Kiedy informować IOD? W jakich sprawach i w jakim momencie włączać inspektora ochrony danych

Nie – obowiązek z art. 38 ust. 1 RODO dotyczy wszystkich spraw związanych z ochroną danych osobowych, a nie każdej decyzji biznesowej. Jeśli dana zmiana wpływa na sposób, zakres, podstawę lub bezpieczeństwo przetwarzania danych (np. nowe narzędzie, zmiana procesu, nowy podmiot przetwarzający), IOD powinien zostać o niej poinformowany.

IOD powinien być włączany jak najwcześniej, najlepiej już na etapie planowania projektu, a nie dopiero tuż przed wdrożeniem. Wytyczne EROD (dawniej WP29) podkreślają, że udział IOD w fazie projektowania ułatwia realizację zasady privacy by design z art. 25 RODO i zmniejsza ryzyko kosztownych zmian po jego wdrożeniu.

Zgodnie z poradnikami UODO IOD powinien być informowany niezwłocznie po stwierdzeniu naruszenia lub poważnego incydentu bezpieczeństwa, tak aby mógł monitorować obsługę zdarzenia od najwcześniejszego etapu. Należy jednak pamiętać, że formalne zgłoszenie naruszenia Prezesowi UODO oraz zawiadomienie osób, których dane dotyczą, pozostaje obowiązkiem administratora, a rola IOD jest doradcza i monitorująca.

Jeśli incydent dotyczy ochrony danych osobowych (np. omyłkowe wysłanie e‑maila, chwilowa utrata nośnika), powinien zostać zgłoszony IOD, aby mógł ocenić, czy jest to naruszenie w rozumieniu RODO i jakie działania są potrzebne. Pomijanie drobnych zdarzeń może prowadzić do zaniżania ryzyka oraz błędnej oceny konieczności zgłoszenia naruszeń organowi.

RODO przyznaje osobom, których dane dotyczą, prawo do bezpośredniego kontaktu z IOD we wszystkich sprawach związanych z przetwarzaniem ich danych oraz wykonywaniem praw z RODO (art. 38 ust. 4). UODO podkreśla, że dane kontaktowe inspektora (imię, nazwisko, e‑mail/telefon) powinny być łatwo dostępne na stronie internetowej administratora, tak aby zarówno pracownicy, jak i osoby z zewnątrz mogły skontaktować się z IOD bez zbędnych pośredników.

Nie. Wyznaczenie IOD – wewnętrznego czy zewnętrznego – oznacza obowiązek włączania go właśnie we wszystkie sprawy dotyczące ochrony danych osobowych, niezależnie od tego, że organizacja równolegle korzysta z innych doradców. Zewnętrzny prawnik może wspierać administratora, ale nie zastępuje funkcji inspektora ochrony danych ani nie zwalnia z obowiązków wynikających z art. 38–39 RODO.

Reklama

Niewywiązywanie się z obowiązków z art. 38 RODO (np. brak włączania IOD, brak zasobów, wydawanie instrukcji) może zostać uznane przez Prezesa UODO za naruszenie podlegające karze do 10 mln euro lub 2% rocznego światowego obrotu na podstawie art. 83 ust. 4 lit. a RODO. W jednej z decyzji UODO nałożył istotną karę m.in. za nieprawidłowe usytuowanie IOD i niespełnienie gwarancji niezależności, co w praktyce obejmowało również pomijanie inspektora w kluczowych sprawach dotyczących ochrony danych.

Nie – art. 38 RODO stosuje się zarówno do IOD zatrudnionych wewnętrznie, jak i do inspektorów świadczących usługi na podstawie umowy cywilnoprawnej lub w modelu B2B. UODO wyraźnie wskazuje, że obowiązek zapewnienia zasobów, dostępu do danych oraz włączania IOD w sprawy dotyczące ochrony danych dotyczy w tym samym stopniu obu modeli.