Source: https://abi.giodo.gov.pl/62
Timestamp: 2019-04-19 00:43:26
Legal References Found: art. 83
 Art. 29
 art. 30
 art. 30
 art. 30
 Art. 29
 art. 37
 Art. 29
 art. 37
 art. 5
 Art. 29

Document Content:
Stosownie do art. 83 ust. 4 lit. a ogólnego rozporządzenia o ochronie danych osobowych (RODO), naruszenia przepisów bezpośrednio odnoszących się do inspektorów ochrony danych (art. 37–39 RODO) podlegają administracyjnej karze pieniężnej do 10 mln euro, a w przypadku przedsiębiorstwa – do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Karami administracyjnymi obwarowane są zatem zarówno poszczególne obowiązki administratorów danych i podmiotów przetwarzających dotyczące wyznaczania inspektora ochrony danych i zapewnienia mu określonych warunków wykonywania funkcji, jak i wykonywanie zadań przez inspektorów ochrony danych. Organ nadzorczy, nakładając karę finansową, będzie brał pod uwagę m.in. charakter oraz wagę naruszenia, a także skutki dla ochrony praw i wolności osób, których dane dotyczą.
Dlaczego zarówno w ABI-Informatorze, jak i Wytycznych Grupy Roboczej Art. 29 dotyczących inspektorów ochrony danych osobowych prowadzenie rejestru czynności jest zaliczane do zadań inspektora ochrony danych, skoro z art. 30 RODO wynika, iż jest ono obowiązkiem administratora danych? Przecież IOD ma pełnić rolę doradczą, monitorującą i „łącznikową”, a nie wyręczać administratora danych w jego obowiązkach. Zagadnienie prawidłowego rozdzielenia i określenia ról oraz odpowiedzialności jest niezmiernie ważne, zwłaszcza w jednostkach o rozbudowanej strukturze, z różnorodnym zakresem, podstawą prawną i celem przetwarzania danych. Może więc warto zalecić ADO, w jaki sposób mają wykonywać ciążące na nich obowiązki, kto ma to fizycznie robić, gdyż raczej wątpliwe, aby wykonywali je osobiście, a nie mogą ich przerzucać na inspektora ochrony danych.
Zgodnie z artykułem 30 ust. 1 i 2 RODO, do administratora należy obowiązek prowadzenia rejestru czynności przetwarzania danych osobowych, za które odpowiada, a do podmiotu przetwarzającego - prowadzenie rejestru kategorii czynności przetwarzania dokonywanych w imieniu administratora. To te podmioty są odpowiedzialne za efektywne wykonanie tego obowiązku i pozostawanie w gotowości do wykazania tego na żądanie organów ochrony danych. Tym samym są one zobowiązane samodzielnie określić, kto konkretnie w danej organizacji ma wykonywać określone czynności składające się na spełnienie wymogów określonych w art. 30 RODO, uwzględniając konkretne okoliczności, m.in. takie jak wielkość i struktura organizacyjna danego podmiotu oraz skala przetwarzania danych. Zgodnie z jedną z najważniejszych zasad, na których oparta jest nowa regulacja – zasadą rozliczalności, odpowiedni dobór rozwiązań zapewniających zgodność z przepisami o ochronie danych osobowych należy do administratorów danych i podmiotów przetwarzających.
Ze względu na swoją zawartość i cele rejestry czynności i kategorii czynności mogą być również przydatnym instrumentem monitorowania zgodności dla inspektorów ochrony danych. Wprawdzie z art. 30 rozporządzenia ogólnego bezsprzecznie wynika, że obowiązek prowadzenia rejestrów należy do administratorów i podmiotów przetwarzających, nie zaś do inspektora ochrony danych, niemniej trudno sobie wyobrazić, że inspektor ochrony danych - jako osoba dysponująca odpowiednią wiedzą i umiejętnościami w dziedzinie ochrony danych osobowych - nie będzie angażowała się w tworzenie i prowadzenie rejestrów, a następnie wykorzystywała ich w swojej pracy. Ponadto zgodnie z artykułem 38 RODO, administrator oraz podmiot przetwarzający zobowiązani są do zapewnienia, by inspektor ochrony danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych. Udział w prowadzeniu wskazanego rejestru może w znacznym stopniu przyczyniać się do realizacji ww. obowiązku.
