Problem · IOD

Czy obecny IOD działa niezależnie i prawidłowo?

Niezależność IOD to nie formalność, tylko warunek ważności jego funkcji - inspektor podlegający służbowo osobie, którą ma kontrolować, nie spełnia wymogów RODO.

Najczęstsze błędy to łączenie funkcji IOD z rolą decydującą o celach i sposobach przetwarzania danych (np. dyrektor IT, kierownik HR), brak bezpośredniego dostępu do najwyższego kierownictwa oraz brak realnych zasobów czasowych na wykonywanie obowiązków inspektora.

RODO wprost zakazuje, by IOD otrzymywał instrukcje dotyczące wykonywania swoich zadań, oraz zabrania jego odwoływania lub karania za ich wykonywanie (art. 38 ust. 3). Dopuszcza jednocześnie łączenie funkcji IOD z innymi obowiązkami - pod warunkiem, że nie prowadzi to do konfliktu interesów (art. 38 ust. 6). W praktyce oznacza to, że np. dyrektor finansowy czy szef działu prawnego może pełnić funkcję IOD, ale już osoba samodzielnie decydująca o celach przetwarzania danych klientów (np. dyrektor marketingu) - już nie.

Warto okresowo zweryfikować, czy funkcja IOD jest w organizacji ukształtowana prawidłowo - niezależny audyt pozwala wychwycić ryzyka, zanim zrobi to kontrola PUODO.

Nieprawidłowe umocowanie IOD samo w sobie stanowi naruszenie RODO podlegające administracyjnej karze pieniężnej, niezależnie od tego, czy doszło do naruszenia ochrony danych. Organy nadzorcze w Unii Europejskiej wielokrotnie kwestionowały wyznaczenie IOD w sytuacji wyraźnego konfliktu interesów, dlatego weryfikacja umocowania inspektora jest jednym z najczęstszych elementów kontroli.

Podstawa prawna

art. 38 ust. 3 i 6 RODO