Ostatnia aktualizacja: 17 sierpnia 2026
Inspektor ochrony danych to kluczowy element systemu zgodności z RODO, zwłaszcza w firmach, które przetwarzają duże ilości danych, robią to regularnie lub mają do czynienia z danymi wrażliwymi. Zgodnie z art. 39 ust. 1 lit. a RODO, głównym zadaniem IOD jest informowanie administratora, podmiotu przetwarzającego oraz pracowników o obowiązkach wynikających z przepisów o ochronie danych i doradzanie im w tym zakresie. To zadanie ma charakter ciągły i obejmuje doradztwo dotyczące wszystkich etapów przetwarzania danych: od projektowania nowych systemów IT, przez codzienną obsługę żądań, aż po reagowanie na incydenty.
W praktyce często okazuje się, że zakres doradztwa IOD nie jest do końca jasny. Czasem prowadzi to do jego marginalizacji, a innym razem do przeciążenia, ponieważ oczekuje się od niego zarówno roli konsultanta, jak i osoby podejmującej decyzje.
W tym artykule chcemy uporządkować obowiązki informacyjne i doradcze IOD, omówić standardy wynikające z RODO, wytycznych EROD i orzecznictwa TSUE oraz pokazać praktyczne modele pracy IOD. Skupiamy się też na narzędziach, takich jak szkolenia wstępne RODO, e-learning i szkolenia stacjonarne, a także na tym, jak audyt, wdrożenie RODO i bieżące konsultacje mogą poprawić skuteczność IOD.
Podstawa prawna obowiązków IOD – co mówią RODO i polskie prawo?
Jak brzmi art. 39 ust. 1 lit. a RODO i co on oznacza w praktyce?
Art. 39 ust. 1 lit. a RODO stanowi, że inspektor ochrony danych ma za zadanie „informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy niniejszego rozporządzenia oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzanie im w tej sprawie”. Już z samego brzmienia przepisu wynika dwojaki charakter zadania IOD: z jednej strony edukacyjno-informacyjny (przekazywanie wiedzy o obowiązkach), z drugiej – konsultacyjno-doradczy (proponowanie rozwiązań i rekomendacji).
Adresatami tego obowiązku są trzy grupy: administrator, podmiot przetwarzający oraz pracownicy przetwarzający dane osobowe. W praktyce oznacza to, że IOD musi umieć prowadzić zarówno rozmowę strategiczną z zarządem jak i bardzo operacyjne konsultacje z działem HR, IT czy obsługą klienta. Szczególne znaczenie ma przy tym zapewnienie, aby informacje i porady były dostosowane do poziomu odpowiedzialności i kompetencji danej grupy adresatów.
Jakie przepisy obejmuje doradztwo IOD – tylko RODO czy coś więcej?
Obowiązek informowania i doradzania nie ogranicza się wyłącznie do RODO, ale obejmuje również „inne przepisy Unii lub państw członkowskich o ochronie danych”. W praktyce oznacza to konieczność śledzenia nie tylko zmian w RODO, ale również w przepisach krajowych oraz aktach sektorowych – np. w prawie pracy, prawie medycznym czy regulacjach dotyczących marketingu elektronicznego, oczywiście w zależności od tego, jakie uregulowania dotyczą branży, w której doradzamy.
Doradztwo w powyższych obszarach dotyczy jednak wyłącznie uregulowań, które mają wpływ na stosowanie RODO (np. stosowania podstaw prawnych, zakresu zbieranych danych lub okresu przechowywania). Nie dotyczy jednak doradztwa w pełnym zakresie tych uregulowań, analogicznie jak przy doradztwie prawnym.
IOD musi także rozumieć jak RODO łączy się z innymi przepisami i potrafić wyjaśniać je w prosty sposób różnym działom w firmie. Przykładowo, działowi kadr tłumaczy kwestie monitoringu pracowników, działowi medycznemu – przetwarzanie danych o zdrowiu, a działowi marketingu – zasady zgód i prawnie uzasadnionego interesu.
Dlaczego niezależność IOD ma znaczenie dla jakości doradztwa?
Rola doradcza IOD jest nierozerwalnie związana z jego statusem i gwarancjami niezależności, określonymi w art. 38 RODO. Zgodnie z tym przepisem IOD nie może otrzymywać instrukcji dotyczących wykonywania swoich zadań, nie może być odwoływany ani karany z powodu wykonywania zadań, a ponadto powinien podlegać bezpośrednio najwyższemu kierownictwu administratora lub podmiotu przetwarzającego.
