Kim jest inspektor ochrony danych? Inspektor ochrony danych ustanawiany jest przez administratora i podmiot przetwarzający, gdy:
- przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości,
- główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania na dużą skalę osób, których dane dotyczą,
- główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych.
Do zadań inspektora ochrony danych należą:
- informowanie administratora, podmiotu przetwarzającego oraz pracowników przetwarzających dane osobowe o obowiązkach spoczywających na nich na mocy rozporządzeń i przepisów o ochronie danych i doradzanie im w tej sprawie,
- monitorowanie przestrzegania rozporządzenia o ochronie danych osobowych, innych przepisów Unii Europejskiej lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych,
- podejmowanie działań zwiększających świadomość w zakresie ochrony danych, szkolenie personelu uczestniczącego w operacjach przetwarzania oraz przeprowadzanie stosownych audytów,
- udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania,
- współpraca z organem nadzorczym,
- pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem danych.
Inspektor ochrony danych w trakcie wypełniania swoich obowiązków musi uwzględnić ryzyko związane z operacjami przetwarzania, biorąc pod uwagę charakter, zakres, kontekst oraz cele przetwarzania.
Sposób wyboru inspektora ochrony danych
Inspektor ochrony danych może być członkiem personelu administratora lub podmiotu przetwarzającego bądź być zatrudniony na podstawie umowy o świadczenie usług. Osoba na to stanowisko wyznaczana jest na podstawie posiadanych kwalifikacji zawodowych, szczególnie fachowej wiedzy z zakresu prawa i praktyk w dziedzinie ochrony danych, a także umiejętności wykonywania zadań leżących w zakresie kompetencji inspektora ochrony danych.
Po wyborze inspektora ochrony danych, administrator lub podmiot przetwarzający niezwłocznie publikuje dane inspektora na swojej stronie internetowej lub w sposób ogólnie dostępny w miejscu prowadzenia działalności, jeżeli nie prowadzi własnej strony internetowej. Zawiadamia również Prezesa Urzędu w terminie 14 dni od dnia wyznaczenia, wskazując imię i nazwisko oraz adres e-mail lub numer telefonu inspektora.
Jakie wymagania musi spełnić kandydat na stanowisko inspektora danych osobowych?
Zgodnie z artykułem 37 Rozporządzenia o Ochronie Danych Osobowych (RODO), inspektorem danych osobowych może zostać osoba fizyczna posiadająca odpowiednie kwalifikacje zawodowe niezbędne do pełnienia tej funkcji. Z uwagi na to, iż ochrona danych osobowych jest niezwykle szeroką dyscypliną, kandydat na inspektora musi wykazywać się interdyscyplinarną wiedzą. Powinien on posiadać wiedzę informatyczną i doskonałą orientację w najnowszych technologiach wykorzystywanych w zakresie przetwarzania danych osobowych.
Istotne są również jego umiejętności dotyczące poprawnej komunikacji, skutecznego przekazywania wiedzy, negocjacji, mediacji oraz zarządzania projektami. Kandydat na inspektora musi ponadto cechować się zrozumieniem i umiejętnością prawidłowej interpretacji przepisów z zakresu ochrony danych osobowych. Potwierdzenie posiadania tej wiedzy stanowi ukończenie specjalistycznego kursu inspektorów ochrony danych.
Jakiego stanowiska nie może zajmować osoba wykonująca obowiązki inspektora danych osobowych?
Artykuł 38 Rozporządzenia o Ochronie Danych Osobowych (RODO) dopuszcza, by inspektor ochrony danych wykonywał inne zadania i obowiązki, o ile nie powodują one konfliktu interesów. W praktyce oznacza to, że inspektor ochrony danych nie może zajmować w organizacji stanowiska związanego z określaniem sposobów i celów przetwarzania danych. Zgodnie z ustaleniami zawartymi w Wytycznych Grupy Roboczej, do stanowisk tych należą:
- stanowiska kierownicze:
- dyrektor generalny,
- dyrektor ds. operacyjnych,
- dyrektor finansowy,
- dyrektor ds. medycznych,
- kierownik działu marketingu,
- kierownik działu HR,
- kierownik działu IT,
- stanowiska niższe, jeśli sprawująca je osoba bierze udział w określaniu celów i sposobów przetwarzania danych.
Wybór właściwego kandydata na inspektora ochrony danych jest niezwykle istotny dla bezpieczeństwa danych osobowych. Dzięki wyznaczeniu odpowiedniej osoby na to stanowisko, przedsiębiorstwo może znacząco zmniejszyć ryzyko działań sprzecznych z Rozporządzeniem o Ochronie Danych Osobowych (RODO) i wynikających z ewentualnych uchybień kar.