Source: https://www.proxymo.pl/blog/2018/09/przygotowanie-do-pelnienia-funkcji-inspektora-ochrony-danych-dpo-cz-ii/
Timestamp: 2018-12-13 18:43:29+00:00
Document Index: 67836405

Matched Legal Cases: ['Art. 37', 'art. 35', 'art. 38', 'art. 38', 'art. 29', 'art. 39', 'art. 24', 'art. 29']

Przygotowanie-do-pelnienia-funkcji-inspektora-ochrony-danych-dpo-cz-ii
przez Paweł Czapnik · Opublikowane 7 września 2018 · Zaktualizowane 27 listopada 2018
Czego oczekiwać od Inspektora ochrony danych.
Art. 37 ust. 6 RODO wskazuje, że
Inspektor ochrony danych może być członkiem personelu administratora (…) lub wykonywać zadania na podstawie umowy o świadczenie usług.
Wiedza o działaniu firmy/jednostki.
Weryfikacja wiedzy i odpowiednia pozycja inspektora danych.
RODO stawia w art. 35 ust. 5 wymóg odpowiedniego fachowego przygotowania inspektora ochrony danych, co zostało dość istotnie podkreślone. W przywołanym powyżej artykule skazano jednoznacznie, że
I tu dochodzimy do kluczowej kwestii, na którą, określając status IOD, zwraca uwagę RODO. Jest nią konieczność zapewnienia braku konfliktu interesów (art. 38 ust. 6 RODO). Może okazać się ona szczególnie istota w przypadku małych organizacji, w których dostępne zasoby kadrowe mogą znacznie ograniczać „pole manewru”. Na temat sytuacji, które prowadzić mogą do wystąpienia konfliktu interesów można by pisać dużo, bo katalog potencjalnych zagrożeń w tym zakresie jest w zasadzie nieograniczony. Podobnie jak zbiór sytuacji, które odebrać można by jako wpływanie bądź wydawania instrukcji Inspektorowi co do wykonywania przez niego zadań. Obu sytuacji zabrania RODO dość wyraźnie. Wystarczy spojrzeć na zapisy art. 38 ust. 3 i 6 rozporządzenia. Katalog stanowisk w organizacji, które, co do zasady uznane mogłyby zostać za generujące konflikt interesów określiła w swoich wytycznych Gr. ds. art. 29[1].
Odpowiedni status IOD/DPO.
Bardzo istotne będzie umożliwienie dostępu Inspektorowi ochrony danych do kluczowych działów organizacji: działu prawnego, kadrowego, oraz, co najważniejsze działu IT. To dobra współpraca na linii Inspektor ochrony danych – Administrator systemu informatycznego jest warunkiem koniecznym dla ustanowienia i wdrożenia skutecznych mechanizmów ochrony danych. Nie każdy przecież Inspektor ochrony danych będzie już na początku swojej „kariery” biegły w obszarze bezpieczeństwa teleinformatycznego. Co nie znaczy, że ten obszar powinien zupełnie wyłączyć
z zakresu realizowanych przez siebie działań. Jakie zatem zadania przypisano Inspektorowi ochrony danych w myśl RODO?
Po pierwsze uświadamianie.
Podstawowe zadanie jakie w swojej pracy wykonywać powinien przyszły IOD/DPO to informowanie odpowiednio szerokiego katalogu pracowników ADO, podmiotów z nim współpracujących ale i samego szefa, o tym
IOD powinien, co równie ważne obalać mity związane z RODO – jak chociażby ten o potrzebie zakupu „szafek zgodnych z RODO”. Jego rolą będzie też budowanie świadomości pracowników co do potencjalnych ryzyk dla utrzymania atrybutów danych na ich stanowisku pracy. To właśnie szkolenie zmniejsza podatność pracowników na socjotechnikę,
Po drugie nadzór i monitorowanie przestrzegania ustanowionych w organizacji zasad ochrony danych, również pod kątem ich aktualności i zgodność z przepisami prawa. Jak to realizować? Na przykład poprzez sprawdzenia i audyty obszaru. Sprawdzenia planowane i działania doraźne. Warto w tym miejscu wrócić do wskazówek, jakie w tym zakresie dawało między innymi
Nie trzeba wyważać otwartych drzwi, skoro dostępne są dobre praktyki, mimo że formalnie rozporządzenie już nie obowiązuje.
Po trzecie Inspektor będzie pełnił funkcję „zderzaka”.
To on będzie zobowiązany do ewentualnej współpracy z organem nadzorczym oraz stanie się dla niego punktem kontaktowym w kwestiach związanych z przetwarzaniem.
To do niego, w momencie upublicznienia danych kontaktowych IOD/DPO, będą mogły zgłaszać osoby, których dane osobowe są przetwarzane przez Administratora danych.
To podstawa działań Inspektorów ochrony danych. Oczywiście jest to katalog działań minimalnych, na których podstawie można budować dalej. Tak aby Inspektor ochrony danych
wypełniał swoje zadania z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania.
(art. 39 ust. 2 RODO). Warto jednak pamiętać i uświadomić Administratora danych, że to nie Inspektorzy ochrony danych ponoszą odpowiedzialność w przypadku niezgodności z RODO. Z rozporządzenia jasno wynika, że to administrator lub podmiot przetwarzający zobowiązany jest do zapewnienia i udowodnienia zgodności przetwarzania danych osobowych z przepisami prawa (art. 24 ust. 1).
Pół żartem, pół serio można wysnuć z tego wniosek, że dobry Inspektor ochrony danych powinien być osobą doświadczoną, która zna zagrożenia od podszewkiJ
Część I artykułu o przygotowaniu do pełnenia funkcji IOD/DPO dostępna jest tutaj. Inne z serii #KierunekRODO.
[1] Wytyczne Grupy roboczej ds. art. 29 dotyczące Inspektorów Ochrony Danych (DPO) przyjęte w dniu 13 grudnia 2016 r. 16/EN WP 243 rew.01
Tagi: ADODPOIODKierunekRODO