Ostatnia aktualizacja: 17 sierpnia 2026
Dlaczego „brak powołania IOD” to realne ryzyko
Decyzja Prezesa Urzędu Ochrony Danych Osobowych z 18 października 2024 r. (nr DKN.5131.7.2024) dotycząca Powiatowego Inspektora Nadzoru Budowlanego w Częstochowie pokazuje, że brak formalnego powołania inspektora ochrony danych (IOD) to poważne naruszenie, które może skutkować karą finansową i nakazem dostosowania. PUODO uznał, że doszło do naruszenia art. 37 ust. 1 lit. a) i art. 37 ust. 7 RODO, czyli niewyznaczenia IOD, braku publikacji jego danych kontaktowych oraz braku zgłoszenia tych danych organowi nadzorczemu. Skutkowało to nałożeniem kary 25 000 zł oraz nakazem publikacji danych IOD w ciągu 7 dni.
Warto dodać, że PINB odwołał się od tej decyzji do Wojewódzkiego Sądu Administracyjnego w Warszawie, ale 11 czerwca 2025 r. sąd oddalił skargę (sygn. II SA/Wa 2065/24). Potwierdził ocenę Prezesa UODO i uznał zarówno naruszenia, jak i wysokość kary, co podkreśla znaczenie tej decyzji dla praktyki ochrony danych osobowych. W rezultacie decyzja DKN.5131.7.2024 jest prawomocna.
Ta sprawa pokazuje, że organy nadzorcze coraz częściej nakładają kary za naruszenia organizacyjne, takie jak brak IOD, konflikt interesów IOD czy nieodpowiednie umiejscowienie jego w strukturze. RODO wymaga nie tylko przestrzegania przepisów, ale także umiejętności udowodnienia zgodności. Prawidłowo powołany i zgłoszony IOD to jeden z kluczowych elementów tego systemu.
W tym artykule szczegółowo analizuję decyzję PUODO i wyrok WSA, omawiam ich znaczenie oraz przedstawiam praktyczne wnioski dla administratorów. Decyzja ta jest ważna nie tylko dla sektora publicznego, ale także dla firm prywatnych, które zastanawiają się, czy muszą wyznaczyć IOD.
Opis decyzji PUODO DKN.5131.7.2024
Podmiot i zakres decyzji
Decyzja została skierowana do Powiatowego Inspektora Nadzoru Budowlanego (PINB) w Częstochowie, który jako organ administracji publicznej odpowiada za nadzór budowlany na poziomie powiatu. PUODO uznał, że PINB jest organem publicznym w rozumieniu art. 37 ust. 1 lit. a) RODO, co oznacza, że musi bezwzględnie wyznaczyć IOD.
Sprawa dotyczyła trzech powiązanych ze sobą obowiązków:
- wyznaczenia IOD (art. 37 ust. 1 lit. a RODO),
- publikacji danych kontaktowych IOD oraz
- zgłoszenia tych danych Prezesowi UODO (art. 37 ust. 7 RODO).
Organ sprawdzał, czy PINB faktycznie formalnie powołał inspektora oraz czy dane IOD zostały upublicznione i zgłoszono je do UODO.
Ustalenia faktyczne PUODO
Postępowanie wszczęto w lutym 2024 r., po uzyskaniu przez UODO informacji, iż „Urząd nie posiada inspektora ochrony danych”, co stało się impulsem do zwrócenia się do PINB z żądaniem wyjaśnień. Administrator twierdził, że funkcję IOD pełniła pracownica A.B., która przeszła szkolenie, sporządzała dokumenty kadrowe i w praktyce wykonywała zadania z zakresu ochrony danych, a w okresie jej dłuższej absencji obowiązki miały zostać przekazane innej pracownicy, C.D.
PUODO poprosił o konkretne dowody wyznaczenia IOD, takie jak umowy o pracę, zarządzenia wewnętrzne czy zakresy obowiązków, które potwierdziłyby w jego ocenie formalne powołanie A.B., a później C.D. na IOD od początku obowiązywania RODO. Po przeanalizowaniu dokumentów (umów, zakresów obowiązków, polityki bezpieczeństwa, zaświadczeń o szkoleniu) stwierdzono, że żadna z tych osób nie została skutecznie wyznaczona na funkcję IOD zgodnie z art. 37 RODO.
