REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Jakie obowiązki IOD można wpisać w umowie?

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Sylwia Czub-Kiełczewska
Specjalista ds. ochrony danych osobowych i informacji niejawnych
dokumenty RODO fot. shutterstock
dokumenty RODO fot. shutterstock

REKLAMA

REKLAMA

Inspektor ochrony danych to osoba pełniąca rolę doradczą oraz nadzorczą. Jeżeli będzie zbyt mocno zaangażowana w same procesy przetwarzania, nie będzie w stanie skutecznie wspierać administratora danych. Jaki powinien być zakres obowiązków IOD w umowie?

Zakres obowiązków IOD w umowie

W rozmowach z moimi znajomymi, pełniącym obowiązki Inspektorów, często przewija się temat zadań, jakie powinien wykonywać inspektor, a tym czego oczekuje administrator danych i co próbuje zamieścić w umowie z Inspektorem. Rozbieżność w oczekiwaniach obu stron jest duża, a jej główną przyczyną często jest to, że administrator chciałby zapłacić komuś, aby wziął na siebie “problem RODO” i nie zawracać sobie tym tematem głowy, a także fakt, że przed RODO zakres obowiązków ówczesnego ABI wynikający z obowiązujących wówczas przepisów był szerszy, niż obecnie. Polski ustawodawca uczynił ABI wykonawcą wielu obowiązków, które na mocy RODO należą do administratora danych. Osoby, które z ABI stały się IOD, stanęły przed dylematem, jak działać “po nowemu”.

REKLAMA

Zakres obowiązków IOD wynikający z RODO

  • powinien być właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych,
  • jest punktem kontaktowym dla osób, których dane dotyczą w sprawach dotyczących ich danych,
  • jest punktem kontaktowym dla organu nadzorczego w sprawach, które dotyczą przetwarzania danych przez administratora danych,
  • ma ustawowy obowiązek zachowania poufności,
  • doradzanie administratorowi, podmiotom przetwarzającym, a także personelowi administratora w zakresie sposób przetwarzania danych osobowych zgodnie z RODO,
  •  zapewnienie przeszkolenia osób przetwarzających dane osobowe z obowiązków wynikających z RODO,
  •  nadzorowanie zgodności przetwarzania danych osobowych z RODO, w szczególności poprzez przeprowadzanie audytów i opracowywanie sprawozdań z zaleceniami dla administratora danych,
  • monitorowanie polityk bezpieczeństwa danych osobowych oraz podziału obowiązków u administratora,
  • uwzględnianie ryzyka związanego z operacjami przetwarzania, tzn. charakteru, zakresu, kontekstu i celi przetwarzania, w wypełnianiu swoich obowiązków,
  • wspieranie administratora danych przy podejrzeniach oraz naruszeniach dla ochrony danych osobowych, szacowaniu ryzyka dla ochrony danych, ocenie skutków dla ochrony danych, prowadzeniu rejestru czynności oraz kategorii przetwarzania danych, powierzaniu, udostępnianiu, współadministrowaniu danych.

Zakres obowiązków administratora danych wynikający z RODO

  • zapewnia, by inspektor był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych,
  • wspiera inspektora w wypełnianiu przez niego zadań, w tym zapewnia mu niezbędne zasoby oraz dostęp do danych osobowych i operacji przetwarzania,
  • zapewnia zasoby niezbędne do utrzymania wiedzy fachowej inspektora,
  • zapewnia, aby inspektor nie otrzymywał instrukcji dotyczących wykonywania przez niego zadań,
  • jeżeli inspektor ma także inne zadania, zapewnia aby nie kolidowały one z zadaniami wynikającymi z przepisów o ochronie danych osobowych,
  • zawiadamianie organu nadzorczego, a także osób, których naruszenie dotyczy (o ile ma to zastosowanie przy naruszeniu) o naruszeniu dla ochrony danych,
  • przeprowadzanie działań wyjaśniających oraz naprawczych przy podejrzeniach oraz naruszeniach dla ochrony danych osobowych,
  • szacowanie ryzyka dla ochrony danych,
  • przeprowadzanie oceny skutków dla ochrony danych,
  • prowadzenie rejestru czynności oraz kategorii przetwarzania danych,
  • powierzanie, udostępnianie, współadministrowanie danych osobowych,
  • zawiadamianie organu nadzorczego o wyznaczeniu/zmianie/odwołaniu inspektora,
  • wdrażanie działań naprawczych, w tym zaleceń inspektora.

