Czy inspektor ochrony danych może podpisać klauzulę informacyjną RODO

Jak wynika z art. 12 i 15 RODO, każda osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarza on jej dane osobowe. Jeżeli to przetwarzanie ma miejsce, wówczas osoba ta ma prawo uzyskania dostępu do danych osobowych, ale też określonych w powołanym przepisie informacji, w szczególności o:

• celu przetwarzania,

• kategoriach przetwarzanych danych,

• odbiorcach tych danych

• okresie przechowywania danych.

Z drugiej strony do zadań inspektora ochrony danych zalicza się kontakt z podmiotami danych we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw im przysługujących (w tym także z prawem dostępu). IOD pełni więc rolę punktu kontaktowego dla osób, których dotyczą dane przetwarzane przez administratora. Czy zatem inspektor ochrony danych podpisuje informację o przetwarzaniu danych osobowych sporządzoną na podstawie art. 15 RODO?

Jak wskazał Prezes UODO, niewątpliwie realizacja prawa dostępu, w tym zakresie klauzuli informacyjnej RODO, jest obowiązkiem administratora danych osobowych. Z kolei IOD jako punkt kontaktowy ma sprzyjać sprawniejszemu wykonywaniu obowiązków przez administratora. Inspektor ma budować świadomość administratora w zakresie praw podmiotów danych i monitorować skuteczność przyjętych w tych zakresie procedur ewentualnie proponowanie zmian.

Choć podmioty danych mogą kontaktować się z IOD w kwestii dotyczących ich praw, to nie oznacza to, że w realizacji tych uprawnień inspektor powinien zastępować administratora. Prowadziłoby to bowiem do konfliktu interesów. IOD nie mógłby bowiem wykonywać zadań w zakresie monitorowania i doradzania administratorowi w kwestii wykonywania prawa dostępu do danych.

Oznacza to, że to nie IOD podpisuje klauzulę informacyjną RODO sporządzaną na podstawie art. 15 RODO, ale też art. 13-14 RODO.

Prezes UODO wskazał też, że inspektor ochrony danych nie powinien być pełnomocnikiem administratora danych osobowych. Pełnomocnik ma za zadanie chronić interesy mocodawcy, a więc musi działać według jego wytycznych. Przyjęcie roli pełnomocnika przez IOD w sposób oczywisty godziłoby w jego niezależność gwarantowaną w RODO. De facto IOD musiałby w takiej sytuacji pomijać swoje spostrzeżenia i uwagi sformułowane w toku monitorowania działalności administratora. Jako pełnomocnik administratora inspektor ochrony danych wykonywałby w jego imieniu takie czynności jak choćby realizacja prawa dostępu. W takim przypadku nie mógłby on weryfikować prawidłowości tych działań. Innymi słowy, IOD nie mógłby monitorować sam siebie.