Prezes zarządu może być IOD? Analiza decyzji PUODO DKN.5131.7.2025 i konfliktu interesów IOD

Ostatnia aktualizacja: 17 sierpnia 2026

Pytanie „czy prezes zarządu może być IOD?” pojawia się w polskiej praktyce od początku stosowania RODO, szczególnie w sektorze MŚP oraz w podmiotach medycznych, gdzie często jedna osoba pełni kilka ról. Decyzja Prezesa UODO nr DKN.5131.7.2025 dotycząca spółki medycznej Specer daje jasną odpowiedź: w tej konfiguracji organizacyjnej nie jest to możliwe, ponieważ prowadzi to do niedopuszczalnego postawienia inspektora ochrony danych w konflikcie interesów z innymi obowiązkami.

Przez niemal sześć lat prezes zarządu tej spółki pełnił jednocześnie funkcję IOD, a sprawa wyszła na jaw w toku postępowania związanego ze zgłoszeniem naruszenia polegającego na wydaniu pacjentowi zaświadczenia z danymi innej osoby. Prezes UODO stwierdził naruszenie art. 38 ust. 6 RODO i nałożył na spółkę administracyjną karę pieniężną w wysokości 11 365 zł, podkreślając, że taki model nie zapewnia niezależności ani obiektywizmu IOD. Decyzja ta jest już prawomocna.

Celem tego artykułu jest szczegółowa analiza tej decyzji, jej podstaw prawnych, odniesień do orzecznictwa TSUE dotyczącego konfliktu interesów IOD oraz praktycznych konsekwencji dla polskich administratorów danych.

Stan faktyczny i zakres decyzji DKN.5131.7.2025

Decyzja DKN.5131.7.2025 dotyczy spółki z ograniczoną odpowiedzialnością prowadzącej działalność medyczną w zakresie m.in. fizjoterapii, terapii integracji sensorycznej, logopedii oraz pomocy psychologicznej. Spółka przetwarzała więc dane szczególnych kategorii – dotyczące zdrowia pacjentów – co samo w sobie podnosi standardy wymaganej staranności i organizacji ochrony danych.

Bezpośrednim impulsem do wszczęcia postępowania była informacja o naruszeniu polegającym na wydaniu pacjentowi zaświadczenia zawierającego dane innej osoby. Spółka zgłosiła naruszenie do Prezesa UODO w sierpniu 2023 r. W trakcie postępowania okazało się, że od 16 lipca 2018 r. do 4 lipca 2024 r. funkcję inspektora ochrony danych pełniła ta sama osoba, która jednocześnie była prezesem zarządu spółki.

Zmiana modelu nastąpiła dopiero 5 lipca 2024 r., kiedy zarząd spółki powołał nową osobę na stanowisko IOD i zrezygnował z łączenia tej funkcji z funkcją prezesa. Jednak spółka i tak otrzymała karę, ponieważ organ uznał wcześniejszy, wieloletni model za niezgodny z art. 38 ust. 6 RODO.

Prezes UODO ustalił, że spółka kilkukrotnie analizowała kwestię potencjalnego konfliktu interesów IOD, sporządzając wewnętrzne dokumenty, w których wykazywano, iż łączenie funkcji prezesa i inspektora jest rzekomo dopuszczalne. Organ uznał jednak, że analizy te opierały się na błędnej wykładni art. 38 ust. 6 RODO oraz nie uwzględniały standardów wynikających z orzecznictwa i wytycznych EROD.

Warto podkreślić, że osoba łącząca funkcje prezesa i IOD brała udział w ocenie konfliktu interesów oraz akceptowała wnioski wynikające z przeprowadzonych analiz. To zostało uznane za przykład „samokontroli”, która jest sprzeczna z zasadą niezależności IOD. Organ zaznaczył, że IOD powinien monitorować zgodność przetwarzania z RODO i doradzać administratorowi, a nie zatwierdzać decyzje, które sam wcześniej podjął jako zarządzający.

Podstawy prawne zastosowane w decyzji

 Kluczowy przepisem materialnym zastosowanym w sprawie jest art. 38 ust. 6 RODO, zgodnie z którym inspektor ochrony danych może wykonywać inne zadania i obowiązki, pod warunkiem, że nie prowadzi to do konfliktu interesów. PUODO odwołał się również do art. 38 ust. 2–3 RODO, podkreślając gwarancje niezależności IOD oraz zakaz wydawania mu instrukcji dotyczących wykonywania zadań.

