Source: https://www.kancelaria-legato.pl/blog/84-kiedy-trzeba-wyznaczy%C4%87-inspektora-ochrony-danych-iod.html
Timestamp: 2019-04-20 12:57:38+00:00
Document Index: 50228837

Matched Legal Cases: ['art. 29', 'art. 29', 'art. 83', 'art. 43', 'art. 41', 'art. 10', 'art. 10']

Kiedy trzeba wyznaczyć Inspektora Ochrony Danych (IOD)?
Napisane przez Bartosz Małek dnia 12 listopad 2018 .
Co grozi za brak Inspektora Ochrony Danych?
Outsourcing IOD?
Od dnia 25 maja 2018 r. zaczęły w Polsce obowiązywać nowe przepisy. Rozporządzenie Rady UE 2016/679 (z dnia 27 kwietnia 2016 r. Dz. Urz. UE.L. Nr 119) nakłada na podmioty obowiązek wyznaczenia inspektora ochrony danych osobowych
Kiedy Inspektor Ochrony Danych (IOD) jest obowiązkowy ?
Z obowiązkiem powołania Inspektora RODO mamy odczynienia gdy:
gdy przetwarzania dokonują organ lub podmiot publiczny z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości.
Co do pierwszej przesłanki sprawa jest prosta, KAŻDY PODMIOT PUBLICZNY z wyjątkiem odpowiednio Sądów. Więcej problemów sprawiają pozostałe grupy.
Obowiązek powołania Inspektora Ochrony Danych spoczywa na administratorze (właścicielu firmy - co do zasady), który przetwarza regularnie i systematycznie dane z różnego typu monitorowania osób, badania preferencji, utrwalania wizerunku, badania rynku, prowadzenia baz danych klientów z akcji marketingowych, których dane te dotyczą. Pojęcie jest znacznie szersze niż zwykłe śledzenia internautów.
W wytycznych Grupy Roboczej art. 29 rozwinięto te obowiązki i wskazano następujące przykłady takiej działalności:
Jeżeli spełnia się już tylko jedną z wyżej wymienionych usług/przesłanek a przy tym wchodzi to w skład głównej działalności danej firmy i to na dużą skalę, wówczas ciąży na nas obowiązek powołania Inspektora Ochrony Danych, Inspektora RODO.
Podobnie ma się kwestia przy przetwarzaniu szczególnych kategorii danych (dane wrażliwe lub dane sensytywne). Obowiązek powołania IOD występuje gdy przetwarzane są dane:
dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej
dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby.
W razie przetwarzania danych wrażliwych, obowiązek powołania IOD powstaje już w sytuacji, gdy spełnione są omówione wyżej warunki dużej skali oraz głównej działalności.
Na czym polega outsourcing IOD?
Nowe przepisy europejskie jak i krajowe przechodzą od obecnego modelu dobrowolnego wyznaczania funkcji ABI (administratora bezpieczeństwa informacji) w firmie, do modelu w którym przewidziany jest obowiązek wyznaczenia inspektora ochrony danych, tak zwanego IOD lub IODO. Każda firma bez względu na wcześniejsze regulacje i procedury musi ustalić i dokonać analizy, czy w świetle RODO spoczywa na niej taki obowiązek, czy spełnia którąś z wyżej opisanych przesłanek do powołania Inspektora RODO. Formy zatrudnienia inspektora ochrony danych (IOD) mogą przewidywać pełnoetatowe pełnienie tej funkcji przez zatrudnienie osoby posiadającej odpowiednie kwalifikację, jak i zlecenie firmie zewnętrznej tak zwanego outsourcingu tej funkcji.
Ważne by osoba Inspektora RODO spełniała standardy i posiadała kompetencję ustalone przez komisje UE ds. RODO, oraz Grupy roboczej art. 29, standardy m.in. ENISA, PN-ISO/IEC 27005, PN-ISO/IEC 27002, GIODO oraz pozostałych europejskich organów nadzorczych Unii Europejskiej. Obowiązki Inspektora RODO są szerokie.
Pomoc w spełnieniu wymogów RODO w zakresie zarządzania bezpieczeństwem ochrony danych osobowych może wpłynąć na uniknięcie odpowiedzialności za nieprawidłowe i błędne wdrażanie procedur ochrony danych osobowych. Zgodnie z art. 83 RODO - brak spełnienia wymagań co do regulacji ochrony danych osobowych, może być zagrożony karą finansową do 10 milionów EURO a nawet do 20 milionów EURO.
Tak zwany Inspektor RODO powinien być już uwzględniany w „Privacy by design” funkcja DPO polega na uwzględnianiu w planowanym projekcie ochrony prywatności od samego początku tworzenia określonego produktu.
Funkcja Inspektora Danych Osobowych
Obowiązki Inspektora RODO
Prowadzenie rejestru zbiorów danych przetwarzanych przez administratora danych, z wyjątkiem zbiorów, o których mowa w art. 43 ust. 1, zawierającego nazwę zbioru oraz informacje, o których mowa w art. 41 ust. 1 pkt 2–4a i 7.
Weryfikacja procesów przetwarzania danych z uwzględnieniem zasad wskazanych w RODO:
szacowanie ryzyka rodo
rejestr incydentów rodo
zarządzanie ewidencją osób upoważnionych do przetwarzania danych osobowych;
Zgłoszenie IOD do UODO
Należy pamiętać, że jedynym uznawanym, prawidłowym i skutecznym sposobem zawiadomienia o wyznaczeniu Inspektora Ochrony Danych Osobowych jest zawiadomienie w postaci elektronicznej, opatrzone kwalifikowanym podpisem elektronicznym bądź w drugiej opcji podpisem potwierdzonym profilem zaufanym ePUAP (art. 10 ust. 6 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych).
Jeśli doszło do skutecznego zawiadomienia o wyznaczeniu Inspektora RODO to jest ono potwierdzane Urzędowym Poświadczeniem Przedłożenia (generowanym przez epuap.gov.pl w postaci pliku UPP.xml) Zawiadomienie Prezesa UODO o wyznaczeniu IOD należy dokonać w ciągu 14 dni od dnia jego wyznaczenia (art. 10 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych).
Więcej informacji co do składania zawiadomień IODO pod adresem: https://uodo.gov.pl/pl/121/502
Inspektor Ochrony Danych kwalifikacje
Forma wybrania i zatrudnienia inspektora ochrony danych (Inspektora RODO) może być dowolna. Ważne by taka osoba rzeczywiście realizowała obowiązki wskazane w rozporządzeniu RODO. Warto zwrócić uwagę na kwalifikację i ubezpieczenie od odpowiedzialności cywilnej takiej osoby. Ważnym aspektem przede wszystkim jest:
by taka osoba pełniła już funkcje Inspektora Danych Osobowych,
była ubezpieczona na kwotę przynajmniej 500 tysięcy euro od odpowiedzialności cywilnej,
posiadała odpowiednie kompetencje bądź była specjalistą posiadającym tytuł Adwokata bądź Radcy prawnego po certyfikacji.
by taka osoba miała za sobą IOD szkolenie.
Zapraszamy do zapoznania się z naszymi usługami w zakresie RODO i Outsourcing IOD.