grupy Roboczej art. 29, ważne jest, żeby nazwa stanowiska, status pracownika, pozycja i zadania nie wprowadzały w błąd. W związku z tym należy poinformować pracowników organizacji, organ nadzorczy, osoby, których dane dotyczą, i ogół społeczeństwa, iż osoba zatrudniona nie jest DPO w świetle przepisów RODO.
Wyznaczenie IOD jest obowiązkowe, gdy na przykład dana firma/organizacja:
prowadzi szpital, w którym przetwarza się duże zbiory danych wrażliwych,
prowadzi agencję ochrony odpowiedzialną za monitoring centrów handlowych i miejsc publicznych,
prowadzi małą firmę rekrutacyjną, która sporządza profile osób fizycznych.
Wyznaczenie IOD nie jest obowiązkowe, jeżeli:
jesteś lokalnym lekarzem i przetwarzasz dane osobowe swoich pacjentów,
prowadzisz małą firmę prawniczą i przetwarzasz dane swoich klientów.
Czy można powołać jednego inspektora dla kilku podmiotów?
W przeciwieństwie do dotychczasowej polskiej ustawy o ochronie danych osobowych ogólne rozporządzenie o ochronie danych zawiera przepisy prawa dotyczące możliwości powołania jednego inspektora ochrony danych dla kilku podmiotów. Przepisy te wskazują także warunki, jakie należy spełnić, stosując takie rozwiązanie.
W przypadku podmiotów prywatnych, jednego inspektora może powołać grupa przedsiębiorstw (np. grupa kapitałowa), o ile można będzie łatwo nawiązać z nim kontakt z każdej jednostki organizacyjnej (art. 37 ust. 2 RODO). Jeśli administrator lub podmiot przetwarzający są organem lub podmiotem publicznym, dla kilku takich organów bądź podmiotów można wyznaczyć – z uwzględnieniem ich struktury organizacyjnej i wielkości – jednego inspektora ochrony danych (art. 37 ust. 3 RODO).
Jak wynika z Wytycznych Grupy Roboczej art. 29 dotyczących inspektorów danych osobowych, wyznaczając jednego inspektora ochrony danych dla kilku podmiotów (tak publicznych, jak też prywatnych), należy uwzględnić, iż musi on być „łatwo dostępny” dla osób wewnątrz organizacji, które podejmują decyzje oraz działania związane z przetwarzaniem danych osobowych (tj. zarówno dla osób sprawujących funkcje kierownicze u danego administratora czy podmiotu przetwarzającego, jak i ich pracowników), ze względu na to, że jednym z zadań DPO jest „informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy niniejszego rozporządzenia”(art. 39 ust 1 lit. a RODO). DPO pełni ponadto funkcję punktu kontaktowego dla organu nadzorczego oraz osób, których dane są przetwarzane. Każdy z wymienionych podmiotów, powinien więc mieć możliwość bezpośredniego kontaktu z powołanym DPO. Nie oznacza to, że inspektor ochrony danych ma być dostępny osobiście, ale że można z nim bez problemu nawiązać kontakt np. przez telefon, e-mail czy inny bezpieczny środek komunikacji.
Możliwość kontaktu z inspektorem ochrony danych oznacza też, że osoby, które chcą się z nim porozumieć, winny mieć taką możliwość w używanym przez siebie języku, co oczywiście nie wyłącza możliwości pełnienia funkcji DPO przez obcokrajowca. W celu zapewnienia możliwości łatwego kontaktu z DPO, czy to wewnętrznym, czy zewnętrznym, istotne jest udostępnienie jego danych kontaktowych, zgodnie z wymogami RODO.
