Kiedy trzeba wyznaczyć inspektora ochrony danych?

Pytanie, czy firma musi mieć IOD, nie zależy od liczby pracowników ani obrotu. Administrator i podmiot przetwarzający badają własne czynności przez cztery drogi: status publiczny, monitoring na dużą skalę, dane z art. 9 lub 10 na dużą skalę oraz dodatkowy obowiązek prawny ¹. Wynik „tak” uruchamia chronioną rolę, a wynik „nie” wymaga datowanej oceny.

Szybka odpowiedź: Aby ustalić, kiedy trzeba wyznaczyć inspektora ochrony danych, najpierw sprawdź status organu lub podmiotu publicznego według właściwego prawa krajowego. Następnie oceń monitoring, dane z art. 9 lub 10 i dodatkowe wymogi prawne. Publiczne zadanie jest dowodem dla pierwszej kwalifikacji, a nie samodzielną przesłanką. Zapisz fakty, źródła i formalny wynik.

Ostatnia aktualizacja: 5 września 2026 r.

Zacznij od czterech dróg, nie od zatrudnienia

Jednostką oceny jest jeden podmiot prawny i rzeczywiste przetwarzanie, za które odpowiada jako administrator albo które wykonuje jako podmiot przetwarzający. Nie klasyfikuj całej grupy na podstawie produktu używanego tylko w jednej spółce. Najpierw opisz cele, osoby, kategorie danych, zasięg, czas, systemy i rolę badanego podmiotu. Dopiero te fakty można przeprowadzić przez art. 37.

Droga	Pytanie do rozstrzygnięcia	Dowód potrzebny do wyniku	Skutek odpowiedzi
Status publiczny	Czy podmiot jest organem lub podmiotem publicznym według właściwego prawa krajowego, z wyłączeniem sądów działających w ramach sprawowania wymiaru sprawiedliwości ¹?	Podstawa klasyfikacji podmiotu, zakres jego statusu i aktualna wersja źródła krajowego.	„Tak” kończy test konieczności i otwiera wdrożenie IOD; „nie” prowadzi dalej.
Monitoring	Czy główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę?	Opis celu, powtarzalności, planu obserwacji, liczby osób, danych, czasu i geografii.	„Tak” oznacza obowiązek; „nie” nie rozstrzyga pozostałych dróg.
Dane szczególne	Czy główna działalność obejmuje na dużą skalę dane z art. 9 albo dane o wyrokach i naruszeniach prawa z art. 10?	Kategorie danych, związek z główną działalnością i udokumentowane czynniki skali.	„Tak” oznacza obowiązek; brak dużej skali prowadzi do czwartej drogi.
Dodatkowe prawo	Czy prawo Unii lub właściwego państwa członkowskiego wymaga wyznaczenia IOD w tej sytuacji?	Aktualne oficjalne źródło, cytat, data lub wersja, zakres i wniosek.	„Tak” oznacza obowiązek; nierozstrzygnięte źródło pozostawia decyzję otwartą.

Cztery drogi oceny obowiązku wyznaczenia inspektora ochrony danych

Schemat jest sekwencją pracy, nie hierarchią ważności. Status publiczny jest pierwszą trasą, a publiczne zadanie może być jednym z faktów używanych przez właściwe prawo do klasyfikacji. Nie wolno zamieniać tego faktu w odrębną unijną przesłankę. Po odpowiedzi pozytywnej nie trzeba udowadniać kolejnych dróg, ale nadal trzeba ustalić model, zasoby i brak konfliktu.

Odpowiedź negatywna również nie może być skrótem „jesteśmy małą firmą”. Powinna wskazywać autora i datę oceny, przejrzane dowody oraz przyczynę odpowiedzi „nie” na każdej drodze. Zapisz także zmianę, która może odwrócić wynik: nową usługę monitorującą, wzrost skali, zmianę statusu podmiotu albo zmianę prawa. Wtedy dokument działa przy następnym projekcie, zamiast być tylko obroną dawnej decyzji.