W zakresie zadań IOD organ wskazał na art. 39 RODO (monitorowanie przestrzegania przepisów, doradztwo, podnoszenie świadomości, współpraca z organem nadzorczym), co wymaga realnej, a nie fasadowej niezależności w strukturze administratora.

---

Niezależność IOD jako element konstytutywny

PUODO jasno stwierdził, że niezależność inspektora ochrony danych to nie tylko dodatkowy wymóg, ale kluczowy element tej roli. Bez prawdziwej niezależności IOD nie jest w stanie wykonywać swoich zadań obiektywnie, co wynika bezpośrednio z art. 38 ust. 2–3 oraz art. 39 RODO.

Zgodnie z art. 38 ust. 3 RODO IOD nie może otrzymywać instrukcji dotyczących wykonywania zadań, nie może być odwołany ani karany za ich realizację, a raportuje bezpośrednio do najwyższego kierownictwa administratora. W praktyce inspektor powinien mieć możliwość swobodnego zgłaszania naruszeń i proponowania rozwiązań, nawet jeśli są one niewygodne dla zarządu. Jest to trudne do osiągnięcia, gdy IOD pełni jednocześnie funkcję prezesa zarządu.

Konflikt interesów na poziomie struktury organizacyjnej

Druga kluczowa teza decyzji dotyczy rozumienia konfliktu interesów w art. 38 ust. 6 RODO. PUODO przyjmuje, że konflikt może istnieć już na poziomie samej struktury organizacyjnej, a nie dopiero wtedy, gdy dojdzie do faktycznego nadużycia. Odwołuje się tym samym do podejścia TSUE w sprawie C‑453/21 X‑FAB, gdzie Trybunał podkreślił, że konflikt interesów występuje wtedy, gdy inne zadania lub obowiązki IOD prowadzą do sytuacji, w której sam decyduje o celach i sposobach przetwarzania danych, które ma nadzorować.

Prezes zarządu z definicji bierze udział w podejmowaniu decyzji dotyczących celów i sposobów przetwarzania danych osobowych w organizacji, na przykład decyduje o wdrażaniu nowych systemów, usług czy modeli biznesowych wymagających przetwarzania danych. Jeśli ta sama osoba ma jednocześnie oceniać zgodność tych działań z RODO jako IOD, prowadzi to do sytuacji samokontroli, której RODO wyraźnie chciało uniknąć.

Błędna analiza wewnętrzna nie usuwa naruszenia

Spółka twierdziła, że przeprowadziła wewnętrzne analizy konfliktu interesów, które miały potwierdzić możliwość łączenia funkcji prezesa i IOD, więc działała w oparciu o własne oceny prawne. PUODO nie zgodził się z tym stanowiskiem i podkreślił, że samo przygotowanie analiz nie usuwa naruszenia, jeśli opierają się one na błędnej interpretacji prawa.

Organ zauważył też, że osoba łącząca funkcję prezesa i IOD brała udział w przygotowaniu i zatwierdzaniu tych analiz, co dodatkowo zwiększa problem konfliktu interesów. W efekcie Prezes UODO uznał, że administrator wykazał się co najmniej rażącym niedbalstwem, a samo przeprowadzenie analiz nie może być uznane za okoliczność łagodzącą w stopniu wyłączającym odpowiedzialność z art. 83 ust. 2 lit. b RODO.

Specyfika branży nie uzasadnia wyjątku

Spółka wskazywała na specyfikę działalności medycznej i tajemnicę lekarską, twierdząc, że połączenie funkcji prezesa i IOD nie powoduje konfliktu interesów. PUODO podkreślił jednak, że przetwarzanie danych szczególnych kategorii nie zwalnia z obowiązku zapewnienia niezależności IOD, a wręcz podnosi wymagany standard.

Organ przypomniał, że obowiązki wynikające z art. 38 ust. 6 RODO mają charakter autonomiczny i znajdują zastosowanie bez względu na sektor działalności administratora, a w szczególności nie istnieje „branżowe” wyłączenie dla sektora medycznego. Motyw 97 preambuły RODO oraz wytyczne WP29/EROD dotyczące IOD dodatkowo wzmacniają wymóg unikania sytuacji, w których osoba pełniąca funkcję inspektora uczestniczy w podejmowaniu decyzji dotyczących celów i środków przetwarzania.

Długotrwałość i świadomość naruszenia a wymiar kary

W tej sprawie łączenie funkcji prezesa zarządu i IOD trwało prawie sześć lat, od lipca 2018 do lipca 2024 roku. PUODO uznał, że długość tego naruszenia oraz świadomość administratora o konieczności rozważenia konfliktu interesów (potwierdzoną przeprowadzonymi analizami) były okolicznościami obciążającymi przy ustalaniu wysokości kary.

