Wraz z rozpoczęciem obowiązywania Rozporządzenia o ochronie danych osobowych zmieni się sytuacja prawna ABI czyli Administratorów Bezpieczeństwa Informacji. Zastąpi ich IOD – Inspektor Ochrony Danych. Z czym łączy się ta zmiana? Jaka przyszłość czeka dotychczasowych ABI? Czy może zmieni się tylko tytuł, a obowiązki zostaną te same?

Kim będzie Inspektor Ochrony Danych?

Od 25 maja 2018 r. rolę wsparcia dla Administratorów Danych Osobowych (ADO) i podmiotów przetwarzających obejmą Inspektorzy Ochrony Danych (IOD). Ich głównym zadaniem będzie dbanie, by przetwarzanie danych osobowych było zgodne z RODO. Dotyczy to nie tylko administracji publicznej, ale również sektora prywatnego.

Co się stanie z dotychczasowymi ABI?

W myśl projektu ustawy, obecni ABI z automatu zostaną IOD. Jednak nową funkcję pełnić będą jedynie do 1 września 2018 r. To, czy również po tym dniu będą nowymi IOD, zależy od organizacji. Ta musi zgłosić do nowego Prezesa Urzędu Ochrony Danych Osobowych co następuje po 1 września 2018 r. – czy dotychczasowy ABI zostaje na stałe IOD, czy rezygnuje z pełnienia tej funkcji.

Kiedy powołanie Inspektora będzie obowiązkowe?

RODO zauważalnie wzmacnia rolę Inspektora Ochrony Danych. Dlatego też w wielu przypadkach wyznaczenie IOD-a będzie nie tylko opcją, ale obowiązkiem. Kiedy? W 4 sytuacjach:

1. Gdy przetwarzanie dotyczy organu lub podmiotu publicznego – wyjątkiem są sądy w zakresie sprawowania przez nie wymiaru sprawiedliwości.
2. Gdy główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania wymagających regularnego i systematycznego monitorowania osób na dużą skalę, których dane te dotyczą.
3. Gdy główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (art. 9 ust. 1) oraz danych osobowych odnoszących się do wyroków skazujących i naruszeń prawa (art. 10).
4. Jeśli UE lub ustawodawca państwa członkowskiego rozszerzy obowiązek wyznaczenia IOD na inne podmioty (obowiązek powołania inspektora ochrony danych może wprowadzić prawo Unii lub prawo państwa członkowskiego).

Czy w pozostałych sytuacjach należy powołać IOD-a?

W przypadku pozostałych podmiotów, powołanie IOD-a będzie opcjonalne. Pewnym jest, że Inspektor Ochrony Danych nie zaszkodzi. Jak mówią specjaliści, jeśli administrator zastanawia się, czy powinien powołać IOD-a, to właśnie te wątpliwości są przesłankami, że powinien to zrobić.

Niektórzy mogą zastanawiać się, czym są „organy lub podmioty publiczne”. W tej grupie znajdują się organy realizujące obowiązku publiczne, czyli organy władzy krajowej, organy regionalne i krajowe, czyli tzw. budżetówka. Zresztą pozostałe zapisy RODO obligują tego typu jednostki do powołania IOD-a. Przykład? Takie jednostki jak np. szpitale, biblioteki czy urzędy opierają się na przetwarzaniu danych, często wrażliwych, ponadto na dużą skalę. A tego typu działalności MUSZĄ powołać Inspektora.

Kto może zostać IOD?

Zgodnie z RODO, Inspektor Ochrony Danych nie tylko musi znać przepisy prawa i posiadać wiedzę merytoryczną. Ponadto zobligowany jest:

• posiadać doświadczenie w zakresie ochrony danych osobowych,
• posiadać praktyczną umiejętność realizacji zadań (kontrola, szkolenia, redagowanie procedur itp.),
• znać branżę, w której pracuje,
• znać technologie i rozwiązania IT stosowane przez firmę, w której pracuje.

Zadania Inspektora Ochrony Danych

Inspektor Ochrony Danych wedle art. 39 ust. 1 RODO będzie musiał:

• informować administratora o obowiązkach spoczywających na nich zgodnie z RODO,
• doradzać administratorowi w zakresie obowiązków zgodnych z RODO,
• monitorować przestrzegania RODO,
• monitorować przestrzegania polityk ochrony danych,
• szkolić personel biorący udział w przetwarzaniu danych,
• przeprowadzać audyty bezpieczeństwa,
• współpracować z organem nadzorczym.

Jak widać, obowiązki osoby pełniącej funkcję IOD skupiają się wokół zadań z zakresu compliance. Inspektor przede wszystkim będzie kontrolował poprawność wykonywanych działań przez firmę uwzględniając przy tym zapisy RODO. Ponadto, będzie odpowiedzialny za współpracę i kontakt z organem nadzorczym.

Jeden IOD dla kilku podmiotów

W odróżnieniu od obecnej, polskiej ustawy z 1997 r., o ochronie danych osobowych, RODO pozwala na powołanie jednego Inspektora Ochrony Danych dla kilku przedsiębiorców z uwzględnieniem ich struktury organizacyjnej i wielkości. Jednak by skorzystać z tego prawa, inspektor musi być dostępny dla wszystkich podmiotów wchodzących w skład grupy. Nad spełnieniem warunku czuwać będzie GIODO lub inny wyznaczony przez polskiego ustawodawcę organ nadzorczy.

Wybierz odpowiedniego Inspektora

Nowy ABI, czyli Inspektor Ochrony Danych, to nie tylko inny tytuł. To również dużo więcej obowiązków, ale i przysługujących praw. Jednak to na Administratorze Danych Osobowych ciążyć będzie największa odpowiedzialność za uwzględnianie przepisów zawartych w Rozporządzeniu – IOD będzie wsparciem dla ADO. Dlatego tak ważne jest, by wybrać odpowiedniego Inspektora i zapewnić mu jak najlepsze warunki pracy.

Nie zapomnij zgłosić IOD-a!

Powołanie IOD-a to trudny, lecz w wielu sytuacjach, niezbędny krok by spełnić założenia RODO. Gdy uda się spełnić ten obowiązek, należy pamiętać o ostatnim kroku. Zgodnie z art. 37 RODO, Administrator Danych Osobowych (ADO) zobowiązany jest powiadomić organ nadzorczy o wyborze IOD-a i przekazać mu jego dane kontaktowe. Dobrą praktyką jest również publikacja danych IOD-a na własnej stronie internetowej.

Oczywistym jest, by informację o wyborze IOD-a przekazać również pracownikom, współpracownikom oraz podmiotom współpracującym.

---

Aktualizacja 05.06.2018

Wiele osób pyta nas jak zgłosić nowego Inspektora Ochrony Danych czy jak zmienić dane kontaktowe dotychczasowego Inspektora Ochrony Danych. Odpowiedzi na powyższe i wiele innych pytań odnośnie Inspektora Ochrony Danych znaleźć można na oficjalnej stronie Urzędu Ochrony Danych Osobowych (UODO).

Poniżej podajemy adresy do gotowych formularzy:

• Wyznaczenie nowego inspektora ochrony danych
• Zmiana danych kontaktowych dotychczasowego inspektora ochrony danych
• Odwołanie dotychczasowego inspektora ochrony danych
• Odwołanie dotychczasowego inspektora ochrony danych i wyznaczenie nowego
• Zmiana danych administratora (posiadającego inspektora ochrony danych)