Source: https://abi.giodo.gov.pl/inspektor-ochrony-danych/kto-moze-a-kto-musi-wyznaczyc-inspektora-ochrony-danych
Timestamp: 2017-03-27 04:43:06+00:00
Document Index: 22576110

Matched Legal Cases: ['art. 37', 'art. 29', 'art. 29', 'art. 29', 'art. 29', 'art. 29', 'art. 29', 'art. 29', 'art. 37', 'art. 29', 'Art. 29', 'Art. 29', 'art. 29', 'art. 9', 'art. 10', 'art. 10', 'art. 29', 'art. 37', 'art. 29', 'art. 29', 'art. 29', 'art. 29', 'art. 29']

Jeden inspektor dla kilku podmiotów.
Kwalifikacje do pełnienia funkcji
Wobec braku w RODO definicji pojęcia „organu lub podmiotu publicznego” użytego w art. 37 ust 1 lit a Grupa Robocza art. 29 w Wytycznych dotyczących inspektora ochrony danych wskazuje, że to pojęcie powinno zostać określone na poziomie przepisów krajowych. W Polsce stanie się to najpewniej w nowej ustawie o ochronie danych osobowych. Grupa Robocza art. 29 wskazuje, że do podmiotów takich najczęściej zalicza się organy władzy, ale też na mocy właściwego prawa krajowego - szereg innych podmiotów prawa publicznego oraz inne osoby fizyczne i prawne, które realizują zadania w interesie publicznym lub sprawują władzę publiczną. W takich przypadkach możliwość wpływu osób, których dane dotyczą, na charakter tego przetwarzania może być ograniczona bądź wyłączona, co może wymagać dodatkowej ochrony, jaką daje powołanie DPO.
Przepis ten posługuje się kilkoma kryteriami, wymagającymi wykładni ze względu na ich treść („główna działalność”, „regularne i systematyczne monitorowanie” i „na dużą skalę”). O obowiązku wyznaczenia inspektora ochrony danych przesądza spełnienie wszystkich wymienionych w tym przepisie kryteriów. W dokonywaniu wykładni użytych terminów pomocne mogą być bezpośrednie lub pośrednie wskazówki interpretacyjne zawarte w motywach RODO stanowiących jego kontekst normatywny oraz Wytyczne Grupy Roboczej art. 29 dotyczące inspektora ochrony danych.
Jeśli chodzi o termin „główna działalność” to wjego wyjaśnieniu pomocny jest motyw 97 RODO, zgodnie z którym przetwarzanie danych osobowych jest główną działalnością administratora, jeżeli oznacza jego zasadnicze, a nie poboczne czynności. Grupa Robocza art. 29 w Wytycznych wyjaśnia, że „główną działalnością” będzie działalność kluczowa z punktu widzenia osiągnięcia celów administratora, ale też działalność w zakresie przetwarzania danych nierozerwalnie związanego z działalnością główną, np. działalnością główną szpitali jest zapewnianie opieki medycznej, ale ta działalność nie byłaby możliwa bez przetwarzania danych w formie dokumentacji medycznej, tak więc przetwarzanie danych zawartych w tej dokumentacji należy zaklasyfikować jako „działalność główną”. Oznacza to, że np. szpitale będą miały obowiązek powołania DPO.
Ogólne rozporządzenie o ochronie danych nie definiuje również pojęcia „dużej skali”. Wskazówki dotyczące interpretacji tego pojęcia znajdują się w motywie 91 RODO, zgodnie z którym ocena skutków dla ochrony danych powinna „mieć zastosowanie w szczególności do operacji przetwarzania o dużej skali – które służą przetwarzaniu znacznej ilości danych osobowych na szczeblu regionalnym, krajowym lub ponadnarodowym i które mogą wpłynąć na dużą liczbę osób, których dane dotyczą”. Ocena kryterium „dużej skali” z pewnością będzie musiała być dokonywana w kontekście konkretnego stanu faktycznego, niemniej z przytoczonych fragmentów RODO wynika, że w poszczególnych przypadkach konieczne być może uwzględnienie proporcji, np. wielkości terytorium, na którym następować będzie przetwarzanie danych osobowych (im większe terytorium, tym większa liczba danych będzie podstawą uznania, że przetwarzanie odbywa się na dużą skalę).
