inspektor ochrony danych

Inspektor ochrony danych (IOD, ang. data protection officer, DPO) to osoba wyznaczona na podstawie RODO do nadzorowania zgodności przetwarzania danych osobowych, doradzania organizacji i utrzymywania kontaktu z organem nadzorczym ^[1]. Wyznaczają go administrator danych osobowych i podmiot przetwarzający: obowiązkowo w trzech przypadkach z art. 37 ust. 1, dobrowolnie w pozostałych ^[1]. IOD nie odpowiada osobiście za zgodność; odpowiada za nią administrator ^[1]. Inspektor ma ją monitorować i doradzać, zachowując niezależność ^[1].

Kiedy trzeba go wyznaczyć

Art. 37 ust. 1 RODO wymienia trzy sytuacje, w których wyznaczenie inspektora jest obowiązkowe ^[1].

Polska ustawa o ochronie danych osobowych z 10 maja 2018 roku precyzuje lit. a. Za podmioty publiczne zobowiązane do wyznaczenia inspektora uznaje jednostki sektora finansów publicznych, instytuty badawcze i Narodowy Bank Polski ^[2]. Grupa przedsiębiorstw może wyznaczyć jednego inspektora dla wszystkich spółek ^[1].

Typowa firmowa strona na WordPressie z formularzem kontaktowym i newsletterem zwykle nie spełnia żadnego z tych warunków. Duży sklep internetowy, który profiluje klientów, może już podpadać pod lit. b.

Wyznaczenie i status

Inspektor ma posiadać wiedzę fachową z przepisów i praktyki ochrony danych ^[1]. Może być pracownikiem albo wykonywać zadania na podstawie umowy o świadczenie usług ^[1]. Administrator publikuje jego dane kontaktowe i zawiadamia o nim organ nadzorczy ^[1]. W Polsce kolejne kroki określa ustawa, co pokazuje schemat poniżej.

RYS. 1Wyznaczenie inspektora w Polsce

Zawiadomienie Prezesa UODO składa się w ciągu 14 dni od wyznaczenia i podaje w nim imię, nazwisko oraz adres e-mail lub numer telefonu inspektora ^[2]. Zawiadomienie ma postać elektroniczną, z podpisem kwalifikowanym albo profilem zaufanym ePUAP ^[2]. Zmianę danych i odwołanie inspektora zgłasza się w tym samym terminie ^[2]. Dane inspektora podmiot udostępnia niezwłocznie na swojej stronie internetowej ^[2].

Niezależność gwarantuje art. 38. Inspektor nie otrzymuje instrukcji co do wykonywania zadań, nie może być odwołany ani ukarany za ich wykonywanie i podlega bezpośrednio najwyższemu kierownictwu ^[1]. Może pełnić inne funkcje, jeśli nie powodują konfliktu interesów ^[1]. Konflikt pojawia się zwykle wtedy, gdy ta sama osoba decyduje o celach i sposobach przetwarzania, a potem sama je ocenia.

Zadania

Art. 39 ust. 1 wymienia minimalny katalog zadań ^[1]:

• informowanie administratora, podmiotu przetwarzającego i pracowników o obowiązkach z RODO i doradzanie w tej sprawie ^[1];
• monitorowanie przestrzegania przepisów i polityk, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu i audyty ^[1];
• zalecenia co do oceny skutków dla ochrony danych i monitorowanie jej wykonania ^[1];
• współpraca z organem nadzorczym i pełnienie funkcji punktu kontaktowego ^[1].

UODO wyjaśnia, że przy ocenie skutków administrator konsultuje z inspektorem m.in. to, czy ocena jest potrzebna, jaką metodą ją przeprowadzić i jakie zabezpieczenia zastosować ^[3]. Inspektor jest też punktem kontaktowym dla osób, których dane dotyczą, oraz dla urzędu w sprawach naruszeń ochrony danych osobowych i uprzednich konsultacji ^[3]. W praktyce koordynuje więc zgłoszenie naruszenia ochrony danych, choć formalnie zgłasza je administrator.

W WordPressie

Dane kontaktowe na stronie. UODO zaznacza, że na stronie internetowej administratora powinny się znaleźć dane kontaktowe inspektora ^[3]. Na stronie WordPress naturalnym miejscem jest polityka prywatności. WordPress pozwala utworzyć ją lub wskazać w ustawieniach prywatności (Settings → Privacy), a domyślne podpowiedzi opiera na wymaganiach RODO ^[5]. Dokumentacja podkreśla, że odpowiedzialność za pełną i aktualną politykę spoczywa na właścicielu strony ^[5].

Żądania osób. Inspektor, jako punkt kontaktowy, często obsługuje żądania dostępu do danych i ich usunięcia. WordPress ma do tego w menu Narzędzia dwa narzędzia, w dokumentacji nazwane Export Personal Data i Erase Personal Data, oba z potwierdzeniem żądania przez e-mail ^[5]. Dokumentacja ostrzega, że narzędzia zbierają dane tylko z WordPressa i współpracujących wtyczek, a pomijają usługi zewnętrzne, np. analitykę i newslettery ^[5]. Usunięcie nie obejmuje też kopii zapasowych, więc przy odtwarzaniu strony z kopii trzeba uszanować wcześniejsze żądania usunięcia ^[5].

Wtyczki i dostawcy. Każda nowa wtyczka zbierająca dane to pytanie do inspektora: jaka podstawa, jak długo dane są trzymane i czy potrzebna jest umowa powierzenia przetwarzania danych osobowych z dostawcą. To praktyczna strona zasady uwzględniania ochrony danych w fazie projektowania (privacy by design). Do tej samej grupy należą decyzje o zgodzie na pliki cookie.

Kary i nadzór

Naruszenie obowiązków z art. 37–39 podlega administracyjnej karze pieniężnej do 10 000 000 euro, a w przypadku przedsiębiorstwa do 2 procent całkowitego rocznego światowego obrotu, jeśli ta kwota jest wyższa ^[1].

W 2023 roku 25 organów nadzorczych z Europejskiego Obszaru Gospodarczego przeprowadziło skoordynowaną kontrolę pozycji inspektorów, a EDPB przyjęła raport z jej wyników 17 stycznia 2024 roku ^[4]. Przeanalizowano ponad 17 000 odpowiedzi ^[4]. Raport wskazał m.in. brak wyznaczenia inspektora mimo obowiązku, niewystarczające zasoby, luki w wiedzy fachowej i brak raportowania do najwyższego kierownictwa ^[4]. Większość inspektorów deklarowała jednak potrzebne umiejętności, regularne szkolenia i jasno określone zadania ^[4].