Source: http://centrum-zmian.pl/inspektor-ochrony-danych-potrzebny-od-zaraz/
Timestamp: 2018-10-21 12:36:19
Legal References Found: art. 37
 art.9
 art.10
 art.37
 art. 37
 art. 9
 art. 37
 art. 37
 art.39
 art. 38

Document Content:
INSPEKTOR OCHRONY DANYCH POTRZEBNY OD ZARAZ | Centrum Zmian
RODO to największa zmiana w podejściu do ochrony danych osobowych od dwudziestu lat. Nowe prawo unijne wejdzie w życie już 25 maja br. Jednym z jego wymogów jest powołanie w firmie inspektora danych osobowych. Co to oznacza w praktyce – o tym w rozmowie z dr Magdaleną Celeban z Instytutu Nauk Prawnych Polskiej Akademii Nauk, członkiem Stowarzyszenia Administratorów Bezpieczeństwa Informacji, właścicielką firmy ODO.
Czy dobry inspektor ochrony danych gwarantuje dobre zabezpieczenie danych osobowych w firmie?
Zostało nam kilka dni do magicznej daty 25 maja 2018, kiedy to zacznie być stosowane nowe prawo unijne – rozporządzenie RODO, które na nowo określa zasady ochrony danych osobowych w krajach UE oraz wprowadza nową funkcję w firmach w postaci Inspektora Ochrony Danych (IOD).
Kto to jest inspektor ochrony danych osobowych w świetle RODO?
Na początku należy przypomnieć co oznacza skrót RODO, a jest to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
Jest to nowy przepis, który został przyjęty w formie rozporządzenia, co oznacza bezpośrednie stosowanie przepisów przez wszystkich przedsiębiorców przetwarzających dane osobowe na terytorium Unii Europejskiej. RODO wejdzie w życie bez konieczności implementacji polską ustawą, co w obecnej sytuacji jest bardzo ważne, gdyż wielu przedsiębiorców czeka na polską ustawę i niestety często mylnie myślą, że wdrożenie RODO zostanie odroczone.
RODO wprowadza dużo nowości z którymi należy się zapoznać i wdrożyć w firmach do 25 maja. To między innymi nowe definicje, ale również nowa funkcja Data Protection Officer (DPO) w aktach UE – w Polsce Inspektor Ochrony Danych (IOD).
Kto będzie musiał powołać inspektora ochrony danych?
Dysponujący odpowiednią, fachową wiedzą i umiejętnościami inspektorzy mają odegrać w przyszłości kluczową rolę w zapewnieniu zgodności przetwarzania danych osobowych zgodnie z nowymi unijnymi regulacjami prawnymi i stanowić fundament nowego, skutecznego systemu ochrony danych. Należy zwrócić uwagę na fakt, że ustawodawca wprowadził w określonych przypadkach obligatoryjne wyznaczenie inspektorów ochrony danych, czego nie było w obecnie obowiązującym prawie. Zgodnie z art. 37 ust 1. RODO: administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze gdy:
b) główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skale; lub
c) główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art.9 ust.1, oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o czym mowa w art.10.
Analizując art.37 należy zwrócić uwagę na art. 37. ust. 1., który mówi, że „główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych”. Pracodawcy bardzo często mają problem z analizą tego zdania, czy dotyczy ono również ich. Łatwym przykładem będą tu gabinety lekarskie, których główna działalność jest oparta właśnie na przetwarzaniu na dużą skalę (karty pacjentów), szczególnej kategorii danych osobowych, danych dotyczących stanu zdrowia pacjentów. Sytuacja podobnie wygląda w kancelariach prawniczych, gdzie również mamy do czynienia z przetwarzaniem na dużą skalę danych, np. o karalności.
Warto w tym momencie przypomnieć sobie co nam mówi art. 9 ust.1, RODO na temat przetwarzania szczególnych kategorii danych osobowych. Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
Należy jednak pamiętać, że może się okazać, że mała firma zatrudniająca kilku pracowników będzie miała obowiązek powołania IOD ze względu na swoją specyfikę, na przykład firma sprzedająca szczególne produkty medyczne, dostosowane do konkretnych klientów, na podstawie np. zaświadczeń od lekarza.
Wracając do obowiązku powołania IOD należy zwrócić uwagę na organizacje pozarządowe i placówki oświatowe, które podlegają temu obowiązkowi. Każdy pracodawca po pierwsze musi najpierw sprawdzić, czy nie ma obowiązku powołania, a następnie zadać sobie pytanie czy poradzi sobie bez fachowca u siebie w firmie.
Inspektor ochrony danych to osoba, która powinna gwarantować właściwe zabezpieczenie danych osobowych w naszej firmie, należy jednak pamiętać, że to administrator danych osobowych będzie ponosił odpowiedzialność za przestrzeganie przepisów RODO. Dlatego tak ważne jest wybranie odpowiedniego inspektora i stworzenie mu jak najlepszych warunków do wykonywania powierzonych zadań.
Czy kilku przedsiębiorców może wyznaczyć jednego inspektora ochrony danych?
Tak, RODO daje nam takie możliwości o czym wyraźnie mówi art. 37. ust. 2. Grupa przedsiębiorstw może wyznaczyć jednego inspektora ochrony danych, o ile można będzie łatwo nawiązać z nim kontakt z każdej jednostki organizacyjnej.
