Dlaczego nie wolno oszczędzać na IOD

Wskazana praktyka powoływania inspektorów ochrony danych i tego w jaki sposób są postrzegani w organizacji nie jest niestety nowością. Z doświadczeń autora artykułu wynika, że problem ochrony danych osobowych przez niektórych administratorów jest postrzegany jako listek figowy mający przykryć nagość i bezbronność prezentowaną przez system ochrony danych osobowych w danym podmiocie. Taka praktyka jest naturalnie sprzeczna z prawem.

RODO wskazuje w art. 39 ust. 1 między innymi na następujące główne zadania inspektora:

• informowanie administratora oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich i doradzanie im w tej sprawie;
• monitorowanie przestrzegania przepisów o ochronie danych oraz polityk administratora;
• udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania;
• współpraca z organem nadzorczym, w tym pełnienie funkcji punktu kontaktowego dla organu nadzorczego.

Aby IOD mógł być w stanie wykonywać swoje zadania ADO:

• zapewnia by inspektor ochrony danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych (art. 38 ust. 1 RODO);
• wspiera IOD w wypełnianiu przez niego zadań, zapewniając mu zasoby niezbędne do wykonania tych zadań oraz dostęp do danych osobowych i operacji przetwarzania, a także zasoby niezbędne do utrzymania jego wiedzy fachowej.

Przede wszystkim jednak art. 37-39 RODO nie zwalniają administratora danych osobowych z jego odpowiedzialności tylko z tego powodu, że administrator wyznaczył IOD. Niezależnie więc od tego czy kierownictwo danego podmiotu miało obowiązek wyznaczyć IOD czy też takiego obowiązku nie miało, ponosi pełną odpowiedzialność za przetwarzania danych osobowych w danej jednostce.

To kierownictwo podmiotu decyduje przecież o tym jak dane są w tym podmiocie przetwarzane. To zarząd w spółce czy dyrekcja w szpitalu przyjmuje regulacje wewnętrzne obowiązujące w zakresie przetwarzania danych, w tym przede wszystkim odnoszące się do ich zabezpieczania. No i wreszcie to administrator a nie inspektor ochrony danych będzie zobowiązany ponieść karę pieniężną nałożoną przez inspektorów Prezesa UODO.

Dobry inspektor ochrony danych jest sygnalizatorem, lampką wczesnego ostrzegania. Działa niczym czujka, która wykrywa niebezpieczeństwo i informuje o tym osoby reprezentujące administratora aby te były w stanie podjąć w odpowiednim czasie działania zaradcze czy naprawcze. Z kolei „IOD-figurant” to tylko koszt dla administratora – w niczym nie chroni i nie można liczyć na to, że pozwoli zminimalizować ryzyko negatywnych następstw nieprawidłowego przetwarzania danych.