Sprawdź trzy przypadki z art. 37

Pierwszy przypadek dotyczy przetwarzania przez organ lub podmiot publiczny. Wyjątek obejmuje sądy działające w ramach sprawowania wymiaru sprawiedliwości ¹. Przepis nie mówi, że każda firma wykonująca zlecenie dla sektora publicznego sama staje się podmiotem publicznym. Trzeba ustalić status badanego podmiotu, a nie charakter jednego klienta.

Drugi przypadek łączy cztery elementy. Monitoring musi należeć do głównej działalności, być regularny, systematyczny i odbywać się na dużą skalę ¹. Brak któregokolwiek elementu oznacza, że ta konkretna droga nie została wykazana. Nie wystarczy używanie analityki, prowadzenie listy klientów ani sporadyczne sprawdzenie logów bezpieczeństwa. Potrzebny jest opis tego, kogo obserwuje się według planu i po co wynik jest dalej wykorzystywany.

Trzeci przypadek również wymaga związku z główną działalnością i dużej skali. Obejmuje szczególne kategorie danych z art. 9 oraz dane dotyczące wyroków skazujących i naruszeń prawa z art. 10 ¹. Pomocnicze przetwarzanie danych pracowników nie staje się automatycznie główną działalnością tylko dlatego, że występuje w każdej organizacji. Inny wynik może mieć usługa, której zasadniczym celem jest analiza takich danych dla licznej populacji.

Artykuł 37 nie daje uniwersalnego progu osób, rekordów, miesięcy ani państw. Punktacja, w której jedna liczba automatycznie daje „tak”, ukrywa wymagane związki między działalnością, charakterem operacji i skalą. Fakty należy mierzyć, lecz wynik prawny wymaga oceny ich wspólnego znaczenia. Gdy skala albo główna działalność pozostają niepewne, zapisz założenie, brakujący dowód i właściciela zamiast wygodnej odpowiedzi końcowej.

W każdej z trzech dróg zapisz osobno fakty pozytywne i negatywne, ponieważ brak jednego popularnego sygnału nie dowodzi braku całej przesłanki, a silny dowód w jednej części nie naprawia niewykazanego związku z główną działalnością lub skalą. Krótko: testuj komplet.

Administrator i podmiot przetwarzający wykonują własne oceny nawet wtedy, gdy uczestniczą w tym samym łańcuchu usługowym; podmiot przetwarzający może prowadzić monitoring jako rdzeń swojej usługi, podczas gdy dla klienta ta sama technologia pozostaje tylko narzędziem pomocniczym, dlatego umowa, nazwa produktu ani wynik drugiej strony nie zastępują analizy badanego podmiotu.

Status publiczny rozstrzyga prawo krajowe

RODO nie definiuje pojęcia „organ lub podmiot publiczny” dla art. 37. Kwalifikację trzeba przeprowadzić według prawa krajowego rzeczywiście właściwego dla danego podmiotu ⁴. Pierwszym pytaniem jest zatem status prawny, a nie to, czy organizacja wykonuje usługę użyteczną społecznie, korzysta z dotacji albo działa na podstawie zamówienia publicznego.

Publiczne zadanie może dostarczać ważnego dowodu: właściwa ustawa może łączyć z nim określoną formę, nadzór, kompetencję lub sposób utworzenia. Nadal jest to jednak element klasyfikacji podmiotu. Sam fakt wykonywania zadania publicznego nie stanowi czwartej przesłanki dopisanej do art. 37 i nie zastępuje sprawdzenia właściwego źródła. Podobnie własność publiczna, finansowanie lub kontrakt mogą mieć znaczenie, ale nie powinny być traktowane jako automatyczny wynik.

Dokument roboczy wskazuje jurysdykcję, pełną nazwę aktualnego oficjalnego źródła, przepis użyty do klasyfikacji, wersję lub datę dostępu, fakty podmiotu i wniosek. Zapisuje też, dlaczego dane prawo jest właściwe. W unijnym artykule bez wybranego państwa nie można podać jednego krajowego testu ani organu właściwego dla wszystkich sytuacji. Dopóki zespół nie ustali prawa i źródła, ta droga pozostaje otwarta.

Wyłączenie sądów jest wąskie i dotyczy działania w ramach sprawowania wymiaru sprawiedliwości ¹. Nie uzasadnia pominięcia wszystkich innych czynności sądu ani automatycznego rozszerzenia na każdy podmiot związany z postępowaniem. Granicę trzeba opisać funkcjonalnie i zachować dowody odnoszące się do badanego przetwarzania.