Rozwiązanie to może być zatem stosowane jedynie wtedy, kiedy pomimo wykonywania swoich zadań dla kilku podmiotów, inspektor ochrony danych będzie w stanie czynić to efektywnie, w sposób rzetelny i kompetentny. Administratorzy i podmioty przetwarzające powinny się na nie decydować ze świadomością ciążącej na nich odpowiedzialności za zgodne z ogólnym rozporządzeniem o ochronie danych przetwarzanie danych osobowych. W takich sytuacjach niezbędne będzie ustalenie zasad ich współpracy w zakresie zapewnienia DPO odpowiednich warunków wykonywania funkcji (np. pod względem czasowym czy organizacyjnym, pod względem zapewnienia wystarczających zasobów, włączania we wszystkie sprawy dotyczące ochrony danych osobowych i przewidzianych w RODO gwarancji jego niezależności). Każdy z tych administratorów musi zapewnić łatwy dostęp do inspektora ochrony danych zarówno wewnątrz organizacji, jak i wobec podmiotów, których dane są przetwarzame i organu nadzorczego. Z obsługi jednego DPO nie może więc korzystać jednocześnie wielu administratorów, będących dużymi, odległymi od siebie podmiotami.
Korzystać z tego rozwiązania będą zaś głównie niewielkie podmioty, w jakiś sposób ze sobą powiązane, przetwarzające dane osobowe w zbliżonych celach bądź w podobny sposób (np. przy wykorzystaniu takich samych środków informatycznych lub rozwiązań organizacyjnych).
Zgodnie z art. 37 ust. 3 RODO jednego inspektora będzie mogło powołać - przy uwzględnieniu ich struktury organizacyjnej i wielkości - także kilku administratorów danych będących podmiotami publicznymi, np. publiczne placówki oświatowe, muzea. Podmioty takie, np. ze względu na realizowanie zadań publicznych w tym samym obszarze, mogą przyjmować podobne rozwiązania organizacyjne oraz korzystać z tych samych procedur. Prawodawca europejski przyjął w tym przypadku model niejako „wspólnego wyznaczenia inspektora ochrony danych”, gdyż w takiej sytuacji ułatwiona będzie współpraca administratorów w zakresie zorganizowania inspektorowi wsparcia i prawidłowych warunków do rzetelnego wypełniania jego zadań. Można więc zasadnie zakładać, że mimo wyznaczenia na inspektora ochrony danych tej samej osoby przez kilka podmiotów, będzie on mógł efektywnie wypełniać swoje obowiązki.
Przepisy RODO nie zawierają wyrażonego wprost zakazu wyznaczania przez kilka podmiotów publicznych tej samej osoby na inspektora ochrony danych poza sytuacją wskazaną w art. 37 ust. 3. Skorzystanie z takiego rozwiązania wymaga dokonania starannej analizy, czy wyznaczona osoba będzie w stanie prawidłowo wypełniać wszystkie swoje obowiązki wobec każdego administratora danych. Wiele z obowiązków inspektorów przewidzianych w RODO wymaga stałego zaangażowania na rzecz administratora, który inspektora wyznaczył, oraz tzw. „efektywnej dostępności” inspektora dla osób z danej organizacji. Do zadań IOD należy np. bieżące monitorowanie zgodności przetwarzania danych osobowych z przepisami prawa oraz udzielanie informacji i rad w zakresie obowiązków wynikających z tych przepisów. Zwłaszcza w pierwszych latach stosowania nowych przepisów inspektorzy będą odgrywać ważną rolę we wspieraniu „kultury ochrony danych” oraz pomagać w zrozumieniu i implementacji wszystkich regulacji unijnego rozporządzenia, spośród których wiele jest w naszym systemie prawa nowością.
Trudno będzie również wykonywać równolegle w wielu podmiotach zadania w zakresie punktu kontaktowego dla osób, których dane dotyczą, oraz punktu kontaktowego dla organu nadzorczego. Na mocy rozporządzenia każda osoba w każdej sprawie dotyczącej jej danych ma prawo kontaktować się z wyznaczonym dla danej organizacji inspektorem. Organ nadzorczy będzie natomiast mógł wymagać od inspektora gotowości do współpracy w związku z realizacją zadań oraz uprawnień organu w zakresie prowadzonych postępowań, a także tzw. „uprzednich konsultacji”.
