Kategorie

Jakie obowiązki IOD można wpisać w umowie?

Sylwia Czub-Kiełczewska
Specjalista ds. ochrony danych osobowych i informacji niejawnych
dokumenty RODO fot. shutterstock
Inspektor ochrony danych to osoba pełniąca rolę doradczą oraz nadzorczą. Jeżeli będzie zbyt mocno zaangażowana w same procesy przetwarzania, nie będzie w stanie skutecznie wspierać administratora danych. Jaki powinien być zakres obowiązków IOD w umowie?

Zakres obowiązków IOD w umowie

W rozmowach z moimi znajomymi, pełniącym obowiązki Inspektorów, często przewija się temat zadań, jakie powinien wykonywać inspektor, a tym czego oczekuje administrator danych i co próbuje zamieścić w umowie z Inspektorem. Rozbieżność w oczekiwaniach obu stron jest duża, a jej główną przyczyną często jest to, że administrator chciałby zapłacić komuś, aby wziął na siebie “problem RODO” i nie zawracać sobie tym tematem głowy, a także fakt, że przed RODO zakres obowiązków ówczesnego ABI wynikający z obowiązujących wówczas przepisów był szerszy, niż obecnie. Polski ustawodawca uczynił ABI wykonawcą wielu obowiązków, które na mocy RODO należą do administratora danych. Osoby, które z ABI stały się IOD, stanęły przed dylematem, jak działać “po nowemu”.

Zakres obowiązków IOD wynikający z RODO

  • powinien być właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych,
  • jest punktem kontaktowym dla osób, których dane dotyczą w sprawach dotyczących ich danych,
  • jest punktem kontaktowym dla organu nadzorczego w sprawach, które dotyczą przetwarzania danych przez administratora danych,
  • ma ustawowy obowiązek zachowania poufności,
  • doradzanie administratorowi, podmiotom przetwarzającym, a także personelowi administratora w zakresie sposób przetwarzania danych osobowych zgodnie z RODO,
  •  zapewnienie przeszkolenia osób przetwarzających dane osobowe z obowiązków wynikających z RODO,
  •  nadzorowanie zgodności przetwarzania danych osobowych z RODO, w szczególności poprzez przeprowadzanie audytów i opracowywanie sprawozdań z zaleceniami dla administratora danych,
  • monitorowanie polityk bezpieczeństwa danych osobowych oraz podziału obowiązków u administratora,
  • uwzględnianie ryzyka związanego z operacjami przetwarzania, tzn. charakteru, zakresu, kontekstu i celi przetwarzania, w wypełnianiu swoich obowiązków,
  • wspieranie administratora danych przy podejrzeniach oraz naruszeniach dla ochrony danych osobowych, szacowaniu ryzyka dla ochrony danych, ocenie skutków dla ochrony danych, prowadzeniu rejestru czynności oraz kategorii przetwarzania danych, powierzaniu, udostępnianiu, współadministrowaniu danych.

Zakres obowiązków administratora danych wynikający z RODO

  • zapewnia, by inspektor był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych,
  • wspiera inspektora w wypełnianiu przez niego zadań, w tym zapewnia mu niezbędne zasoby oraz dostęp do danych osobowych i operacji przetwarzania,
  • zapewnia zasoby niezbędne do utrzymania wiedzy fachowej inspektora,
  • zapewnia, aby inspektor nie otrzymywał instrukcji dotyczących wykonywania przez niego zadań,
  • jeżeli inspektor ma także inne zadania, zapewnia aby nie kolidowały one z zadaniami wynikającymi z przepisów o ochronie danych osobowych,
  • zawiadamianie organu nadzorczego, a także osób, których naruszenie dotyczy (o ile ma to zastosowanie przy naruszeniu) o naruszeniu dla ochrony danych,
  • przeprowadzanie działań wyjaśniających oraz naprawczych przy podejrzeniach oraz naruszeniach dla ochrony danych osobowych,
  • szacowanie ryzyka dla ochrony danych,
  • przeprowadzanie oceny skutków dla ochrony danych,
  • prowadzenie rejestru czynności oraz kategorii przetwarzania danych,
  • powierzanie, udostępnianie, współadministrowanie danych osobowych,
  • zawiadamianie organu nadzorczego o wyznaczeniu/zmianie/odwołaniu inspektora,
  • wdrażanie działań naprawczych, w tym zaleceń inspektora.
Reklama

