Łączenie funkcji Inspektora Ochrony Danych (IOD) ze stanowiskiem pełnomocnika do spraw ochrony informacji niejawnych (pełnomocnika OIN) rodzi wysokie ryzyko wystąpienia konfliktu interesów w rozumieniu przepisów ogólnego rozporządzenia o ochronie danych (RODO). Konflikt ten wynika z odmiennej natury obu ról tj.: IOD pełni funkcję doradczo-monitorującą, podczas gdy Pełnomocnik OIN ma charakter wykonawczy i decyzyjny w zakresie określania i wdrażania środków bezpieczeństwa.
Zasada unikania konfliktu interesów na stanowisku Inspektora Ochrony Danych została wyrażona w art. 38 ust. 6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku. Zgodnie z tym przepisem, IOD może wykonywać inne zadania i obowiązki, jednak administrator lub podmiot przetwarzający muszą zapewnić, aby nie powodowały one konfliktu interesów.
Istota konfliktu interesów w tym kontekście sprowadza się do sytuacji, w której IOD miałby określać cele i sposoby przetwarzania danych osobowych, a następnie sam oceniać zgodność z prawem własnych decyzji. Funkcja IOD ma charakter doradczy i weryfikacyjny, a nie decyzyjny.
Analiza statusu i zadań pełnomocnika do spraw ochrony informacji niejawnych, określonych w ustawie z 5 sierpnia 2010 roku o ochronie informacji niejawnych, prowadzi do wniosku o jego wykonawczym i zarządczym charakterze. Zgodnie z art. 15 tej ustawy, do zadań pełnomocnika OIN należy między innymi zapewnienie ochrony informacji niejawnych, w tym stosowanie środków bezpieczeństwa fizycznego, zapewnienie ochrony systemów teleinformatycznych, zarządzanie ryzykiem, a także opracowywanie i nadzorowanie realizacji planu ochrony informacji niejawnych. Realizacja tych zadań wiąże się bezpośrednio z podejmowaniem decyzji o doborze i wdrożeniu konkretnych środków organizacyjnych i technicznych służących zabezpieczeniu informacji.
Pełnomocnik OIN jest zatem osobą, która aktywnie kształtuje system bezpieczeństwa w organizacji, a więc w praktyce determinuje sposoby (środki) przetwarzania informacji, w tym danych osobowych, jeśli znajdują się one w zasobach niejawnych.
Konflikt interesów materializuje się w momencie, gdy ta sama osoba, działając jako Pełnomocnik OIN, projektuje i wdraża określone rozwiązania (np. system kontroli dostępu, procedury obiegu dokumentów, zabezpieczenia systemów IT), a następnie, w roli IOD, ma za zadanie niezależnie monitorować ich zgodność z zasadami ochrony danych osobowych, oceniać adekwatność tych środków i rekomendować ewentualne zmiany. W takiej konfiguracji IOD dokonywałby audytu samego siebie, co jest sprzeczne z fundamentalnym wymogiem jego niezależności i obiektywizmu.
Argument, iż zarząd ostatecznie akceptuje rozwiązania proponowane przez pełnomocnika OIN, nie eliminuje konfliktu. Pełnomocnik jest bowiem merytorycznym autorem tych rozwiązań i osobą odpowiedzialną za ich wdrożenie i nadzór. Jego wpływ na ostateczny kształt systemu bezpieczeństwa jest decydujący, nawet jeśli formalna akceptacja leży po stronie kierownictwa jednostki.
Również niewielka ilość obowiązków pełnomocnika OIN nie ma znaczenia dla oceny istnienia konfliktu interesów. Przepisy RODO i wytyczne organów nadzorczych (w tym Grupy Roboczej Art. 29, obecnie Europejskiej Rady Ochrony Danych) wskazują jednoznacznie, że ocena konfliktu interesów opiera się na naturze powierzonych zadań, a nie na ich czasochłonności. Istotne jest to, czy dodatkowe funkcje zakładają określanie celów i sposobów przetwarzania danych, a nie to, jak wiele czasu osoba poświęca na ich realizację.
Mimo że obie funkcje dążą do zapewnienia bezpieczeństwa informacji i podlegają bezpośrednio najwyższemu kierownictwu, ich charakter jest fundamentalnie różny. Rola Pełnomocnika OIN ma charakter zarządczy i wykonawczy, co stoi w sprzeczności z doradczo-monitorującą i niezależną pozycją IOD. Łączenie tych stanowisk stwarza sytuację, w której IOD nie jest w stanie w sposób obiektywny wypełniać swoich ustawowych zadań, co stanowi naruszenie art. 38 ust. 6 RODO.
Zapraszamy na webinar prowadzony w konwencji warsztatowej z wykorzystaniem praktycznych przykładów, pytań i odpowiedzi. Dedykowany jest zarówno do osób początkujących, rozpoczynających lub pełniących funkcję IOD od niedawna, jak również do osób pragnących ugruntować posiadaną wiedzę w zakresie odpowiedniego nadzoru przestrzegania zasad i przepisów z zakresu ochrony danych osobowych w organizacji.
© Portal Poradyodo.pl