Zdefiniuj główną działalność, skalę i monitoring

Główna działalność to operacja kluczowa dla osiągania celów administratora lub podmiotu przetwarzającego, a nie każda czynność niezbędna do prowadzenia organizacji ⁴. Szpital leczy, wykorzystując dane zdrowotne; dostawca usług monitorowania może sprzedawać właśnie stałą obserwację. Z kolei płace, zwykłe wsparcie informatyczne i administracja budynku często są funkcjami pomocniczymi, choć nadal muszą być zgodne z RODO.

Przy dużej skali rozpatruje się łącznie liczbę osób i ich udział w odpowiedniej populacji, ilość albo różnorodność danych, czas lub trwałość przetwarzania oraz zasięg geograficzny ⁴. Każdy czynnik wymaga jednostki i źródła: liczby aktywnych kont zamiast pojemności bazy, rzeczywistego okresu obserwacji zamiast długości umowy, listy regionów działania zamiast deklaracji „globalnie”. Warto zachować przedział i datę, gdy pomiar jest zmienny.

Regularność obejmuje działania trwające, powtarzające się lub występujące według ustalonego cyklu. Systematyczność wskazuje na plan, metodykę, organizację albo element strategii ⁴. Monitoring nie ogranicza się do śledzenia w internecie. Może obejmować profilowanie, programy lojalnościowe, telematykę, urządzenia połączone, obserwację lokalizacji albo ocenę zachowań, jeżeli zebrane sygnały służą dalszej decyzji o osobie.

Nie każdy log jest monitoringiem w rozumieniu tej przesłanki. Zbadaj cel, możliwość powiązania zdarzeń z osobą, zakres obserwowanych zachowań i dalsze użycie wyniku. Jedna duża migracja nie musi być regularna, a mała liczba użytkowników nie wyklucza systematyczności. Oddzielna odpowiedź dla każdego elementu testu pokazuje, który fakt może zmienić konkluzję. Dołącz źródło konfiguracji, aby nazwa narzędzia nie zastąpiła dowodu.

Praktyczna karta skali powinna pokazywać licznik, mianownik, okres i źródło każdego pomiaru, a także wyjaśniać, czy liczba dotyczy aktywnych osób, wszystkich kont, pojedynczych zdarzeń czy rekordów historycznych, ponieważ te wielkości opisują inne aspekty operacji i nie wolno traktować ich wymiennie.

Przy monitoringu dodaj mapę sygnału i decyzji: zdarzenie, identyfikator, regułę łączenia, częstotliwość obserwacji, tworzony profil lub ocenę oraz działanie podejmowane na jej podstawie; dzięki temu recenzent widzi planowość i dalsze użycie, zamiast wnioskować z marketingowej nazwy funkcji. Jednocześnie zapisz ograniczenia, takie jak agregacja, krótki okres albo brak identyfikacji, jeżeli rzeczywiście wpływają na ocenę.

Sprawdź gałąź prawa państwa członkowskiego

Artykuł 37 ust. 4 pozwala, aby obowiązek wynikał także z prawa Unii albo państwa członkowskiego ¹. Ta gałąź jest równorzędnym elementem oceny, a nie przypisem sprawdzanym dopiero po zatwierdzeniu wyniku. Administrator i podmiot przetwarzający muszą ustalić, które prawo jest właściwe dla ich podmiotu oraz badanej czynności. Miejsce siedziby, placówki i prowadzenia operacji może wymagać osobnej analizy.

Następnie trzeba dotrzeć do aktualnego oficjalnego tekstu. Zapis oceny powinien zawierać dokładne oznaczenie przepisu, cytat lub wierne streszczenie, wersję albo datę dostępu, zakres podmiotowy i przedmiotowy oraz zastosowanie do faktów. Sam link bez daty i wniosku nie pozwala odtworzyć decyzji. Streszczenie z bloga może pomóc znaleźć źródło, ale nie powinno zastępować tekstu urzędowego.

