Prezes zarządu nie może być IOD – kara UODO dla spółki medycznej

Prezes Urzędu Ochrony Danych Osobowych uznał, że spółka medyczna złamała przepisy RODO, powierzając funkcję inspektora ochrony danych prezesowi zarządu. Taka praktyka nie gwarantuje niezależności IOD i prowadzi do konfliktu interesów.

Na spółkę nałożono karę administracyjną w wysokości 11 365 zł. Sprawa została ujawniona po zgłoszeniu incydentu związanego z wydaniem pacjentowi dokumentów innej osoby. W toku postępowania okazało się, że to właśnie prezes pełni obowiązki IOD.

Zgodnie z art. 38 ust. 6 RODO, inspektor może łączyć swoją funkcję z innymi obowiązkami, ale wyłącznie wtedy, gdy nie prowadzą one do konfliktu interesów. PUODO podkreślił, że inspektor musi działać bezstronnie i raportować kierownictwu także niepopularne lub kosztowne zalecenia.:

Administrator danych powinien zapewnić, aby IOD miał możliwość niezależnego działania i pełnił rolę wsparcia w dbaniu o zgodność przetwarzania danych z przepisami prawa. Funkcja prezesa zarządu z natury rzeczy stoi w sprzeczności z tą zasadą.

Decyzja UODO potwierdza, że w każdej organizacji – także w podmiotach medycznych – IOD nie może łączyć funkcji z rolami decyzyjnymi w strukturach kierowniczych. Tylko w ten sposób można zagwarantować obiektywny nadzór nad przestrzeganiem przepisów RODO.