Orzecznictwo TSUE – w szczególności sprawa C‑453/21 X‑FAB – podkreśla, że ochrona IOD przed nieuzasadnionym odwołaniem ma zapewnić faktyczną niezależność inspektora, tak aby mógł on wydawać niewygodne dla organizacji opinie bez obawy o konsekwencje personalne. Polskie analizy tego wyroku wskazują, że „ważne przyczyny” odwołania IOD muszą być interpretowane wąsko, w sposób zapewniający realną możliwość krytycznej oceny praktyk administratora.
Granice odpowiedzialności IOD są jednocześnie wyraźne – to administrator lub podmiot przetwarzający podejmuje ostateczne decyzje dotyczące środków technicznych i organizacyjnych, a rola IOD polega na doradzaniu i sygnalizowaniu ryzyk.
Wytyczne WP243 rev.01 dotyczące inspektorów ochrony danych (DPO) – przyjęte przez Grupę Roboczą art. 29 i zatwierdzone przez Europejską Radę Ochrony Danych (EROD) – doprecyzowują, jak należy rozumieć zadania IOD. Dokument ten podkreśla m.in., że IOD powinien być w odpowiednim czasie i właściwie włączany we wszystkie sprawy dotyczące ochrony danych osobowych, a organizacja powinna zapewnić mu zasoby niezbędne do wykonywania zadań, w tym czas, finansowanie, infrastrukturę oraz wsparcie zespołu. Ma to bowiem wpływ na szybkość realziacji doradztwa a także umożliwa zastosowanie rekomendacji w praktyce.
Prezes UODO w swoich komunikatach i decyzjach wielokrotnie odwołuje się do wytycznych WP243, wskazując na znaczenie prawidłowego usytuowania IOD w strukturze organizacyjnej oraz unikania konfliktów interesów (np. w przypadkach łączenia funkcji IOD z rolą dyrektora IT). Interpretacje organu nadzorczego są istotnym drogowskazem dla IOD – zarówno w zakresie organizacji jego pracy, jak i sposobu dokumentowania działań doradczych.
Kogo IOD informuje i komu doradza? – różne grupy w organizacji
Administrator danych – jak IOD wspiera zarząd w podejmowaniu decyzji dotyczących zgodności?
W relacji z administratorem danych IOD pełni przede wszystkim funkcję strategicznego doradcy w obszarze compliance. Dotyczy to w szczególności takich zagadnień jak: dobór podstaw prawnych przetwarzania (art. 6 RODO), ocena konieczności i zakresu oceny skutków dla ochrony danych (art. 35 RODO), wdrażanie zasady privacy by design i privacy by default (art. 25 RODO) oraz budowa systemu rozliczalności zgodnie z art. 24 RODO.
W codziennej pracy IOD powinien brać udział w spotkaniach projektowych i zarządczych, oceniać ryzyka nowych działań i proponować odpowiednie środki techniczne i organizacyjne. W wielu firmach audyt RODO jest ważnym narzędziem, które pomaga ocenić poziom zgodności oraz wskazać obszary wymagające szczególnej uwagi.
Podmioty przetwarzające – jak doradzać procesorom?
Zadania informacyjno-doradcze IOD obejmują także relacje z podmiotami przetwarzającymi, zwłaszcza w kontekście art. 28 RODO, który określa wymogi dotyczące umów powierzenia przetwarzania. IOD powinien opiniować projekty umów, zwracając uwagę m.in. na zakres przetwarzania, kategorie danych, środki bezpieczeństwa, zasady korzystania z dalszych podmiotów przetwarzających oraz procedury audytu, a także terminy i zakres informowania o naruszeniach.
W modelu outsourcingu usług (np. chmura obliczeniowa, usługi kadrowo-płacowe, call center) IOD wspiera procesora w budowaniu jego wiarygodności, w tym w zakresie stosowanych zabezpieczeń, kodeksów postępowania oraz wyników audytów. Doradztwo IOD jest też szczególnie cenne na etapie wdrożenia RODO, kiedy organizacja porządkuje wzory umów i potrzebuje spójnego podejścia do wymagań stawianych przez administratorów.