Nie istnieje jeden krajowy próg, który można uogólnić na całą Unię. Nie należy też importować reguły znanej z innego państwa tylko dlatego, że dokument jest dostępny w języku roboczym zespołu. Jeśli właściwe prawo nie zostało ustalone albo oficjalny tekst wymaga specjalistycznej interpretacji, decyzja pozostaje otwarta. Właściciel wskazuje osobę, brakujący dowód i termin zamknięcia zamiast zapisywać „brak obowiązku”.

Nierozwiązana gałąź nie blokuje oceny monitoringu ani danych szczególnych. Nie wolno jej jednak zapisać jako wyniku negatywnego. Wskaż brak, właściciela i termin, a zmianę jurysdykcji, struktury grupy, działalności lub źródła krajowego ustaw jako wyzwalacz ponownego sprawdzenia.

Dobrowolny IOD nadal jest inspektorem

Organizacja może wyznaczyć inspektora dobrowolnie, lecz wtedy stosuje wymagania art. 37–39 w pełnym zakresie ⁴. Nie jest to honorowy tytuł dla osoby, która jednocześnie zatwierdza cele przetwarzania, ustala środki i ma oceniać własne decyzje. Trzeba zapewnić fachową wiedzę odpowiednią do ryzyka, dostępność, zasoby, niezależność i brak konfliktu interesów.

Jeżeli przedsiębiorstwo potrzebuje właściciela programu prywatności, ale nie chce ustanawiać chronionej funkcji, uczciwą alternatywą jest nazwa taka jak „koordynator ochrony danych” lub „właściciel zgodności prywatności”. Zakres tej roli musi być jasny dla pracowników i osób z zewnątrz. Nie należy publikować jej jako IOD ani sugerować ochrony, obowiązków i kanału kontaktowego wynikających z art. 37–39.

Jednego inspektora można wyznaczyć dla grupy przedsiębiorstw, jeżeli jest łatwo dostępny z każdej jednostki ¹. Funkcję może też wykonywać zewnętrzny usługodawca na podstawie umowy. Wspólna skrzynka pocztowa sama nie dowodzi dostępności. Sprawdź języki, strefy czasowe, możliwość poznania lokalnych operacji, zastępstwo, czas reakcji oraz bezpośredni dostęp do kierownictwa.

Model wspólny lub zewnętrzny wymaga realnej pojemności. Liczba klientów nie rozstrzyga; rozstrzygające są czas, kompetencje i dostęp potrzebne do wykonania zadań. Umowa i plan pracy pokazują priorytety, zastępstwo, eskalację, poufność, kontrolę konfliktów oraz działający kontakt dla osób i organu nadzorczego.

Po odpowiedzi „tak” zbuduj rzeczywistą rolę

Wyznaczenie nie kończy się na nazwisku. Artykuł 38 chroni pozycję inspektora, a art. 39 określa minimalne zadania ². Najwyższe kierownictwo powinno zatwierdzić mandat, kanały dostępu i zasoby. Następnie trzeba włączyć IOD do zmian produktów, umów, bezpieczeństwa, retencji, praw osób i ocen skutków na tyle wcześnie, aby rada mogła wpłynąć na decyzję.

Element wdrożenia	Co należy zapewnić	Dowód działania
Wyznaczenie i wiedza	Udokumentowaną decyzję, zakres podmiotów, fachową wiedzę dostosowaną do złożoności i ryzyka oraz możliwość utrzymania kompetencji ¹.	Mandat, profil kompetencji, plan rozwoju i aktualna lista obsługiwanych jednostek.
Terminowe włączenie i dostęp	Udział przed utrwaleniem rozwiązania oraz dostęp do danych, operacji, dokumentów i osób potrzebnych do oceny ².	Punkty kontrolne w procesie zmian, zaproszenia, protokoły i rejestr otrzymanych informacji.
Zasoby	Czas, budżet, narzędzia, wsparcie i zastępstwo proporcjonalne do portfela zadań.	Plan pracy, obciążenie, budżet szkoleniowy, ścieżka eskalacji braków i zastępstwa.
Niezależność	Brak instrukcji co do wykonywania zadań, brak kary lub odwołania za ich wykonywanie oraz swoboda przedstawiania wniosków.	Karta roli, zasady oceny pracy, zapis odmiennych opinii i ochrona eskalacji.
Raportowanie	Bezpośredni dostęp do najwyższego szczebla kierowniczego, bez filtrowania istotnych ustaleń.	Stały punkt w agendzie, raport ryzyka i potwierdzenie omówienia zaleceń.
Poufność i konflikt	Poufny kanał dla osób oraz mapa innych zadań, które nie prowadzą do ustalania celów i środków przetwarzania.	Analiza konfliktu, reguły wyłączenia, zabezpieczony kanał i obowiązek poufności.
Dane kontaktowe	Publikację danych kontaktowych i przekazanie ich właściwemu organowi nadzorczemu.	Zrzut strony, kontrola działania kanału, potwierdzenie zawiadomienia i właściciel aktualizacji.