Zreformowane przepisy o ochronie danych osobowych wymagają od administratorów stosowania takich rozwiązań i środków w zakresie przetwarzania oraz ochrony danych osobowych, które będą odpowiadały konkretnym potrzebom, specyfice prowadzonych przez nich procesów przetwarzania danych osobowych. Nie będzie można stosować jednej uniwersalnej matrycy do wielu różnych sytuacji, np. jednego, tego samego wzoru dokumentacji opisującej środki służące zabezpieczeniu danych. Stąd w wymaganiach co do kwalifikacji inspektorów ochrony danych podkreśla się szczegółową wiedzę na temat charakteru prowadzonych operacji przetwarzania danych, stosowanych systemów informatycznych oraz ich zabezpieczeń, a także sektora, w którym działa administrator danych.
Ponadto każda osoba pełniąca funkcję DPO musi unikać konfliktu interesów. Wymóg niepowodowania konfliktu interesów jest ściśle związany z wymogiem wykonywania zadań w sposób niezależny. Zatem z pełnieniem funkcji inspektora wiążą się bardzo konkretne wymagania prawne i wymagań tych trzeba będzie sumiennie przestrzegać. RODO spowoduje wiec zapewne wyeliminowanie praktyki polegającej na korzystaniu przez administratorów danych z usług osób pełniących funkcję inspektora równocześnie w kilkudziesięciu różnych podmiotach. Praktyka taka będzie bowiem nie do pogodzenia z bardzo konkretnymi wymaganiami określonymi w przepisach oraz z nowym, dużo bardziej odpowiedzialnym podejściem do ochrony danych osobowych. Administratorzy danych świadomi poważnych konsekwencji nieprzestrzegania przepisów RODO, powinni zatem przykładać dużą wagę do możliwości prawidłowego i terminowego wypełniania zadań przez inspektora oraz jego faktycznej dostępności. Osoba ta musi bowiem stanowić realne, fachowe i stałe wsparcie w zakresie zapewnienia zgodności działania z przepisami o ochronie danych osobowych.
Ani przepisy RODO, ani ich interpretacje wydawane np. przez Grupę Roboczą Art. 29 w postaci wytycznych, nie dają odpowiedzi na pytanie, ile maksymalnie podmiotów będzie mógł obsługiwać jeden IOD. Stosowanie tego rozwiązania będzie mogło jednak następować jedynie w uzasadnionych przypadkach, a liczba obsługiwanych podmiotów musi się mieścić w racjonalnych granicach. Ocena tej kwestii zależna jest od wielu czynników, w tym m.in. od: efektywnej dostępności inspektora, możliwości uzyskania przez niego szczegółowej wiedzy na temat funkcjonowania podmiotu, dysponowania przez niego odpowiednią do zakresu zadań oraz specyfiki procesów przetwarzania danych ilością czasu, konieczności unikania konfliktu interesów oraz wielkości i struktury organizacyjnej jednostki będącej administratorem danych. Na powyższe pytanie konkretnie będzie można zatem odpowiedzieć jedynie w kontekście konkretnych sytuacji. Niemniej tak jak każda decyzja dotycząca przyjmowanych rozwiązań w zakresie ochrony danych osobowych, też decyzja w zakresie wyboru odpowiedniej osoby do pełnienia funkcji inspektora, musi być podejmowana z pełną świadomością ciążącej na administratorze danych odpowiedzialności za prawidłowe przestrzeganie przepisów prawa.
