Czy każda firma potrzebuje IOD? Mity i fakty

Wokół funkcji Inspektora Ochrony Danych narosło wiele nieporozumień. Część organizacji zakłada, że obecność IOD jest zawsze wymagana na mocy przepisów, a inne traktują tę kwestię jako całkowicie opcjonalną. Tymczasem RODO jasno wskazuje, kiedy wyznaczenie Inspektora Ochrony Danych jest obowiązkowe, a kiedy stanowi świadomą decyzję organizacyjną związaną z zarządzeniem ryzykiem.

Poniżej porządkujemy najczęstsze mity i fakty oraz pokazujemy, jak bezpiecznie ocenić przesłanki wyznaczenia IOD w organizacji.

Mit: IOD musi mieć każda firma

Fakt: Obowiązek wyznaczenia Inspektora Ochrony Danych nie dotyczy wszystkich administratorów. Zgodnie z art. 37 RODO, IOD jest wymagany w szczególności gdy:

• przetwarzanie danych prowadzi organ lub podmiot publiczny,
• główna działalność administratora wymaga regularnego i systematycznego monitorowania osób na dużą skalę,
• główna działalność obejmuje przetwarzanie szczególnych kategorii danych osobowych na dużą skalę.

 

W praktyce oznacza to, że nie każda firma, nawet jeśli przetwarza dane osobowe, ma obowiązek powołania IOD.

Jednocześnie wiele organizacji, które formalnie nie podlegają temu obowiązkowi, decyduje się na wyznaczenie Inspektora Ochrony Danych dobrowolnie. Pozwala to uporządkować procesy, wzmocnić ochronę danych oraz ograniczyć ryzyka związane z przetwarzaniem.
 

Mit: IOD odpowiada za zgodność z RODO zamiast zarządu

Fakt: Odpowiedzialność za zgodność z RODO zawsze ponosi administrator, a w praktyce także osoby zarządzające procesami przetwarzania. Wynika to z zasady rozliczalności oraz obowiązków administratora w zakresie zgodności i bezpieczeństwa danych. Rola Inspektora Ochrony Danych w organizacji polega na wspieraniu administratora przez informowanie, doradzanie i monitorowanie – nie na przejmowaniu odpowiedzialności za decyzje ani działania operacyjne.

Kiedy powołanie Inspektora Ochrony Danych jest obowiązkowe

Najwięcej wątpliwości budzi ocena skali i charakteru przetwarzania. Dlatego rekomendowane jest przeprowadzenie i udokumentowanie analizy przesłanek wyznaczenia IOD, opartej na rzeczywistych procesach przetwarzania danych w organizacji.

Najczęstsze przykłady działalności, w których wyznaczenie IOD jest wymagane, to:

• podmioty publiczne oraz jednostki realizujące zadania publiczne,
• organizacje, których główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę, np. z wykorzystaniem rozbudowanych systemów analitycznych,
• podmioty, których główna działalność obejmuje przetwarzanie danych zdrowotnych lub innych szczególnych kategorii danych na dużą skalę.

Warto podkreślić, że nie chodzi o incydentalne działania, lecz o stałą, powtarzalną działalność administratora w której przetwarzanie stanowi istotny element modelu operacyjnego.
 

Przykłady podmiotów, w których często występuje obowiązek wyznaczenia IOD

Aby ułatwić ocenę, poniżej przedstawiamy przykłady podmiotów, w których w praktyce często zachodzą przesłanki do wyznaczenia Inspektora Ochrony Danych:

• placówki medyczne oraz podmioty przetwarzające dane pacjentów, w szczególności dane szczególnych kategorii,
• duże sieci handlowe i organizacje przetwarzające dane klientów na dużą skalę, szczególnie przy wykorzystaniu zaawansowanej analityki i profilowania,
• operatorzy usług telekomunikacyjnych oraz dostawcy usług cyfrowych, jeżeli przetwarzanie wiąże się ze stałym  monitorowaniem użytkowników,
• pracodawcy stosujący rozbudowany i systematyczny monitoring pracowników, jeżeli  monitoring stanowi istotny element organizacji pracy lub modelu operacyjnego.