W Wytycznych dotyczących inspektorów ochrony danych (DPO)Grupa Robocza Art. 29 wskazuje, że obowiązki prowadzenia rejestru są obowiązkami administratora i podmiotu przetwarzającego, jednak w praktyce często to inspektor ochrony danych tworzy i prowadzi powyższe rejestry na podstawie danych otrzymanych od pozostałych komórek organizacji. Jak wskazano w Wytycznych: „Taka procedura została ustalona na mocy wielu obowiązujących przepisów państw członkowskich i przepisów o ochronie danych osobowych mających zastosowanie do instytucji i organów UE”.
Czy przyszły inspektor ochrony danych będzie wyznaczany na podstawie takich samych kwalifikacji jak obecnie administrator bezpieczeństwa informacji?
Zgodnie z art. 37 ust. 3 RODO jednego inspektora będzie mogło powołać -przy uwzględnieniu ich struktury organizacyjnej i wielkości - kilku administratorów danych będących podmiotami publicznymi, np. publiczne placówki oświatowe, muzea. Podmioty takie, np. ze względu na realizowanie zadań publicznych w tym samym obszarze, mogą przyjmować podobne rozwiązania organizacyjne i korzystać z tych samych procedur. Prawodawca europejski przyjął w tym przypadku model niejako „wspólnego wyznaczenia inspektora ochrony danych”, bo w takiej sytuacji ułatwiona będzie współpraca administratorów w zakresie zorganizowania inspektorowi wsparcia i prawidłowych warunków do rzetelnego wypełniania jego zadań. Można zatem zasadnie zakładać, że mimo wyznaczenia na inspektora ochrony danych tej samej osoby przez kilka podmiotów, będzie on mógł efektywnie wypełniać swoje obowiązki.
Trzeba mieć przy tym świadomość, że wiele z obowiązków inspektorów przewidzianych w RODO wymaga stałego zaangażowania na rzecz administratora, który inspektora wyznaczył, oraz tzw. „efektywnej dostępności” inspektora dla osób z danej organizacji. Do zadań IOD należy np. bieżące monitorowanie zgodności przetwarzania danych osobowych z przepisami prawa oraz udzielanie informacji i rad w zakresie obowiązków wynikających z tych przepisów. Zwłaszcza w pierwszych latach stosowania nowych przepisów inspektorzy będą odgrywać ważną rolę we wspieraniu „kultury ochrony danych” i pomagać w zrozumieniu i implementacji wszystkich elementów unijnego rozporządzenia, spośród których wiele jest w naszym systemie prawa nowością.
Trudno będzie również wykonywać równolegle w wielu podmiotach zadania w zakresie punktu kontaktowego dla osób, których dane dotyczą, oraz punktu kontaktowego dla organu nadzorczego. Na mocy rozporządzenia każda osoba w każdej sprawie dotyczącej jej danych ma prawo kontaktować się z wyznaczonym dla danej organizacji inspektorem. Organ nadzorczy będzie natomiast mógł wymagać od inspektora gotowości do współpracy w związku z realizacją zadań i uprawnień organu w zakresie prowadzonych postępowań, a także tzw. „uprzednich konsultacji”.
Zreformowane przepisy o ochronie danych osobowych wymagają od administratorów stosowania takich rozwiązań i środków w zakresie przetwarzania i ochrony danych osobowych, które będą odpowiadały konkretnym potrzebom, specyfice prowadzonych przez nich procesów przetwarzania danych osobowych. Nie będzie można stosować jednej uniwersalnej matrycy do wielu różnych sytuacji, np. jednego, tego samego wzoru dokumentacji opisującej środki służące zabezpieczeniu danych. Dlatego w wymaganiach co do kwalifikacji inspektorów ochrony danych podkreśla się szczegółową wiedzę na temat charakteru prowadzonych operacji przetwarzania danych, stosowanych systemów informatycznych oraz ich zabezpieczeń, a także sektora, w którym działa administrator danych.
Ponadto, każda osoba pełniąca funkcję DPO musi unikać konfliktu interesów. Wymóg niepowodowania konfliktu interesów jest ściśle związany z wymogiem wykonywania zadań w sposób niezależny. Zatem z pełnieniem funkcji inspektora wiążą się bardzo konkretne wymagania prawne i wymagań tych trzeba będzie sumiennie przestrzegać. Dlatego należy się spodziewać, że wejście w życie rozporządzenia ogólnego spowoduje wyeliminowanie praktyki polegającej na korzystaniu przez administratorów danych z usług osób pełniących funkcję inspektora równocześnie w kilkudziesięciu różnych podmiotach. Praktyka taka będzie bowiem nie do pogodzenia z bardzo konkretnymi wymaganiami określonymi w przepisach oraz z nowym, dużo bardziej odpowiedzialnym podejściem do ochrony danych osobowych. Administratorzy danych świadomi poważnych konsekwencji nieprzestrzegania przepisów RODO, powinni zatem przykładać dużą wagę do możliwości prawidłowego i terminowego wypełniania zadań przez inspektora i jego faktycznej dostępności. Osoba ta musi bowiem stanowić realne, fachowe i stałe wsparcie w zakresie zapewnienia zgodności działania z przepisami o ochronie danych osobowych.
