Inspektor ochrony danych
Kim jest inspektor ochrony danych i czy jest potrzebny Twojej organizacji?
Kim jest i czym zajmuje się IOD?
Inspektor ochrony danych (zwany również „IOD”) to specjalista w dziedzinie ochrony danych, który doradza organizacji w zakresie przestrzegania przepisów o ochronie danych.
Inspektor ochrony danych powinien być właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych.
Zgodnie z RODO do zadań inspektora ochrony danych należy co najmniej:
- informowanie i doradzanie organizacji i jej pracownikom o obowiązkach wynikających z przepisów o ochronie danych;
- monitorowanie przestrzegania przepisów o ochronie danych osobowych;
- udzielanie zaleceń w sprawie wniosków dotyczących oceny skutków dla ochrony danych (DPIA);
- pełnienie funkcji punktu kontaktowego dla organu ochrony danych i współpraca z tym organem;
- pełnienie funkcji punktu kontaktowego dla osób, których dane dotyczą.
Zasadniczo zaleca się zaangażowanie inspektora ochrony danych przy podejmowaniu decyzji mających wpływ na ochronę danych osobowych. Należy również niezwłocznie skonsultować się z IOD w przypadku naruszenia ochrony danych lub innego incydentu.
W praktyce administrator lub podmiot przetwarzający często powierza inspektorowi ochrony danych również prowadzenie rejestru czynności przetwarzania.
Czytaj więcej
Czy moja organizacja potrzebuje IOD?
Wyznaczenie inspektora ochrony danych jest obowiązkowe w następujących trzech przypadkach:
- gdy organizacja jest organem lub podmiotem publicznym, który przetwarza dane osobowe;
- gdy główna działalność organizacji polega na regularnym i systematycznym monitorowaniu osób, których dane dotyczą, na dużą skalę, na przykład na geolokalizacji za pośrednictwem aplikacji mobilnej lub nadzorowaniu centrów handlowych i przestrzeni publicznej za pośrednictwem monitoringu wizyjnego;
- gdy główna działalność organizacji polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych.
Pojęcia „głównej działalności”, „regularnego i systematycznego monitorowania” oraz „dużej skali” mają kluczowe znaczenie dla ustalenia, czy dana organizacja jest zobowiązana wyznaczyć inspektora ochrony danych.
„Główna działalność” oznacza, że operacje przetwarzania mają kluczowe znaczenie dla osiągnięcia celów administratora danych lub podmiotu przetwarzającego. Obejmuje ona również wszystkie działania, w przypadku których przetwarzanie danych osobowych stanowi integralną część działalności administratora danych lub podmiotu przetwarzającego.
"Duża skala" zależy od różnych czynników, takich jak ilość przetwarzanych danych, liczba osób, których dane dotyczą ( zarówno w ujęciu bezwzględnym, jak i jako odsetek danej populacji), czas trwania i zasięg geograficzny przetwarzania.
„Regularne i systematyczne monitorowanie” obejmuje wszystkie formy śledzenia i profilowania w Internecie, w tym dla celów reklamy behawioralnej. Pojęcie monitorowania nie ogranicza się jednak wyłącznie do środowiska online.
W praktyce
- Główna działalność
Przykładowo głównym celem funkcjonowania przychodni jest świadczenie usług zdrowotnych na rzecz osób fizycznych. W takim przypadku przetwarzanie danych dotyczących zdrowia, takich jak dokumentacja medyczna pacjentów, należy uznać za element jej głównej działalności.
Każda organizacja wykonuje jednak również pewne działania wspierające, na przykład wypłacanie wynagrodzeń pracownikom czy świadczenie standardowej obsługi IT. Są to przykłady niezbędnych funkcji wspierających główną działalność organizacji. Mimo że są one konieczne, co do zasady uznaje się je za działalność pomocniczą, a nie główną.
- Duża skala
Przykłady przetwarzania na dużą skalę obejmują m.in.:
- przetwarzanie danych pacjentów w ramach bieżącej działalności szpitala;
- przetwarzanie danych klientów w kontekście bieżącej działalności zakładu ubezpieczeń lub banku;
- przetwarzanie do celów statystycznych aktualnych danych o lokalizacji klientów międzynarodowej sieci fast food przez podwykonawcę specjalizującego się w takich usługach;
- przetwarzanie danych osobowych do celów reklamy behawioralnej przez wyszukiwarkę internetową;
- przetwarzanie danych (dot. treści, ruchu, lokalizacji) przez dostawców usług telekomunikacyjnych i internetowych.
Przykłady przetwarzania, którego nie uznaje się za przetwarzanie na dużą skalę:
- przetwarzanie danych pacjentów przez jednego lekarza ogólnego prowadzącego samodzielną praktykę;
- przetwarzanie danych osobowych dotyczących wyroków skazujących i czynów zabronionych przez indywidualnego prawnika.
- Regularne i systematyczne monitorowanie
Regularne i systematyczne monitorowanie obejmuje m.in. retargeting e-mailowy; działania marketingowe oparte na danych; profilowanie i scoring na potrzeby oceny ryzyka (np. ocena zdolności kredytowej, ustalanie składek ubezpieczeniowych, zapobieganie nadużyciom, wykrywanie prania pieniędzy); śledzenie lokalizacji (np. za pomocą aplikacji mobilnych); programy lojalnościowe; reklamę behawioralną; monitorowanie danych dotyczących samopoczucia, aktywności i zdrowia za pomocą urządzeń ubieralnych; monitoring wizyjny; urządzenia podłączone do Internetu (np. inteligentne liczniki), inteligentne samochody, systemy automatyki domowej itp.
W konsekwencji podmiot przetwarzający, którego główna działalność polega na świadczeniu usług analityki internetowej i wsparciu w zakresie reklamy ukierunkowanej i marketingu, będzie zobowiązany do wyznaczenia inspektora ochrony danych.