I tutaj muszę napisać, że niestety bardzo często administratorzy danych wpisują inspektorowi ochrony danych swoje obowiązki w jego zakres zadań. To nie jest już kwestia odpowiedzialności (w końcu inspektor nie może być karany ani odwoływany za realizację swoich działań), ale niskiej świadomości administratora, który nie zdaje sobie sprawy, że nawet jeżeli spróbuje na kogoś przerzucić umownie swoje obowiązki, to nadal ponosi odpowiedzialność za ich realizację. W szczególności ponosi odpowiedzialność za ich niezrealizowanie, co w wielu przypadkach będzie miało miejsce, bo inspektor nie może nadzorować, zalecać, a następnie wdrażać swoich zaleceń. Jeżeli inspektor ma w zakresie obowiązków realizację zadań administratora danych, to tak naprawdę, już na starcie nie zostały przez administratora wypełnione obowiązki wynikające z art. 38 RODO, tzn. zapewnienie mu niezależności oraz narzędzi do pracy. Inspektor bardzo często zaleca zakup szaf lub oprogramowania. Jeżeli wpisano mu w obowiązki zapewnienie zgodności przetwarzania danych z RODO, wówczas powinien być uprawniony do zlecenia i realizacji tego zakupu. W praktyce najczęściej jest to niemożliwe, zatem taki zapis w jego zakresie obowiązków jest niezgodny z RODO.

Podobnie często administrator powierza inspektorowi przeprowadzanie analizy ryzyka i ocenę skutków dla ochrony danych, podczas gdy przepisy wyraźnie wskazują, że jest to jego obowiązek, a inspektor powinien go jedynie wspierać w tym zakresie. Przeprowadzanie oceny skutków przez inspektora, najczęściej powinno skończyć się zaleceniem zrezygnowania z czynności przetwarzania, ponieważ jest to najskuteczniejsza metoda omijania ryzyka, jaką może on zalecić. Z punktu widzenia administratora, przetwarzanie może być niezbędne (np. działania marketingowe istotnie wpływają na sprzedaż), więc to w jego interesie i zakresie obowiązków jest ocena skutków, czyli ocena, czy działanie jest niezbędne i powinno być realizowane przy zastosowaniu odpowiednich działań minimalizujących ryzyko. Warto dodać, że inspektor może nie mieć wystarczającej wiedzy do przeprowadzenia skutecznej analizy ryzyka i oceny skutków. Jego wsparcie w szczególności polega na uzyskaniu niezbędnych informacji, usystematyzowaniu ich oraz sformalizowaniu. Na przykład analizę ryzyka mogą przeprowadzić przy jego wsparciu poszczególne komórki organizacyjne, a on dokonuje analizy całościowych wyników, na ich podstawie tworząc zbiorczą analizę ryzyka. Nie może usiąść za biurkiem i na podstawie tego co mu się wydaje “stworzyć analizę ryzyka”, ponieważ analiza jest wynikiem pewnego procesu myślowego, dokonanego przez pracowników, które powinno być udokumentowane. Punktem wyjścia do analizy może być przeprowadzenie audytu przez inspektora.

Podobnie przy ocenie skutków, jego rola sprowadza się do dyskusji z administratorem na temat procesu przetwarzania, opracowaniu zaleceń, a jeżeli administrator zgodzi się na ich wprowadzenie, oszacowanie ryzyka dla przetwarzania na nowych warunkach.