Art. 37 ust. 2 RODO wyraźnie przewiduje możliwość powołania jednego inspektora ochrony danych przez administratorów tworzących grupę przedsiębiorstw, np. grupę kapitałową, o ile będzie można nawiązać z nim kontakt z każdej jednostki organizacyjnej. Grupa przedsiębiorstw została zdefiniowana w przepisach rozporządzenia jako przedsiębiorstwo sprawujące kontrolę oraz przedsiębiorstwa przez nie kontrolowane. Prawodawca europejski w art. 37 ust. 2 RODO przyjął model niejako „wspólnego wyznaczenia inspektora ochrony danych” przez grupę przedsiębiorstw, ze względu na wzajemne powiązania tych przedsiębiorstw, wspólne regulacje wewnętrzne, podobne zasady oraz sposoby postępowania z danymi osobowymi.
Każde z przedsiębiorstw, wyznaczając na swojego inspektora tę samą osobę, będzie miało możliwość pozostawania jednocześnie w zgodzie nie tylko z warunkiem wskazanym w tym przepisie (łatwości nawiązania kontaktu z inspektorem), ale również ze wszystkimi innymi wymaganiami określonymi w przepisach prawa co do inspektorów ochrony danych. W takiej sytuacji możliwe będzie np. racjonalne i wspólne określenie zasad dotyczących zapewnienia takiemu inspektorowi wystarczającej ilości czasu na wypełnianie jego obowiązków, pomoc w stworzeniu planu jego pracy, a w razie potrzeby wsparcie jego funkcjonowania zespołem odpowiednich specjalistów. Inspektor obsługujący grupę podobnie funkcjonujących podmiotów ma możliwość rzetelnego poznania szczegółów ich funkcjonowania oraz obowiązujących je przepisów. Z powyższych powodów rozwiązanie przyjęte w art. 37 ust. 2 wydaje się racjonalne i uzasadnione. Można też przypuszczać, iż grupy przedsiębiorstw będą chciały z niego korzystać.
Regulacja przyjęta w tym przepisie nie oznacza jednak, że nie jest dopuszczalne wyznaczenie jednej osoby przez kilku administratorów danych poza wskazanym przypadkiem, tj. poza grupą przedsiębiorstw. Przepisy RODO nie zawierają bowiem zakazu w tym zakresie. Przedsiębiorcy niewchodzący w skład tej samej grupy przedsiębiorstw mogą powołać jednego IOD.
W każdym przypadku skorzystania z takiego rozwiązania bezwzględnym warunkiem jest jednak to, żeby ta osoba była w stanie autentycznie wypełniać swoje obowiązki wobec każdej obsługiwanej przez niego organizacji i to w sposób w pełni odpowiadający przepisom prawa oraz potrzebom konkretnego administratora danych. Analogiczne stanowisko GIODO konsekwentnie prezentował również w odniesieniu do ABI na gruncie ustawy o ochronie danych osobowych.
Rozważmy jeszcze kwestię, czy po wejściu do stosowania RODO Centrum Usług Wspólnych może powołać jednego inspektora ochrony danych dla wszystkich obsługiwanych jednostek. Centra Usług Wspólnych (CUW) są tworzone jako osobne podmioty, a domeną ich działań są najczęściej działania pomocnicze, wykonywane zarówno w odniesieniu do organów wykonawczych, jak i uchwałodawczych samorządu terytorialnego, jak też do obsługi poszczególnych jednostek organizacyjnych, np. urzędów, zakładów i jednostek budżetowych. Ostateczną decyzję, zarówno co do powołania samorządowego centrum usług wspólnych, jak i jego kształtu oraz zakresu realizowanych przez niego zadań, podejmuje organ stanowiący danej jednostki samorządu terytorialnego. CUW nie jest administratorem danych przekazanych przez jednostki obsługiwane. Może je przetwarzać w zakresie i celu niezbędnym do wykonywania zadań w ramach wspólnej obsługi tych jednostek (zgodnie z art. 10d ustawy z dnia 8 marca 1990 r. o samorządzie gminnym, art. 6d ustawy z dnia 5 czerwca 1998 r. o samorządzie powiatowym i art. 8f ustawy z dnia 5 czerwca 1998 r. o samorządzie województwa). W zależności od różnych możliwych rozwiązań stosowanych przez konkretne samorządy, CUW może być natomiast administratorem danych np. swoich pracowników.