Jednocześnie ustalono, że do marca 2024 r. PINB nie zgłosił IOD do UODO ani nie opublikował danych kontaktowych inspektora na swojej stronie internetowej, co stanowiło naruszenie art. 37 ust. 7 RODO. Dopiero w marcu 2024 r. wydano zarządzenie powołujące E.F. na IOD i zgłoszono jego dane do organu nadzorczego, ale w dniu wydania decyzji dane te nadal nie były prawidłowo opublikowane na stronie PINB.
Kontrola sądowoadministracyjna – wyrok WSA
PINB odwołał się od decyzji PUODO do Wojewódzkiego Sądu Administracyjnego w Warszawie, domagając się jej uchylenia i umorzenia postępowania. Argumentował, że funkcja IOD faktycznie była pełniona, a formalności miała dopełnić pracownica, a kara jest zbyt wysoka w stosunku do możliwości finansowych jednostki. W skardze wskazano m.in. na przeszkolenie A.B., jej praktyczną rolę w ochronie danych, włączenie obowiązków IOD do jej zakresu czynności oraz trudną sytuację organizacyjną i budżetową PINB.
WSA oddalił skargę, podkreślając, że odpowiedzialność za prawidłowe wyznaczenie i zgłoszenie IOD wynika bezpośrednio z art. 37 ust. 1 lit. a) i art. 37 ust. 7 RODO i spoczywa na administratorze, czyli na PINB. Sąd zaznaczył, że subiektywne przekonanie administratora, że pracownica „dopełniła wszelkich formalności” lub „uważała się za IOD”, nie zastępuje formalnego aktu powołania i nie zwalnia z obowiązku udowodnienia tego przed organem nadzorczym.
WSA uznał, że skuteczne powołanie IOD wymaga formalnych działań, takich jak wewnętrzne zarządzenie, uchwała, powierzenie obowiązków lub umowa o pracę, które jasno wskazują osobę inspektora i zakres jej obowiązków zgodnie z art. 38–39 RODO. Sąd stwierdził, że przedstawione dokumenty (polityka bezpieczeństwa, klauzule informacyjne, zakresy czynności) nie stanowią dowodu formalnego wyznaczenia IOD i potwierdził ustalenia PUODO, że przez długi czas obowiązki z art. 37 RODO nie były realizowane.
WSA odniósł się do argumentów dotyczących „zawirowań kadrowych”, przeprowadzki i braku środków na osobną umowę dla IOD, wskazując, że przepisy RODO i ustawy o ochronie danych osobowych nie przewidują złagodzenia obowiązków w takich przypadkach. Naruszenia trwały przez długi czas i dotyczyły podstawowych wymogów dla organu publicznego. Sąd potwierdził też, że późniejsze powołanie E.F. na IOD i zgłoszenie tego do PUODO nie naprawia wcześniejszego naruszenia, które trwało od 25 maja 2018 r. do marca 2024 r.
WSA uznał, że kara w wysokości 25 000 zł jest jest skuteczna, proporcjonalna i odstraszająca, a jej obniżenie tylko ze względu na trudną sytuację finansową jednostki osłabiłoby jej prewencyjny charakter. Sąd ocenił też, że postępowanie PUODO przeprowadzono zgodnie z zasadami k.p.a., a uzasadnienie decyzji jest spójne, kompletne i oparte na rzetelnych dowodach.
Analiza najważniejszych tez decyzji i wyroku
Bezwzględny obowiązek wyznaczenia IOD przez podmiot publiczny
Art. 37 ust. 1 lit. a) RODO stanowi, że administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych zawsze, gdy przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów działających w ramach sprawowania wymiaru sprawiedliwości. Wytyczne WP243/2017 potwierdzają, że pojęcie „public authority or body” należy definiować zgodnie z prawem krajowym, a w praktyce wszystkie jednostki sektora publicznego powinny wyznaczyć IOD (w związku z art. 9 ustawy o ochronie danych osobowych oraz art. 9 pkt 1-14 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych ).
PUODO i WSA uznały, że PINB jako organ administracji publicznej musi bezwzględnie wyznaczyć IOD, niezależnie od skali lub ryzyka przetwarzania. W przypadku organów publicznych nie ma miejsca na uznaniową ocenę, czy jest to konieczne, jak w sytuacjach z art. 37 ust. 1 lit. b) i c) RODO. Obowiązek ten wynika bezpośrednio ze statusu administratora jako podmiotu publicznego (tj. jednostki sektora finansów publicznych).