Ile maksymalnie podmiotów będzie mógł obsługiwać jeden IOD?
Ani przepisy rozporządzenia ogólnego, ani ich interpretacje wydawane np. przez Grupę Roboczą Art. 29 w postaci wytycznych, nie dają odpowiedzi na takie pytanie. Stosowanie tego rozwiązania będzie mogło jednak następować jedynie w uzasadnionych przypadkach, a liczba obsługiwanych podmiotów musi się mieścić w racjonalnych granicach. Ocena tej kwestii zależna jest od wielu czynników, w tym m.in. od: efektywnej dostępności inspektora, możliwości uzyskania przez niego szczegółowej wiedzy na temat funkcjonowania podmiotu, dysponowania przez niego odpowiednią do zakresu zadań i specyfiki procesów przetwarzania danych ilością czasu, konieczności unikania konfliktu interesów oraz wielkości i struktury organizacyjnej jednostki będącej administratorem danych. Na powyższe pytanie konkretnie będzie można zatem odpowiedzieć jedynie w kontekście konkretnych sytuacji. Niemniej tak jak każda decyzja dotycząca przyjmowanych rozwiązań w zakresie ochrony danych osobowych, również decyzja w zakresie wyboru odpowiedniej osoby do pełnienia funkcji inspektora, musi być podejmowana z pełną świadomością ciążącej na administratorze danych odpowiedzialności za prawidłowe przestrzeganie przepisów prawa.
Regulacja przyjęta w tym przepisie nie oznacza jednak, że nie jest dopuszczalne wyznaczenie jednej osoby przez kilku administratorów danych poza wskazanym przypadkiem, czyli poza grupą przedsiębiorstw. Przepisy RODO nie zawierają bowiem zakazu w tym zakresie. W każdym przypadku skorzystania z takiego rozwiązania bezwzględnym warunkiem jest to, żeby ta osoba była w stanie autentycznie wypełniać swoje obowiązki wobec każdej obsługiwanej przez niego organizacji i to w sposób w pełni odpowiadający przepisom prawa i potrzebom konkretnego administratora danych (zobacz też odpowiedź na pytanie „Czy podmioty publiczne mogą powołać jednego IOD poza sytuacją uregulowaną w art. 37 ust. 2 RODO?”). Analogiczne stanowisko GIODO konsekwentnie prezentował również w odniesieniu do ABI na gruncie ustawy o ochronie danych osobowych.
Obecnie zadaniem ABI jest zapewnianie przestrzegania przepisów o ochronie danych osobowych, czemu służyć ma m.in.: przeprowadzanie sprawdzeń i sporządzanie sprawozdań dla administratora danych oraz nadzorowanie dokumentacji w postaci Polityki bezpieczeństwa informacji i Instrukcji zarządzania systemem informatycznym oraz przestrzegania zasad w nich określonych. Szczegółowe wymagania dotyczące zarówno trybu i terminów wykonywania sprawdzeń, jak i zawartości dokumentacji przetwarzania danych osobowych określają rozporządzenia wykonawcze do ustawy o ochronie danych osobowych (tekst rozporządzeń dostępny jest tutaj: https://abi.giodo.gov.pl/przepisy-prawa).
