Czy istnieje jednolity katalog obowiązków IOD dla poszczególnych branż biznesowych?

PYTANIE SZCZEGÓŁOWE

Proszę o sprecyzowanie dokładnego zakresu spraw lub wykazu obowiązków IOD, jakie powinien wykonywać on w jednostce samorządu terytorialnego.

ODPOWIEDŹ

Na wstępie chciałabym wskazać, że przepisy RODO nie rozróżniają zakresu obowiązków inspektora ochrony danych w jednostkach samorządu terytorialnego czy w innych podmiotach, np. spółkach prawa handlowego. Przepis art. 39 ust. 1 RODO wymienia w lit. a–e podstawowe obowiązki IOD. W obowiązującej doktrynie zostały one rozbite na następujące zadania:

• informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy RODO oraz innych przepisów Unii lub państw członkowskich o ochronie danych;
• doradzanie administratorowi, podmiotowi przetwarzającemu oraz ich pracownikom w sprawie obowiązków z zakresu ochrony danych osobowych;
• monitorowanie przestrzegania RODO, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych;
• podział obowiązków z zakresu monitorowania ochrony danych osobowych;
• działania zwiększające świadomość administratora, procesora i ich personelu;
• szkolenia personelu uczestniczącego w operacjach przetwarzania;
• audyty powiązane z monitorowaniem przestrzegania przepisów, polityk, wykonywaniem obowiązków z zakresu ochrony danych osobowych, szkoleniami i działaniami zwiększającymi świadomość;
• udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania zgodnie z art. 35RODO;
• współpraca z organem nadzorczym;
• pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o których mowa w art. 36;
• w stosownych przypadkach prowadzenie konsultacji z organem nadzorczym we wszelkich innych sprawach niż wynikające z art. 36 RODO;
• uwzględnianie przy wykonywaniu zadań ryzyka związanego z operacjami przetwarzania, w okolicznościach determinowanych określonym charakterem, zakresem, kontekstem i celami przetwarzania.

Należy dodać, że art. 38 ust. 6 RODO wskazuje wprost, że IOD może wykonywać inne zadania i obowiązki. Ponieważ przepis ten nie precyzuje, o jakie obowiązki i zadania chodzi, przyjmuje się, że mogą to być także inne zadania z obszaru ochrony danych osobowych lub prawa informacyjnego, z zastrzeżeniem że takie zadania i obowiązki nie mogą powodować konfliktu interesów, co powinien zapewnić administrator lub podmiot przetwarzający.

Podsumowując, nie ma jednolitego katalogu obowiązków IOD. Może on być dowolnie modyfikowany przez strony w ramach łączącej je umowy.