Jest to bardzo ważne, bo należy pamiętać, że RODO wyraźnie zwraca również uwagę na fakt, że IOD to osoba, z którą będzie można łatwo się skontaktować i tu nasuwa się pytanie, czy jeżeli powołamy osobę, która mieszka 300 kilometrów od siedziby naszej firmy, to czy będzie miała ona łatwość kontaktowania się z naszymi klientami w sprawach dotyczących ochrony danych osobowych.
Kto może zostać inspektorem ochrony danych w firmie? Jakie trzeba mieć wykształcenie?
Rozporządzenie unijne nie mówi nam kto może, a kto nie może być inspektorem ochrony danych. Nie wskazuje nam również jakie należy mieć ukończone studia, ani jakie posiadać wykształcenie. Jednak w art. 37. ust. 5. wyraźnie jest napisane, że inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, o których mowa w art.39.
Inspektorem ochrony danych może być członek personelu administratora, jednak należy pamiętać, że taki IOD musi być wówczas dodatkowo wynagradzany, lub należy mu ograniczyć część dotychczasowych obowiązków. Administrator lub podmiot przetwarzający zapewniają, by takie zadania, obowiązki, które dotychczas wykonywał, nie powodowały konfliktów interesów. Na pewno niedopuszczalne jest, aby kierownik był jednocześnie IOD.
Uważam, że lepszą praktyką jest zatrudnianie osoby z zewnątrz, zlecenie wykonanie zadania na podstawie umowy o świadczenie usług. Mimo, że wydaje nam się, że nasz pracownik będzie lepiej znał firmę, to należy pamiętać, że jednocześnie będzie musiał również kontrolować wykonywaną przez siebie pracę pod kątem przetwarzania danych osobowych.
Poziom wiedzy inspektora ma być ustalany w świetle prowadzonych operacji przetwarzania danych oraz ochrony, której wymagają dane osobowe przetwarzane przez administratora lub podmiot przetwarzający (motyw 97 RODO), a zatem w kontekście specyfiki i konkretnych potrzeb administratora danych i podmiotu przetwarzającego dane. Znaczenie fachowej wiedzy dla prawidłowego wykonywania tej funkcji podkreślone zostało ponadto przez zobowiązanie administratorów danych i procesorów do zapewnienia inspektorowi ochrony danych zasobów niezbędnych do utrzymania jego wiedzy fachowej[1].
Status inspektora ochrony danych został bardzo dokładnie opisany w art. 38 RODEO, gdzie na przykład w ust. 1 znajdziemy zapis mówiący o tym, że administrator oraz podmiot przetwarzający zapewniają, by inspektor ochrony danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych.
Należy tu szczególną uwagę zwrócić na rolę inspektora ochrony danych w fazach projektowania, wówczas, gdy planujemy wprowadzić jakiś nowy produkt. Odpowiedzialny właściciel firmy nie może pozwolić sobie na lekceważenie roli IOD w firmie, osoba ta ma przede wszystkim pełnić rolę doradczą i weryfikacyjną wobec działań i decyzji administratorów danych i podmiotów które przetwarzają dane osobowe.
Jakie jeszcze uprawnienia otrzymał inspektor ochrony danych w RODO ?
Nowe prawo nakłada również obowiązek uaktualniania wiedzy inspektorów i zapewnienia im na to środków finansowych przez administratora. Ustawodawca wprowadził również ochronę tych osób przed negatywnymi skutkami działań podejmowanych na rzecz ochrony danych osobowych. Oznacza to, że administrator oraz podmiot przetwarzający zapewniają, by inspektor ochrony danych nie otrzymywał instrukcji dotyczących wykonywania tych zadań. Nie może być również zwolniony za wykonywanie swoich zadań.
Jakie konkretne zadania dla inspektora są przewidziane w nowym prawie dotyczącym ochrony danych osobowych?
Zadania inspektora ochrony danych dokładnie precyzuje nam Artykuł 39 RODO. Najważniejszym zadaniem jest informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy rozporządzenia oraz doradzanie im w procesie przetwarzania danych osobowych. Dlatego wrócę tutaj do wcześniejszej mojej wypowiedzi, inspektorem ochrony danych powinna być osoba blisko nas, na miejscu, z którą jest łatwy kontakt.
Kolejne zadania inspektora to na przykład monitorowanie przestrzegania prawa dotyczącego ochrony danych osobowych, szkolenie personelu, poszerzanie wiedzy, ale również i ich umiejętności. Inspektor ochrony danych ma także za zadanie udzielanie na żądanie administratora zaleceń co do oceny skutków dla ochrony danych.
Będzie również punktem kontaktowym nie tylko dla osób, które będą chciały pozyskać informacje na temat swoich danych osobowych, ale także dla organu nadzorczego. IOD ma obowiązek współpracować z nim. Ale myślę, że dopiero praktyka pokaże nam na czym ta współpraca będzie dokładnie polegać.
[1] Bielak-Jomaa E, Wykonywanie obowiązków ABI, przyszłego inspektora ochrony danych, w świetle ogólnego rozporządzenia o ochronie danych, GIODO, Warszawa 2016, s.40.