Czy moja firma musi wyznaczyć inspektora ochrony danych?

RODO ma zastosowanie do wszystkich podmiotów, które przetwarzają dane osobowe w związku z prowadzoną działalnością, niezależnie od ich wielkości. Obowiązek wyznaczenia inspektora ochrony danych (IOD) dotyczy jednak tylko tych podmiotów, które spełniają określone warunki wynikające z przepisów. Kryterium wielkości nie ma tu znaczenia – w konkretnych sytuacjach obowiązek powołania IOD może obejmować także małe i średnie przedsiębiorstwa.

Warto więc ustalić, czy wymóg wyznaczenia IOD dotyczy również Twojej organizacji. Niewywiązanie się z tego obowiązku stanowi naruszenie RODO i może skutkować nałożeniem kary finansowej przez organ nadzorczy. W tym artykule krok po kroku pokażemy, co musisz sprawdzić, aby bez trudu odpowiedzieć na pytanie: Czy moja firma musi wyznaczyć inspektora ochrony danych?

Dobrowolne wyznaczenie IOD – zasady, korzyści i dokumentowanie decyzji

W przypadku gdy przepisy nie wymagają wyznaczenia IOD, organizacja może powołać go w ramach dobrych praktyk, a brak takiej decyzji nie będzie stanowił naruszenia RODO. Jeśli jednak IOD zostanie wyznaczony, sposób wykonywania tej funkcji musi spełniać warunki określone w art. 37–39 RODO. Konieczne jest m.in. odpowiednie umiejscowienie IOD w strukturze organizacji, wykluczenie konfliktu interesów, zagwarantowanie, że IOD podlega bezpośrednio najwyższemu kierownictwu, oraz zapewnienie mu odpowiednich zasobów do realizacji zadań, w tym możliwości stałego podnoszenia wiedzy.

Dobrowolne wyznaczenie IOD oznacza zatem poddanie się rygorom RODO dotyczącym tej funkcji. Choć część firm – zwłaszcza z sektora MŚP – postrzega to jako zbędny koszt, IOD może przynieść organizacji wymierne korzyści. Braku obowiązku nie należy utożsamiać ze zbędnością wyznaczenia IOD. Przeciwnie: kompetentny IOD wspiera compliance i wzmacnia zaufanie klientów. Ponadto włączanie IOD w procesy przetwarzania danych świadczy o odpowiedzialnym podejściu firmy i może budować jej przewagę konkurencyjną.

Organizacje wciąż miewają problemy z rozstrzygnięciem, czy są zobowiązane do wyznaczenia IOD. W efekcie niekiedy powołują IOD „na wszelki wypadek”, a innym razem niesłusznie zakładają, że obowiązek ich nie dotyczy, i rezygnują z jego wyznaczenia. Niezależnie od tego, że wsparcie IOD to zawsze wartość dodana, warto jednoznacznie ustalić, czy brak jego wyznaczenia nie stanowi naruszenia przepisów.

Grupa Robocza Art. 29 (poprzedniczka Europejskiej Rady Ochrony Danych) w wytycznych dotyczących inspektorów ochrony danych (WP 243 rev.01; dalej: „wytyczne”) zaleca, aby organizacja dokumentowała wewnętrzny proces, w wyniku którego ustalono, czy istnieje obowiązek wyznaczenia IOD. Takie podejście jest zgodne z zasadą rozliczalności.  Dokumentacja powinna być aktualizowana w razie potrzeby, np. wtedy, gdy podmiot podejmuje nową działalność, która może wpływać na ocenę obowiązku powołania IOD.

Kiedy wyznaczenie IOD jest obowiązkowe – trzy przesłanki z art. 37 ust. 1 RODO

Sytuacje, w których administrator lub podmiot przetwarzający muszą wyznaczyć IOD, zostały określone w art. 37 ust. 1 RODO. W dalszej części artykułu szczegółowo przyjrzymy się każdej z tych przesłanek. 

• Przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości (art. 37 ust. 1 lit. a RODO) 

Ta przesłanka co do zasady nie budzi większych wątpliwości. Jeśli przetwarzania dokonuje organ lub podmiot publiczny, ma on obowiązek powołania IOD. W RODO nie ma jednak definicji organu ani podmiotu publicznego. Grupa Robocza Art. 29 w wytycznych wskazała, że znaczenie tych pojęć powinno zostać określone w przepisach krajowych. Jednocześnie zaznaczyła, że do organów i podmiotów publicznych najczęściej zalicza się organy władzy krajowej oraz organy regionalne i lokalne, a także – na mocy prawa krajowego – szereg innych podmiotów prawa publicznego.  

