Czy potrzebujemy Regulaminu IOD? – analiza decyzji DKN.5110.14.2022 PUODO

Ostatnia aktualizacja: 17 sierpnia 2026

Inspektor ochrony danych (IOD) to ważny element systemu zgodności z RODO, a nie tylko figurant zgłoszony do rejestru. Decyzja PUODO DKN.5110.14.2022 dotycząca Uczelni Łazarskiego pokazuje, że organ nadzorczy sprawdza nie tylko, czy IOD został formalnie wyznaczony, ale także czy administrator zapewnia mu rzeczywiste warunki do wykonywania zadań.

Celem tego artykułu jest szczegółowa analiza decyzji DKN.5110.14.2022, omówienie pięciu najważniejszych tez dotyczących pracy IOD oraz przedstawienie praktycznych wskazówek dla administratorów danych. Artykuł ma służyć jako wsparcie dla inspektorów ochrony danych, zarządów i kadry kierowniczej, pokazując, jak na podstawie tej decyzji przygotować dokumentację, procesy i relacje organizacyjne związane z IOD, aby ograniczyć ryzyko naruszenia art. 38–39 RODO i uniknąć sankcji.

Opis decyzji PUODO DKN.5110.14.2022

Decyzja DKN.5110.14.2022 została skierowana do Uczelni Łazarskiego w Warszawie, która jako uczelnia wyższa prowadzi szeroką działalność dydaktyczną i naukową, a więc przetwarza dane osobowe studentów, kandydatów, absolwentów, pracowników, współpracowników oraz uczestników projektów badawczych. Sprawa została zakwalifikowana jako „udzielenie upomnienia Administratorowi za niezapewnienie Inspektorowi Danych Osobowych odpowiednich środków i warunków do funkcjonowania”. PUODO sprawdzał czy organizacja pracy IOD spełnia wymagania art. 38 i 39 RODO.

Postępowanie dotyczyło m.in. sposobu wyznaczenia IOD, jego miejsca w strukturze, dostępu do informacji, zasobów i niezależności, a także procedur związanych z konfliktem interesów i rozliczalnością zadań. Szczególnie sprawdzano, czy administrator zapewnił „właściwe i niezwłoczne” włączanie IOD we wszystkie sprawy związane z ochroną danych zgodnie z art. 38 ust. 1 RODO.

Jako przepisy materialne naruszone przez uczelnię PUODO wskazał art. 38 ust. 1, 2, 3 i 6 RODO (dotyczące sposobu włączania IOD, zapewniania zasobów, niezależności oraz konfliktu interesów) oraz art. 39 ust. 1 RODO (zakres zadań inspektora oraz obowiązek zapewnienia warunków do ich realnego wykonywania). Wymierzona sankcja przybrała postać upomnienia, o którym mowa w art. 58 ust. 2 lit. b RODO, przy czym PUODO odwołał się do kryteriów z art. 83 ust. 2 RODO dotyczących charakteru, wagi, czasu trwania naruszenia oraz podjętych działań naprawczych.

Z decyzji wynika, że PUODO prowadził z uczelnią intensywną korespondencję, żądając dokumentów i wyjaśnień dotyczących statusu IOD, takich jak umowa, zakres zadań, dostęp do systemów i informacji, sposób raportowania oraz kwestie dotyczące konfliktu interesów. Z przekazanych informacji wynikało, że IOD pracował na podstawie umowy cywilnoprawnej, a uczelnia miała politykę ochrony danych oraz inne dokumenty wewnętrzne, które przez długi czas były jednak bardzo ogólne i deklaratywne.

PUODO poinformował w komunikacie prasowym, że dopiero po wprowadzeniu przez uczelnię nowych regulacji wewnętrznych 3 kwietnia i 9 października 2023 r., w tym regulaminu zadań IOD, usunięto stwierdzone nieprawidłowości. Uczelnia doprecyzowała wtedy procedury włączania IOD w sprawy ochrony danych, zasady współpracy z kierownictwem, kwestie konfliktu interesów oraz rozbudowała mechanizmy raportowania i planowania pracy inspektora.

