Rekomendacje Urzędu Ochrony Danych Osobowych w sprawie inspektorów ochrony danych

W 2023 r. 25 organów ochrony danych w obszarze EOG podjęło skoordynowane działania dotyczące pozycji i wyznaczania inspektorów ochrony danych (CEF DPO). W ramach tych prac zgromadzono ponad 17 000 wyjaśnień od inspektorów ochrony danych. Na ich podstawie przygotowano sprawozdanie ogólne, a także sprawozdania krajowe poszczególnych organów nadzorczych, w tym także Prezesa Urzędu Ochrony Danych Osobowych. Sprawozdania krajowe zawierają informacje dotyczące w szczególności stwierdzonych problemów z przestrzeganiem przepisów dotyczących wyznaczania i funkcjonowania IOD.

Prezes UODO wystosował zapytania dotyczące obowiązków administratorów i procesorów związanych z wyznaczaniem i statusem IOD. Organizacje, które otrzymały zapytania musiały udzielić szczegółowych wyjaśnień i wykazać spełnienie wymogów RODO zgodnie z regułą rozliczalności.

Jakie wnioski płyną ze sprawozdania Prezesa UODO? Ogólne wnioski dotyczące wyznaczania IOD i jego funkcjonowania przez polskich administratorów i procesorów są pozytywne. Niemniej jednak stwierdzone zostały pewne nieprawidłowości:

1. Inspektorzy byli obciążani dodatkowymi obowiązkami administratora, np. prowadzeniem rejestru czynności przetwarzania danych.

2. Zawierano umowy powierzenia przetwarzania danych osobowych pomiędzy administratorem a IOD.

3. IOD był traktowany jako pełnomocnik do reprezentowania administratora w sprawach z zakresu ochrony danych osobowych.

4. Firmy zatrudniające inspektorów nie tylko świadczyły usługi outsourcingu funkcji IOD, ale też usługi „wdrażania RODO” i innych działań związanych z analizą i oceną ryzyka, realizacją praw podmiotów danych czy bezpieczeństwem informacji (co mogło prowadzić do konfliktu interesów).