IOD informuje i doradza administratorowi, podmiotowi przetwarzającemu oraz pracownikom, monitoruje przestrzeganie przepisów i polityk, podział obowiązków, działania uświadamiające, szkolenia i audyty ³. Doradza na żądanie w sprawie oceny skutków i monitoruje jej wykonanie. Współpracuje z organem nadzorczym i działa jako punkt kontaktowy, także przy konsultacji uprzedniej.

Wykonując zadania, inspektor uwzględnia ryzyko związane z charakterem, zakresem, kontekstem i celami operacji ³. Jest to metoda ustalania priorytetów w pełnym mandacie, a nie zgoda na pominięcie obowiązków ocenionych jako mniej pilne. Organizacja nadal odpowiada za decyzje i zgodność. IOD doradza, monitoruje i potrafi eskalować odmienną opinię, lecz nie staje się właścicielem wszystkich decyzji ani ryzyk.

Mandat trzeba przełożyć na przebieg decyzji: właściciel projektu przekazuje komplet materiałów przed zatwierdzeniem, IOD otrzymuje rozsądny czas na analizę, zalecenie trafia do osoby uprawnionej do zmiany rozwiązania, a świadome odejście od rady jest odnotowane z uzasadnieniem i właścicielem ryzyka. Szybka konsultacja po uruchomieniu nie spełnia celu terminowego włączenia.

Zasoby ocenia się wobec faktycznego portfela, nie według symbolicznej części etatu. Policz podmioty, lokalizacje, języki, systemy wysokiego ryzyka, liczbę projektów, incydenty, żądania osób, DPIA, audyty i potrzebę szkoleń; następnie sprawdź, czy inspektor ma dostęp do ekspertów technicznych i prawnych oraz zastępstwo zapewniające ciągłość poufnego kanału.

Niezależność wymaga również właściwego umiejscowienia innych obowiązków. Osoba, która określa cele lub zasadnicze środki przetwarzania jako członek kierownictwa biznesowego, IT, bezpieczeństwa albo HR, może oceniać własne decyzje, więc organizacja powinna mapować realne kompetencje decyzyjne, zastosować wyłączenia lub rozdzielić funkcje, a nie polegać wyłącznie na tytule stanowiska ².

Raportowanie do najwyższego kierownictwa powinno mieć rytm oraz drogę pilnej eskalacji. Raport zawiera istotne ryzyka, niewykonane zalecenia, braki zasobów i trendy, ale zachowuje poufność kontaktów osób; kierownictwo potwierdza zapoznanie się z informacją, przypisuje działania i nie instruuje inspektora, jaki wniosek ma przedstawić.

Dane kontaktowe muszą działać w praktyce. Publikuj kanał umożliwiający bezpośredni kontakt bez konieczności ujawniania nazwiska, jeżeli nie jest to potrzebne, przetestuj doręczenie i poufne kierowanie wiadomości, ustal zastępstwo oraz procedurę szybkiej aktualizacji strony i zawiadomienia organu po zmianie osoby albo usługodawcy ¹.

Po odpowiedzi „nie” zachowaj ocenę

Negatywny wynik jest użytecznym produktem zarządczym, jeżeli można go odtworzyć. Powinien obejmować datę, podmiot, działalność, rolę administratora lub podmiotu przetwarzającego, każdą z czterech dróg, fakty i dowody, źródło prawa krajowego, właściciela decyzji oraz założenia. Ogólne zdanie „nie jesteśmy zobowiązani” nie pokazuje, czy przeoczono monitoring, dane szczególne albo właściwe prawo.