Polski ustawodawca w art. 9 ustawy o ochronie danych osobowych określił organy i podmioty publiczne zobowiązane do wyznaczenia IOD. Są to:

• jednostki sektora finansów publicznych,
• instytuty badawcze,
• Narodowy Bank Polski. 

Jednostki sektora finansów publicznych

Katalog jednostek sektora finansów publicznych jest określony w art. 9 ustawy o finansach publicznych. W przepisie tym są wymienione:

• organy władzy publicznej, w tym organy administracji rządowej, organy kontroli państwowej i ochrony prawa oraz sądy i trybunały,
• jednostki samorządu terytorialnego oraz ich związki,
• związki metropolitalne,
• jednostki budżetowe,
• samorządowe zakłady budżetowe,
• agencje wykonawcze,
• instytucje gospodarki budżetowej,
• państwowe fundusze celowe,
• Zakład Ubezpieczeń Społecznych i zarządzane przez niego fundusze oraz Kasa Rolniczego Ubezpieczenia Społecznego  i fundusze zarządzane przez Prezesa Kasy Rolniczego Ubezpieczenia Społecznego, 
• Narodowy Fundusz Zdrowia,
• samodzielne publiczne zakłady opieki zdrowotnej,
• uczelnie publiczne,
• Polska Akademia Nauk i tworzone przez nią jednostki organizacyjne,
• państwowe i samorządowe instytucje kultury,
• inne państwowe lub samorządowe osoby prawne utworzone na podstawie odrębnych ustaw w celu wykonywania zadań publicznych, z wyłączeniem przedsiębiorstw, instytutów badawczych, instytutów działających w ramach Sieci Badawczej Łukasiewicz, banków oraz spółek prawa handlowego,
• Bankowy Fundusz Gwarancyjny.

Przepis art. 9 ustawy o finansach publicznych nie przesądza o obowiązku wyznaczania IOD w odniesieniu do sądów. Wyłączenie to dotyczy jednak przetwarzania związanego ze sprawowaniem wymiaru sprawiedliwości. W pozostałym zakresie sądy – jako jednostki sektora finansów publicznych – podlegają obowiązkowi powołania IOD. 

Instytuty badawcze

Instytuty badawcze zostały zdefiniowane w art. 1 ust. 1 ustawy o instytutach badawczych. Są to państwowe jednostki organizacyjne, wyodrębnione pod względem prawnym, organizacyjnym i ekonomiczno-finansowym, które prowadzą badania naukowe i prace rozwojowe ukierunkowane na ich wdrożenie i zastosowanie w praktyce. Instytuty badawcze tworzy Rada Ministrów w drodze rozporządzenia. 

Narodowy Bank Polski

Narodowy Bank Polski jest bankiem centralnym Rzeczypospolitej Polskiej – zgodnie z art. 1 ustawy o Narodowym Banku Polskim.

Podmioty prywatne wykonujące zadania publiczne

Grupa Robocza Art. 29 stanęła na stanowisku, że w ramach pierwszej przesłanki obowiązek wyznaczenia IOD powinien obejmować również podmioty prywatne – zarówno osoby fizyczne, jak i osoby prawne – które wykonują zadania w interesie publicznym lub sprawują władzę publiczną (np. w obszarze transportu publicznego, dostarczania wody i energii, infrastruktury drogowej, radiofonii i telewizji publicznej, budynków użyteczności publicznej, a także organy powołane dla zawodów regulowanych). 

Przykładem takiego podmiotu może być prywatny szpital realizujący kontrakt z NFZ czy prywatna firma obsługująca komunikację miejską lub zarządzająca strefą płatnego parkowania w imieniu gminy lub miasta. Dopuszczalność powierzenia wykonywania takich zadań powinna wynikać z odpowiednich przepisów.

Z perspektywy osób, których dane dotyczą, sytuacja ta jest porównywalna do tej, gdy dane są przetwarzane przez organy lub podmioty publiczne, zwłaszcza ze względu na cele przetwarzania oraz ograniczoną lub wręcz wyłączoną możliwość ich wpływu na ten proces. W takich przypadkach RODO nie nakłada bezpośredniego obowiązku powołania IOD, jednak jest to rekomendowane jako dobra praktyka. Należy przy tym pamiętać, że obowiązek może wynikać z pozostałych dwóch przesłanek. 

• Główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę (art. 37 ust. 1 lit. b RODO) 

Zarówno ta przesłanka, jak i kolejna odnoszą się do przedmiotu działalności administratora lub podmiotu przetwarzającego. Organizacja będzie zobowiązana do powołania IOD, jeśli łącznie spełnione są następujące warunki:

• organizacja dokonuje regularnego i systematycznego monitorowania osób, których dane dotyczą,
• monitorowanie to odbywa się na dużą skalę,
• działania te stanowią jej główną działalność. 

Czym są „główna działalność”, „regularne i systematyczne monitorowanie” oraz „duża skala”? RODO nie zawiera definicji tych pojęć, dlatego przy ich interpretacji pomocna jest analiza motywów RODO oraz wytycznych Grupy Roboczej Art. 29. 

Główna działalność 

Znaczenie pojęcia głównej działalności wyjaśnia motyw 97 RODO. W odniesieniu do sektora prywatnego wskazano w nim, że główna działalność dotyczy zasadniczych, a nie pobocznych czynności. Z kolei z wytycznych wynika, że główną działalnością jest działalność kluczowa z punktu widzenia realizacji celów administratora albo podmiotu przetwarzającego. Obejmuje ona więc także przetwarzanie danych osobowych nierozerwalnie związane z podstawową działalnością organizacji. Przykładowo: 

• przetwarzanie danych z dokumentacji medycznej pacjenta jest nierozerwalnie związane z zapewnianiem opieki medycznej przez szpitale, dlatego takie przetwarzanie należy traktować jako działalność główną,
• prowadzenie monitoringu przez firmy ochroniarskie w sieci centrów handlowych oraz w przestrzeni publicznej jest bezpośrednio związane z zapewnianiem ochrony, dlatego takie przetwarzanie danych osobowych także należy do ich głównej działalności.  

Natomiast działaniami, których nie należy uznawać za główną działalność, są czynności typowe dla większości organizacji, niezależnie od profilu ich działalności, takie jak prowadzenie listy płac czy korzystanie ze standardowej obsługi IT. Mają one charakter dodatkowy i  wspierający. Nie stanowią celu same w sobie, lecz służą realizacji głównej działalności. 

Regularne i systematyczne monitorowanie

Pojęcie regularnego i systematycznego monitorowania składa się z trzech elementów: monitorowania, regularności oraz systematyczności. W pierwszej kolejności warto wyjaśnić, czym jest monitorowanie. Pewną wskazówkę daje motyw 24 RODO. Wskazano w nim, że aby uznać daną czynność za monitorowanie zachowania osób, których dane dotyczą, należy ustalić, czy osoby te są obserwowane w Internecie, w tym czy podlegają profilowaniu, w szczególności w celu podjęcia decyzji, przeanalizowania lub prognozowania ich osobistych preferencji, zachowań i postaw. Odwołanie to należy jednak traktować pomocniczo, gdyż motyw 24 odnosi się do eksterytorialnego stosowania RODO, a nie bezpośrednio do omawianego pojęcia. 

Grupa Robocza Art. 29 w wytycznych wskazuje, że monitorowanie obejmuje wszelkie formy śledzenia i profilowania w sieci, w tym na potrzeby reklam behawioralnych. Jednocześnie zastrzega, że monitorowanie nie odnosi się tylko do środowiska online. Dotyczy też ogólnie monitorowania osób, a nie tylko ich zachowania. Wśród innych form monitoringu można wymienić przykładowo monitorowanie za pomocą kamer czy geolokalizatorów. 

Grupa Robocza Art. 29 doprecyzowała również, co należy rozumieć przez regularne monitorowanie. Obejmuje ono monitorowanie:

• prowadzone w sposób stały albo w określonych odstępach czasu przez ustalony okres,
• cykliczne albo powtarzające się w określonych terminach.

Z kolei za systematyczne można uznać monitorowanie, które spełnia co najmniej jeden z poniższych warunków:

• odbywa się zgodnie z określonym systemem,
• jest zaaranżowane, zorganizowane lub metodyczne,
• jest prowadzone w ramach ogólnego planu zbierania danych,
• jest realizowane w ramach określonej strategii. 