I tutaj muszę napisać, że niestety bardzo często administratorzy danych wpisują inspektorowi ochrony danych swoje obowiązki w jego zakres zadań. To nie jest już kwestia odpowiedzialności (w końcu inspektor nie może być karany ani odwoływany za realizację swoich działań), ale niskiej świadomości administratora, który nie zdaje sobie sprawy, że nawet jeżeli spróbuje na kogoś przerzucić umownie swoje obowiązki, to nadal ponosi odpowiedzialność za ich realizację. W szczególności ponosi odpowiedzialność za ich niezrealizowanie, co w wielu przypadkach będzie miało miejsce, bo inspektor nie może nadzorować, zalecać, a następnie wdrażać swoich zaleceń. Jeżeli inspektor ma w zakresie obowiązków realizację zadań administratora danych, to tak naprawdę, już na starcie nie zostały przez administratora wypełnione obowiązki wynikające z art. 38 RODO, tzn. zapewnienie mu niezależności oraz narzędzi do pracy. Inspektor bardzo często zaleca zakup szaf lub oprogramowania. Jeżeli wpisano mu w obowiązki zapewnienie zgodności przetwarzania danych z RODO, wówczas powinien być uprawniony do zlecenia i realizacji tego zakupu. W praktyce najczęściej jest to niemożliwe, zatem taki zapis w jego zakresie obowiązków jest niezgodny z RODO.

Podobnie często administrator powierza inspektorowi przeprowadzanie analizy ryzyka i ocenę skutków dla ochrony danych, podczas gdy przepisy wyraźnie wskazują, że jest to jego obowiązek, a inspektor powinien go jedynie wspierać w tym zakresie. Przeprowadzanie oceny skutków przez inspektora, najczęściej powinno skończyć się zaleceniem zrezygnowania z czynności przetwarzania, ponieważ jest to najskuteczniejsza metoda omijania ryzyka, jaką może on zalecić. Z punktu widzenia administratora, przetwarzanie może być niezbędne (np. działania marketingowe istotnie wpływają na sprzedaż), więc to w jego interesie i zakresie obowiązków jest ocena skutków, czyli ocena, czy działanie jest niezbędne i powinno być realizowane przy zastosowaniu odpowiednich działań minimalizujących ryzyko. Warto dodać, że inspektor może nie mieć wystarczającej wiedzy do przeprowadzenia skutecznej analizy ryzyka i oceny skutków. Jego wsparcie w szczególności polega na uzyskaniu niezbędnych informacji, usystematyzowaniu ich oraz sformalizowaniu. Na przykład analizę ryzyka mogą przeprowadzić przy jego wsparciu poszczególne komórki organizacyjne, a on dokonuje analizy całościowych wyników, na ich podstawie tworząc zbiorczą analizę ryzyka. Nie może usiąść za biurkiem i na podstawie tego co mu się wydaje “stworzyć analizę ryzyka”, ponieważ analiza jest wynikiem pewnego procesu myślowego, dokonanego przez pracowników, które powinno być udokumentowane. Punktem wyjścia do analizy może być przeprowadzenie audytu przez inspektora.

Reklama

Podobnie przy ocenie skutków, jego rola sprowadza się do dyskusji z administratorem na temat procesu przetwarzania, opracowaniu zaleceń, a jeżeli administrator zgodzi się na ich wprowadzenie, oszacowanie ryzyka dla przetwarzania na nowych warunkach.

