Kto musi zgłosić inspektora ochrony danych osobowych?

Kto musi zgłosić inspektora ochrony danych osobowych? Każdy administrator danych oraz każdy podmiot przetwarzający, który wyznaczył inspektora ochrony danych osobowych obowiązkowo lub dobrowolnie, ma obowiązek formalnie powiadomić Prezesa UODO o tym wyznaczeniu, a także o każdej późniejszej zmianie danych inspektora lub jego odwołaniu. W praktyce urzędowej przyjmuje się 14 dni na dokonanie takiego zgłoszenia od dnia wyznaczenia IOD [1][2][3][4][5][6].

Kto musi zgłosić inspektora ochrony danych osobowych?

Obowiązek zgłoszenia spoczywa zarówno na administratorach danych, jak i na podmiotach przetwarzających, o ile spełniają warunki ustawowe do wyznaczenia IOD lub zdecydowali się na jego powołanie dobrowolnie. Wynika to z zasady, że obowiązek obejmuje nie tylko administratora, ale też procesora, który wyznaczył inspektora i tym samym musi zawiadomić organ nadzorczy o fakcie wyznaczenia oraz umożliwić kontakt z inspektorem [1][5].

Zgłoszenie dotyczy samego zdarzenia wyznaczenia IOD, a nie jedynie posiadania tej funkcji w strukturze wewnętrznej bez formalnego zawiadomienia. Celem jest wskazanie organowi nadzorczemu osoby pełniącej funkcję IOD oraz jej danych kontaktowych do realizacji zadań w obszarze ochrony danych [1][3][4].

Kiedy powstaje obowiązek wyznaczenia IOD?

Obowiązek wyznaczenia IOD wynika z art. 37 RODO i powstaje w szczególności wtedy, gdy:

• przetwarzania dokonuje organ lub podmiot publiczny,
• główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę,
• główna działalność obejmuje przetwarzanie na dużą skalę szczególnych kategorii danych lub danych dotyczących wyroków skazujących i naruszeń prawa [1].

Przedsiębiorstwo lub instytucja powinny w pierwszym kroku ocenić, czy należą do grup objętych art. 37 RODO. Jeżeli tak, dokonują formalnego wyznaczenia IOD, a następnie realizują obowiązek zgłoszenia do organu nadzorczego [1].

Komu i w jakim terminie zgłasza się wyznaczenie IOD?

W Polsce zgłoszenia dokonuje się do Prezesa Urzędu Ochrony Danych Osobowych. Obowiązek dotyczy zarówno pierwotnego wyznaczenia, jak i późniejszego odwołania lub zmiany danych zgłoszonych wcześniej do rejestru IOD [1][3].

W praktyce urzędowej przyjmuje się termin 14 dni od dnia wyznaczenia IOD na dokonanie zawiadomienia. Ten sam termin stosuje się odpowiednio w razie zmiany danych inspektora lub jego odwołania, aby zapewnić aktualność informacji w posiadaniu organu [2][4][6].

Jakie dane trzeba podać w zgłoszeniu?

W zgłoszeniu przekazuje się przede wszystkim imię i nazwisko inspektora oraz jego dane kontaktowe, to jest adres e-mail albo numer telefonu, tak aby organ nadzorczy i osoby, których dane dotyczą, mogły się z nim skutecznie skontaktować. Zgłoszenie ma charakter formalny i służy jednoznacznemu wskazaniu osoby pełniącej funkcję IOD oraz kanałów komunikacji z nią [1][4].

Jak zgłosić IOD w praktyce?

Zawiadomienie składa się elektronicznie za pośrednictwem kanałów udostępnionych przez UODO lub usług biznes.gov.pl. Wymagane jest uwierzytelnienie, zazwyczaj przy użyciu podpisu kwalifikowanego lub Profilu Zaufanego, zgodnie z przyjętą ścieżką e-usługi. Taki tryb zapewnia formalną poprawność zgłoszenia oraz jego sprawne przetworzenie przez organ [2][3][7].

Kiedy i co trzeba aktualizować po zgłoszeniu IOD?

Po wyznaczeniu inspektora należy każdorazowo powiadomić organ nadzorczy o jego odwołaniu oraz o każdej zmianie danych podanych w zgłoszeniu. W praktyce najczęściej aktualizacji wymagają zmiany danych kontaktowych inspektora lub informacja o zakończeniu pełnienia funkcji. Zawiadomienie składa się analogicznie jak pierwotne zgłoszenie, z zachowaniem terminów i wymogów formalnych przewidzianych dla rejestru IOD [1][8].

Czy wyznaczenie IOD przenosi odpowiedzialność za zgodność z RODO?

Nie. Wyznaczenie inspektora nie przenosi odpowiedzialności za zgodność z RODO z administratora danych lub podmiotu przetwarzającego na IOD. Odpowiedzialność za przestrzeganie przepisów i za wybór właściwego modelu przetwarzania danych pozostaje po stronie podmiotu, który IOD wyznaczył [9].

Czym jest IOD i na czym polega jego rola?

IOD to inspektor ochrony danych, czyli osoba wyznaczona do wspierania organizacji w przestrzeganiu przepisów o ochronie danych. Jego zadania obejmują doradztwo, monitorowanie przestrzegania RODO oraz bycie punktem kontaktowym dla organu nadzorczego i osób, których dane dotyczą. Wyznaczenie IOD może wynikać z obowiązku ustawowego albo być decyzją dobrowolną, lecz samo wyznaczenie zawsze pociąga za sobą obowiązek formalnego zgłoszenia do organu [1][2][5].

Dlaczego zgłoszenie IOD jest elementem przejrzystości?

Zgłoszenie IOD zapewnia organowi nadzorczemu dostęp do aktualnych informacji o tym, kto pełni funkcję inspektora w danym podmiocie i jak można się z nim skontaktować. Wspiera to nadzór nad zgodnością i ułatwia komunikację w sprawach ochrony danych, co jest jednym z mechanizmów przejrzystości przewidzianych przez RODO i praktykę krajową [1][4].