Ostatnia aktualizacja: 9 czerwca 2026
Aktualizacja artykułu: 9 czerwca 2026 r.
Jeśli masz już kandydata na IOD, który spełnia wymagania opisane w artykule Kto może zostać inspektorem ochrony danych?, następnym krokiem jest wyznaczenie inspektora zgodnie z RODO, ustawą o ochronie danych osobowych i aktualną praktyką UODO. RODO używa pojęcia „wyznaczenia” IOD, ale w praktyce można mówić o powołaniu IOD, jeśli spełnia ono wymagania określone w art. 37–39 RODO.
Warto od razu zaznaczyć, że przepisy nie narzucają jednej zamkniętej formy, w jakiej ma nastąpić powołanie inspektora ochrony danych. To jednak nie oznacza pełnej dowolności. Zgodnie z wytycznymi EROD WP243 rev.01 oraz praktyką UODO, powołanie IOD musi być formalne, jednoznaczne i odpowiednio udokumentowane, tak aby w razie kontroli można było wykazać, kto został powołany, od kiedy pełni tę funkcję i na jakiej podstawie. Dodatkowo po tym fakcie ADO powinien zgłosić go do UODO oraz udostępnić dane na swojej stronie.
W tym artykule wyjaśniam, jak prawidłowo przeprowadzić powołanie inspektora ochrony danych, jakie formy są dopuszczalne, jak uregulować relację z IOD w umowie oraz jak prawidłowo zgłosić to Prezesowi UODO.
Podstawa prawna powołania inspektora ochrony danych
Art. 37 ust. 1 RODO określa sytuacje, w których administrator lub podmiot przetwarzający ma obowiązek wyznaczyć inspektora ochrony danych. Dotyczy to przede wszystkim:
- organów i podmiotów publicznych, z wyjątkiem sądów działających w ramach sprawowania wymiaru sprawiedliwości,
- podmiotów, których główna działalność polega na operacjach przetwarzania wymagających regularnego i systematycznego monitorowania osób na dużą skalę,
- podmiotów, których główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych lub danych o wyrokach skazujących i czynach zabronionych.
Z kolei art. 37 ust. 4 RODO pozwala na dobrowolne powołanie inspektora ochrony danych także wtedy, gdy obowiązek nie wynika wprost z ust. 1–3, albo gdy wymaga tego prawo Unii lub prawo państwa członkowskiego. Oznacza to, że nie każdy podmiot musi mieć IOD, ale wiele organizacji może zdecydować się na taką funkcję ze względów compliance, organizacyjnych lub biznesowych.
Więcej na temat podmiotów, które mają obowiązek powołania IOD, znajdziesz w artykule: Kto musi powołać inspektora ochrony danych?.
Czy RODO określa formę powołania IOD?
RODO nie wskazuje jednej konkretnej formy prawnej, w jakiej ma nastąpić powołanie inspektora ochrony danych. Z przepisów wynika raczej to, kto i kiedy ma wyznaczyć IOD, jakie kwalifikacje powinien mieć inspektor, jakie ma zadania i jaką pozycję powinien zajmować w organizacji.
W praktyce oznacza to, że powołanie IOD może zostać dokonane zarówno poprzez jednostronne oświadczenie woli administratora, jak i w drodze odpowiednio skonstruowanej umowy. Jednocześnie aktualna praktyka UODO pokazuje, że sam fakt wykonywania zadań „z zakresu ochrony danych” nie wystarczy, jeśli administrator nie jest w stanie wykazać formalnego aktu powołania IOD oraz zgłoszenia i publikacji danych kontaktowych.
Dlatego najlepiej, aby powołanie inspektora ochrony danych było udokumentowane na piśmie i przygotowane zgodnie z zasadami reprezentacji obowiązującymi u administratora.
Formy powołania inspektora ochrony danych
Powołanie IOD w formie oświadczenia woli administratora
Powołanie IOD może zostać dokonane w formie jednostronnego aktu administratora danych osobowych. W praktyce będzie to najczęściej:
- uchwała zarządu spółki,
- zarządzenie kierownika jednostki,
- decyzja właściciela jednoosobowej działalności,
- inny akt wewnętrzny zgodny z zasadami reprezentacji danej organizacji.