Wynik	Cztery drogi i dowody	Odpowiedzialność po decyzji	Zmiana otwierająca ocenę
Nie — zamknięte	Status według ustalonego prawa; brak spełnienia pełnego testu monitoringu; brak dużej skali danych z art. 9 lub 10; oficjalne źródło dodatkowego prawa z datą i wnioskiem.	Wskazany właściciel decyzji oraz nazwany koordynator prywatności, który nie używa chronionego tytułu IOD.	Nowa funkcja obserwacji, zmiana populacji lub danych, ekspansja geograficzna, restrukturyzacja albo zmiana prawa.
Otwarte — brak dowodu	Ukończone drogi są opisane, ale właściwe prawo, skala, główna działalność albo konfiguracja monitoringu nie zostały potwierdzone.	Właściciel braku, konkretne zadanie, termin i tymczasowy sposób eskalacji spraw prywatności.	Dostarczenie źródła lub danych; do tego czasu wyniku nie wolno przedstawiać jako ostatecznego „nie”.

Dokument powinien oddzielać rolę od osoby. Można przypisać odpowiedzialność za koordynowanie zgodności bez wyznaczenia IOD, o ile nazwa, komunikacja i zakres nie wprowadzają w błąd. Taka osoba może prowadzić rejestr, organizować szkolenia i zbierać ryzyka, ale jej mandat wynika z organizacji, a nie automatycznie z ochrony przewidzianej dla inspektora.

Przegląd powinien być zdarzeniowy. Wymień sygnały możliwe do wykrycia w procesach zakupowych, produktowych i organizacyjnych. Właściciel zmiany odpowiada za zgłoszenie, a właściciel oceny porównuje nowe fakty z poprzednią wersją. Okresowy przegląd może być rozsądnym zabezpieczeniem, lecz nie zastępuje reakcji na zmianę i nie powinien udawać uniwersalnego terminu prawnego.

Zachowuj wersje i dowody. Gdy odpowiedź zmieni się z „nie” na „tak”, historia pokaże moment i przyczynę powstania obowiązku. Gdy pozostanie negatywna, nowa wersja wyjaśni, dlaczego wzrost liczby klientów albo nowa technologia nie spełniły pełnego testu. Samo nadpisanie daty nie daje takiej ścieżki.

Przepracuj przypadki graniczne

Wzorzec	Jak przeprowadzić test	Wynik roboczy i następny krok
Podmiot publiczny	Najpierw ustal status według właściwego prawa krajowego. Zadanie publiczne, sposób utworzenia lub nadzór mogą być dowodami, ale nie samodzielną unijną przesłanką ⁴.	Potwierdzony status oznacza obowiązek; zapisz podstawę i przejdź do pełnego wdrożenia roli.
Monitoring na dużą skalę	Usługa stale obserwuje zachowania wielu osób według planu, łączy zdarzenia i wykorzystuje profil do decyzji; jest to jej główna działalność.	Pełny zestaw elementów może prowadzić do „tak”; zachowaj pomiary skali i opis systematyczności.
Dane szczególne w rdzeniu usługi	Organizacja świadczy usługę opartą na długotrwałym przetwarzaniu danych zdrowotnych licznej populacji.	Związek z główną działalnością i czynniki skali mogą dać obowiązek; potwierdź zakres art. 9 i realne wolumeny.
Rzeczywiste „nie”	Lokalna firma przetwarza zwykłe dane klientów bez systematycznego monitoringu, a dane szczególne pojawiają się tylko pomocniczo i bez dużej skali.	Wynik może być negatywny po zamknięciu statusu i prawa dodatkowego; zapisz ocenę oraz wyzwalacze.
Nierozwiązane prawo krajowe	Zespół zna trzy przesłanki z art. 37 ust. 1, lecz nie ustalił właściwego państwa lub oficjalnego źródła dla ust. 4.	To nie jest „nie”. Oznacz decyzję jako otwartą, przypisz właściciela i pozyskaj aktualne źródło.