W ust. 2 pkt. 2 art. 36 a starej ustawy o ochronie danych osobowych (Dz.U. 2016 poz. 922) ustawodawca wskazał, jako jeden z obowiązków ABI (obecnie zastąpił go IOD) prowadzenie rejestru zbioru danych. Natomiast w art. 30 RODO wyraźnie wskazano, że rejestry czynności i kategorii przetwarzania prowadzi administrator danych. Inspektor może go wspierać w tych działaniach, jednak nie jest to jego obowiązek. W związku z tym, prowadzenie rejestru także nie może zostać “zrzucone” na inspektora. Ma on jednak w obowiązkach nadzorowanie dokumentacji bezpieczeństwa administratora, zatem w praktyce stworzenie rejestru wymaga zaangażowania administratora, który powinien uzyskać od personelu (np. poprzez ankiety) informacje niezbędne do stworzenia rejestru. Inspektor powinien przygotować odpowiednie tabele lub ankiety do wypełnienia, może także przeprowadzić szkolenie i rozmowy z pracownikami, aby zapewnić uzyskanie niezbędnych informacji. Jego nadzór będzie odbywał się poprzez audyty zgodności zapisów w rejestrze ze stanem rzeczywistym w danej komórce organizacyjnej. Dlaczego obowiązkiem inspektora nie może być stworzenie i prowadzenie rejestru? W praktyce tylko administrator danych a odpowiednie narzędzia i środki, aby uzyskać od wszystkich pracowników niezbędne informacje. Bez jego zaangażowania w proces, rejestr będzie jedynie efektem pracy twórczej inspektora, który nie do końca będzie zgodny ze stanem rzeczywistym. A przecież zgodnie z artykułem 5 RODO, administrator musi mieć pełną wiedzę o tym jakie dane przetwarza, więc rejestr jest mu niezbędny.

Dalszy ciąg materiału pod wideo

Należy pamiętać, że inspektor ochrony danych to osoba pełniąca rolę doradczą oraz nadzorczą. Jeżeli będzie zbyt mocno zaangażowana w same procesy przetwarzania, nie będzie w stanie skutecznie wspierać administratora danych. Rola inspektora w organizacji będzie rosła, tak jak rośnie rola informacji oraz danych osobowych w biznesie. Nim więcej dane są warte dla przedsiębiorcy, tym bardziej istotne będzie zapewnienie odpowiedniego wsparcia dla ochrony tych danych.

Polecamy serwis: Umowa o pracę

Zapisz się na newsletter
Najlepsze artykuły, najpoczytniejsze tematy, zmiany w prawie i porady. Skoncentrowana dawka wiadomości z różnych kategorii: prawo, księgowość, kadry, biznes, nieruchomości, pieniądze, edukacja. Zapisz się na nasz newsletter i bądź zawsze na czasie.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Prawo
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Koszty budowy domu jednorodzinnego 2025-2026. Jak zmieniają się ceny działek, materiałów budowlanych? Na czym można zaoszczędzić?

Czy w 2020 roku można było przewidzieć, że budowa domu w Polsce zdrożeje o blisko połowę w ciągu zaledwie pięciu kolejnych lat? Eksperci Extradom.pl przedstawili prognozy na najbliższą przyszłość, oparte o analizę kosztów budowy domu od 2021 do 2025 roku.

Ile zarabiają lekarze w publicznej służbie zdrowia? Od kilku tysięcy złotych na umowie o pracę do 100 tys. zł i więcej za jedną fakturę wystawioną szpitalowi

Lekarz w publicznym systemie ochrony zdrowia może liczyć na zarobki od kilku tysięcy złotych na umowie o pracę do 100 tys. zł i więcej za jedną fakturę wystawioną szpitalowi. Najmniej zarabiają lekarze na początku drogi zawodowej. Kontrowersje budzą niektóre kontrakty lekarzy specjalistów.

Europa stawia na migrantów. Polska się starzeje i wyludnia – co dalej?

Rekordowa liczba ludności w Unii Europejskiej – 450,4 mln osób – to efekt rosnącej imigracji, która rekompensuje spadek urodzeń i przewagę zgonów. Europa starzeje się, a migranci łagodzą demograficzny kryzys. Polska, z ujemnym bilansem ludności, stoi dziś na rozdrożu.