Na gruncie ogólnego rozporządzenia o ochronie danych obowiązek wyznaczenia inspektora ochrony danych w sektorze publicznym dotyczyć będzie wszystkich organów i podmiotów publicznych, i to zarówno tych będących administratorami danych, jak i podmiotami przetwarzającymi. Ponieważ pojęcie organu i podmiotu publicznego powinno być zdefiniowane przez każde państwo członkowskie UE na poziomie przepisów krajowych, polski ustawodawca doprecyzuje zakres tego pojęcia. Z projektu nowej ustawy o ochronie danych osobowych wynika, że przez podmioty takie należy rozumieć m.in. organy i jednostki samorządu terytorialnego. Skoro tak, to obowiązek taki dotyczyłby zarówno CUW, jak i poszczególnych podmiotów przez niego obsługiwanych.
Zarówno CUW, jak i jednostki obsługiwane mogą rozważać powołanie na swojego inspektora ochrony danych jednej, tej samej osoby. Niemniej nawet w sytuacji, gdyby miał być nim pracownik jednej z tych jednostek, np. pracownik CUW, konieczne jest osobne wyznaczenie IOD przez każdą z tych jednostek, np. każdą szkołę, dom kultury – jako osobnych administratorów. Nawet jeśli więc CUW świadczy obsługiwanym podmiotom usługi związane z szeroko rozumianą ochroną danych osobowych, nie jest uprawniony do wyznaczania inspektora ochrony danych w tych podmiotach. Obowiązek wyznaczania inspektora ochrony danych nie może być przeniesiony, np. w drodze uchwały czy porozumienia, na inną jednostkę organizacyjną, np. na CUW.
Zgodnie z art. 37 ust. 5 RODO, inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, o których mowa w art. 39 RODO. Poziom wiedzy inspektora powinien być ustalany w kontekście konkretnych potrzeb administratora danych i procesora (motyw 97 RODO).
Żeby zatem móc w sposób należyty wykonywać swoje obowiązki, inspektor ochrony danych powinien wykazywać się wiedzą zarówno teoretyczną, jak też praktyczną dotyczącą ogólnego rozporządzenia o ochronie danych oraz przepisów krajowych regulujących przetwarzanie danych. Zgodnie z Wytycznymi dotyczących inspektorów danych osobowych Grupy Roboczej art. 29, inspektor ochrony danych winien posiadać odpowiednią wiedzę z zakresu krajowych i europejskich przepisów o ochronie danych osobowych i praktyk, jak również dogłębną znajomość przepisów RODO. Zalecana jest także wiedza biznesowa oraz sektorowa dotycząca działalności administratora. DPO powinien również posiadać odpowiednią wiedzę na temat procesów przetwarzania danych, systemów informatycznych oraz zabezpieczeń stosowanych u administratora i jego potrzeb w zakresie ochrony danych. W przypadku organów i podmiotów publicznych DPO powinien też wykazywać się znajomością procedur administracyjnych i funkcjonowania jednostki.
Wymagany poziom wiedzy fachowej nie jest nigdzie jednoznacznie określony, lecz musi być współmierny do charakteru, skomplikowania oraz ilości danych przetwarzanych w ramach jednostki.
W przypadku wyjątkowo złożonych procesów przetwarzania danych osobowych czy w razie przetwarzania dużej ilości danych szczególnej kategorii, można wymagać wyższego poziomu wiedzy. Podobnie będzie w przypadku obsługi przez DPO podmiotów regularnie przekazujących dane do państw trzecich. W związku z tym wybór inspektora ochrony danych powinien być dokonany z zachowaniem należytej staranności i z uwzględnieniem charakteru przetwarzania danych osobowych w ramach jednostki.