Więcej na temat podmiotów, które muszą powołać IOD znajdziesz w tym artykule: Kto musi powołać inspektora ochrony danych?
Skuteczne wyznaczenie wymaga formalnego i jednoznacznego aktu
Decyzja PUODO jasno rozróżnia sytuację, gdy pracownik faktycznie wykonuje zadania podobne do IOD, od sytuacji, gdy zostaje formalnie powołany na tą funkcję. Według organu, samo użycie określenia „inspektor ochrony danych” w dokumentach kadrowych, klauzulach informacyjnych czy korespondencji nie wystarcza. Potrzebny jest jednoznaczny i możliwy do okazania akt powołania.
Wytyczne WP243 podkreślają, że wyznaczenie IOD musi być udokumentowane, a organizacja powinna móc wykazać, kiedy i w jaki sposób inspektor został powołany, jakie ma zadania i komu raportuje. WSA w Warszawie w pełni zgodził się z tym podejściem. Skuteczne powołanie IOD wymaga formalnego działania, takiego jak zarządzenie, uchwała lub umowa. Wewnętrzna polityka bezpieczeństwa, klauzule informacyjne czy zakresy czynności mogą być konsekwencją powołania, ale nie stanowią dowodu jego dokonania.
Więcej na temat formalnego powołania IOD oraz wzorów uchwał znajdziesz w artykule: Jak formalnie wyznaczyć IOD? (+ wzór uchwały/zarządzenia)
Brak notyfikacji i publikacji danych IOD potwierdza naruszenie
Art. 37 ust. 7 RODO zobowiązuje administratora do publikacji danych kontaktowych IOD oraz zawiadomienia o nich organu nadzorczego, tak aby zarówno osoby, których dane dotyczą, jak i UODO mogły łatwo skontaktować się z inspektorem. PUODO ustalił, że do marca 2024 r. PINB nie zgłosił IOD do organu nadzorczego i nie zapewnił właściwej publikacji danych kontaktowych inspektora, co stanowiło odrębne naruszenie przepisów.
W komunikacie „Skuteczne wyznaczenie IOD warunkiem koniecznym skutecznej ochrony danych” UODO podkreślił, że wyznaczenie, publikacja i notyfikacja danych IOD to jeden spójny obowiązek administratora stanowiący ważną gwarancję ochrony danych osobowych podmiotów. WSA zgodził się z tym podejściem i wskazał, że ustawowe wymogi nie były spełnione przez dłuższy czas. Późniejsze powołanie i zgłoszenie IOD nie usuwa skutków wcześniejszych zaniedbań. Moment wyznaczenia i notyfikacji oznacza jedynie koniec naruszenia, ale nie konwaliduje wcześniejszego naruszenia i nie eliminuje potrzeby nałożenia sankcji.
Sankcja pieniężna jest dopuszczalna, proporcjonalna i odstraszająca
Za naruszenie przepisów PUODO skorzystał z uprawnienia do nałożenia administracyjnej kary pieniężnej uwzględniając limit dla jednostek sektora finansów publicznych (do 100 000 zł z art. 102 ust. 1 pkt 1 uodo). Kara została ustalona na poziomie 25 000 zł, z uwzględnieniem charakteru, czasu trwania i systemowego wymiaru naruszeń, a także braku wcześniejszych naruszeń po stronie PINB.
WSA w Warszawie potwierdził, że nałożona kara spełnia wymogi art. 83 ust. 1 i 2 RODO. Jest skuteczna, proporcjonalna i odstraszająca. Obniżenie jej wyłącznie ze względu na subiektywną „odczuwalność” dla budżetu jednostki podważyłoby cel sankcji. Sąd zgodził się z oceną PUODO, że kara powinna być na tyle dotkliwa, by skłaniać do uporządkowania statusu IOD i nie zachęcać do oszczędzania na podstawowych obowiązkach ochrony danych.
Argumenty organizacyjne i budżetowe nie usprawiedliwiają naruszenia
Administrator podnosił w toku postępowania argumenty związane z ograniczeniami budżetowymi, brakiem odrębnych środków na umowę o pracę dla IOD, „zawirowaniami kadrowymi” oraz przeprowadzką jednostki. PUODO jednoznacznie je odrzucił, wskazując, że względy organizacyjne i finansowe nie mogą usprawiedliwiać naruszeń przepisów RODO, co jest spójne z utrwaloną linią orzeczniczą NSA dotyczącą ochrony danych osobowych (wyrok NSA z 4 marca 2002 r., II SA 3144/01 – choć wydany w starym stanie prawnym, ale rozstrzygnięcie nadal pozostaje aktualne).