Pracownicy – jak edukować i wspierać “codziennych” użytkowników danych
RODO wprost przewiduje, że IOD monitoruje przestrzeganie przepisów oraz polityk administratora w zakresie podziału obowiązków, działań podnoszących świadomość oraz szkoleń osób zaangażowanych w przetwarzanie. W praktyce oznacza to budowę systemu szkoleń – w szczególności szkoleń wstępnych RODO dla pracowników oraz cyklicznych szkoleń odświeżających.
Szkolenia wstępne dotyczące RODO powinny być dopasowane do potrzeb różnych grup pracowników. Inaczej szkoli się personel medyczny, inaczej dział sprzedaży, a jeszcze inaczej administratorów IT. Coraz częściej IOD korzysta z e-learningu RODO, który pozwala szybko przeszkolić wielu pracowników, sprawdzić ich wiedzę oraz przygotować raporty. Szkolenia stacjonarne są natomiast bardzo przydatne podczas warsztatów z kadrą kierowniczą i zespołami, które pracują z danymi o podwyższonym ryzyku.
Grupy kapitałowe i struktury rozproszone – wyzwania komunikacji IOD
W organizacjach wielooddziałowych oraz w grupach kapitałowych IOD mierzy się z dodatkowymi wyzwaniami: rozproszoną strukturą decyzyjną, odmiennymi kulturami organizacyjnymi oraz różnymi poziomami dojrzałości w zakresie ochrony danych. RODO dopuszcza powołanie jednego IOD dla grupy przedsiębiorstw, pod warunkiem, że jest on łatwo dostępny z każdej jednostki organizacyjnej, w której przetwarzane są dane osobowe.
W takich organizacjach ważne jest ustalenie jasnych zasad komunikacji, na przykład przez lokalnych koordynatorów ochrony danych, wspólne repozytorium procedur lub centralny e-learning RODO. Potrzebne są też jednolite narzędzia, takie jak wzory klauzul informacyjnych, wspólny rejestr czynności przetwarzania oraz centralny system zgłaszania naruszeń. W takiej roli IOD staje się łącznikiem między centralą a oddziałami, dbając o spójność interpretacji, doradztwa i szkoleń.
Jak IOD realizuje swoje zadania? – narzędzia i formy pracy
Szkolenia i budowanie świadomości – jak planować skuteczny program?
Najważniejszym narzędziem w pracy IOD są szkolenia z RODO. Art. 39 ust. 1 lit. b RODO mówi wprost o działaniach zwiększających świadomość i szkoleniach dla osób przetwarzających dane. W dobrze działającym systemie compliance szkolenia wstępne RODO są częścią wdrożenia nowych pracowników, a szkolenia okresowe – na przykład raz w roku lub co dwa lata – pomagają utrwalić wiedzę i przekazać nowe informacje o zmianach w przepisach lub praktyce urzędów.
Z perspektywy efektywności i rozliczalności szczególnie przydatny jest elearning RODO, który pozwala:
- zautomatyzować proces szkoleniowy,
- skalować go na wiele lokalizacji,
- gromadzić dane o ukończeniu szkolenia i wynikach testów,
- łatwo aktualizować treści zgodnie z nowymi wytycznymi EROD lub decyzjami Prezesa UODO.
Szkolenia stacjonarne RODO powinny natomiast uzupełniać e-learning tam, gdzie potrzebna jest dyskusja, analiza przypadków czy warsztatowe wypracowanie procedur (np. z zespołem IT, HR lub działem sprzedaży).
Opinie, rekomendacje i procedury – jak tworzyć i dokumentować doradztwo?
Drugą kluczową formą realizacji funkcji doradczej jest wydawanie opinii i rekomendacji oraz współtworzenie procedur wewnętrznych. Art. 24 RODO nakłada na administratora obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych oraz możliwość wykazania zgodności z rozporządzeniem, co w praktyce oznacza konieczność posiadania udokumentowanych polityk, procedur i instrukcji.
IOD może (i powinien) opiniować projekty takich dokumentów oraz inicjować ich aktualizacje, np. polityki retencji, procedury reagowania na naruszenia, procedury realizacji praw osób, instrukcji zarządzania systemem informatycznym, procedur pracy z danymi w terenie. Szczególnie istotne jest dokumentowanie doradztwa – sporządzanie pisemnych opinii, notatek ze spotkań (minutek) oraz uzasadnień rekomendacji – co stanowi ważny element zasady rozliczalności (art. 5 ust. 2 RODO).