W ust. 2 pkt. 2 art. 36 a starej ustawy o ochronie danych osobowych (Dz.U. 2016 poz. 922) ustawodawca wskazał, jako jeden z obowiązków ABI (obecnie zastąpił go IOD) prowadzenie rejestru zbioru danych. Natomiast w art. 30 RODO wyraźnie wskazano, że rejestry czynności i kategorii przetwarzania prowadzi administrator danych. Inspektor może go wspierać w tych działaniach, jednak nie jest to jego obowiązek. W związku z tym, prowadzenie rejestru także nie może zostać “zrzucone” na inspektora. Ma on jednak w obowiązkach nadzorowanie dokumentacji bezpieczeństwa administratora, zatem w praktyce stworzenie rejestru wymaga zaangażowania administratora, który powinien uzyskać od personelu (np. poprzez ankiety) informacje niezbędne do stworzenia rejestru. Inspektor powinien przygotować odpowiednie tabele lub ankiety do wypełnienia, może także przeprowadzić szkolenie i rozmowy z pracownikami, aby zapewnić uzyskanie niezbędnych informacji. Jego nadzór będzie odbywał się poprzez audyty zgodności zapisów w rejestrze ze stanem rzeczywistym w danej komórce organizacyjnej. Dlaczego obowiązkiem inspektora nie może być stworzenie i prowadzenie rejestru? W praktyce tylko administrator danych a odpowiednie narzędzia i środki, aby uzyskać od wszystkich pracowników niezbędne informacje. Bez jego zaangażowania w proces, rejestr będzie jedynie efektem pracy twórczej inspektora, który nie do końca będzie zgodny ze stanem rzeczywistym. A przecież zgodnie z artykułem 5 RODO, administrator musi mieć pełną wiedzę o tym jakie dane przetwarza, więc rejestr jest mu niezbędny.

Należy pamiętać, że inspektor ochrony danych to osoba pełniąca rolę doradczą oraz nadzorczą. Jeżeli będzie zbyt mocno zaangażowana w same procesy przetwarzania, nie będzie w stanie skutecznie wspierać administratora danych. Rola inspektora w organizacji będzie rosła, tak jak rośnie rola informacji oraz danych osobowych w biznesie. Nim więcej dane są warte dla przedsiębiorcy, tym bardziej istotne będzie zapewnienie odpowiedniego wsparcia dla ochrony tych danych.

Polecamy serwis: Umowa o pracę

Źródło: INFOR
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

Komentarze(0)

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code

    © Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

    Prawo
    1 sty 2000
    14 cze 2021
    Zakres dat:

    Kapitał rodzicielski - od kiedy?

    Ustawa w sprawie kapitału rodzicielskiego ma wejść w życie od stycznia 2022 r. O szczegółach mówiła minister rodziny Marlena Maląg.

    Wniosek o dowód osobisty online jeszcze tylko przez 50 dni

    To ostatnie 50 dni na złożenie wniosku o nowy dowód osobisty przez internet. Ministerstwo Cyfryzacji przypomina o ważnych zmianach, które wejdą w życie w sierpniu.

    Postępowanie egzekucyjne w administracji 2021 - zmiany od lipca

    Nowelizacja ustawy o postępowaniu egzekucyjnym w administracji, która wejdzie w życie 1 lipca 2021 r. choć obejmuje zaledwie kilka artykułów, to bez wątpienia ma znamiona rewolucyjne.

    Światowy Dzień Świadomości Znęcania się nad Osobami Starszymi

    15 czerwca 2021 r. przypada Dzień Świadomości Znęcania się nad Osobami Starszymi. Przemoc jest problemem, który dotyka seniorów na całym świecie.

    Kara pozbawienia wolności nie tylko w zakładzie karnym

    Osoby, które zostały skazane na karę pozbawienia wolności, mają do wyboru dwie instytucje prawne, które dają im możliwość odbycia tej kary poza zakładem karnym.

    Gdzie zrealizowano najwięcej bonów turystycznych? [AUDIO]

    W województwie mazowieckim aktywowano ponad 241 tys. bonów turystycznych i dokonano płatności na kwotę przeszło 65 mln zł. To najwięcej w Polsce.

    Abonament RTV w 2022 r. - stawki

    Stawki opłat za abonament RTV w 2022 r. nie ulegną zmianie. Tak wynika z nowego rozporządzenia KRRiT.

    Unieważnienie małżeństwa z powodu choroby psychicznej

    Unieważnienie małżeństwa to instytucja uregulowana w Kodeksie rodzinnym i opiekuńczym, polegająca na unieważnieniu ślubu cywilnego.

    Wzrosła liczba dzieci zmuszonych do pracy [RAPORT]

    Liczba dzieci zmuszonych do pracy wzrosła po raz pierwszy od dwóch dekad. Tak wynika z raportu opublikowanego przez UNICEF i Międzynarodową Organizację Pracy.

    Jakie obostrzenia na wakacje 2021 r.?

    Jakie obostrzenia przewidziano na wakacje w 2021 r. Co z hotelami i obiektami kultury?