Znaczenie fachowej, a przy tym stale uaktualnianej wiedzy DPO zostało podkreślone przez zobowiązanie administratorów danych i procesorów do zapewnienia inspektorowi zasobów niezbędnych do utrzymania jego wiedzy fachowej, a więc systematycznego podnoszenia poziomu jego wiedzy. Wymóg uaktualniania wiedzy oraz zapewnienia na to środków finansowych jest uzasadniony zmieniającym się ciągle stanem wiedzy technicznej, rozwojem technologicznym i postępem wielkoskalowych metod przetwarzania danych. Funkcję inspektora ochrony danych wpisane jest ciągłe kształcenie się, uwzględnianie zmian w prawie i zmian w metodach przetwarzania danych.
Administrator i podmiot przetwarzający ma obowiązek właściwego oraz bezzwłocznego włączania DPO we wszystkie sprawy dotyczące ochrony danych osobowych (art. 38 ust. 1 RODO). Administrator danych czy podmiot przetwarzający winien umożliwić inspektorowi ochrony danych czynny udział we wszystkich sprawach dotyczących procesów przetwarzania danych osobowych i na bieżąco przekazywać mu wszystkie informacje związane z wykonywaniem jego zadań. Wiedza inspektora ma więc obejmować informacje o każdej sprawie dotyczącej przetwarzania i ochrony danych osobowych w danej jednostce organizacyjnej.
Umiejętność (możliwość) wykonywania zadań ciążących na DPO powinna być interpretowana zarówno przez pryzmat cech i kwalifikacji DPO, jak też jego pozycji w strukturach podmiotu. Do cech inspektora ochrony danych, pożądanych w związku z pełnieniem tej funkcji, należy rzetelne podejście i wysoki poziom etyki zawodowej oraz priorytetowe traktowanie swoich obowiązków. Jest to szczególnie istotne w zakresie zapewnienia przestrzegania RODO, gdyż wytworzenie efektywnej polityki ochrony danych osobowych w organizacji zależy w dużej mierze od działalności DPO.
Wymogi stawiane inspektorom ochrony danych (DPO) przez przepisy ogólnego rozporządzenia o ochronie danych (RODO) są podobne do tych stawianych dotąd ABI, lecz nie są identyczne. Zgodnie z art. 36a ust. 5 pkt 2 starej ustawy o ochronie danych osobowych, osoba powoływana na stanowisko ABI powinna posiadać odpowiednią wiedzę w zakresie ochrony danych osobowych. RODO zaś w art. 37 ust. 5 stanowi, iż inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, o których mowa w art. 39 ogólnego rozporządzenia.
Wymagany od inspektora poziom wiedzy fachowej nie jest nigdzie jednoznacznie określony; jednak zgodnie z Wytycznymi dotyczącymi inspektorów ochrony danych, musi być on współmierny do charakteru, skomplikowania i ilości danych przetwarzanych w ramach jednostki. Wyższy poziom wiedzy powinien być wymagany np. w przypadku:
wyjątkowo skomplikowanych procesów przetwarzania,
przetwarzania dużej ilości danych szczególnych kategorii,
podmiotów regularnie przekazujących dane do państw trzecich.
Inspektor ochrony danych powinien mieć odpowiednią wiedzę z zakresu krajowych, europejskich i sektorowych przepisów, a także praktyk w zakresie ochrony danych osobowych, oraz dogłębną znajomość RODO. Jednocześnie winien posiadać odpowiednią wiedzę na temat:
procesów przetwarzania, systemów informatycznych oraz zabezpieczeń stosowanych u administratora,
sektora, w którym działa administrator,
procedur administracyjnych oraz funkcjonowania jednostki.
Jeżeli chodzi o osobiste cechy DPO kwalifikujące go do wykonywania tej funkcji, to są to: rzetelne podejście i wysoki poziom etyki zawodowej.
