Inspektor Ochrony Danych Osobowych. Kto go musi wyznaczyć?
Przypominamy, że niektóre organizacje, firmy i instytucje mają obowiązek wyznaczyć Inspektora Ochrony Danych Osobowych. Obowiązek ten obejmuje wszystkie firmu/instytucje których główna działalność obejmuje przetwarzanie danych wrażliwych na dużą skalę. Drugie działanie, które do tego zobowiązuje to regularne i systematyczne monitorowanie osób na dużą skalę. W tym kontekście chodzi przede wszystkim o wszelkie możliwe formy obserwowania i profilowania w Internecie. Co interesujące, również na potrzeby działań marketingowych — reklamy behawioralnej.
W tym tekście (3)
Jakie dokumenty mówią o tym, kto musi wyznaczyć IOD?
O obowiązku wyznaczenia inspektora Ochrony Danych Osobowych mówi art. 37, 38 i 39 oraz motyw 97 RODO. Ponadto obowiązek ten posiadają wytyczne EROD dotyczące inspektorów ochrony danych (“DPO”)
Kiedy istnieje obowiązek wyznaczenia IOD?
Istotne jest, że organy administracji publicznej mają zawsze obowiązek wyznaczania IOD. Jest od tej reguły jeden wyjątek, to sądy w ramach sprawowania wymiaru sprawiedliwości. Co istotne, inspektorem ochrony danych może być członek personelu firmy/instytucji albo osoba, która jest zatrudniona na to stanowisko na podstawie umowy o świadczenie usług. Takie stanowisko może pełnić zarówno osoba fizyczna, jak i organizacja.
Przykłady — wyznaczanie inspektora danych osobowych
By wytłumaczyć zasadę na przykładzie posłużę się branżą medyczną. Kiedy wyznaczenie IOD nie jest obowiązkowe? Jeśli ktoś jest lokalnym lekarzem i przetwarza tylko dane osobowe swoich pacjentów. Obowiązek taki istnieje jeśli prowadzimy szpital w którym są przetwarzane duże zbiory bardzo wrażliwych danych — zarówno pacjentów, jak i pracowników.
Idąc dalej tym tropem, obowiązek wyznaczenia IOD będzie miała mała firma rekrutacyjna, która stale sporządza profile osób fizycznych. Podobnie będzie, jeśli prowadzimy agencję ochrony, która na co dzień odpowiada za monitoring centrów handlowych i różnych innych miejsc publicznych.