IOD wykonuje również inne obowiązki? Zobacz, jak unikać konfliktu interesów

Inspektor ochrony danych może wykonywać inne zadania i obowiązki a administrator lub podmiot przetwarzający zapewniają, by takie zadania i obowiązki nie powodowały konfliktu interesów (art. 38 ust. 6 RODO). IOD w wykonywaniu swojej funkcji musi być bowiem niezależny, a przydzielone mu zadania lub obowiązki mogą kolidować z jego podstawową funkcją, jaką jest ochrona danych osobowych u konkretnego administratora danych lub procesora. Ponadto administrator oraz podmiot przetwarzający muszą zapewnić, by inspektor ochrony danych nie otrzymywał instrukcji dotyczących wykonywania swoich zadań. Nie może być on odwoływany ani karany przez administratora ani podmiot przetwarzający za wypełnianie swoich zadań. Zgodnie z RODO inspektor ochrony danych bezpośrednio podlega najwyższemu kierownictwu administratora lub podmiotu przetwarzającego.

Powyższe rozwiązanie nie wyklucza więc możliwości wykonywania innych czynności przez inspektora ochrony danych.

Z drugiej strony ta możliwość jest zauważalnie ograniczona.

W pierwszej kolejności należy wyjaśnić, co to jest konflikt interesów, aby później prawidłowo ocenić, jak faktycznie przełoży się on na funkcjonowanie IOD w organizacji. Z konfliktem interesów mamy do czynienia wówczas, gdy dochodzi do nierówności pomiędzy interesami stron, przykładowo pomiędzy interesem prywatnym a interesem firmy lub pomiędzy interesami poszczególnych departamentów. Inspektorzy ochrony danych, którzy pełnią także inne obowiązki mówić o następujących przykładach konfliktu interesów:

W praktyce dość często stosuje się rozwiązanie, w którym inspektorzy ochrony danych składają oświadczenia o braku konfliktu interesów. Oświadczenia te mają w pewnym zakresie potwierdzić, że nie występują okoliczności godzące w niezależność inspektora ochrony danych i kolidujące z jego podstawowymi obowiązkami. Warto odebrać takie oświadczenie od inspektora, niemniej jednak należy mieć na względzie, że obowiązek zagwarantowania braku konfliktu interesów spoczywa w pierwszym rzędzie (choć nie wyłącznie) na administratorze lub procesorze. Tym samym złożenie przez IOD oświadczenia o niewystępowaniu takiego konfliktu interesów, choć zalecane, to jednak nie zwalnia administratora lub procesora z obowiązku zapewnienia aby zadania i obowiązki IOD nie powodowały konfliktu interesów. Ważne jest bowiem to, czy faktycznie konflikt interesów zachodzi czy też nie, a nie tylko to czy i kto złożył stosowne oświadczenie.

Aby już na pierwszym etapie zminimalizować ryzyko wystąpienia konfliktu interesów, należy mieć na względzie, że osoba pełniąca funkcje inspektora ochrony danych nie może równocześnie odpowiadać za cele i środki przetwarzania danych.

Analizując to, czy działania wykonywane przez inspektora nie prowadzą do powstania konfliktu interesów, należy przede wszystkim określić sytuacje, w których taki konflikt może powstać oraz czynności zapobiegające tym sytuacjom. Należy również mieć świadomość skutków wystąpienia konfliktu interesów, jednak nie tylko w związku z własną działalnością, ale również w aspekcie jego wpływu na osoby trzecie.

W celu usystematyzowania działań w zakresie zapobiegania konfliktowi interesów inspektora ochrony danych warto opracować procedurę zarządzania konfliktem interesów. Nie musi to być dokument bardzo obszerny, warto jednak, aby wskazywał najwyższemu kierownictwu jak zarządzać tematem konfliktu interesów w ramach firmy zaś dla pracowników był podpowiedzią w sytuacji, kiedy pojawią się po ich stronie wątpliwości. W tego typu procedurze można zawrzeć następujące elementy:

1. Opis działalności firmy, jej celów oraz wizji.
2. Wykaz sytuacji, jakie powodują konflikt interesów (i mogą mieć wpływ na elementy wymienione w pkt 1.).
3. Wykaz funkcji, jakich nie wolno łączyć w firmie, aby uniknąć konfliktu interesów.
4. Zasady sprawowania nadzoru nad osobami, w przypadku których może dojść do konfliktu interesów oraz opis mechanizmów kontrolnych.
5. Zawiadamianie o zauważonym konflikcie interesów lub nieetycznym działaniu.

a)      Kogo należy zawiadomić? (dedykowany adres e-mail, telefon, możliwość wysłania zawiadomienia pocztą tradycyjną, bądź wyznaczona osoba)

b)      Kto może zawiadamiać? (sugerowane jest to, aby o konflikcie interesów mogli zawiadamiać wszyscy pracownicy w sposób gwarantujący anonimowość)

c)      Opis sytuacji.

d)      Zasady wyjaśniania zgłoszenia.

• Rozmowa z osobą, której dotyczy zgłoszenie
• Rozmowa z osobą zgłaszającą
• Ocena faktycznego wystąpienia konfliktu
• Ocena skutków sytuacji na działalność firmy
• Ocena skutków sytuacji na klientów firmy/pracowników/osoby fizyczne
• Przekazanie osobie zgłaszającej oraz osobie podejrzanej o nieetyczne działanie informacji o wynikach analizy zgłoszenia.
• Podjęcie ewentualnych dalszych działań naprawczych bądź dyscyplinarnych.

6. Sposoby przeciwdziałania konfliktom interesów

a)      Regularne spotkania kierownictwa firmy celem omówienia bieżących działań

b)      Program szkoleń pracowników

c)      Zasady wykonywania szkolenia

d)      Wdrożenie programu zapobiegającego przeciwdziałaniu nadużyciom wewnątrz firmy

e)      Promowanie etycznych zachowań – jakie to zachowania, jak są promowane?

f)       Zasady prowadzenia procesu rekrutacyjnego

g)      Obowiązek jasnego i precyzyjnego formułowania zakresu obowiązków

h)      Obowiązek niezależności w procesie rekrutacji

i)       Cykliczna komunikacja do pracowników w związku z zasadami przeciwdziałania konfliktom interesów.

Oczywiście zalecane jest przedstawienie procedury pracownikom firmy w sposób zwyczajowo w niej przyjęty (z zaakcentowaniem konieczności jej stosowania w swoim otoczeniu oraz praktycznych i pozytywnych przykładów związanych z tą procedurą), a także odpowiednie jej wdrożenie przedstawienie jej pracownikom i przede wszystkim odpowiednie wdrożenie.

Grupa Robocza Art. 29 zaleca, aby w zależności od działalności, wielkości i struktury organizacji, administratorzy lub podmioty przetwarzające:

• ustalili stanowiska, które nie będą współgrały z wypełnianiem roli inspektora ochrony danych,
• opracowali przepisy wewnętrzne w tym zakresie, aby uniknąć konfliktu interesów,
• zadeklarowali, że nie ma konfliktu interesów między pełnieniem funkcji inspektora a realizacją innych zadań,
• zapewnić, że w ogłoszeniach o naborze na stanowisko inspektora lub umowach o świadczenie usług, jest wystarczająco precyzyjnie skonstruowane, by uniknąć konfliktu interesów.