W rezultacie, na podstawie art. 83 ust. 4 lit. a RODO w związku z art. 58 ust. 2 lit. i RODO, organ nałożył na spółkę Specer karę w wysokości 11 365 zł. Podkreślono, że kara ma pełnić zarówno funkcję represyjną, jak i prewencyjną, skierowaną także do innych administratorów rozważających podobne łączenie funkcji.

---

Praktyka innych organów – przykład Belgii

Belgijski organ ochrony danych (GBA) w decyzji 18/2020 z 28 kwietnia 2020 r. nałożył na operatora telekomunikacyjnego karę 50 000 EUR za naruszenie art. 38 ust. 6 RODO, ponieważ funkcję IOD powierzono dyrektorowi ds. audytu, ryzyka i zgodności. Według organu taka osoba współdecyduje o celach i środkach przetwarzania, więc nie może pełnić funkcji niezależnego inspektora.

Podobnie, w sprawie polskiej spółki medycznej PUODO uznał, że prezes zarządu, tak jak dyrektor ds. ryzyka i zgodności, jest w centrum decyzji dotyczących przetwarzania danych. To sprawia, że jego stanowisko jest konfliktowe w rozumieniu art. 38 ust. 6 RODO. Decyzja DKN.5131.7.2025 pokazuje, że w Europie coraz większy nacisk kładzie się na niezależność IOD oraz na unikanie „samokontroli” ze strony kierownictwa.

---

Czy prezes zarządu może być IOD w świetle decyzji PUODO?

RODO pozwala łączyć rolę IOD z innymi zadaniami (art. 38 ust. 6), ale tylko wtedy, gdy nie ma konfliktu interesów. Oznacza to, że ta sama osoba nie może decydować o celach i sposobach przetwarzania ani je kontrolować. W praktyce prezes zarządu, ze względu na swoje decyzje, nie powinien być inspektorem ochrony danych w tej samej firmie, co potwierdza decyzja DKN.5131.7.2025.

Polskie firmy muszą przeanalizować swoje modele, jeśli inspektorem jest członek zarządu, dyrektor operacyjny, dyrektor IT lub inna osoba decydująca o przetwarzaniu danych. Dotyczy to zwłaszcza małych spółek, w których często jedna osoba pełni wiele funkcji. W takich przypadkach ważniejsze od oszczędności organizacyjnych jest unikanie ryzyka naruszenia art. 38 ust. 6 RODO i związanych z tym kar.

Check-lista dla administratorów – jak unikać konfliktu interesów IOD

W codziennej pracy dobrze jest stosować prostą, ale konsekwentną listę kontrolną:

• Czy osoba kandydująca na IOD:
  • bierze udział w podejmowaniu decyzji dotyczących celów przetwarzania danych (np. decyzje biznesowe, produktowe, strategiczne)?
  • zarządza działem, który „produkuje” dane (np. sprzedaż, HR, marketing, IT)?
  • zatwierdza budżety lub projekty systemów IT, w ramach których przetwarzane są dane osobowe?
  • ma ustalone cele (KPI) związane z przetwarzaniem danych osobowych (np. pozyskaniem danych w celach rekrutacyjnych/marketingowych/sprzedażowych itp.)
• Czy istnieją procesy, w których ta osoba sama ustala zasady przetwarzania, a jednocześnie miałaby oceniać ich zgodność jako IOD?
• Czy analiza konfliktu interesów jest zatwierdzana również przez niezależny organ lub osobę (np. radę nadzorczą, wspólników lub zewnętrznego audytora)?

Jeśli na któreś z pytań odpowiedź wskazuje, że dana osoba decyduje o celach lub sposobach przetwarzania danych, nie powinna pełnić funkcji IOD. W razie wątpliwości warto rozważyć powołanie zewnętrznego IOD lub zlecenie opinii niezależnemu ekspertowi.

IOD w małej firmie – praktyczne scenariusze i rozwiązania

W małych firmach często pojawia się pytanie: „Czy prezes zarządu może być IOD, jeśli nie mamy innej osoby?”. W praktyce istnieje kilka bezpieczniejszych rozwiązań:

• powierzenie funkcji IOD pracownikowi, który nie podejmuje decyzji dotyczących celów i metod przetwarzania, na przykład specjaliście ds. compliance, prawnikowi lub osobie odpowiedzialnej za jakość, pod warunkiem, że nie decyduje o procesach biznesowych;
• skorzystanie z zewnętrznego inspektora ochrony danych (umowa z podmiotem świadczącym usługi IOD-as-a-service);
• wprowadzenie formalnych mechanizmów ograniczających konflikt interesów, na przykład wyłączenie IOD z określonych procesów decyzyjnych oraz zapewnienie mu bezpośredniej raportowości do zarządu.