WSA w Warszawie w pełni zgodził się z tym stanowiskiem. Uznał, że trudności kadrowe, zmiana siedziby czy konstrukcja budżetu jednostki nie zwalniają z obowiązku formalnego powołania IOD i publikacji jego danych kontaktowych. Sąd podkreślił, że administrator musi tak zorganizować pracę i wykorzystać dostępne środki, by spełnić podstawowe wymogi RODO i nie dopuścić do długotrwałych naruszeń.
Implikacje praktyczne dla podmiotów w Polsce
Co oznacza „brak powołania IOD” w praktyce
W świetle decyzji PUODO i wyroku WSA „brak powołania IOD” obejmuje nie tylko sytuację, w której nikt formalnie nie został wskazany, ale także przypadek, gdy administrator nie jest w stanie wykazać formalnego aktu wyznaczenia inspektora. Jeżeli w dokumentach kadrowych, polityce bezpieczeństwa czy klauzulach informacyjnych istnieją jedynie ogólne wzmianki, ale nie ma zarządzenia, uchwały ani umowy jednoznacznie powołującej IOD, organ nadzorczy i sąd mogą uznać, że obowiązek z art. 37 ust. 1 lit. a) RODO nie został spełniony.
Brak publikacji i notyfikacji danych kontaktowych IOD stanowi naruszenie art. 37 ust. 7 RODO i bezpośrednio ogranicza możliwość realizacji praw przez osoby, których dane dotyczą. Jeśli nie wiadomo, kto pełni funkcję inspektora i jak się z nim skontaktować, nie można się do niego zwrócić. W praktyce każdy podmiot publiczny powinien być w stanie na żądanie UODO przedstawić komplet dokumentów potwierdzających powołanie IOD, publikację jego danych oraz ich zgłoszenie do organu.
Więcej na temat udostępniania informacji o IOD znajdziesz w tym artykule: Jak prawidłowo udostępnić dane kontaktowe IOD?
Natomiast więcej na temat zgłoszenia IOD znajdziesz tutaj: Jak zgłosić Inspektora Ochrony Danych do PUODO? Wzory.
Dobre praktyki dokumentowania powołania IOD
Aby zminimalizować ryzyko „braku powołania IOD” w rozumieniu decyzji i wyroku, warto wdrożyć co najmniej następujące rozwiązania:
- przygotować jednoznaczny akt powołania IOD (zarządzenie, uchwała, umowa), zawierający podstawę prawną (art. 37 RODO), datę rozpoczęcia pełnienia funkcji, dane osoby oraz odwołania do art. 38–39 RODO;
- uregulować usytuowanie IOD w strukturze w regulaminie organizacyjnym, zapewniając bezpośrednią podległość kierownictwu zgodnie z art. 38 ust. 3 RODO i wytycznymi WP243;
- opracować i stosować procedurę zmiany IOD (powołanie, odwołanie, wyznaczenie zastępcy), wraz z wzorami zawiadomień do UODO oraz checklistą publikacji danych kontaktowych;
- archiwizować pełną dokumentację związaną z powołaniem i zgłaszaniem IOD, tak aby w razie kontroli można było wykazać spełnienie obowiązków (zasada rozliczalności z art. 5 ust. 2 RODO);
- okresowo przeglądać stronę internetową i BIP pod kątem aktualności danych IOD oraz ich łatwego dostępu dla osób, których dane dotyczą.
Takie rozwiązania są standardową częścią audytów i wdrożeń RODO. Przy tworzeniu dokumentacji warto od razu przygotować wzory zarządzeń o powołaniu IOD, kartę stanowiska oraz nawet uproszczoną procedurę publikacji i aktualizacji danych inspektora.
Wnioski
Decyzja PUODO DKN.5131.7.2024 i wyrok WSA w Warszawie jasno pokazują, że brak formalnego powołania IOD, brak publikacji jego danych kontaktowych oraz brak zgłoszenia do organu nadzorczego to poważne naruszenia RODO, a nie drobne błędy. Zarówno organ, jak i sąd podkreślają, że administrator musi zapewnić obsługę zadań IOD i udowodnić, że inspektor został powołany formalnie i zgodnie z prawem.