Pojęcie regularności odnosi się zatem do częstotliwości, natomiast systematyczność należy rozumieć w kontekście istnienia założonego planu lub systemu, według którego monitorowanie się odbywa. W wytycznych podano przykłady przetwarzania, które może stanowić regularne i systematyczne monitorowanie:

• obsługa sieci telekomunikacyjnej oraz świadczenie usług telekomunikacyjnych,
• przekierowywanie poczty elektronicznej, 
• działania marketingowe oparte na danych,
• profilowanie i ocenianie na potrzeby oceny ryzyka (np. kredytowego), ustalania składek ubezpieczeniowych, zapobiegania oszustwom, wykrywania prania pieniędzy,  
• śledzenie lokalizacji (np. przez aplikacje mobilne), 
• programy lojalnościowe, 
• reklama behawioralna,  
• monitorowanie danych dotyczących zdrowia i kondycji fizycznej za pośrednictwem urządzeń przenośnych,
• monitoring wizyjny, 
• urządzenia skomunikowane (np. inteligentne liczniki, inteligentne samochody, automatyka domowa).

Jest to katalog otwarty, dlatego w praktyce również inne działania mogą mieścić się w tej kategorii monitorowania. Przykładowo może ono dotyczyć takich podmiotów, jak: operatorzy sieci komórkowych, dostawcy Internetu, dostawcy usług hostingowych i poczty elektronicznej, agencje marketingowe, platformy do analityki internetowej, instytucje finansowe (w tym banki), biura informacji kredytowej, zakłady ubezpieczeń, dostawcy aplikacji nawigacyjnych oraz aplikacji do zamawiania transportu, sieci handlowe, stacje paliw, linie lotnicze, sieci hotelarskie, sieci reklamowe, portale społecznościowe, platformy targetowania behawioralnego, producenci aplikacji i urządzeń wearables do monitorowania zdrowia i aktywności fizycznej, firmy ochroniarskie świadczące usługi monitoringu, operatorzy transportu publicznego monitorujący pasażerów, zarządcy nieruchomości komercyjnych (np. centrów handlowych), dostawcy mediów wdrażający inteligentne opomiarowanie, producenci sprzętów AGD i RTV z funkcjami „smart”. 

Duża skala

Z motywu 91 RODO wynika, że przetwarzanie ma charakter „dużej skali”, gdy:

• obejmuje znaczną ilość danych osobowych,
• ma zasięg regionalny, krajowy lub ponadnarodowy,
• może wpływać na dużą liczbę osób, których dane dotyczą,
• może generować dla tych osób wysokie ryzyko.

Wysokie ryzyko może wystąpić na przykład wtedy, gdy przetwarzanie odbywa się z wykorzystaniem nowej technologii na dużą skalę lub gdy operacje przetwarzania mogą utrudniać osobom, których dane dotyczą, korzystanie z przysługujących im praw. 

Grupa Robocza Art. 29 wskazuje, że nie ma możliwości określenia konkretnej wartości, którą należy uznać za dużą skalę. Zastrzega jednak, że wraz z rozwojem praktyki mogą zostać wypracowane pewne standardy w tym zakresie. 

Przy ustalaniu, czy przetwarzanie odbywa się na dużą skalę, należy wziąć pod uwagę:

• liczbę osób, których dane dotyczą – może to być zarówno konkretna liczba, jak i procent danej populacji,
• zakres przetwarzanych danych osobowych – im więcej różnych danych dotyczących jednej osoby, tym większe prawdopodobieństwo dużej skali,
• czas trwania przetwarzania – długotrwałe przetwarzanie może wskazywać na dużą skalę,
• obszar geograficzny przetwarzania – im większy zasięg (np. regionalny, krajowy), tym większe prawdopodobieństwo dużej skali. 

Przykładami podmiotów przetwarzających na dużą skalę są:

• szpital przetwarzający dane pacjentów,
• firmy przetwarzające informacje o podróżach osób korzystających ze środków komunikacji miejskiej,
• wyspecjalizowane podmioty śledzące w czasie rzeczywistym lokalizację klientów (np. sieci fast food) na potrzeby analiz statystycznych,
• banki lub firmy ubezpieczeniowe przetwarzające dane klientów, 
• operatorzy wyszukiwarek internetowych przetwarzający dane do celów reklamy behawioralnej,
• dostawcy usług telefonicznych lub internetowych przetwarzający dane dotyczące np. treści, ruchu, lokalizacji.

Zgodnie z motywem 91 RODO za przetwarzanie na dużą skalę nie powinno być uznawane:

• przetwarzanie danych pacjentów przez pojedynczego lekarza lub innego pracownika służby zdrowia,
• przetwarzanie danych klientów przez pojedynczego prawnika.  