Każdorazowo konieczna jest indywidualna ocena konkretnego przypadku, ponieważ samo przetwarzanie danych osobowych nie przesądza o obowiązku wyznaczenia IOD.
 

Mit: jeśli firma ma politykę ochrony danych osobowych, IOD jest zbędny

Fakt: Dokumenty, takie jak polityka ochrony danych osobowych, procedury czy rejestry, są podstawą zgodności z RODO, ale nie zastępują funkcji doradczej i monitorującej, jaką pełni IOD (Inspektor Ochrony Danych). W wielu organizacjach problemem nie jest brak dokumentacji, lecz brak spójności między dokumentami a praktyką oraz brak stałego nadzoru nad zgodnością.

IOD wspiera organizację w przekładaniu wymagań RODO na konkretne zasady działania, m.in. w obszarach marketingu, HR, IT, sprzedaży czy monitoringu.

Rola IOD w organizacji i najważniejsze zadania

W praktyce znaczenie Inspektora Ochrony Danych rośnie wraz z liczbą procesów przetwarzania oraz poziomem ryzyka. Do typowych zadań IOD należą:

• doradztwo w zakresie stosowania przepisów RODO oraz ocena, czy organizacja realizuje zasady przetwarzania danych osobowych,
• wsparcie w opracowywaniu i aktualizacji procedur oraz standardów ochrony danych osobowych,
• udział w ocenie ryzyka i rekomendowanie działań zwiększających bezpieczeństwo danych,
• monitorowanie zgodności przetwarzania danych, w tym zasad nadawania i kontroli dostępów do danych,
• udział w analizie incydentów, w szczególności naruszeń ochrony danych oraz doradztwo w zakresie dalszych działań, w tym zgłaszania naruszeń.

Tak rozumiana rola Inspektora Ochrony Danych wspiera organizację zarówno w bieżącym funkcjonowaniu, jak i w sytuacjach wymagających szybkiej reakcji.
 

Zewnętrzny inspektor ochrony danych

Wiele organizacji decyduje się na powołanie zewnętrznego Inspektora Ochrony Danych, gdy nie chce tworzyć etatu lub potrzebuje specjalistycznych kompetencji dostępnych od razu. Zewnętrzny IOD sprawdza się szczególnie wtedy, gdy:

• organizacja współpracuje z licznymi podmiotami przetwarzającymi dane i posiada rozbudowaną sieć umów oraz outsourcingu,
• występuje podwyższone ryzyko incydentów, np. z uwagi na szeroki dostęp do danych osobowych w wielu działach,
• organizacja dynamicznie rozwija systemy i usługi, a kwestie ochrony danych wymagają stałych konsultacji.
• Wybór Inspektora Ochrony Danych powinien uwzględniać rzeczywiste potrzeby organizacji, w szczególności liczbę procesów przetwarzania, poziom ryzyka, specyfikę branży oraz kulturę organizacyjną.
   

Zgłoszenie IOD i współpraca z organem nadzorczym

Jeżeli organizacja wyznacza Inspektora Ochrony Danych, ma obowiązek przekazać jego dane kontaktowe organowi nadzorczemu oraz udostępnić je osobom, których dane dotyczą (art. 37 ust. 7 RODO).

IOD pełni również rolę punktu kontaktowego dla organu nadzorczego i wspiera organizację w komunikacji w sprawach wymagających wyjaśnień, konsultacji lub obsługi naruszeń ochrony danych.

Czy moja firma potrzebuje IOD?

Jeżeli rozważają Państwo wyznaczenie Inspektora Ochrony Danych lub się upewnić, czy w Państwa przypadku istnieje taki obowiązek, możemy przeprowadzić analizę przesłanek w oparciu o rzeczywiste procesy przetwarzania i poziom ryzyka.

W Direct Group wspieramy podmioty prywatne, publiczne i organizacje społeczne - analizujemy obowiązek wyznaczenia IOD, porządkujemy dokumentację oraz zapewniamy obsługę w modelu zewnętrznego Inspektora Ochrony Danych.

Zapraszamy do kontaktu w celu dopasowania modelu współpracy i uporządkowania systemu ochrony danych w organizacji.