Realna, a nie fasadowa rola IOD (art. 38 ust. 1 RODO)

Pierwsza ważna teza decyzji DKN.5110.14.2022 dotyczy interpretacji art. 38 ust. 1 RODO i obowiązku „właściwego i niezwłocznego” włączania inspektora ochrony danych we wszystkie sprawy związane z ochroną danych osobowych. PUODO podkreślił, że samo formalne wyznaczenie IOD oraz ogólne deklaracje w polityce bezpieczeństwa nie wystarczą. Potrzebne są konkretne procedury, które jasno określają, kiedy i w jaki sposób administrator angażuje IOD w projekty, podejmowanie decyzji oraz incydenty.

W praktyce oznacza to, że trzeba jasno określić, w jakich sprawach udział IOD jest obowiązkowy (na przykład wdrożenie nowych systemów IT, DPIA, zmiany w procesach HR), jak przekazywać mu informacje (np. przez dedykowaną skrzynkę lub udział w spotkaniach projektowych) oraz ile czasu ma na zajęcie stanowiska. PUODO uznał, że dopiero nowy regulamin IOD, przyjęty przez Uczelnię Łazarskiego w 2023 roku, spełnił te wymagania. To pokazuje, że wcześniejsze rozwiązania były zbyt ogólne i miały charakter „fasadowy”.

Zasoby obejmują także utrzymanie wiedzy fachowej (art. 38 ust. 2 RODO)

Druga teza dotyczy art. 38 ust. 2 RODO, który zobowiązuje administratora do zapewnienia IOD „zasobów niezbędnych do wykonywania tych zadań oraz utrzymania jego wiedzy fachowej”. W świetle decyzji DKN.5110.14.2022 zasoby to nie tylko dostęp do systemów, miejsce pracy czy wsparcie administracyjne, ale również konkretne środki finansowe i organizacyjne na kształcenie inspektora – takie jak studia podyplomowe, specjalistyczne szkolenia czy dostęp do profesjonalnych baz wiedzy (np. systemów informacji prawnej).

PUODO zauważył, że brak formalnych rozwiązań dotyczących budżetu i planu rozwoju kompetencji IOD przez dłuższy czas po rozpoczęciu stosowania RODO stanowi naruszenie art. 38 ust. 2, nawet jeśli inspektor korzystał z określonych form doskonalenia. Uczelnia została pozytywnie oceniona za późniejsze działania, takie jak dofinansowanie studiów podyplomowych i szkoleń, ale uznano je za „spóźnione” wypełnienie obowiązku.

Gwarancje niezależności IOD muszą być skonkretyzowane (art. 38 ust. 3 RODO)

Trzecia teza odnosi się do art. 38 ust. 3 RODO, który zabrania administratorowi wydawania inspektorowi instrukcji dotyczących wykonywania jego zadań, odwoływania go lub karania go za ich realizację. Przepis ten wymaga również, aby IOD podlegał bezpośrednio najwyższemu kierownictwu. PUODO zwrócił uwagę, że samo powtarzanie postanowień RODO w dokumentach nie gwarantuje niezależności. Potrzebne są jasne zasady wewnętrzne, które określają na przykład sposób raportowania bezpośrednio do rektora lub zarządu, zakaz nakładania sprzecznych obowiązków oraz ochronę IOD przed represjami.

W Uczelni Łazarskiego szczegółowe gwarancje niezależności zostały wprowadzone dopiero w nowym regulaminie IOD z 2023 roku. Organ uznał to za usunięcie naruszeń, ale dopiero po kilku latach obowiązywania RODO. Wcześniejszy brak konkretnych mechanizmów ochrony niezależności inspektora PUODO uznał za naruszenie art. 38 ust. 3 RODO.

Zarządzanie konfliktem interesów jest obowiązkiem administratora (art. 38 ust. 6 RODO)

Czwarta teza odnosi się do konfliktu interesów, o którym mowa w art. 38 ust. 6 RODO. Przepis ten zabrania powierzenia IOD obowiązków związanych z określaniem celów i sposobów przetwarzania danych. PUODO podkreślił, że administrator musi aktywnie identyfikować potencjalne konflikty interesów i wprowadzać procedury, które im zapobiegają. W polityce takiej należy określić, czym jest konflikt interesów oraz w jakich sytuacjach może on wystąpić. Należy także wymienić stanowiska, których nie należy łączyć z funkcją IOD, określić zadania, których wykonywanie może taki konflikt powodować, oraz wprowadzić procedury zgłaszania wystąpienia konfliktu i postępowania w celu jego rozwiązania.

