Rola i status inspektora ochrony danych

Kiedy IOD jest obowiązkowy

Art. 37 wymaga wyznaczenia IOD w trzech przypadkach: przetwarzania dokonuje organ lub podmiot publiczny (z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości); główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które wymagają regularnego i systematycznego monitorowania osób na dużą skalę; albo główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych lub danych dotyczących wyroków skazujących i czynów zabronionych. Prawo państwa członkowskiego może przewidywać inne przypadki, a organizacja, która wyznacza IOD dobrowolnie, musi stosować te same zasady.

Grupa przedsiębiorstw może wyznaczyć jednego IOD, jeżeli łatwo nawiązać z nim kontakt z każdej jednostki. IOD może być pracownikiem lub działać na podstawie umowy o świadczenie usług; wyznacza się go na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych. Organizacja publikuje jego dane kontaktowe i przekazuje je organowi nadzorczemu.

Status: udział, zasoby i niezależność

• Jest właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych (art. 38 ust. 1).
• Otrzymuje zasoby niezbędne do wykonywania zadań, dostęp do danych i operacji przetwarzania oraz środki do utrzymania wiedzy fachowej.
• Nie otrzymuje instrukcji dotyczących wykonywania zadań i nie może być odwołany ani karany za ich wykonywanie.
• Podlega bezpośrednio najwyższemu kierownictwu.
• Może wykonywać inne zadania, o ile nie powodują konfliktu interesów.
• Jest zobowiązany do zachowania tajemnicy lub poufności.

Zadania z art. 39

IOD co najmniej informuje organizację i jej pracowników o ich obowiązkach i doradza im w tym zakresie; monitoruje przestrzeganie RODO, innych przepisów o ochronie danych i polityk wewnętrznych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia i audyty; udziela zaleceń co do oceny skutków dla ochrony danych i monitoruje jej wykonanie; współpracuje z organem nadzorczym i pełni funkcję punktu kontaktowego. Należycie uwzględnia ryzyko związane z operacjami przetwarzania.

Odpowiedzialność za zgodność spoczywa na administratorze lub podmiocie przetwarzającym, a nie na IOD. IOD doradza; kierownictwo decyduje – i powinno udokumentować, dlaczego nie stosuje się do zalecenia.