Zgodnie z nią wymaga się, aby administrator był w stanie wykazać zgodność przetwarzania z przepisami prawa. Działania IOD – w tym doradztwo – są jednymi z istotnych elementów tego obrazu i również powinny być odpowiednio dokumentowane. W praktyce stosuje się m.in.:
- rejestry opinii IOD,
- notatki ze spotkań i konsultacji,
- raporty okresowe dla zarządu,
- zapisy z przeglądów DPIA,
- dokumentację szkoleń (listy obecności, raporty z e‑learningu).
Dobrze zaprojektowany system dokumentowania można częściowo zautomatyzować, korzystając z narzędzi klasy GRC lub prostszych rozwiązań, takich jak arkusze kalkulacyjne czy systemy ticketowe. W projektach wdrożenia RODO jednym z efektów jest często właśnie uporządkowanie dokumentacji związanej z pracą IOD.
Bieżące wsparcie – jak działa wewnętrzny „helpdesk IOD”?
W wielu organizacjach IOD pełni rolę wewnętrznego helpdesku ds. ochrony danych – pracownicy zgłaszają mu wątpliwości dotyczące nowych procesów, stosowania klauzul informacyjnych, udzielania odpowiedzi na żądania osób, fotografowania wydarzeń oraz wykorzystania narzędzi chmurowych. Sprawny system zgłoszeń (np. dedykowana skrzynka e‑mail, formularz w intranecie, system ticketowy) pozwala IOD nie tylko udzielać porad, ale także identyfikować powtarzające się problemy, które mogą stać się tematem szkoleń lub aktualizacji procedur.
Dostępność IOD, zarówno fizyczna, jak i komunikacyjna, jest jednym z kryteriów oceny, czy organizacja faktycznie zapewnia mu warunki do wykonywania zadań. Wynika to z art. 38 RODO i jest podkreślone w Wytycznych WP243.
IOD w praktyce – realne przykłady i case studies
Wdrożenie nowego systemu IT – rola IOD w ocenie skutków (DPIA)
Przykład: szpital planuje wdrożenie nowego systemu elektronicznej dokumentacji medycznej (EDM), który będzie integrował dane pacjentów z wielu źródeł i udostępniał je personelowi medycznemu online. Ze względu na dużą skalę przetwarzania danych szczególnych kategorii (art. 9 RODO) konieczne jest przeprowadzenie oceny skutków dla ochrony danych (DPIA) zgodnie z art. 35 RODO.
IOD powinien zostać włączony na wczesnym etapie projektu – analizować opis operacji przetwarzania, doradzać w identyfikowaniu ryzyka dla praw i wolności pacjentów, a także proponować środki ograniczające ryzyko (np. pseudonimizacja, logowanie dostępu, okresowe przeglądy uprawnień), a następnie zaopiniować końcowy raport DPIA.
Naruszenie ochrony danych – jak IOD pomaga w zgłoszeniu i naprawie?
Pracownik firmy usługowej wysyła przez pomyłkę dane klientów (w tym numery PESEL i adresy) do nieprawidłowego adresata. Administrator musi ocenić, czy doszło do naruszenia ochrony danych i czy należy zgłosić je Prezesowi UODO w trybie art. 33 RODO oraz – jeśli ryzyko naruszenia praw lub wolności osób jest wysokie – poinformować osoby, których dane dotyczą, zgodnie z art. 34 RODO.
IOD doradza w zakresie klasyfikacji zdarzenia, sposobu jego udokumentowania, środków naprawczych (np. ograniczenie dostępu, dodatkowe szkolenia) oraz treści zgłoszenia do organu nadzorczego. Analiza naruszeń staje się też punktem wyjścia do modyfikacji procedur i programu szkoleń – np. włączenia do e‑learningu RODO dodatkowego modułu o bezpiecznej komunikacji e‑mailowej.
Szkolenia w sektorze medycznym – specyfika danych wrażliwych
Sektor medyczny jest szczególnie wrażliwy – przetwarzane są dane dotyczące zdrowia, dane biometryczne oraz informacje o życiu seksualnym i orientacji seksualnej (art. 9 RODO). Przykładowy projekt szkoleniowy w dużym podmiocie leczniczym obejmuje: szkolenia wstępne dotyczące RODO dla pracowników medycznych i administracyjnych, dedykowany e-learning RODO z przykładami sytuacji klinicznych oraz szkolenia stacjonarne dotyczące RODO dla kadry kierowniczej i ordynatorów oddziałów.