Dla praktyków to wyraźny sygnał, że sama deklaracja typu „u nas jest osoba od RODO” nie wystarczy. Warto zadać sobie konkretne pytania: Czy mamy formalny akt powołania IOD? Czy dane inspektora są prawidłowo opublikowane? Czy zostały zgłoszone do UODO? Czy mamy pełną dokumentację tych działań?
Sprawa PINB w Częstochowie jasno pokazuje, że organ nadzorczy i sądy nie akceptują półśrodków w sprawie powołania IOD, publikacji jego danych i zgłoszenia do UODO. Organizacje, zwłaszcza publiczne, powinny sprawdzić, czy mają formalny akt powołania IOD, czy dane inspektora są poprawnie i aktualnie opublikowane oraz czy zgłoszenie do UODO jest kompletne i aktualne.
Audyt RODO, profesjonalne wdrożenie lub aktualizacja dokumentacji oraz regularne szkolenia, także online, dla IOD i kadry kierowniczej to praktyczne narzędzia, które pomagają wykryć i usunąć luki, zanim staną się problemem dla PUODO. Dobrze zaplanowane wsparcie ekspertów zmniejsza ryzyko powtórzenia sytuacji z decyzji DKN.5131.7.2024, zarówno w sektorze publicznym, jak i u prywatnych administratorów, którzy muszą powołać inspektora ochrony danych.
FAQ – najczęstsze pytania dotyczące braku powołania IOD
Obowiązek powołania IOD wynika z art. 37 ust. 1 RODO i dotyczy m.in. sytuacji, gdy przetwarzaniem danych zajmuje się organ lub podmiot publiczny (oprócz sądów w zakresie wymiaru sprawiedliwości) albo gdy główna działalność polega na systematycznym i regularnym monitorowaniu osób na dużą skalę lub na przetwarzaniu szczególnych kategorii danych na dużą skalę. Dla jednostek sektora publicznego, takich jak powiatowe inspektoraty nadzoru budowlanego, oznacza to w praktyce obowiązek wyznaczenia IOD bez wyjątków.
Nie. Zarówno PUODO, jak i WSA w Warszawie uznały, że sama wzmianka w dokumentach kadrowych lub klauzulach informacyjnych nie stanowi dowodu formalnego powołania IOD. Potrzebny jest wyraźny akt powołania (np. zarządzenie, uchwała, powierzenie, umowa), który wskazuje konkretną osobę jako inspektora i określa zakres jej zadań zgodnie z art. 38–39 RODO oraz wytycznymi WP243.
Najczęściej jest to zarządzenie kierownika jednostki, uchwała organu lub umowa (jeśli IOD jest zewnętrzny), które jasno wskazują osobę IOD oraz podstawę prawną jego powołania. Organizacja powinna zawsze przechowywać dokumenty dotyczące powołania, zmian osoby IOD, publikacji jego danych i zgłoszeń do UODO. To część zasady rozliczalności z art. 5 ust. 2 RODO.
Jeśli obowiązek powołania IOD wynika z art. 37 ust. 1 RODO, brak inspektora może skutkować administracyjną karą pieniężną na podstawie art. 83 ust. 4 lit. a) RODO oraz środkami naprawczymi, takimi jak nakaz dostosowania operacji przetwarzania. W opisywanej sprawie kara wyniosła 25 000 zł, a dodatkowo nałożono obowiązek publikacji danych kontaktowych IOD. WSA uznał tę karę za proporcjonalną i odstraszającą.
Nie. Wyrok WSA w Warszawie pokazuje, że subiektywne przekonanie administratora („pracownica mówiła, że zgłosiła się do UODO”, „wszyscy traktowali ją jako IOD”) nie ma znaczenia, jeśli nie ma formalnego aktu powołania ani dowodów na publikację i zgłoszenie danych inspektora. Administrator musi dopełnić obowiązków i udokumentować je. W razie sporu brak takich dowodów oznacza, że IOD nie został skutecznie wyznaczony.
Tak. Jeśli podmiot spełnia przesłanki z art. 37 ust. 1 lit. b)–c) RODO (czyli regularnie i systematycznie monitoruje osoby na dużą skalę lub przetwarza na dużą skalę szczególne kategorie danych), brak powołania IOD może skutkować sankcjami na zasadach ogólnych, z wyższymi limitami kary (do 10 mln EUR lub 2% obrotu). Raporty o naruszeniach RODO pokazują, że organy nadzorcze w różnych krajach UE sankcjonują takie naruszenia.