Grupa Robocza art. 29 aktualnie nie zaleca wskazywania konkretnej wartości, czy to rozmiaru zbioru danych, czy liczby osób, których dane dotyczą, która determinowałaby „dużą skalę”. Nie mniej Grupa Robocza art. 29 nie wyklucza sytuacji, w której, wraz z rozwojem praktyki ukształtują się standardy, które umożliwiałyby kwantytatywne określenie „dużej skali” w odniesieniu do określonych rodzajów przetwarzania. Wedle Wytycznych Grupy Roboczej art. 29 przy określaniu tego pojęcia należy uwzględnić następujące kryteria:
liczbę osób, których dane dotyczą – konkretną liczbę albo procent określonej grupy społeczeństwa;
zakres geograficzny przetwarzania danych osobowych;
W pojęciu przetwarzania danych na „dużą skalę” mieści się np. przetwarzanie danych pacjentów przez szpital w ramach prowadzonej działalności, śledzenie za pośrednictwem kart miejskich, przetwarzanie danych geo-lokalizacyjnych, przetwarzanie danych przez banki i ubezpieczycieli, przetwarzanie danych do celów reklamy behawioralnej. Pojęciem „dużej skali” nie będzie natomiast objęte np. przetwarzanie danych pacjentów dokonywane przez pojedynczego lekarza, przetwarzanie danych dotyczących wyroków skazujących lub naruszeń prawa przez adwokata lub radcę prawnego.W zakresie interpretacji pojęcia „systematyczne i regularne monitorowanie osób” należy posiłkować się motywem 24 RODO, zgodnie z którym, „aby stwierdzić, czy czynność przetwarzania można uznać za „monitorowanie zachowania” osób, których dane dotyczą, należy ustalić, czy osoby fizyczne są obserwowane w Internecie, w tym także czy później potencjalnie stosowane są techniki przetwarzania danych polegające na profilowaniu osoby fizycznej, w szczególności w celu podjęcia decyzji jej dotyczącej lub przeanalizowania lub prognozowania jej osobistych preferencji, zachowań i postaw”. Warto zaznaczyć, że motyw 24 poświęcony jest eksterytorialnemu zastosowaniu RODO. Dodatkowo należy wskazać, iż istnieje różnica pomiędzy pojęciem „monitorowanie ich zachowania” (artykuł 3(2)(b)) a pojęciem „regularne i systematyczne monitorowanie” z art. 37(1)(b), co może skutkować odmiennym rozumieniem tych dwóch zwrotów. Wg. Grupy Roboczej art. 29 przez „systematyczne i regularne monitorowanie osób” należy rozumiećwszelkie formy śledzenia i profilowania w sieci, w tym na potrzeby reklam behawioralnych. Nie należy jednak ograniczać tego pojęcia jedynie do środowiska on-line, a śledzenie w sieci powinno być traktowane jedynie jako jeden z przykładów takiego monitorowania. Grupa Robocza Art. 29 definiuje „regularne” jako jedno lub więcej z następujących pojęć:
Grupa Robocza Art. 29 definiuje „systematyczne” jako jedno lub więcej z następujących pojęć:
Przykładami regularnego i systematycznego monitorowania osób jest m.in.: obsługa sieci telekomunikacyjnej, świadczenie usług telekomunikacyjnych, profilowanie i ocenianie dla celów oceny ryzyka kredytowego, ustanawianie składek ubezpieczeniowych, wykrywanie prania pieniędzy, śledzenie lokalizacji w aplikacjach telefonicznych, reklama behawioralna, monitoring wizyjny, urządzenia skomunikowane np. inteligentne liczniki, inteligentne samochody, automatyka domowa typu „smartdom”.
Przepis ten również posługuje się również kryterium „główna działalność” i „na dużą skalę”, w wykładni których pomocne mogą być wskazówki przytoczone w poprzednim punkcie, w tym w Wytycznych Grupy Roboczej art. 29 dotyczących inspektora ochrony danych.
Szczególne kategorie danych określa art. 9 RODO. Należą do nich dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne, służące do jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących jej zdrowia, seksualności lub orientacji seksualnej.
Zgodnie z art. 10 RODO przetwarzanie danych osobowych dotyczących wyroków skazujących oraz naruszeń prawa lub powiązanych środków bezpieczeństwa, dozwolone jest tylko w przypadku spełnienia wskazanych w tym artykule enumeratywnie wymienionych przesłanek. Powołany art. 10 RODO oraz inne przepisy ogólnego rozporządzenia o ochronie danych nie definiują tej kategorii danych. Jednakże biorąc pod uwagę doświadczenia, powstałe na gruncie ustawy o ochronie danych osobowych, do tej kategorii danych należeć będą m.in. informacje dotyczące skazań, orzeczenia o ukaraniu lub inne orzeczenia wydane w postępowaniu sądowym i administracyjnym (w tym orzeczenia o karach dyscyplinarnych), dane zawarte w Krajowym Rejestrze Karnym, dane dotyczące mandatów lub innych zastosowanych środkach karnych lub zabezpieczających. Grupa Robocza art. 29 w wytycznych wskazuje, że mimo, iż przepis posługuje się określeniem „danych osobowych dotyczących wyroków skazujących i naruszeń prawa”, nie ma powodu, dla którego obie przesłanki powinny być stosowane jednocześnie. Zastosowanie powinien mieć łącznik „lub”.