IOD, często we współpracy z zewnętrznym dostawcą, przygotowuje scenariusze oparte na prawdziwych incydentach, takich jak rozmowy o stanie zdrowia na korytarzu czy zostawianie dokumentacji w miejscach dostępnych dla osób postronnych, i wykorzystuje je jako przykłady podczas szkoleń. Dzięki temu rola informacyjno-doradcza IOD przekłada się na konkretne zmiany w zachowaniach personelu.
Spór z zarządem – jak IOD zachowuje się w konfliktach biznes vs compliance?
W praktyce IOD często spotyka się z sytuacjami w których jego rekomendacje są sprzeczne z oczekiwaniami biznesu. Na przykład zarząd może chcieć wprowadzić szeroki monitoring pracowników, obejmujący wideo, analizę logów czy geolokalizację, aby zwiększyć efektywność pracy. IOD zwraca wtedy uwagę na ryzyka związane z naruszeniem prywatności oraz na wątpliwości dotyczące zgodności z prawem pracy i zasadą minimalizacji danych (art. 5 ust. 1 lit. c RODO).
W takiej sytuacji IOD powinien przedstawić pisemną opinię, wskazać podstawy prawne oraz alternatywne rozwiązania o niższej inwazyjności. Ostateczna decyzja należy do zarządu, ale dokumentacja opinii IOD pokazuje, że inspektor należycie wykonywał swoją rolę doradczą, co ma znaczenie w ewentualnych postępowaniach przed UODO lub sądem. Orzecznictwo TSUE (w tym sprawa X‑FAB) wzmacnia pozycję IOD jako niezależnego eksperta, którego odwołanie nie może stanowić retorsji za krytyczne stanowisko.
Wyzwania i dobre praktyki IOD
Jakie błędy popełniają organizacje w relacji z IOD?
Polska praktyka pokazuje kilka powtarzających się problemów związanych z funkcją IOD:
- formalne powołanie IOD bez realnych zasobów i wpływu na decyzje osób zarządzających,
- łączenie funkcji IOD z innymi rolami generującymi konflikt interesów (np. dyrektor IT, szef bezpieczeństwa informacji),
- brak systematycznych szkoleń, ograniczanie się do jednorazowego kursu wstępnego.
W decyzjach Prezesa UODO pojawiają się zarzuty dotyczące niewłaściwego usytuowania IOD w strukturze (np. braku bezpośredniej podległości najwyższemu kierownictwu) oraz braku jego udziału w kluczowych procesach – ocenianego jako naruszenie art. 38 RODO.
Co mówi Prezes UODO – decyzje i stanowiska o roli IOD
Prezes UODO w swoich komunikatach i decyzjach zwraca uwagę, że rola IOD nie może sprowadzać się do „ozdobnika”, a organizacja powinna realnie wykorzystywać jego wiedzę. Przykładem są decyzje, w których organ kwestionował usytuowanie IOD na zbyt niskim poziomie w hierarchii oraz łączenie funkcji IOD z zadaniami operacyjnymi dotyczącymi określania celów oraz sposobów przetwarzania danych.
Komentarze oraz analizy doktrynalne wskazują, że podejmowane decyzje są zgodne z wytycznymi WP243 oraz orzecznictwem TSUE w sprawie X-FAB. Kluczowe jest zapewnienie zarówno formalnej, jak i rzeczywistej niezależności Inspektora Ochrony Danych (IOD), a także umożliwienie mu dostępu do najwyższego szczebla zarządzania w organizacji.
Co robią najlepiej zorganizowane firmy? – dobre praktyki
Do dobrych praktyk w organizacjach należą m.in.:
- włączenie IOD w procesy decyzyjne dotyczące nowych projektów, systemów IT i kampanii marketingowych (obowiązek „early involvement” podkreślany w WP243),
- formalizacja doradztwa – tworzenie pisemnych opinii, raportów, rekomendacji, protokołów ze spotkań,
- budowa systemu szkoleń łączącego szkolenia wstępne RODO dla pracowników, e-learning RODO oraz szkolenia stacjonarne RODO dla kluczowych zespołów,
- regularne raportowanie IOD do zarządu (np. raz lub dwa razy w roku), obejmujące przegląd ryzyk, naruszeń, wyników audytów oraz rekomendacji.
