Czy IOD może wykonywać inne obowiązki?

Funkcja Inspektora Ochrony Danych (IOD) – choć nieobowiązkowa – w wielu firmach stała się istotnym elementem przestrzegania RODO, szczególnie w przedsiębiorstwach, które przetwarzają duże ilości danych osobowych. Pomimo jednak, że tak wiele firm ma własnych inspektorów ochrony danych, nadal wątpliwości budzi pytanie: czy IOD może łączyć swoje obowiązki z innymi zadaniami w firmie?

Przepisy – co mówi prawo?

Zgodnie z art. 38 ust. 6 RODO, Inspektor Ochrony Danych nie może wykonywać żadnych zadań i obowiązków, które prowadziłyby do konfliktu interesów. To jasne, że IOD powinien działać w sposób niezależny, jednak gdzie kończy się ta niezależność? Warto pamiętać, że przepisy nie zabraniają formalnie powierzenia IOD innych zadań – jednak te nie mogą kolidować z jego obowiązkami nadzorczymi.

Przykładowo, IOD może wspierać dział kadr czy marketingu, doradzając, jak prawidłowo przetwarzać dane osobowe zgodnie z RODO. Może również wskazać, jakich środków technicznych lub organizacyjnych użyć, aby odpowiednio zabezpieczyć dane. Jego porady przyczynią się do poprawnego wdrożenia zasad RODO – będzie to korzystne dla całej organizacji.

Ważne natomiast, aby IOD nie angażował się bezpośrednio w podejmowanie decyzji dotyczących operacji przetwarzania danych – to oznaczałoby pełnienie roli operacyjnej i mogłoby prowadzić do konfliktu interesów.

Dobrym przykładem zadań, które mogłyby kolidować z niezależnością IOD, byłoby powierzenie mu pełnej odpowiedzialności za zgodność z RODO lub za nadzór nad pracą poszczególnych działów. W takim przypadku IOD staje się jednocześnie nadzorcą i wykonawcą, co stoi w sprzeczności z jego rolą.

Konflikt interesów – na co zwracać uwagę?

Podstawowe ryzyko związane z powierzaniem IOD innych obowiązków polega na możliwości wystąpienia konfliktu interesów. Przykładowo, sytuacja, w której IOD nadzoruje zgodność z przepisami, a jednocześnie odpowiada za dział IT, może wpłynąć na jego bezstronność. W tym momencie nie może on efektywnie pełnić swoich obowiązków, ponieważ de facto kontroluje samego siebie.

W 2020 roku Europejska Rada Ochrony Danych (EDPB) przypomniała, że konflikt interesów może mieć miejsce, jeśli IOD łączy swoje obowiązki z zadaniami, które wymagają podejmowania decyzji dotyczących celów i środków przetwarzania danych osobowych.

Jak zminimalizować ryzyko?

Wiele firm wybiera outsourcing IOD. W takim przypadku inspektor jest osobą zewnętrzną, co pozwala na pełne oddzielenie obowiązków oraz minimalizację ryzyka konfliktu interesów. Firmy zajmujące się outsourcingiem (np. ODO 24) dostarczają kompleksową obsługę, dbając o pełną zgodność z przepisami bez obciążania zasobów firmy.

„Niezależność i brak konfliktu interesów to ważne elementy pracy IOD – podkreślają to unijne wytyczne” – Tomasz Ochocki, Wiceprezes Zarządu, ODO 24.

Jakie są konsekwencje?

Brak odpowiedniego rozdziału zadań inspektora ochrony danych (IOD) może mieć poważne skutki finansowe. Przykładem może być kara w wysokości 525 000 euro, jaką nałożył berliński urząd ds. ochrony danych (BlnBDI) na jedną ze spółek należących do lokalnej grupy handlowej za konflikt interesów związany z rolą IOD.

Zapamiętaj!

Wdrożenie odpowiednich procedur i uniknięcie łączenia funkcji pomaga zminimalizować ryzyko takich sytuacji.

W jakich sytuacjach dodatkowe obowiązki są dopuszczalne?

IOD może podejmować inne zadania, pod warunkiem że:

• nie są one sprzeczne z jego niezależnością;
• nie wymagają podejmowania decyzji o sposobie przetwarzania danych;
• nie prowadzą do kontroli nad działaniami, które sam wykonuje.

Taka struktura pozwala na wyznaczenie odpowiednich granic między zadaniami, które IOD może, a których nie powinien wykonywać.

Wdrożenie i obsługa RODO – kto może pomóc?

W firmach o bardziej rozbudowanych strukturach, złożoność przepisów sprawia, że nie tylko wyznaczenie IOD, ale także wdrożenie RODO oraz bieżąca obsługa RODO są coraz częściej realizowane z pomocą zewnętrznych specjalistów. Dzięki temu można zapewnić zgodność z prawem i efektywność działań.

Podsumowanie

Podstawowa zasada RODO mówi jasno: Inspektor Ochrony Danych powinien działać niezależnie i bez konfliktu interesów. Możliwość łączenia jego funkcji z innymi zadaniami wymaga przemyślanej struktury i starannie zaplanowanego podziału ról. Brak separacji może prowadzić do ryzyka finansowego, ale i reputacyjnego – coraz częściej postrzeganego jako jedno z największych zagrożeń dla współczesnych organizacji.