Egzekwowanie przepisów i IOD w praktyce

Organy nadzorcze i egzekwowanie

Każde państwo członkowskie ma co najmniej jeden niezależny organ nadzorczy z uprawnieniami dochodzeniowymi i naprawczymi na podstawie art. 58, w tym do wydawania nakazów, zakazów przetwarzania i administracyjnych kar pieniężnych. Przy przetwarzaniu transgranicznym mechanizm kompleksowej współpracy sprawia, że wiodącym organem jest organ głównej jednostki organizacyjnej (art. 56), współpracujący z innymi za pośrednictwem Europejskiej Rady Ochrony Danych. Kary mogą sięgać 20 mln euro lub 4% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa, za naruszenie zasad, podstaw prawnych, praw osób i przepisów o przekazywaniu danych, oraz 10 mln euro lub 2% za inne obowiązki (art. 83). Osoby mogą wnieść skargę do organu (art. 77) i dochodzić odszkodowania za szkodę majątkową lub niemajątkową (art. 82).

Wykonywanie funkcji

• Roczny plan uzgodniony z najwyższym kierownictwem: audyty, szkolenia, harmonogram DPIA i przeglądy polityk.
• Rejestr udzielonych zaleceń i podjętych decyzji – z uzasadnieniem, gdy zalecenia nie zastosowano.
• Regularne raporty dla zarządu z kilkoma istotnymi wskaźnikami: żądania osób i terminowość, naruszenia i wnioski, ukończone DPIA, przeglądy dostawców.
• Jasna współpraca z bezpieczeństwem, działem prawnym, kadrami, zakupami i nadzorem nad AI, aby ochrona danych była włączana wcześnie, a nie konsultowana za późno.
• Stałe doskonalenie zawodowe w celu utrzymania wiedzy fachowej.

Niezależność w praktyce

Niezależność chroni prawo, ale zdobywa się ją w praktyce: jasnymi, proporcjonalnymi i pisemnymi zaleceniami, eskalacją, gdy jest potrzebna, oraz odmową zadań, w których IOD decydowałby o celach i sposobach przetwarzania. Dobry IOD sprawia, że zgodność łatwiej osiągnąć, a nie trudniej zrozumieć.