W komunikacie dotyczącym decyzji DKN.5110.14.2022 zwrócono uwagę, że uczelnia dopiero w 2023 r. wprowadziła kompleksowe regulacje dotyczące konfliktu interesów IOD, w tym zakaz łączenia funkcji decyzyjnych z rolą inspektora oraz procedurę zgłaszania i rozstrzygania konfliktów. Podobną problematykę PUODO poruszał w innej decyzji dotyczącej uczelni wyższej – DKN.5110.16.2022 – w której nakazano administratorowi dostosować organizację pracy tak, by na IOD nie nakładać zadań powodujących konflikt interesów. Decyzje te łącznie budują standard oczekiwany wobec administratorów w zakresie zarządzania konfliktami IOD.

Rozliczalność IOD i kontrola wykonywania zadań (art. 39 ust. 1 RODO)

Piąta teza dotyczy rozliczalności zadań wymienionych w art. 39 ust. 1 RODO, takich jak monitorowanie zgodności, doradztwo, szkolenia, audyty oraz współpraca z organem nadzorczym. PUODO stwierdził, że administrator powinien wdrożyć mechanizmy planowania i dokumentowania pracy IOD, na przykład plany audytów, harmonogramy działań, regularne raporty dla kierownictwa oraz procedury oceny skuteczności działań inspektora.

Na początku obowiązywania RODO w Uczelni Łazarskiego brakowało takich rozwiązań, co uznano za naruszenie art. 39 ust. 1, mimo że później wprowadzono plany pracy i sprawozdawczość. Organ zaznaczył, że IOD nie powinien działać wyłącznie w odpowiedzi na zdarzenia. Jego zadania muszą być ujęte w planie, który administrator traktuje poważnie.

Implikacje praktyczne dla administratorów danych w Polsce

Projektowanie dokumentacji dotyczącej IOD

Decyzja DKN.5110.14.2022 pokazuje, że ogólne i deklaratywne zapisy w polityce ochrony danych nie chronią administratora przed zarzutami naruszenia art. 38–39 RODO. W praktyce dokumentacja dotycząca IOD powinna zawierać co najmniej:

• szczegółową procedurę włączania IOD w projekty, zmiany procesów i incydenty,
• regulamin wykonywania zadań przez IOD,
• zasady raportowania IOD do najwyższego kierownictwa,
• procedurę zarządzania konfliktem interesów,
• opis sposobu planowania i dokumentowania pracy IOD (plany audytów, sprawozdania).

Warto zwrócić uwagę na to, jak Uczelnia Łazarskiego, po interwencji PUODO, zmieniła swoje wewnętrzne regulacje dotyczące IOD. Zostało to pozytywnie ocenione przez UODO. W wielu organizacjach dobrym rozwiązaniem jest wprowadzenie osobnego „Regulaminu IOD”, do którego odwołują się polityka ochrony danych oraz regulamin organizacyjny.

Organizacja współpracy z IOD w praktyce

Współpraca z IOD to nie tylko dokumenty, ale też codzienne działania, takie jak regularne spotkania, udział w naradach oraz dostęp do informacji. Decyzja DKN.5110.14.2022 pokazuje, że warto wdrożyć na przykład:

• cykliczne spotkania IOD z najwyższym kierownictwem (np. raz na kwartał) zakończone notatką lub raportem,
• obowiązek zgłaszania IOD każdego projektu IT, zmiany systemu kadrowego, nowego procesu przetwarzania danych klientów czy studentów,
• stały kanał komunikacji dla pracowników (np. dedykowany adres e‑mail, formularz) do kontaktu z IOD.

W wielu organizacjach w Polsce dobrze sprawdzają się wewnętrzne „formularze konsultacji z IOD”, które trzeba złożyć przy projektach mających wpływ na przetwarzanie danych. Dzięki temu łatwiej wykazać „właściwe i szybkie” włączanie inspektora do działań.

Zarządzanie ryzykiem konfliktu interesów i niezależnością IOD

Łączenie funkcji IOD z rolami, które samodzielnie ustalają cele i sposoby przetwarzania danych (np. dyrektor IT, HR czy kierownik marketingu), zwykle prowadzi do konfliktu interesów, o którym mówi art. 38 ust. 6 RODO. Decyzje DKN.5110.14.2022 i DKN.5110.16.2022 pokazują, że PUODO oczekuje od administratora rzeczywistej analizy konfliktów interesów oraz wprowadzenia mechanizmów ich eliminacji.