Przypadki pokazują, dlaczego wielkość przedsiębiorstwa nie jest odpowiedzią. Mała organizacja może prowadzić monitoring będący rdzeniem usługi, a duża wykonywać zwykłe czynności niespełniające testu. Liczy się status i rzeczywiste przetwarzanie jednego podmiotu. W grupie najpierw rozdziel oceny spółek i ról, a dopiero po ich zakończeniu sprawdź, czy wspólny IOD będzie rzeczywiście dostępny.

Niepewność powinna być widoczna w wyniku. Brak pomiaru populacji, konfiguracji profilowania lub właściwego źródła krajowego otrzymuje właściciela i termin. Presja na natychmiastowe „tak” albo „nie” nie poprawia decyzji. Otwarta gałąź z konkretnym sposobem zamknięcia jest uczciwsza, a jednocześnie pozwala kierownictwu zarządzić tymczasowym ryzykiem.

Porównanie z brytyjskim podejściem przedstawia osobny artykuł: czy potrzebujesz inspektora ochrony danych w Wielkiej Brytanii(artykuł po angielsku). Nie wolno jednak przenosić brytyjskich definicji lub progów do oceny podmiotu działającego według prawa innego państwa członkowskiego.

Najczęstsze pytania o inspektora ochrony danych

Kiedy trzeba wyznaczyć inspektora ochrony danych na podstawie RODO?

Obowiązek powstaje, gdy administrator lub podmiot przetwarzający jest organem albo podmiotem publicznym według właściwego prawa krajowego, jego główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę albo polega na przetwarzaniu na dużą skalę danych z art. 9 lub 10 ¹. Trzeba też sprawdzić dodatkowe wymogi prawa Unii i państwa członkowskiego.

Czy liczba pracowników przesądza o obowiązku powołania IOD?

Nie. Artykuł 37 nie ustanawia progu zatrudnienia, obrotu ani wielkości przedsiębiorstwa. Liczba osób może być faktem pomocnym przy ocenie skali konkretnego przetwarzania, lecz nie zastępuje czterech dróg prawnych. Nawet mała firma może spełnić jedną z nich, a duża organizacja może dla określonego podmiotu uzyskać udokumentowany wynik negatywny.

Co oznacza przetwarzanie danych na dużą skalę?

RODO nie podaje jednej liczby. Ocena uwzględnia liczbę i odsetek osób, ilość lub zakres danych, czas albo trwałość operacji oraz jej zasięg geograficzny ⁴. Czynniki trzeba rozpatrywać łącznie i odnosić do realnej działalności. Wynik powinien zawierać fakty, źródła dowodów, założenia i zdarzenia, które uruchomią ponowną ocenę.

Czy można korzystać ze wspólnego lub zewnętrznego IOD?

Tak. Grupa przedsiębiorstw może wyznaczyć jednego inspektora, jeżeli jest on łatwo dostępny z każdej jednostki ¹. Zadania można też wykonywać na podstawie umowy o świadczenie usług. W obu modelach liczą się rzeczywista dostępność, wystarczający czas i zasoby, znajomość operacji, niezależność, brak konfliktu interesów oraz możliwość bezpośredniego raportowania najwyższemu kierownictwu.

Co się dzieje po dobrowolnym wyznaczeniu inspektora?

Dobrowolnie wyznaczona osoba jest inspektorem ochrony danych w pełnym znaczeniu art. 37–39 ⁴. Organizacja musi zapewnić jej terminowe włączenie, zasoby, dostęp, niezależność, ochronę przed karą za wykonywanie zadań i właściwą linię raportowania. Jeżeli firma chce jedynie przypisać odpowiedzialność za prywatność, powinna użyć innej nazwy stanowiska i nie tworzyć pozoru ustawowej funkcji.

Czy prawo krajowe może rozszerzyć obowiązek wyznaczenia IOD?

Tak, art. 37 ust. 4 pozostawia taką możliwość prawu Unii lub państwa członkowskiego ¹. Należy ustalić, które prawo jest właściwe dla badanego podmiotu i przetwarzania, sprawdzić aktualne oficjalne źródło, a potem zapisać cytat, wersję lub datę, zakres i wniosek. Nie wolno przenosić progu z jednego państwa na całą Unię.