Ocena umiejętności wykonywania zadań wymaga uwzględnienia charakteru i zakresu zadań inspektora, spośród których kilka stanowi nowość w stosunku do dotychczasowych wymogów. Według przepisów RODO, inspektor będzie miał m.in. obowiązek identyfikowania poszczególnych obowiązków ciążących na mocy RODO na administratorze (w tym kierownictwie i wszystkich osobach przetwarzających dane) oraz podmiocie przetwarzającym (w tym kierownictwie i wszystkich osobach przetwarzających dane osobowe), informowania o nich oraz doradzania w zakresie tych obowiązków. Specjalnego merytorycznego przygotowania wymagać będzie udzielanie administratorowi i podmiotowi przetwarzającemu zaleceń co do oceny skutków dla ochrony danych. Nowym, ważnym zadaniem będzie obowiązek pełnienia roli punktu kontaktowego dla organu nadzorczego i punktu kontaktowego dla osób, których dane dotyczą (art. 38 ust. 4 RODO).
Grupa Robocza Art. 29 w Wytycznych dotyczących inspektorów ochrony danych (DPO) w odniesieniu do umiejętności wykonywania zadań inspektora wskazała, iż priorytetem dla niego powinno być zapewnienie przestrzegania rozporządzenia. DPO ma więc odgrywać kluczową rolę w zakresie wspierania „kultury ochrony danych” oraz pomagać w implementacji niezbędnych wymogów RODO, tzn.:
ochrony danych w fazie projektowania oraz domyślnej ochrony danych,
rejestru czynności przetwarzania,
wymogów bezpieczeństwa przetwarzania,
głaszania naruszeń.
Znaczenie fachowej wiedzy w zakresie prawa i praktyk zostało dodatkowo podkreślone przez zobowiązanie administratorów danych oraz podmiotów przetwarzających do zapewnienia inspektorowi ochrony danych zasobów niezbędnych do utrzymania wysokiego i aktualnego poziomu wiedzy (art. 38 ust. 2 RODO). Wymóg uaktualniania wiedzy i zapewnienia na to środków finansowych jest uzasadniony wobec zmieniającego się stale stanu wiedzy technicznej, rozwoju technologicznego i postępu wielkoskalowych metod przetwarzania danych. Warto, by już teraz ABI – przyszły inspektor ochrony danych korzystał z wszelkich możliwości kształcenia się, rozwijania swojego doświadczenia i umiejętności w różnych formach edukacyjnych, zaś możliwość powołania się na wskazany art. 38 ust. 2 RODO może być mu bardzo pomocna w uzyskaniu niezbędnych na to środków finansowych.
Mimo że ogólne rozporządzenie o ochronie danych bardzo mocno akcentuje wymóg wiedzy i fachowości DPO, nie reguluje zasad ani trybu weryfikacji spełnienia tego wymogu. Niemniej certyfikaty, dyplomy oraz inne dokumenty poświadczające wiedzę i doświadczenie inspektora w większości przypadków będą ważnym kryterium kwalifikacyjnym oraz argumentem przemawiającym na korzyść osoby wyznaczanej do pełnienia tej funkcji.
Komentarze: Jak powołać inspektora ochrony danych?
DPO IOD RODO administrator dane osobowe ochrona danych wyznaczenie

References: art. 37
 art. 29
 art. 29
 art. 29
 art. 29
 art. 29
 art. 37
 art. 29
 Art. 29
 art. 29
 art. 9
 art. 10
 art. 10
 art. 29
 art. 37
 art. 29
 art. 29
 art. 29
 art. 37
 art. 37
 Art. 29

Art. 37
 art. 37
 art. 37
 art. 10
 art. 6
 art. 8
 art. 37
 art. 39
 art. 29
 art. 36
 art. 37
 art. 39
 Art. 29
 art. 38