Inspektora ochrony danych można również wyznaczyć dobrowolnie, nawet jeśli nie ma takiego obowiązku prawnego. W takim przypadku należy jednak przestrzegać wszystkich przepisów RODO dotyczących zadań i pozycji IOD. W związku z tym zaleca się stosowanie określenia „inspektor ochrony danych” wyłącznie w odniesieniu do osoby, której funkcja i stanowisko odpowiadają opisowi zawartemu w RODO.
Czytaj więcej
Kto może być IOD w mojej organizacji?
Inspektor ochrony danych musi być w stanie wykonywać swoje obowiązki i zadania w sposób niezależny. Oznacza to, że organizacja:
- nie może wydawać inspektorowi ochrony danych instrukcji dotyczących sposobu wykonywania jego obowiązków;
- nie może ukarać ani odwołać inspektora ochrony danych za wykonywanie jego zadań.
Niezależność IOD nie oznacza jednak, że posiada on uprawnienia decyzyjne wykraczające poza jego zadania. Organizacje pozostają odpowiedzialne za zgodność z przepisami o ochronie danych osobowych, którą muszą być w stanie wykazać.
Inspektor ochrony danych powinien być postrzegany jako partner w organizacji angażowany w dyskusje dotyczące czynności przetwarzania danych osobowych.
Inspektorzy ochrony danych podlegają bezpośrednio najwyższemu szczeblowi kierownictwa administratora danych lub podmiotu przetwarzającego.
Inspektorzy ochrony danych mogą wykonywać inne zadania w ramach organizacji, o ile nie prowadzi to do konfliktu interesów. Oznacza to, że inspektor ochrony danych nie może zajmować stanowiska, na którym określa cele i sposoby przetwarzania danych osobowych. Konflikt interesów może wystąpić w szczególności w przypadku stanowisk kierowniczych (dyrektor generalny, dyrektor operacyjny, dyrektor finansowy, szef działu HR, szef działu IT, dyrektor zarządzający). Może on jednak dotyczyć także innych stanowisk, jeżeli wiążą się one z określaniem celów i sposobów przetwarzania.
Zgodnie z RODO możliwe jest wyznaczenie zewnętrznego inspektora ochrony danych na podstawie umowy o świadczenie usług. Umowę taką można zawrzeć z osobą fizyczną lub organizacją. W drugim przypadku należy zapewnić, aby żadnego z członków organizacji nie dotyczył konflikt interesów, oraz aby podlegali oni ochronie przed niesprawiedliwym rozwiązaniem umowy o świadczenie usług, jak również przed niesprawiedliwym zwolnieniem poszczególnych członków organizacji w związku z wykonywaniem funkcji IOD.
Organizacja powinna wspierać inspektora ochrony danych, zapewniając mu dostęp do wszelkich operacji przetwarzania oraz danych osobowych przetwarzanych w ich kontekście. Kluczowe jest również jak najszybsze angażowanie inspektora ochrony danych we wszystkie kwestie związane z ochroną danych. Należy także zapewnić IOD zasoby niezbędne do wykonywania jego obowiązków (czas, szkolenia, sprzęt i środki finansowe).
W praktyce
Wykonując swoje zadania, inspektorzy ochrony danych nie mogą otrzymywać instrukcji co do postępowania w danej sprawie. Przykładowo inspektorowi ochrony danych nie należy wskazywać, jaki powinien być wynik jego opinii, w jaki sposób ma rozpatrzyć skargę osoby, której dane dotyczą, ani czy powinien bądź jest zobowiązany skonsultować się z organem ochrony danych. Nie można również narzucać mu określonego stanowiska w kwestiach związanych z prawem o ochronie danych osobowych, na przykład w odniesieniu do konkretnej interpretacji obowiązujących przepisów.
Czytaj więcej
Lista kontrolna dot. wyznaczenia IOD
- Sprawdź, czy wyznaczenie IOD jest wymagane: Ustal, czy Twoja organizacja ma obowiązek wyznaczyć inspektora ochrony danych. W razie wątpliwości warto udokumentować przyjęte rozstrzygnięcie i jego powody.
- Jeżeli wyznaczenie IOD jest wymagane:
- Wybierz formę pełnienia funkcji IOD (wewnętrzna lub zewnętrzna): Jeżeli wymagane jest wyznaczenie IOD, zdecyduj, czy zostanie powołany członek organizacji, czy inspektor ochrony danych na podstawie umowy o świadczenie usług;
- Sprawdź, czy wyznaczony IOD posiada odpowiednie kwalifikacje zawodowe i wiedzę fachową w zakresie prawa i praktyk ochrony danych osobowych oraz zdolność do wykonywania swoich zadań;
- Zweryfikuj spełnienie wymogów dotyczących niezależności: Oceń, czy inne obowiązki pełnione przez IOD nie zagrażają jego niezależności w wykonywaniu zadań (konflikt interesów);
- Opracuj standardowe procedury zarządcze dotyczące zaangażowania IOD.
- Jeżeli wyznaczenie IOD nie jest wymagane:
- Rozważ wszystkie możliwości: Nawet jeśli nie wyznaczysz inspektora ochrony danych w rozumieniu RODO, nadal będziesz musiał spełnić szereg wymogów w zakresie ochrony danych osobowych. Zalecamy wyznaczenie IOD dobrowolnie lub wyznaczenie osoby nieposiadającej tytułu inspektora ochrony danych, która, nawet jeśli nie wykonuje w pełni zadań inspektora ochrony danych, może monitorować przestrzeganie przepisów i działać jako osoba wyznaczona do kontaktów z osobami, których dane dotyczą, korzystającymi z praw im przysługujących.