Każdy z tych wariantów wymaga oczywiście wdrożenia odpowiednich procedur, szkoleń oraz regularnego monitorowania.

---

Wyzwania: mentalność „oszczędności organizacyjnych”

Z perspektywy polskich administratorów dane osobowe często są traktowane jako „produkt uboczny” działalności, a nie zasób wymagający odrębnego ładu organizacyjnego. W efekcie w MŚP chętnie łączy się wiele ról w jednej osobie, co prowadzi do sytuacji takich jak ta oceniana w decyzji DKN.5131.7.2025.

Dodatkowym wyzwaniem jest brak świadomości, że konflikt interesów IOD stanowi samodzielną podstawę nałożenia kary, niezależnie od tego, czy doszło do „spektakularnego” naruszenia z udziałem wielu osób. Przedmiotowa sprawa pokazuje, że organ może rozpocząć od naruszenia jednostkowego (wydanie błędnego zaświadczenia), a następnie skupić się na modelu organizacyjnym i statusie IOD.

Dobre praktyki: jak budować model zgodny z RODO

Z perspektywy praktyki wdrożeniowej warto rozważyć następujące dobre praktyki:

• Wyraźne rozdzielenie ról: statut, regulamin zarządu i schemat organizacyjny powinny jasno wskazywać, że IOD nie podejmuje decyzji w sprawie celów i sposobów przetwarzania, lecz pełni funkcję doradczą i nadzorczą.
• Niezależna ocena konfliktu interesów powinna być przeprowadzana i zatwierdzana przez organ, który nie jest bezpośrednio zainteresowany wynikiem, na przykład przez zewnętrznego eksperta.
• Stałe szkolenia zarządu i IOD, także w formie e-learningu, są ważne, ponieważ pomagają aktualizować wiedzę o standardach UE (TSUE, decyzje innych organów) i zapobiegają błędnym założeniom, takim jak „w naszej branży to nie problem”.
• Okresowy audyt RODO (na przykład co 1–2 lata) jest istotny, ponieważ pozwala ocenić nie tylko dokumentację, ale także faktyczną pozycję IOD oraz praktykę konsultacji z inspektorem przy realizacji projektów.

Profesjonalne audyty RODO, wsparcie wdrożeniowe i szkoleniowe oraz bieżące konsultacje eksperckie mogą pełnić rolę „bezpiecznika”. Dzięki nim można wcześnie zidentyfikować sytuacje podobne do tej ze spółki Specer, zanim staną się przedmiotem decyzji sankcyjnej.

Wnioski – rekomendacje dla administratorów danych

Decyzja PUODO DKN.5131.7.2025 to ważny punkt odniesienia przy rozważaniu, czy osoba zarządzająca może pełnić funkcję IOD. W praktyce, biorąc pod uwagę typowy zakres obowiązków prezesa, odpowiedź powinna być negatywna, ponieważ prowadzi to do konfliktu interesów, co jest niezgodne z art. 38 ust. 6 RODO. Przypadek spółki Specer pokazuje, że organ nadzorczy może nałożyć karę finansową już za sam niewłaściwy model organizacyjny, niezależnie od tego, czy naruszenie miało szeroki zasięg.

Dla administratorów danych oznacza to, że trzeba na nowo przemyśleć rolę IOD w organizacji. W praktyce warto wykluczyć członków zarządu i innych decydentów z grona kandydatów na inspektora, wprowadzić procedury oceny konfliktu interesów, regularnie organizować szkolenia i audyty RODO oraz, jeśli to potrzebne, korzystać z usług zewnętrznych specjalistów, takich jak zewnętrzny IOD.

Najlepiej jest traktować obszar IOD jako ważny element ładu organizacyjnego, a nie tylko jako formalny dodatek. Decyzja DKN.5131.7.2025 oraz orzecznictwo TSUE i innych organów UE jasno pokazują, że inspektor ochrony danych powinien być naprawdę niezależny. Tylko wtedy może skutecznie chronić prawa osób oraz interesy administratora w dłuższej perspektywie.

FAQ – najczęściej zadawane pytania na szkoleniach