Source: https://rbdo.pl/nowe-procedury-ochrony-danych-w-jednostkach-budzetowych-z-obowiazkiem-powolania-inspektora-ochrony-danych/
Timestamp: 2019-06-26 06:09:04
Legal References Found: art. 37
 art. 9
 art. 10
 art. 29
 art. 5
 art. 24
 art. 39
 art. 38
 art. 29
 art. 30
 art. 29

Document Content:
Nowe procedury ochrony danych – z obowiązkiem powołania Inspektora Ochrony Danych! | RBDO - Rejestracja i Bezpieczeństwo Danych Osobowych
Opublikowane w 4 lipca 2017 4 lipca 2017 przez admin
Nowe przepisy UE (RODO) i powołanie Inspektora Ochrony Danych w jednostce budżetowej
Nowe przepisy istotnie wzmacniają rolę i pozycję inspektorów ochrony danych.
Jednym z najważniejszych przejawów tego wzmocnienia jest fakt, że wyznaczenie inspektora ochrony danych, stanie się w wielu przypadkach obowiązkiem, a nie jak dotąd, uprawnieniem administratora danych.
Przypadki, w których wyznaczenie inspektora ochrony danych będzie obowiązkowe, zostały opisane w art. 37 ust. 1 RODO:
administratorzy danych oraz podmioty przetwarzające powierzone dane osobowe, których główna działalność polega na przetwarzaniu na dużą skalę tzw. szczególnych kategorii danych (o których mowa w art. 9 ust. 1 RODO) oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa (o których mowa w art. 10 GDPR).
RODO nie definiuje jednak co należy rozumieć przez „organy lub podmioty publiczne”, daje tym samym możliwość doprecyzowania katalogu tego typu podmiotów na gruncie ustawodawstw poszczególnych krajów członkowskich.
Bez wątpienia w pierwszej kolejności pojęcie to obejmuje jednak organy administracji publicznej oraz organy administracji samorządu terytorialnego. Może mieć jednak dużo szerszy zakres i obejmować na przykład:
jednostki organizacyjne administracji publicznej oraz samorządu terytorialnego (w tym np. jednostki budżetowe oświaty, jednostki budżetowe pomocy społecznej, publiczne zakłady opieki zdrowotnej, jednostki planowania przestrzennego, gospodarki nieruchomościami, gospodarki komunalnej, zarządzania transportem publicznym, utrzymaniem czystości etc.),
podmioty reprezentujące Skarb Państwa (np. Agencja Mienia Wojskowego, Agencja Restrukturyzacji Rolnictwa, Agencja Rynku Rolnego, Urzędy Skarbowe etc.),
podmioty zarządzane przez Skarb Państwa lub o dominującym udziale Skarbu Państwa (np. państwowe instytuty, agencje czy też spółki prawa handlowego, w których dominujący udział ma Skarb Państwa).
Warto też się zastanowić, co w przypadku podmiotów z sektora prywatnego, które w ramach prowadzonej działalności gospodarczej realizują zadania publiczne zlecone przez administrację publiczną lub samorządową (np. prywatni przewoźnicy realizujący usługę transportu miejskiego czy też usługi komunalne).
Tego typu podmioty nie można jednak literalnie traktować jako „organy lub podmioty publiczne” więc omawiana regulacja nie będzie miała do nich bezpośredniego zastosowania.
Grupa robocza art. 29 zaleca jednak, by tego typu podmioty na zasadzie dobrej praktyki również wyznaczały inspektora ochrony danych.
Taki sposób ujęcia obowiązków inspektora jest wyrazem nowego podejścia do ochrony danych osobowych opartego na analizie ryzyka i zasadzie rozliczalności, zapisanej w art. 5 ust 2 RODO. Wyznaczenie inspektorowi ochrony danych roli doradczej i weryfikacyjnej wobec działań administratora danych i podmiotu przetwarzającego (oraz ich pracowników) sprawia, że zarówno zadania DPO jak i sposób ich realizacji są ściśle powiązane nie tylko z obowiązkami administratorów danych lub podmiotów przetwarzających, ale też nowym sposobem podejścia do ich realizacji.