Kontrole SANEPIDU na koloniach, obozach i na innych obiektach pobytu dzieci i młodzieży w woj. małopolskim

Dzieci i młodzież skorzystają jak co roku z wypoczynku zorganizowanego w formie wyjazdowej jako kolonia, obóz lub jako forma w miejscu zamieszkania, m.in. na półkoloniach organizowanych przez placówki oświatowo-wychowawcze, świetlice szkolne, młodzieżowe domy kultury, ośrodki sportowe. W związku z tym zapowiedziane są kontrole SANEPIDU na koloniach, obozach i innych obiektów pobytu dzieci i młodzieży w woj. małopolskim.

REKLAMA

18 lipca pieniądze z ZUS wpłyną na konto. Dobre wieści dla tysięcy Polaków

Już 18 lipca 2025 r. na konta tysięcy emerytów trafią środki z ZUS, mimo że standardowy termin wypłat przypada na 20 lipca. Ze względu na niedzielę, Zakład Ubezpieczeń Społecznych przesunął wypłatę świadczeń o dwa dni wcześniej. To dobra wiadomość dla wielu seniorów.

Popularne tężnie solankowe niebezpieczne dla zdrowia – groźne bakterie, grzyby, promieniowce i gronkowce wykryte w wodzie solankowej i problem braku norm czystości „leczniczej mgiełki”

Z badań przeprowadzonych przez naukowców z Uniwersytety Rolniczego im. Hugona Kołłątaja w Krakowie wynika, że coraz bardziej zyskujące na popularności miejskie tężnie solankowe, na których pobyt – pod względem absorbcji jodu – porównywany bywa z trzydniowym pobytem nad morzem – pozostawiają wiele do „życzenia” pod względem czystości mikrobiologicznej krążącej w nich wody solankowej oraz wytwarzającej się z niej mgiełki, która jest bezpośrednio wdychana przez użytkowników takich instalacji. Bakterie E.coli, E. faecalis i C. perfringens, to tylko niektóre z groźnych dla zdrowia patogenów wykrytych w solance jednej z miejskich tężni. Powagę problemu potęguje fakt braku odpowiednich norm prawnych.

Polacy są skłonni udostępniać handlowcom swoje dane, jeśli w zamian otrzymają konkretne korzyści

Powstał bardzo ciekawy raport zawierający informacje dotyczące tego, że: DANE W HANDLU SĄ CORAZ MOCNIEJSZĄ „WALUTĄ”. Jak to możliwe? Okazuje się, że Polacy są skłonni udostępniać handlowcom swoje dane, jeśli w zamian otrzymają konkretne korzyści.

800 plus dla seniorów czy nawet 50. latków: za każde wychowane i pracujące dziecko, które płaci podatki w Polsce. Czy wejdzie?

Pojawiają się kolejne głosy i wiadomości od Czytelników w sprawie tzw. dodatku emerytalnego (czy nawet przedemerytalnego) z tytułu wychowania dziecka. Miałoby to być tzw. 800 plus dla seniorów czy nawet 50. latków: za każde wychowane i pracujące dziecko, które płaci podatki w Polsce. Czy taka regulacja wejdzie w życie? Czekamy na odpowiedź z Kancelarii Prezydenta RP.

REKLAMA

Minister infrastruktury: już w 2025 r. będzie obowiązek jazdy w kasku na rowerze i hulajnodze elektrycznej przez dzieci i młodzież do lat 16

Jest uchwała w sprawie wprowadzenia ustawowego obowiązku noszenia kasku podczas jazdy m.in. rowerem i hulajnogą elektryczną przez dzieci do lat 16. Przepis ma zostać dodany do nowelizacji ustawy Prawo o ruchu drogowym - poinformował 14 lipca szef MI Dariusz Klimczak.

Renta wdowia a 14. emerytura – co warto wiedzieć? Sprawdź, czy stracisz świadczenie

Nowe przepisy wprowadzane w 2025 roku miały być ulgą dla tysięcy seniorów, którzy po śmierci małżonka zostali z ograniczonymi środkami do życia. Renta wdowia, nowy instrument łączący własną emeryturę z częścią renty rodzinnej, budziła nadzieję. Niestety, radość nie trwała długo. Okazuje się, że w wielu przypadkach przyjęcie renty wdowiej może pozbawić seniora czternastej emerytury.

REKLAMA