Taki dokument powinien wprost wskazywać:
- osobę powołaną na funkcję inspektora ochrony danych,
- podstawę prawną powołania,
- datę rozpoczęcia pełnienia funkcji,
- zakres zadań IOD lub odesłanie do dokumentu, który określa ten zakres zgodnie z art. 39 RODO.
Z perspektywy dowodowej to bardzo bezpieczne rozwiązanie. Jeśli podczas kontroli UODO trzeba udowodnić, że inspektor ochrony danych został skutecznie powołany, taki dokument stanowi podstawowy dowód.
Powołanie IOD w umowie
Drugim dopuszczalnym modelem jest powołanie IOD w drodze umowy. RODO wprost przewiduje, że inspektor ochrony danych może być członkiem personelu administratora lub podmiotu przetwarzającego albo wykonywać zadania na podstawie umowy o świadczenie usług.
To oznacza, że powołanie inspektora ochrony danych może zostać umieszczone m.in. w:
- umowie o pracę,
- aneksie do umowy o pracę,
- umowie zlecenia,
- umowie B2B,
- umowie o świadczenie usług.
Najważniejsze jest jednak, aby z umowy jasno wynikało, że dana osoba została powołana na funkcję IOD zgodnie z RODO. Sama wzmianka o „ochronie danych”, „wsparciu RODO” czy „koordynacji zgodności” nie wystarczy, jeśli nie wskazuje wyraźnie funkcji inspektora ochrony danych.
Czy wystarczy dopisać ochronę danych do zakresu obowiązków?
Nie zawsze. To jedna z kluczowych kwestii praktycznych. Dodanie do obowiązków pracownika „ochrony danych osobowych” nie oznacza automatycznie skutecznego powołania IOD. Jeśli dokument nie wskazuje tej osoby bezpośrednio jako inspektora ochrony danych, organ nadzorczy może uznać, że IOD nie został formalnie wyznaczony.
W praktyce warto unikać półśrodków. Jeśli naprawdę chcesz powołać inspektora ochrony danych, powinno to być jasno zapisane w dokumentach, a nie wynikać z nich pośrednio.
Konflikt interesów IOD – o czym trzeba pamiętać
Przy powołaniu IOD spośród własnych pracowników trzeba pamiętać o art. 38 ust. 6 RODO, zgodnie z którym inspektor ochrony danych może wykonywać inne zadania i obowiązki, ale administrator musi zapewnić, by nie powodowało to konfliktu interesów.
W praktyce konflikt interesów pojawia się, gdy IOD zajmuje stanowisko, na którym sam ustala cele i sposoby przetwarzania danych. Najczęściej dotyczy to takich funkcji jak:
- dyrektor IT,
- dyrektor HR,
- członek zarządu odpowiedzialny za operacje,
- kierownik bezpieczeństwa decydujący o systemach i procesach przetwarzania.
Kierunek interpretacyjny potwierdził TSUE w wyroku z 9 lutego 2023 r. w sprawie C‑453/21, wskazując, że konflikt interesów może istnieć wtedy, gdy IOD pełni funkcje prowadzące do określania celów i sposobów przetwarzania danych osobowych. Ocena zależy jednak od struktury organizacyjnej oraz rzeczywistego zakresu obowiązków.
Dlatego przed powołaniem IOD dobrze jest przeanalizować, czy nie występuje konflikt interesów, zamiast polegać wyłącznie na nazwie stanowiska. Więcej na temat konfliktu interesów odnajdziesz w tym artykule: https://skutecznyiod.pl/iod-w-stanie-konfliktu-interesow-kiedy-jest-to-mozliwe/
Powołanie IOD w modelu outsourcingowym
IOD można też powołać w modelu zewnętrznym, na przykład na podstawie umowy o świadczenie usług lub współpracy B2B. Outsourcing IOD jest szczególnie popularny w małych i średnich firmach, które nie chcą tworzyć osobnego stanowiska wewnętrznego.
Przy takim modelu trzeba jednak zadbać o kilka elementów:
- umowa powinna jasno wskazywać, że dotyczy wykonywania funkcji IOD,
- należy oznaczyć konkretną osobę fizyczną, która faktycznie pełni funkcję inspektora ochrony danych,
- trzeba zapewnić możliwość łatwego kontaktu z IOD,
- należy zadbać o niezależność inspektora oraz dostęp do informacji potrzebnych do wykonywania zadań.
