DLA ADMINISTRATORA

Ogólne rozporządzenie o ochronie danych w art. 37 ust 1 RODO przewiduje obowiązek wyznaczenia inspektora ochrony danych dla administratorów i podmiotów przetwarzających wówczas, gdy:

1. przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości (sądy są zobowiązane do wyznaczenia IOD, więcej na ten temat Wyznaczenie IOD w sądach powszechnych.

Przez organy i podmioty publiczne obowiązane do wyznaczenia IOD, zgodnie z art. 9 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych rozumie się jednostki sektora finansów publicznych (np. jednostki samorządu terytorialnego, uczelnie publiczne, organy władzy, sądy i inne podmioty tworzące sektor finansów publicznych wskazane w art. 9 ustawy o finansach publicznych), instytuty badawcze oraz Narodowy Bank Polski.

1. główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą na dużą skalę.
2. główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO oraz danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o których mowa w art. 10 RODO.

W interpretacji terminów użytych w art. 37 ust. 1 lit. b i c RODO („główna działalność”, „regularne i systematyczne monitorowanie” i „na dużą skalę”) pomocne mogą być motywy RODO oraz Wytyczne Grupy Roboczej art. 29 dotyczące inspektora ochrony danych (zapewnić bezpośrednie łącze odsyłające bezpośrednio do Wytycznych na nowej stronie). W Wytycznych zawarto również wiele praktycznych, konkretnych przykładów sytuacji spełniających te kryteria. Podano np., że w przypadku placówek medycznych główną działalnością jest wprawdzie zapewnianie opieki zdrowotnej, ale ta działalność nie byłaby możliwa bez przetwarzania danych w formie dokumentacji medycznej. Jako przykład „działalności głównej polegającej na przetwarzaniu na dużą skalę wrażliwych danych osobowych” jest tam podana działalność szpitali.

Natomiast jako przykład przetwarzania nie mieszczący się w definicji dużej skali - zgodnie z motywem 91 RODO - należy wskazać przetwarzanie danych pacjentów przez pojedynczego lekarza lub innego pracownika służby zdrowia (pielęgniarkę, położną). Wytyczne oparte są na założeniu, że wraz z rozwojem praktyki ukształtują się standardy, które umożliwią bardziej szczegółowe i/lub kwantytatywne zidentyfikowanie „dużej skali” w odniesieniu do określonych rodzajów przetwarzania.

Sposób sformułowania tych przepisów wymaga więc od administratora samodzielnego dokonywania analizy sytuacji i oceny, czy taki obowiązek w jego przypadku istnieje. Co więcej – w Wytycznych Grupy Roboczej Art. 29 dotyczących inspektorów ochrony danych (WP 243) (zapewnić bezpośrednie łącze odsyłające bezpośrednio do Wytycznych na nowej stronie) zaleca się, aby przeprowadzenie oceny w zakresie istnienia obowiązku wyznaczenia inspektora udokumentować, a nawet powtarzać taką ocenę w razie potrzeby, co jakiś czas. Sytuacja danego podmiotu może się bowiem zmieniać. Na przykład mała przychodnia może stopniowo rozszerzać swoją działalność, obejmując o nowe usługi i świadczenia i po jakimś czasie stać się dużym podmiotem przetwarzającym dane wrażliwe na dużą skalę.

Warto dodać, że na podstawie tych samych przesłanek RODO przewiduje obowiązek wyznaczenia IOD przez podmioty przetwarzające, czyli podmioty, które np. przetwarzają dane osobowe na zlecenie placówek medycznych w związku ze specjalistycznymi usługami, jakie dla nich świadczą, na przykład przechowują dokumentację medyczną lub serwisują sprzęt informatyczny czy diagnostyczny.

Aby prawidłowo zawiadomić o wyznaczeniu/odwołaniu/zmianie danych IOD (zastępcy IOD)  należy pamiętać o poniższych określonych prawem wymaganiach:

1. Zawiadomienie dotyczące IOD lub jego zastępcy musi mieć postać elektroniczną.

   Jedynym prawidłowym i skutecznym sposobem zawiadomienia Prezesa UODO o wyznaczeniu inspektora ochrony danych jest zawiadomienie w postaci elektronicznej(zgodnie z art. 10 ust. 6 ustawy z 10 maja 2018 r. o ochronie danych osobowych oraz z art. 46 ust. 9 ustawy z dnia 14 grudnia 2018 r. o ochronie danych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości).

   Analogiczny sposób dotyczy także zawiadomień dotyczących zastępcy inspektora ochrony danych (art. 11a ust. 3 ustawy z 10 maja 2018 r. o ochronie danych osobowych oraz art. 46 ust. 6 ustawy z dnia 14 grudnia 2018 r. o ochronie danych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości) .

   Oznacza to, że należy skorzystać z właściwego formularza elektronicznego(dotyczącego IOD bądź zastępcy IOD) odpowiedniego do podstawy ich powołania. Administratorzy wyznaczający IOD/zastępcę IOD na podstawie RODO oraz ustawy z dnia 10 maja 2018 r. powinni bowiem skorzystać z formularzy oznaczonych jako RODO, natomiast administratorzy wyznaczający IOD/zastępcę IOD  na podstawie ustawy z dnia 14 grudnia 2018 r., powinni skorzystać z formularzy DODO.

   Podkreślić też należy, że niektórzy administratorzy są zobowiązani do wyznaczenia IOD zarówno na podstawie RODO, jak i ustawy z dnia 14 grudnia 2018 r. (np. Policja), a wówczas muszą oni przesłać osobne zawiadomienia, korzystając przy tym z właściwych formularzy.

   Odpowiednie elektroniczne formularze znajdziecie Państwo na naszej stronie internetowej: https://uodo.gov.pl/492.

2. Wypełniony formularz musi zostać opatrzony kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP   osoby uprawnionej do reprezentowania administratora.
3. W zawiadomieniu należy podać wszystkie wymagane przepisami prawa informacje. W ustawie z dnia 10 maja 2018 r. o ochronie danych osobowych są one określone w art. 10 ust. 1 i 3. Natomiast w ustawie z dnia 14 grudnia 2018 r. o ochronie danych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości wymagane informacje wskazane zostały w art. 46 ust. 9.
4. Do zawiadomienia składanego przez pełnomocnika należy załączyć pełnomocnictwo udzielone w formie elektronicznej oraz opłatę skarbową od pełnomocnictwa (chyba że przepisy zwalniają od jej uiszczenia).

Więcej na ten temat znaleźć można w materiałach dotyczących zgłaszania IOD przez pełnomocnika.