IOD i informatyk w jednym – co z konfliktem interesów

Konflikt interesów może zaistnieć w przypadku wyższego stanowiska informatycznego (np. główny informatyk, administrator systemów informatycznych, kierownik działu IT itp.) – informatycy na tych stanowiskach są odpowiedzialni m.in. za wdrożenie i nadzór nad bezpieczeństwem systemów informatycznych, administrowanie nośnikami danych i serwerami, na których zapisywane są dane osobowe, nadawanie uprawnień dostępowych pozostałym pracownikom, wykrywanie, diagnozowanie i przeciwdziałanie nieautoryzowanym dostępom do zasobów przedsiębiorcy.

Informatycy na tych stanowiskach są odpowiedzialni m.in. za wdrożenie i nadzór nad bezpieczeństwem systemów informatycznych, administrowanie nośnikami danych i serwerami, na których zapisywane są dane osobowe, nadawanie uprawnień dostępowych pozostałym pracownikom, wykrywanie, diagnozowanie i przeciwdziałanie nieautoryzowanym dostępom do zasobów przedsiębiorcy.

Osoby te mają zatem liczne obowiązki związane z bezpieczeństwem przetwarzania danych osobowych. W ich ramach na administratorze danych może spoczywać obowiązek zapewnienia:

• pseudonimizacji i szyfrowania danych,
• zdolności do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania,
• zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego,
• regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

Powyższe obowiązki w przeważającej części stanowią zadanie informatyczne. Łączenie zatem przez jedną osobę funkcji inspektora ochrony danych oraz informatyka wyznaczonego do wykonywania ww. czynności groziłoby konfliktem interesów. Inspektor ochrony danych bowiem w zakresie weryfikacji prawidłowego wdrożenia i przestrzegania zasad i procedur bezpieczeństwa kontrolowałby swoją własną pracę bądź pracę swojego zespołu. Przeprowadzone przez inspektora audyty mogłyby być zatem nieobiektywne, a wręcz − pomijać istotne kwestie.

Zakaz łączenia stanowisk nie będzie wszakże dotyczył wszystkich stanowisk informatycznych, ale tylko takich, które mają związek z bezpieczeństwem przetwarzania danych osobowych. Czym innym jest także posiadanie przez inspektora wykształcenia informatycznego, jeżeli tylko nie jest on zatrudniony na ww. stanowisku w danej firmie.