Monitoring i rozliczalność pracy IOD

Zgodnie z art. 5 ust. 2 RODO, administrator powinien wykazać, że zadania IOD są planowane i realizowane w sposób systematyczny, a nie tylko okazjonalnie. W praktyce sprawdzają się tu:

• roczne plany pracy IOD, obejmujące audyty, przeglądy i szkolenia,
• kwartalne raporty z realizacji planu kierowane do zarządu lub rektora,
• rejestr zaleceń IOD wraz z informacją, które zostały wdrożone, a które odrzucone – z uzasadnieniem.

Analiza decyzji DKN.5110.14.2022 pokazuje, że brak takich elementów przez dłuższy czas po rozpoczęciu stosowania RODO może zostać uznany za naruszenie obowiązków administratora wobec IOD. Wdrożenie systemowych rozwiązań, nawet podczas postępowania, może zostać potraktowane jako okoliczność łagodząca przy wymierzaniu sankcji. W tym przypadku skutkowało to zastosowaniem upomnienia zamiast kary pieniężnej.

Audyt RODO i przegląd funkcjonowania IOD

Decyzja DKN.5110.14.2022 to dobra okazja, by przeprowadzić w organizacji audyt RODO skupiający się na statusie i pracy inspektora ochrony danych. Taki audyt powinien obejmować między innymi:

• analizę dokumentacji (polityki, regulaminy, procedury) pod kątem art. 37–39 RODO,
• ocenę niezależności IOD i potencjalnych konfliktów interesów,
• weryfikację zasobów i budżetu na rozwój kompetencji inspektora,
• ocenę planowania i dokumentowania pracy IOD.

W praktyce audyt może być przeprowadzony zarówno przez zewnętrznych doradców, jak i przez wewnętrzny dział compliance, przy udziale IOD. Ważne jest, aby wyniki audytu były udokumentowane i przełożone na plan działań naprawczych. Dla wielu organizacji decyzja DKN.5110.14.2022 jest impulsem do zmian i może służyć jako instrukcja dla administratorów danych, jak unikać podobnych zarzutów.

Szkolenia, e‑learning i wsparcie eksperckie

Zapewnienie zasobów IOD „do utrzymania jego wiedzy fachowej”, o czym mówi art. 38 ust. 2 RODO i Wytyczne WP243, oznacza w praktyce planowe inwestowanie w rozwój kompetencji inspektora. Mogą to być na przykład:

• studia podyplomowe z ochrony danych osobowych,
• specjalistyczne szkolenia branżowe (np. dla sektora edukacji, medycznego, finansowego),
• stały dostęp do szkoleń e‑learningowych pozwalających aktualizować wiedzę,
• konsultacje eksperckie w trudnych, nietypowych sprawach.

Więcej na temat niezbędnych środków dowiesz się w tym artykule.

Wnioski

Decyzja PUODO DKN.5110.14.2022 dotycząca Uczelni Łazarskiego to jeden z najbardziej szczegółowych przykładów praktycznego stosowania art. 38 i 39 RODO w Polsce. Pokazuje, że samo formalne wyznaczenie inspektora ochrony danych to dopiero początek. PUODO oczekuje, że administrator zapewni IOD rzeczywiste warunki do pracy: jasne procedury udziału w sprawach ochrony danych, odpowiednie zasoby i budżet, konkretne gwarancje niezależności, system zarządzania konfliktem interesów oraz przejrzysty plan pracy i raportowania.

Dla administratorów danych oznacza to potrzebę krytycznego przeglądu dokumentacji i praktyki działania IOD oraz wdrożenia rozwiązań zgodnych ze standardami PUODO i Wytycznymi WP243. W wielu organizacjach warto rozważyć audyt RODO, konsultacje z ekspertami oraz dedykowane szkolenia, także online. Dzięki temu można zbudować trwały i uporządkowany model współpracy z inspektorem ochrony danych oraz zmniejszyć ryzyko podejmowania podobnych decyzji w przyszłości.

FAQ – najczęstsze pytania o DKN.5110.14.2022 i funkcjonowanie IOD