Jeżeli korzystasz z takiego modelu, możesz też odwołać się do oferty typu outsourcing IOD, ale z perspektywy prawnej najważniejsze jest nie samo zlecenie usługi, lecz to, czy doszło do prawidłowego i formalnego powołania konkretnego inspektora ochrony danych.
Zasoby i pozycja IOD w organizacji
Powołanie IOD to dopiero początek obowiązków administratora. Zgodnie z art. 38 RODO inspektor powinien być szybko i prawidłowo włączany do wszystkich spraw związanych z ochroną danych osobowych
Administrator musi też zapewnić mu zasoby potrzebne do pracy i utrzymania wiedzy fachowej.
W praktyce oznacza to potrzebę zapewnienia IOD:
- dostępu do informacji i procesów,
- odpowiedniej ilości czasu na wykonywanie funkcji,
- możliwości szkolenia i aktualizacji wiedzy,
- odpowiedniej pozycji organizacyjnej, w tym raportowania do najwyższego kierownictwa.
Jeżeli więc planujesz powołanie inspektora ochrony danych jako dodatkowej roli dla pracownika, trzeba uczciwie ocenić, czy ta osoba rzeczywiście będzie miała czas i warunki do wykonywania funkcji IOD w sposób niezależny i efektywny.
Więcej na temat przyznania niezbędnych zasobów znajdziesz w tym artykule: Niezbędne środki dla IOD – jakie zasoby musi zapewnić organizacja inspektorowi ochrony danych?
Zgłoszenie IOD do UODO
Po powołaniu inspektora ochrony danych administrator ma obowiązek zawiadomić o tym Prezesa UODO w terminie 14 dni. Obowiązek ten wynika z ustawy z 10 maja 2018 r. o ochronie danych osobowych, a UODO wielokrotnie podkreślał, że zawiadomienie musi zostać dokonane we właściwy sposób.
Aktualnie jedynym prawidłowym i skutecznym sposobem zawiadomienia Prezesa UODO o wyznaczeniu IOD jest forma elektroniczna. Więcej na temat zgłoszenia IOD dowiesz się w tym artykule: Jak zgłosić Inspektora Ochrony Danych do PUODO? Wzory.
Jak powinien wyglądać dokument powołania IOD?
Niezależnie od wybranej formy, dokument powołujący inspektora ochrony danych powinien zawierać co najmniej:
- oznaczenie administratora,
- oznaczenie osoby powołanej na IOD,
- podstawę prawną,
- datę powołania,
- określenie formy pełnienia funkcji,
- wskazanie danych kontaktowych IOD lub odesłanie do miejsca ich publikacji,
- zakres zadań albo odesłanie do art. 39 RODO i dokumentów wewnętrznych regulujących obowiązki.
Warto także uwzględnić:
- zapis o bezpośrednim podleganiu najwyższemu kierownictwu,
- potwierdzenie braku konfliktu interesów,
- określenie zasobów zapewnianych IOD,
- procedurę odwołania i zmiany danych IOD.
Podsumowanie
Powołanie inspektora ochrony danych nie wymaga jednej konkretnej formy, ale powinno być formalne, przejrzyste i łatwe do udokumentowania. Administrator może skorzystać z uchwały, zarządzenia, umowy o pracę, umowy zlecenia lub umowy o świadczenie usług. Najważniejsze, aby dokumenty jasno wskazywały, kto został powołany na IOD, od kiedy pełni tę funkcję i na jakiej podstawie.
Warto pamiętać, że samo powołanie inspektora ochrony danych nie jest wszystkim. Równie istotne są gwarancje przewidziane przez RODO, takie jak brak konfliktu interesów, zapewnienie odpowiednich zasobów do wykonywania funkcji, brak karania i wydawania instrukcji, publikacja danych kontaktowych IOD oraz terminowe zgłoszenie go do Prezesa UODO w odpowiedniej formie elektronicznej.
