Wyznaczenie inspektora ochrony danych jest obowiązkowe w trzech przypadkach wskazanych w art. 37 ust. 1 RODO: gdy przetwarzania dokonuje organ publiczny, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę, albo gdy główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych kategorii lub danych o wyrokach skazujących. Poza tymi przypadkami IOD nie jest wymagany — ale bardzo często i tak się opłaca. Poniżej test, który pozwoli Ci ustalić, w której grupie jest Twoja firma.
Trzy przesłanki obowiązku — po kolei
1. Organ lub podmiot publiczny. Urzędy, szkoły, szpitale publiczne, instytucje kultury — obowiązek bezwarunkowy, niezależnie od skali. Wyjątek: sądy w zakresie sprawowania wymiaru sprawiedliwości.
2. Regularne i systematyczne monitorowanie na dużą skalę. Kluczowe jest słowo „monitorowanie” rozumiane szeroko: śledzenie zachowań w internecie, profilowanie, systemy lojalnościowe, telematyka w pojazdach, rozbudowany monitoring wizyjny, scoring. „Regularne” to znaczy powtarzalne lub ciągłe, „systematyczne” — zaplanowane, zorganizowane, wynikające z przyjętej strategii.
3. Dane szczególnych kategorii na dużą skalę. Dane z art. 9 RODO (zdrowie, biometria, przekonania) albo dane o wyrokach skazujących z art. 10. Tu wpadają duże podmioty medyczne, laboratoria, sieci przychodni, firmy przetwarzające dane biometryczne.
Co znaczy „duża skala”
RODO nie podaje liczb — motyw 91 wskazuje, żeby oceniać: liczbę osób (w wartościach bezwzględnych lub jako odsetek populacji), zakres danych, czas trwania przetwarzania i zasięg geograficzny. W praktyce ocenę opiera się na wytycznych dotyczących IOD (WP 243), przyjętych przez Europejską Radę Ochrony Danych.
Za dużą skalę uznaje się zwykle: przetwarzanie danych pacjentów przez szpital lub sieć przychodni, dane klientów banku lub ubezpieczyciela, dane geolokalizacyjne klientów sieci fast food czy przewoźnika, dane abonentów operatora telekomunikacyjnego, profilowanie użytkowników dużego serwisu internetowego.
Za dużą skalę NIE uznaje się: przetwarzania danych pacjentów przez pojedynczego lekarza prowadzącego praktykę, ani danych o wyrokach przez indywidualnego prawnika. Te dwa wyjątki wskazano wprost w motywie 91.
Test w pięciu pytaniach
Odpowiedz szczerze — wystarczy jedno „tak” w pytaniach 1–3, żeby obowiązek powstał:
- Czy jesteśmy podmiotem publicznym albo realizujemy zadania publiczne?
- Czy nasza główna działalność (a nie funkcja pomocnicza, jak kadry czy IT) polega na obserwowaniu zachowań ludzi — profilujemy, monitorujemy, śledzimy, scorujemy?
- Czy przetwarzamy dane o zdrowiu, biometryczne lub o karalności w skali wykraczającej poza pojedyncze przypadki?
- Czy przepis sektorowy nakłada na nas taki obowiązek niezależnie od RODO?
- Czy jesteśmy procesorem dla klienta, który sam ma obowiązek wyznaczenia IOD?
Uwaga na pytanie 2 — „główna działalność” to czynności nierozerwalnie związane z tym, czym firma się zajmuje. Firma ochroniarska monitorująca galerie handlowe ma monitoring jako główną działalność. Producent mebli z kamerami na hali — nie.
Nie masz obowiązku? Cztery powody, żeby i tak wyznaczyć IOD
1. Kontrola UODO idzie łatwiej. Urząd zaczyna od pytania o osobę odpowiedzialną i dokumentację. Firma z IOD ma gotowego rozmówcę i uporządkowane materiały — jak wygląda taka kontrola, opisujemy w artykule o przygotowaniu do kontroli UODO.
2. Wymagania kontrahentów. W przetargach i umowach powierzenia coraz częściej pojawia się pytanie o wyznaczonego inspektora. Jego brak potrafi wykluczyć z postępowania.
3. Realne obniżenie ryzyka. Większość naruszeń bierze się z braku procedur, nie ze złej woli. Ktoś musi te procedury utrzymywać.
4. Ograniczenie ryzyka kar. Wykazanie rozliczalności jest znacznie łatwiejsze, gdy jest osoba, która za nią odpowiada.
Ważne: IOD wyznaczony dobrowolnie podlega tym samym rygorom RODO co obowiązkowy — niezależność, brak konfliktu interesów, bezpośrednia podległość kierownictwu, zgłoszenie do UODO. Nie da się wyznaczyć inspektora „na pół gwizdka”.
Najczęstsze pytania
Czy mała firma musi mieć IOD?
Wielkość firmy nie jest kryterium — RODO nie wiąże obowiązku z liczbą pracowników ani obrotem. Liczy się charakter przetwarzania. Mała firma zajmująca się profilowaniem na dużą skalę będzie miała obowiązek, a duży zakład produkcyjny przetwarzający wyłącznie dane pracowników — nie.
Czy IOD musi być pracownikiem?
Nie. Art. 37 ust. 6 RODO wprost dopuszcza wykonywanie zadań inspektora na podstawie umowy o świadczenie usług. Ile kosztuje każdy z wariantów, sprawdzisz w naszym kalkulatorze kosztów IOD.
Czy trzeba zgłosić IOD do UODO?
Tak. Zawiadomienie o wyznaczeniu inspektora składa się do Prezesa UODO w terminie 14 dni, elektronicznie, z podpisem kwalifikowanym lub profilem zaufanym. Obowiązek dotyczy również inspektora wyznaczonego dobrowolnie oraz każdej zmiany danych.
Czy prezes lub kierownik IT może być inspektorem?
Nie powinien. To klasyczny konflikt interesów — osoba decydująca o celach i sposobach przetwarzania nie może jednocześnie kontrolować własnych decyzji. UODO i sądy europejskie wielokrotnie kwestionowały takie rozwiązania.
Nie wiesz, czy obowiązek dotyczy Twojej firmy?
Ocena bywa niejednoznaczna — zwłaszcza przy pytaniu o „dużą skalę” i o to, co jest główną działalnością. Sprawdzimy to w ramach audytu RODO albo od razu przejmiemy funkcję w modelu outsourcingu IOD. Napisz do nas — krótka rozmowa zwykle wystarczy, żeby rozstrzygnąć wątpliwość.