Przetwarzanie prowadzone lokalnie, obejmujące niewielką ilość danych, również nie będzie stanowiło przetwarzania na dużą skalę. Ocenę, czy przetwarzanie odbywa się na dużą skalę, zawsze należy przeprowadzać kontekstowo, w odniesieniu do konkretnego przypadku. W razie wątpliwości bezpieczniejszym rozwiązaniem jest przyjęcie, że kryterium dużej skali jest spełnione, i wyznaczenie IOD.  

Trzeba przy tym pamiętać, że obowiązek powołania IOD na podstawie art. 37 ust. 1 lit. b RODO powstaje wyłącznie wtedy, gdy wszystkie warunki wskazane w tej przesłance są spełnione łącznie, tj. przetwarzanie stanowi główną działalność oraz obejmuje regularne i systematyczne monitorowanie osób, których dane dotyczą, na dużą skalę. Brak któregokolwiek z tych elementów sprawia, że wyznaczenie IOD nie będzie obowiązkowe.  

• Główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9, lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o czym mowa w art. 10 (art. 37 ust. 1 lit. c RODO) 

Pojęcie głównej działalności – omówione wyżej – odnosi się również do trzeciej przesłanki. Jeśli organizacja przetwarza na dużą skalę szczególne kategorie danych osobowych lub dane dotyczące wyroków skazujących i czynów zabronionych oraz powiązanych środków bezpieczeństwa, a jednocześnie przetwarzanie to stanowi jej główną działalność, ma ona obowiązek wyznaczenia IOD. Dotyczy to w szczególności takich podmiotów, jak: szpitale, przychodnie, ośrodki badań klinicznych, laboratoria genetyczne, firmy biometryczne, zakłady ubezpieczeń, firmy świadczące outsourcing usług związanych z przetwarzaniem danych medycznych (np. dostawcy systemów dla szpitali do zarządzania danymi pacjentów).

Przypomnijmy, że szczególne kategorie danych osobowych, o których mowa w art. 9 RODO, obejmują dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, a także dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej oraz dane dotyczące zdrowia, seksualności lub orientacji seksualnej osoby fizycznej.

Zakres art. 10 RODO obejmuje dane o wyrokach skazujących oraz naruszeniach prawa i powiązanych środkach bezpieczeństwa. Oznacza to, że co do zasady nie odnosi się on do decyzji administracyjnych ani do orzeczeń wydanych w innych sprawach niż karne (np. w sprawach cywilnych). Przez dane dotyczące wyroków skazujących należy bowiem rozumieć dane o wyrokach skazujących w sprawach karnych. Przyjmuje się, że nie będą się tu mieściły dane o wyrokach umarzających postępowanie, warunkowo je umarzających ani uniewinniających (jednak w doktrynie nie ma w tym zakresie jednomyślności). Pojęcie czynów zabronionych dotyczy naruszeń prawa (przestępstw i wykroczeń). Dane tego rodzaju mogą wynikać nie tylko z wyroków sądowych, lecz także z innych rozstrzygnięć, np. z mandatów karnych. Z kolei za powiązane środki bezpieczeństwa można uznać – zgodnie ze stanowiskami prezentowanymi w doktrynie – środki zabezpieczające z art. 93a Kodeksu karnego, środki zapobiegawcze, o których mowa w rozdziale 28 Kodeksu postępowania karnego, oraz (choć tu również nie ma jednomyślności) środki karne w rozumieniu art. 39 Kodeksu karnego. 

Podsumowanie i rekomendacje

Ustalenie, czy organizacja podlega obowiązkowi wyznaczenia IOD, nie zawsze jest łatwym zadaniem. Taka analiza jest jednak konieczna, aby należycie wywiązać się z obowiązków wynikających z RODO. Także wtedy, gdy powołanie IOD nie jest obowiązkowe, warto udokumentować wynik oceny. W razie kontroli pozwoli to wykazać przed organem nadzorczym, że decyzję podjęto z uwzględnieniem wszystkich wymaganych czynników. Dokumentację należy ponadto aktualizować, jeśli zmienią się okoliczności mogące wpłynąć na ocenę obowiązku wyznaczenia IOD. 

Powołanie IOD nie jest zatem wyłącznie spełnieniem wymogu prawnego. Dla wielu organizacji to realna wartość: wsparcie w zarządzaniu ryzykiem, ograniczenie kosztownych błędów oraz wzmocnienie bezpieczeństwa finansowego i wizerunkowego. Dlatego warto rozważyć wyznaczenie IOD – nawet wtedy, gdy przepisy nie nakładają takiego obowiązku.