Aby ograniczyć ryzyko błędów, warto połączyć przygotowanie aktu powołania IOD z przeglądem dokumentacji i procedur. W praktyce pomocne są audyt RODO, wdrożenie RODO, uporządkowanie dokumentacji oraz regularne szkolenia dla osób, które mają pełnić funkcję IOD lub odpowiadają za system ochrony danych w firmie lub jednostce publicznej.
Zapisz sie na nasz newsletter oraz otrzymaj dostęp do dodatkowych materiałów w tym wzoru wyznaczenia IOD.
Administratorem podanych przez Pana/ Panią danych osobowych jest Data Legal Solutions z siedzibą w Warszawie (02-676), przy ul. Suwak 4. Dane będą przetwarzane w celu wysyłki newslettera oraz w celu wysyłania przez administratora treści marketingowych administratora na zasadach określonych w regulaminie portalu. Podanie adresu e-mail jest dobrowolne, lecz jego podanie jest niezbędne do zapisania się do newsletter. Więcej informacji na temat przetwarzania przez nas danych osobowych znajduje się w polityce prywatności.
FAQ – najczęstsze pytania o powołanie inspektora ochrony danych
Kiedy powołanie inspektora ochrony danych jest obowiązkowe?
Powołanie IOD jest wymagane głównie wtedy, gdy przetwarzaniem danych zajmuje się organ lub podmiot publiczny, albo gdy główna działalność administratora lub podmiotu przetwarzającego polega na monitorowaniu osób na dużą skalę lub przetwarzaniu szczególnych kategorii danych na dużą skalę.
Czy powołanie inspektora ochrony danych i wyznaczenie IOD to to samo?
Zasadniczo tak, choć w RODO używa się terminu „wyznaczenie” IOD. W tekstach eksperckich i praktycznych można stosować określenie „powołanie inspektora ochrony danych”, jeśli odnosi się ono do tej samej czynności prawnej i organizacyjnej.
Czy powołanie IOD musi mieć formę zarządzenia lub uchwały?
Nie. RODO nie wymaga jednej określonej formy powołania IOD. Może to być uchwała, zarządzenie, umowa o pracę, aneks, umowa zlecenia lub umowa o świadczenie usług, pod warunkiem że dokument jasno wskazuje osobę pełniącą funkcję IOD.
Czy wystarczy wpisać obowiązki wynikające z RODO do zakresu czynności pracownika?
Nie zawsze. Sama informacja o obowiązkach związanych z ochroną danych może nie być wystarczająca, by potwierdzić formalne powołanie IOD. Lepiej zadbać o wyraźny akt powołania lub jednoznaczne postanowienie w umowie
Czy można powołać IOD na podstawie umowy B2B?
Tak. RODO dopuszcza wykonywanie zadań IOD na podstawie umowy o świadczenie usług, co pozwala na korzystanie z modelu outsourcingowego. Trzeba jednak wskazać konkretną osobę fizyczną pełniącą funkcję IOD oraz zapewnić jej realną możliwość wykonywania tych zadań.
Reklama
Jak zgłosić powołanie IOD do UODO?
Zawiadomienie należy dokonać w terminie 14 dni od dnia wyznaczenia inspektora ochrony danych. W praktyce nie warto odkładać tego obowiązku, bo brak terminowego zgłoszenia może zostać oceniony jako naruszenie obowiązków administratora.
Czy członek zarządu może zostać IOD?
Co do zasady rozwiązanie to ryzykowne, ponieważ może prowadzić do konfliktu interesów, jeśli taka osoba określa cele i sposoby przetwarzania danych. Ocena zawsze zależy od rzeczywistej pozycji w strukturze organizacyjnej i zakresu kompetencji.
Czy outsourcing IOD jest zgodny z RODO?
Tak, outsourcing IOD jest zgodny z RODO, pod warunkiem że umowa jasno określa funkcję IOD, wskazuje konkretną osobę oraz zapewnia jej niezależność i odpowiednie zasoby do wykonywania obowiązków.
Co powinno znaleźć się w akcie powołania IOD?
Najważniejsze to: dane administratora, dane osoby powołanej na IOD, podstawa prawna, data rozpoczęcia funkcji, zakres zadań, sposób kontaktu oraz elementy potwierdzające zgodność z art. 38–39 RODO.
Reklama
