IOD i właściciel firmy w jednym? Sprawdź, czy to możliwe

Art. 38 ust. 6 RODO stanowi, że inspektor ochrony danych może wykonywać inne zadania i obowiązki a administrator lub podmiot przetwarzający zapewniają, by takie zadania i obowiązki nie powodowały konfliktu interesów. Innymi słowy inspektor ochrony danych w wykonywaniu swojej funkcji powinien niezależny, w szczególności aby inne przydzielone mu zadania lub obowiązki nie kolidowały z jego podstawową funkcją jaką jest ochrona danych osobowych u konkretnego administratora danych lub procesora. W tym celu administrator lub procesor ma zapewnić na przykład odpowiednie usytuowanie IOD w strukturze organizacyjnej oraz zapewnić mu środki niezbędne do wykonywania jego pracy.

Konfliktem takim będzie zatem każda konfiguracja zadań, obowiązków i stanowisk piastowanych przez inspektora ochrony danych, która może wpływać na obiektywizm jego działań. Wykluczone jest zatem łączenie stanowisk, a nawet tylko samych kompetencji lub obowiązków, które wzajemnie na siebie nachodzą.

Spełnienie tego warunku nie jest możliwe, gdy to właściciel firmy a więc reprezentant administratora (czyli firmy) stanie się IOD. Konflikt interesów powstanie bowiem w związku z łączeniem funkcji IOD i stanowisk kierowniczych wyższego szczebla (członkowie zarządu, dyrektor generalny, dyrektor oddziału, itp.) – wynika to po pierwsze z faktu, że w jednostkach organizacyjnych organ zarządzający – w praktyce zatem jego członkowie – jest uznawany za administratora danych. Inspektor ochrony danych musi być natomiast niezależny w swoich działaniach od administratora. Łączenie funkcji zarządzającej (administrator danych) i nadzorczej (inspektor ochrony danych) nie jest zatem możliwe. Ponadto, inspektor ochrony danych w strukturze organizacyjnej ma podlegać bezpośrednio ww. stanowiskom zarządzającym, nie może zatem, również z tego powodu, być piastunem organu zarządzającego.

Autorzy:

Michał Koralewski

Michał Kowalski