Ponadto zgodnie z art. 37 ust. 4 ogólnego rozporządzenia o ochronie danych obowiązek powołania inspektora ochrony danych może wprowadzić prawo Unii lub prawo państwa członkowskiego. Oznacza to, iż m.in. ustawodawca polski będzie mógł rozszerzyć obowiązek wyznaczenia DPO na inne podmioty.W pozostałych przypadkach wyznaczenie inspektora będzie fakultatywne. Jednakże nawet w sytuacji, gdy z przepisów nie wynika obowiązek wyznaczenia DPO, Grupa Robocza art. 29 w swoich Wytycznych dotyczących inspektora ochrony danych zaleca administratorom i podmiotom przetwarzającym udokumentowanie wewnętrznej procedury przeprowadzonej w celu ustalenia i uwzględnienia poszczególnych normatywnych przesłanek istnienia lub braku tego obowiązku.Ponadto Grupa Robocza art. 29 rekomenduje wyznaczenie DPO nawet w odniesieniu do podmiotów do tego niezobowiązanych. Inspektorzy ochrony danych mogą bowiem znacznie ułatwić przestrzeganie nowych przepisów oraz odegrać istotną rolę w pośredniczeniu pomiędzy zainteresowanymi stronami (np. organem ochrony danych osobowych, podmiotami danych oraz poszczególnymi jednostkami w ramach jednej organizacji).Grupa Robocza art. 29 w Wytycznych dotyczących inspektora ochrony danych uznaje za dobrą praktykę powoływanie DPO przez prywatne jednostki realizujące zadania w interesie publicznym lub sprawujące władzę publiczną. W takim przypadku działalność inspektora ochrony danych powinna obejmować wszelkie operacje przetwarzania prowadzone przez jednostkę, w tym te niezwiązane z zadaniami realizowanymi w interesie publicznym.Obowiązek wyznaczenia DPO dotyczy również podmiotów przetwarzających. Mogą zatem wystąpić sytuacje, kiedy administrator nie będzie zobowiązany do wyznaczenia DPO, natomiast obowiązek taki będzie ciążył na podmiocie przetwarzającym. Jako przykład Grupa Robocza art. 29 podaje sytuację, w której mała, rodzinna firma dystrybuująca artykuły gospodarstwa domowego na terenie jednego miasta korzysta z usług podmiotu przetwarzającego, którego podstawowa działalność polega na świadczeniu usług analityki internetowej i pomocy w ukierunkowanej reklamie i marketingu. Działalność firmy rodzinnej, biorąc pod uwagę niewielką liczbę klientów i stosunkowo ograniczone działania, nie spowoduje obowiązku wyznaczania inspektora ochrony danych. Jednakże działania podmiotu przetwarzającego, posiadającego wielu klientów takich jak to małe przedsiębiorstwo, zbiorczo kwalifikuje się jako przetwarzanie „na dużą skalę”. W związku z tym podmiot przetwarzający, w przeciwieństwie do lokalnego przedsiębiorstwa, zobowiązany będzie do wyznaczenia inspektora ochrony danych.Powyższe zasady nie uniemożliwiają podmiotom niezobowiązanym do wyznaczenia DPO skorzystania z innego rozwiązania niż wyznaczenie inspektora ochrony danych, np.wyznaczenia pracownika albo zatrudnienie zewnętrznego konsultanta do wypełniania zadań związanych z ochroną danych osobowych. W takim przypadku wedle zaleceń Grupy Roboczej art. 29 ważne jest, aby nazwa stanowiska, status pracownika, pozycja i zadania niewprowadzały w błąd. W związku z tym należy poinformować pracowników organizacji, organ nadzorczy, osoby, których dane dotyczą, i ogół społeczeństwa, iż osoba zatrudniona nie jest DPO w świetle przepisów RODO. (C) GIODO 2016 Wszelkie prawa zastrzeżone.
Zgłoś propozycję |