    Lato 2021 – ubezpieczenie dzieci

    Lato 2021 – ubezpieczenie dzieci. Po przedłużonym lockdownie i związanych z pandemią obostrzeniach zbliżające się lato 2021 jest jednym z najbardziej wyczekiwanych okresów od kilku lat. Mimo że w ubiegłym roku zmuszeni byliśmy zmienić wiele wakacyjnych planów podróży (według badań CBOS zrobiła to ponad jedna trzecia z nas[1]), część rodaków wybrała się na wypoczynek – w kraju lub za granicą. Spora część z nas urlop planuje również w nadchodzących miesiącach. Czy jesteśmy teraz skłonni bardziej zadbać o swoje bezpieczeństwo podczas wyjazdów i jakie mamy w tym zakresie priorytety?

    Alimenty, kredyty, koszty sądowe - jakie długi w 2021 r.?

    Wartość nieopłaconych w terminie bieżących rachunków, alimentów czy kosztów sądowych oraz rat kredytów po I kwartale 2021 r. wynosi prawie 80 mld zł.

    Dr Anna Stasiak-Apelska: Hejt jest wszechobecny

    „Hejtowanie w Internecie ma negatywne i poważne konsekwencje dla obydwu stron” – przekonuje dr Anna Stasiak-Apelska – radca prawny.

    Bon turystyczny dla emerytów i rencistów w 2021 r.?

    Bon turystyczny dla emerytów i rencistów od września 2021 r. - to zmiany, które poparła senacka komisja ustawodawcza.

    Senat za zasiłkiem pogrzebowym dla nowej grupy uprawnionych

    Zasiłek pogrzebowy miałby przysługiwać nowej grupie uprawnionych. Senackie komisje poparły projekt, zakładający wsparcie rodziców dziecka martwo urodzonego, którego płci nie da się ustalić..

    Pracownik zagraniczny w dobie pandemii [BADANIE]

    Pracownik zagraniczny w dobie pandemii - badanie wykazało, że cudzoziemcy chętnie przedłużają pobyt i pracę w Polsce na czas pandemii. Pojawia się jednak pytanie - co potem?

    Czy konsumenci rozróżniają oryginalne i podrobione towary?

    Konsumenci nadal mają trudności z rozróżnieniem towarów oryginalnych i podrobionych. Na problem zwraca uwagę Urząd Unii Europejskiej ds. Własności Intelektualnej.

    Prawnik do porodu? Pomocy szukamy nie tylko przy rozwodzie

    Prawnik do porodu czy mediator to coraz częstsze oczekiwania osób szukających pomocy prawnej. Prawnicy rodzinni zajmują się już nie tylko rozwodami czy alimentami.

    Świadczenia rodzinne bez zmian przynajmniej do 2024 r.?

    Świadczenia rodzinne zostaną utrzymane na dotychczasowym poziomie. Dotyczy to zarówno kryteriów, jak i kwot. Tak wynika z propozycji Rady Ministrów.

    Kiedy jest Dzień Ojca w 2021 r.?

    Dzień Ojca w Polsce będziemy obchodzić 23 czerwca 2021 r. To dobry moment na poznanie praw taty w pracy.

    Świadczenie wyrównawcze - zmiany od czerwca 2021 r. [AUDIO]

    Świadczenie wyrównawcze od 1 czerwca 2021 r. przysługuje również wtedy, gdy działacz opozycji komunistycznej ma przyznaną rentę rodzinną.

    Kiedy dziecko może jechać z przodu i kiedy bez fotelika?

    Jak do jazdy dzieci w przodzie oraz do jazdy bez fotelika odnosi się prawo o ruchu drogowym? Oto aktualne zasady.

    Czy procesy o alimenty mogą toczyć się w trybie uproszczonym?

    Czy procesy o alimenty mogą toczyć się w trybie uproszczonym? Na to pytanie odpowie Sąd Najwyższy.

    Obostrzenia od 6 czerwca 2021 r.

    Obostrzenia od 6 czerwca 2021 r. zostały w określonych przypadkach złagodzone. Co zmieniło nowe rozporządzenie?

    Mecenas Pruszyńska: Rolą mediacji jest wygaszanie konfliktu

    „Mediacje sprawdzają się zarówno w prawie gospodarczym, jak i cywilnym” – przekonuje radca prawny Iwona Pruszyńska.