Kto w firmie nie może zostać inspektorem ochrony danych?

Skąd bierze się zakaz

Przepisy nie zawierają listy stanowisk, których nie wolno łączyć z funkcją IOD. Art. 38 ust. 6 RODO stanowi jedynie, że inspektor może wykonywać inne zadania i obowiązki, o ile nie prowadzą one do konfliktu interesów. Źródło problemu widać w samej roli inspektora. IOD doradza administratorowi, monitoruje przestrzeganie przepisów i wskazuje nieprawidłowości. Jeżeli sam podejmuje decyzje, które ma oceniać, jego nadzór staje się fikcją. Trudno oczekiwać, że kierownik, który wybrał system do monitorowania pracowników, obiektywnie oceni, czy ten system narusza ich prywatność.

Dlatego konflikt interesów ocenia się indywidualnie, z uwzględnieniem wszystkich okoliczności. Kluczowe jest pytanie, czy dana osoba ustala cele i sposoby przetwarzania danych, czyli decyduje, po co firma zbiera dane, jakie informacje gromadzi, komu je przekazuje i jak długo je przechowuje. Nazwa stanowiska ma znaczenie drugorzędne, bo kierownik działu w dużej spółce może mieć zupełnie inny zakres władzy niż osoba o tym samym tytule w małej firmie. Błędny wybór ma też konsekwencje prawne. Wyznaczenie inspektora, który nie jest niezależny, narusza art. 38 RODO, a za takie naruszenie Prezes UODO może nałożyć administracyjną karę pieniężną.

Stanowiska, które zwykle wykluczają funkcję IOD

Wytyczne Grupy Roboczej art. 29 dotyczące inspektorów ochrony danych, przyjęte następnie przez Europejską Radę Ochrony Danych, wskazują stanowiska, przy których konflikt interesów jest najbardziej prawdopodobny. Najczęściej wymienia się następujące role:

• Członkowie zarządu i kadra najwyższego szczebla, w tym prezes, dyrektor operacyjny i dyrektor finansowy.
• Kierownik działu kadr, który decyduje o danych pracowników i kandydatów.
• Kierownik działu IT, który wybiera systemy i sposób zabezpieczenia danych.
• Kierownik marketingu lub sprzedaży, który ustala, jak firma pozyskuje i wykorzystuje dane klientów.

Ryzyko dotyczy także niższych stanowisk, jeśli pracownik faktycznie decyduje o przetwarzaniu, na przykład samodzielnie wybiera dostawcę oprogramowania albo projektuje proces rekrutacji. W małych firmach problem pojawia się szczególnie często. Właściciel albo jedyny informatyk wydaje się naturalnym kandydatem, a przecież to właśnie te osoby zwykle decydują o danych.

Wytyczne zwracają też uwagę na sytuację, w której inspektor reprezentowałby administratora przed sądem w sprawie dotyczącej ochrony danych. Osoba broniąca firmy w sporze nie może jednocześnie bezstronnie oceniać, czy ta firma naruszyła przepisy.

Kto może pełnić tę funkcję

Inspektorem może zostać pracownik, który zna prawo i praktykę ochrony danych, ale nie decyduje o przetwarzaniu. Bywa to na przykład prawnik wewnętrzny lub specjalista ds. ochrony danych, o ile jego pozostałe obowiązki nie obejmują ustalania, jak firma korzysta z danych. Inspektor musi mieć zapewnioną niezależność. Podlega bezpośrednio najwyższemu kierownictwu i nie może być odwołany ani ukarany za wykonywanie swoich zadań.

Firma, która nie ma takiej osoby, może przygotować do tej roli pracownika spoza kadry decyzyjnej, na przykład kierując go na kurs inspektora ochrony danych. Drugą możliwością jest powierzenie funkcji IOD zewnętrznemu specjaliście na podstawie umowy o świadczenie usług, co wprost dopuszcza art. 37 ust. 6 RODO. Porównanie obu rozwiązań wraz z opisem zadań inspektora i wymagań wobec kandydatów znajduje się na stronie https://ratio-go.pl/iod/, gdzie temat ujęto od strony praktycznej.

Jak wyznaczyć IOD, żeby uniknąć zarzutów

Wybór inspektora warto zacząć od analizy zakresu obowiązków kandydata. Liczy się to, co dana osoba faktycznie robi w firmie, a nie to, co zapisano w opisie stanowiska. Jeśli kandydat zatwierdza nowe narzędzia, decyduje o zakresie zbieranych danych albo ustala, jak długo firma je przechowuje, trudno będzie uznać, że może bezstronnie oceniać te same rozwiązania. Wynik analizy dobrze jest zapisać. Zgodnie z zasadą rozliczalności z art. 5 ust. 2 RODO to administrator musi wykazać, że jego wybór był prawidłowy, a podczas kontroli UODO notatka z oceny kandydata bywa najprostszym dowodem, że firma potraktowała ten obowiązek poważnie.

Jeżeli pracownik ma łączyć funkcję IOD z innym stanowiskiem, firma powinna opisać w dokumentach, jak zapobiega konfliktowi interesów. Może to oznaczać na przykład wyłączenie inspektora z określonych decyzji albo wskazanie, że w sprawach ochrony danych podlega on bezpośrednio zarządowi, a nie swojemu przełożonemu z działu. Równie ważne jest zapewnienie warunków do pracy. Art. 38 ust. 2 RODO zobowiązuje administratora do zapewnienia inspektorowi zasobów niezbędnych do wykonywania zadań oraz możliwości utrzymania wiedzy fachowej. W praktyce chodzi o czas wolny od innych obowiązków, dostęp do informacji o procesach w firmie i regularne szkolenia, bo przepisy, wytyczne i orzecznictwo szybko się zmieniają.

Po wyznaczeniu inspektora administrator ma 14 dni na zawiadomienie Prezesa UODO, a dane kontaktowe IOD musi opublikować, najczęściej na stronie internetowej i w klauzulach informacyjnych. Na tym jednak sprawa się nie kończy. Ocenę konfliktu interesów warto powtarzać przy każdej zmianie stanowiska lub obowiązków inspektora. Awans, reorganizacja działu albo przejęcie nowych zadań mogą sprawić, że osoba, która wcześniej spełniała wymagania, zacznie decydować o przetwarzaniu danych i straci niezbędną niezależność.

Podsumowanie

Inspektorem ochrony danych nie powinna zostać osoba, która decyduje o celach i sposobach przetwarzania danych, niezależnie od nazwy jej stanowiska. Najczęściej dotyczy to zarządu oraz kierowników kadr, IT i marketingu. Firmy bez odpowiedniego kandydata mogą przygotować do tej roli pracownika spoza kadry decyzyjnej albo powierzyć ją zewnętrznemu inspektorowi, a wsparcie w obu tych obszarach oferuje między innymi Ratio-Go. Niezależnie od wybranej drogi to administrator odpowiada za wybór IOD i musi umieć go uzasadnić.