Problem · IOD

Kiedy trzeba wyznaczyć IOD?

Termin wyznaczenia IOD zależy od momentu powstania obowiązku, a nie od rejestracji działalności - jeśli już dziś spełniasz przesłanki z RODO, zwłoka zwiększa ryzyko sankcji.

Organizacja musi wyznaczyć inspektora najpóźniej z chwilą, gdy jej działalność zaczyna spełniać którąkolwiek z przesłanek obowiązkowych - np. gdy zostaje podmiotem publicznym, rozpoczyna regularne monitorowanie na dużą skalę albo zaczyna przetwarzać dane szczególnych kategorii na dużą skalę. Nie ma tu okresu przejściowego.

W praktyce „podmiot publiczny” to organy władzy publicznej i inne podmioty publiczne w rozumieniu prawa krajowego - z wyłączeniem sądów działających w ramach wymiaru sprawiedliwości. „Monitorowanie na dużą skalę” dotyczy m.in. sieci handlowych z programami lojalnościowymi, banków, ubezpieczycieli, operatorów telekomunikacyjnych czy platform internetowych śledzących zachowania użytkowników. „Przetwarzanie danych szczególnych kategorii na dużą skalę” obejmuje typowo szpitale, sieci przychodni czy laboratoria diagnostyczne.

W praktyce najbezpieczniej jest wyznaczyć IOD równolegle z uruchomieniem działalności lub procesu, który rodzi obowiązek - a dane kontaktowe inspektora zgłosić do PUODO w ciągu 14 dni od wyznaczenia.

Obowiązek wyznaczenia IOD istnieje niezależnie od wielkości organizacji - nie ma tu progu zatrudnienia analogicznego do zwolnienia z prowadzenia rejestru czynności przetwarzania. Brak wyznaczenia inspektora, mimo istnienia obowiązku, jest samodzielną podstawą do nałożenia administracyjnej kary pieniężnej do 10 mln euro lub 2% rocznego światowego obrotu - niezależnie od tego, czy doszło do naruszenia bezpieczeństwa danych.

Podstawa prawna

art. 37 RODO oraz art. 10 ustawy o ochronie danych osobowych (obowiązek zgłoszenia danych IOD do PUODO w terminie 14 dni od wyznaczenia)