Inspektor ochrony danych (IOD) to osoba, która w organizacji czuwa nad przestrzeganiem przepisów o ochronie danych osobowych, przede wszystkim RODO. Przed 2018 r. podobną rolę pełnił administrator bezpieczeństwa informacji, stąd wciąż spotykany skrót IODO. Inspektorem może być pracownik albo osoba z zewnątrz działająca na podstawie umowy o świadczenie usług. Pełnię tę funkcję jako zewnętrzny inspektor i doradzam administratorom, którzy mają już własnego IOD.
Kto musi wyznaczyć inspektora
Zgodnie z art. 37 RODO obowiązek wyznaczenia inspektora mają:
- organy i podmioty publiczne,
- administratorzy i podmioty przetwarzające, których główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę,
- administratorzy i podmioty przetwarzające, których główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (np. o zdrowiu) lub danych dotyczących wyroków skazujących.
Pozostałe podmioty mogą wyznaczyć inspektora dobrowolnie. Wtedy obowiązują ich te same zasady co przy wyznaczeniu obowiązkowym. O wyznaczeniu inspektora administrator zawiadamia Prezesa Urzędu Ochrony Danych Osobowych w ciągu 14 dni.
Czym zajmuję się jako inspektor
- Informowanie i doradztwo: odpowiadam na pytania zarządu i pracowników dotyczące przetwarzania danych.
- Monitorowanie zgodności: sprawdzam, czy procedury, umowy i praktyka odpowiadają przepisom, i wskazuję, co trzeba poprawić.
- Szkolenia: prowadzę szkolenia dla osób, które na co dzień mają dostęp do danych osobowych.
- Ocena skutków: doradzam przy ocenie skutków dla ochrony danych, gdy planowane przetwarzanie wiąże się z wysokim ryzykiem.
- Naruszenia: pomagam ocenić incydent i przygotować zgłoszenie do organu nadzorczego oraz zawiadomienie osób, których dane dotyczą.
- Kontakt z organem nadzorczym: jestem punktem kontaktowym dla Prezesa UODO i dla osób, które chcą skorzystać ze swoich praw.
Inspektor wykonuje zadania niezależnie. Administrator nie może wydawać mu poleceń co do sposobu wykonywania zadań ani odwołać go lub ukarać za ich wykonywanie.
Dokumentacja RODO i spory
Niezależnie od pełnienia funkcji inspektora przygotowuję dokumentację ochrony danych: rejestr czynności przetwarzania, klauzule informacyjne, politykę prywatności, umowy powierzenia przetwarzania danych i wewnętrzne procedury, w tym procedurę postępowania z naruszeniami. Reprezentuję też klientów w postępowaniach przed Prezesem UODO, w sądzie administracyjnym oraz w sporach cywilnych dotyczących naruszenia przepisów o ochronie danych.
Na co uważać
Administrator ma 72 godziny od stwierdzenia naruszenia na zgłoszenie go organowi nadzorczemu, chyba że naruszenie nie powoduje ryzyka dla osób, których dane dotyczą. W praktyce oznacza to, że procedura reagowania na incydenty powinna istnieć, zanim cokolwiek się wydarzy. Warto też pamiętać, że inspektor nie powinien jednocześnie pełnić funkcji, w których sam decyduje o celach i sposobach przetwarzania danych, bo prowadzi to do konfliktu interesów.