Na podstawie art. 24 RODO administratorzy i podmioty przetwarzające, są zobowiązani uwzględniać charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia, i odpowiednio do nich – dobierać i wdrażać środki techniczne i organizacyjne, tak, aby przetwarzanie odbywało się zgodnie z rozporządzeniem i aby móc to wykazać. Środki te powinny być w razie potrzeby poddawane przeglądom i uaktualniane.
Ponadto zarówno przy określaniu ilości zbieranych danych osobowych, zakresu ich przetwarzania, okresu ich przechowywania, ich dostępności oraz sposobów przetwarzania konieczne jest stosowanie mechanizmów takich jak zapewnienie ochrony danych osobowych na etapie projektowania oraz domyślnej ochrony danych („privacy by design” oraz „privacy by default”), zarówno przed przystąpieniem do przetwarzania danych, jak i w czasie samego przetwarzania (art. 25 RODO).
DPO wykonując swoje zadania (art. 39 ust. 2), powinien zatem stosować indywidualne rozwiązania, dostosowane do potrzeb podmiotów, w których pełni swoją funkcję, a także cech konkretnego przetwarzania danych i związanego z tym przetwarzaniem ryzyka. Konieczność realizacji obowiązków w powyższy sposób w konsekwencji ma prowadzić do skuteczniejszej ochrony danych. Spowoduje z pewnością również większe zróżnicowanie i wzrost innowacyjności w dziedzinie ochrony danych osobowych.
Zakres zadań inspektora ochrony danych zawiera art. 39 ust. 1 RODO. Wyliczenie zawarte w tym przepisie nie jest jednak katalogiem zamkniętym, ponieważ jeden z obowiązków inspektora ochrony danych można wywodzić też z art. 38 ust. 4 RODO (pełnienie roli punktu kontaktowego, dla osób których dane dotyczą). W Wytycznych Grupy Roboczej art. 29 dotyczących inspektorów danych osobowych do zadań DPO zaliczono również prowadzenie rejestru czynności i kategorii czynności, o których mowa wskazanych w art. 30 RODO. Wobec powyższego zadania inspektora ochrony danych obejmować będą:
Grupa Robocza art. 29 w Wytycznych dotyczących inspektorów danych osobowych wskazuje, ze funkcja DPO może być również pełniona na podstawie umowy o świadczenie usług zawartej nie tylko z osobą fizyczną, ale też innym podmiotem. W pracy zespołowej można bowiem połączyć indywidualne atuty i umiejętności poszczególnych osób tak, aby zapewnić wydajniejszą obsługę administratora danych. W takim przypadku konieczne jest jednak , aby każdy członek podmiotu sprawującego funkcję DPO spełniał wszystkie istotne wymogi wskazane w Sekcji 4* RODO, oraz miał zapewnioną, wynikającą z tych przepisów ochronę. W celu zapewnienia przejrzystości prawnej i dobrej organizacji zalecany jest ponadto wyraźny podział zadań oraz wyznaczenie jednej osoby jako wiodącej osoby kontaktowej i osoby ‘odpowiedzialnej’ za każdego klienta. Kwestie te powinny być jasno określone w umowie o świadczenie usług.
Gwarancje niezależności DPO
Podobnie jak ma to miejsce na gruncie aktualnie obowiązującej ustawy o ochronie danych osobowych (art. 36a ust. 8 uodo) inspektorzy ochrony danych – bez względu na to, czy są pracownikami administratora, czy też nie – powinni być w stanie wykonywać swoje obowiązki i zadania w sposób niezależny (motyw 97 RODO).
W celu zapewnienia niezależności DPO administrator lub podmiot przetwarzający powinni wprowadzić wewnętrzne regulacje gwarantujące inspektorowi ochrony danych niezależność w wykonywaniu przez niego obowiązków i zadań. Odnosi się to w szczególności do podmiotów publicznych czy też podmiotów o złożonych strukturach, które będą musiały dostosować swoje regulaminy organizacyjne oraz statuty tak, aby zapewnić niezależność DPO.
1) Bezpośrednia podległość DPO najwyższemu kierownictwu
https://abi.giodo.gov.pl/inspektor-ochrony-danych/
[1.01M]
Poprzedni wpisPoprzedni Videoszkolenie! Nowe procedury ochrony danych UE (RODO) czerwiec 2017 – Wstęp
Następny wpisNastępny Co wzbudza największe obawy w nowych przepisach ochrony danych zgodnych z UE RODO?