W pewnym zakresie odpowiednikiem tego zadania po 25 maja 2018 r. będzie monitorowanie przez inspektorów ochrony danych osobowych przestrzegania RODO, innych przepisów Unii lub państw członkowskich o ochronie danych oraz wewnętrznych polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych (art. 39 ust. 1 pkt b RODO). Powołany przepis wskazuje kilka przykładów działań wspomagających monitorowanie, takich jak przeprowadzane przez inspektora audyty, które powinny być powiązane z wewnętrznym podziałem obowiązków w organizacji, działaniami zwiększającymi świadomość oraz szkoleniami personelu uczestniczącego w operacjach przetwarzania. Przepisy RODO nie wskazują natomiast trybu i terminów realizacji tych obowiązków, ponieważ te kwestie musi samodzielnie rozstrzygnąć inspektor ochrony danych. Jest to istotna różnica w stosunku do tego, co obecnie przewiduje ustawa o ochronie danych osobowych i akty wykonawcze do niej odnoszące się do zadań ABI. Różnica ta wynika z nowego podejścia do ochrony danych osobowych opartego na analizie ryzyka i zasadzie rozliczalności, zapisanej w art. 5 ust. 2 RODO (więcej na ten temat można znaleźć tutaj: https://abi.giodo.gov.pl/inspektor-ochrony-danych/zadania-inspektora-ochrony-danych).
Grupa Robocza Art. 29 w Wytycznych dotyczących inspektorów ochrony danych osobowych wskazuje, że w ramach monitorowania IOD może podejmować wiele działań (m.in. zbierać informacje w celu identyfikacji procesów przetwarzania, analizować i sprawdzać zgodność tego przetwarzania, informować, doradzać i rekomendować określone działania administratorowi albo podmiotowi przetwarzającemu). Ich celem jest dostarczanie administratorowi i podmiotowi przetwarzającemu wyczerpujących informacji o procesach przetwarzania danych w zakresie zgodności z przepisami prawa, a zatem również analizy zebranych informacji w postaci wniosków i zaleceń. Na ich podstawie powinny być podejmowane przez administratora i podmiot przetwarzający decyzje i działania mające na celu zgodne z prawem przetwarzanie danych osobowych.
Jak wskazano w odpowiedzi na pytanie Czy Centrum Usług Wspólnych może powołać jednego administratora bezpieczeństwa informacji dla wszystkich obsługiwanych jednostek?, Centra Usług Wspólnych (CUW) są tworzone jako osobne podmioty, a domeną ich działań są najczęściej działania pomocnicze, wykonywane zarówno w odniesieniu do organów wykonawczych, jak i uchwałodawczych samorządu terytorialnego, jak również do obsługi poszczególnych jednostek organizacyjnych, między innymi urzędów, zakładów i jednostek budżetowych. Ostateczną decyzję, zarówno co do powołania samorządowego centrum usług wspólnych, jak i jego kształtu oraz zakresu realizowanych przez niego zadań, podejmuje organ stanowiący danej jednostki samorządu terytorialnego.
Na gruncie ogólnego rozporządzenia o ochronie danych obowiązek wyznaczenia inspektora ochrony danych w sektorze publicznym dotyczyć będzie wszystkich organów i podmiotów publicznych, i to zarówno tych będących administratorami danych, jak i podmiotami przetwarzającymi. Ponieważ pojęcie organu i podmiotu publicznego powinno być zdefiniowane przez każde państwo członkowskie UE na poziomie przepisów krajowych, zapewne polski ustawodawca doprecyzuje zakres tego pojęcia choć ostateczny kształt przepisów krajowych nie jest jeszcze znany, to z projektu nowej ustawy o ochronie danych osobowych wynika, że przez podmioty takie należy rozumieć m.in. organy i jednostki samorządu terytorialnego. Jeśli tak, to obowiązek taki dotyczyłby zarówno CUW, jak i poszczególnych podmiotów przez niego obsługiwanych.
Zarówno CUW, jak i jednostki obsługiwane mogą rozważać powołanie na swojego inspektora ochrony danych jednej, tej samej osoby (więcej informacji na temat tego modelu można znaleźć pod linkiem https://abi.giodo.gov.pl/inspektor-ochrony-danych/jeden-inspektor-dla-kilku-podmiotow oraz w odpowiedziach na pytania dotyczące tego zagadnienia https://abi.giodo.gov.pl/62). Niemniej nawet w sytuacji, gdyby miał być nim pracownik jednej z tych jednostek, np. pracownik CUW, konieczne jest osobne wyznaczenie IOD przez każdą z tych jednostek, np. każdą szkołę, dom kultury – jako osobnych administratorów. Zatem nawet jeżeli CUW świadczy obsługiwanym podmiotom usługi związane z szeroko rozumianą ochroną danych osobowych, nie jest uprawniony do wyznaczania inspektora ochrony danych w tych podmiotach. Obowiązek wyznaczania inspektora ochrony danych nie może być przeniesiony, np. w drodze uchwały czy porozumienia, na inną jednostkę organizacyjną, np. na CUW.