W praktyce wiele organizacji korzysta przy tym z zewnętrznego wsparcia – audyt RODO oraz projekty wdrożeniowe pomagają uporządkować dokumentację i procesy, a dedykowane pakiety szkoleń (stacjonarnych i e‑learningowych) odciążają IOD w części zadań edukacyjnych, pozwalając mu skoncentrować się na doradztwie strategicznym.
Jak wzmocnić rolę IOD i poprawić efektywność compliance?
Rola informacyjno-doradcza inspektora ochrony danych stanowi fundament systemu zgodności z RODO – to przez pryzmat działań IOD administrator i podmiot przetwarzający rozumieją swoje obowiązki oraz konsekwencje podejmowanych decyzji. Art. 39 ust. 1 lit. a RODO, wsparty wytycznymi EROD (WP243) i orzecznictwem TSUE, tworzy spójny model, w którym IOD jest niezależnym ekspertem, zapewniającym organizacji merytoryczne wsparcie przy projektowaniu i realizacji procesów przetwarzania danych.
Skuteczność IOD w dużej mierze zależy od jego rzeczywistej pozycji w firmie, dostępnych zasobów i dobrej współpracy z zarządem oraz kluczowymi działami. Dlatego warto inwestować w regularne szkolenia wstępne RODO dla pracowników, rozbudowane programy e-learningowe, szkolenia stacjonarne dopasowane do potrzeb firmy, a także okresowe audyty i projekty wdrożeniowe.
Dla praktyków, czyli IOD i osób odpowiedzialnych za szkolenia pracowników, oznacza to konieczność łączenia wiedzy prawnej, organizacyjnej i umiejętności komunikacyjnych. Współpraca z doświadczonym partnerem zewnętrznym, na przykład przy audycie, wdrożeniu, e-learningu czy konsultacjach, może znacznie przyspieszyć rozwój systemu ochrony danych i wzmocnić pozycję IOD jako ważnego partnera biznesowego, a nie tylko formalnego wymogu.
FAQ najczescie zadawane pytania na szkoleniach IOD
Czy IOD odpowiada za naruszenie RODO w organizacji?
Nie. Odpowiedzialność za przestrzeganie RODO ponosi administrator lub podmiot przetwarzający, co wynika m.in. z art. 24 RODO oraz zasad rozliczalności. IOD pełni funkcję doradczą i nadzorczą, ale nie podejmuje decyzji operacyjnych – jego zadaniem jest informowanie i rekomendowanie rozwiązań, a o ile są one zgodne z prawem, nie ponosi za nie odpowiedzialności.
Czy szkolenia wstępne dotyczące RODO dla pracowników są obowiązkowe?
RODO nie używa wprost sformułowania „szkolenia wstępnego”, ale art. 39 ust. 1 lit. b nakłada na IOD zadanie prowadzenia działań podnoszących świadomość oraz szkoleń osób zaangażowanych w przetwarzanie. W praktyce oznacza to konieczność przeszkolenia każdego pracownika, który ma dostęp do danych osobowych – najlepiej jeszcze przed uzyskaniem takiego dostępu.
Czy e-learning RODO może zastąpić szkolenia stacjonarne?
Elearning RODO jest bardzo skutecznym narzędziem do przekazywania wiedzy podstawowej i zapewnienia rozliczalności (rejestry ukończenia, testy), dlatego w wielu organizacjach stanowi trzon programu szkoleniowego. W przypadku kadry zarządzającej oraz zespołów wysokiego ryzyka rekomenduje się jednak uzupełnienie go o szkolenia stacjonarne RODO, które pozwalają przepracować trudne przypadki i specyficzne procesy.
Jak udokumentować doradztwo IOD?
Warto prowadzić rejestr opinii i rekomendacji IOD, archiwizować notatki ze spotkań, maile z kluczowymi ustaleniami oraz raporty okresowe. Dzięki temu administrator może wykazać, że korzystał z doradztwa IOD, a sam inspektor – że należycie wykonywał swoje zadania.
Kiedy warto skorzystać z zewnętrznego wsparcia (audyt, wdrożenie, konsultacje)?
Zewnętrzne wsparcie jest szczególnie przydatne przy pierwszym audycie RODO i wdrożeniu RODO, większych zmianach organizacyjnych lub technologicznych, przygotowaniu się do kontroli UODO oraz budowie systemu szkoleń (e-learning RODO, szkolenia stacjonarne RODO). Pozwala to odciążyć IOD i zapewnić dostęp do specjalistycznej wiedzy projektowej.
Reklama
Reklama
