Od 25 maja wszystkie podmioty sektora publicznego będą zobowiązane do posiadania inspektora ochrony danych i udzielania mu wsparcia w zakresie wykonywania zadań – przypomina Generalny Inspektor Danych Osobowych.

Od tego momentu zaczniemy stosować w Polsce unijne rozporządzenie o ochronie danych - RODO. Rozporządzenie nakłada obowiązek wyznaczenia inspektora ochrony danych przez każdy organ lub podmiot publiczny (z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości).

Jak podkreślono w komunikacie Generalnego Inspektora Danych Osobowych, RODO wprowadziło w tym zakresie istotną zmianę. Wyznaczenie inspektora ochrony danych (obecnego ABI) w podmiotach sektora publicznego nie będzie uprawnieniem, jak dotąd, lecz stanie się obowiązkiem wszystkich organów i podmiotów publicznych.

Według GIODO, obowiązkiem kierownictwa podmiotu publicznego jest zapewnienie odpowiedniego wsparcia inspektorowi ochrony danych. „Zgodnie z art. 38 ust. 2 RODO, administrator wspiera inspektora ochrony danych w wypełnianiu przez niego zadań, zapewniając mu niezbędne do tego zasoby oraz dostęp do danych osobowych i operacji przetwarzania, a także zasoby niezbędne do utrzymania jego wiedzy fachowej” – czytamy w komunikacie.

Zauważono przy tym, że do obowiązków administratorów danych należy też zapewnienie, aby inspektor ochrony danych: podlegał bezpośrednio najwyższemu kierownictwu podmiotu publicznego, miał zapewniony udział we wszystkich zagadnieniach związanych z ochroną danych osobowych oraz nie otrzymywał instrukcji dotyczących wykonywania zadań. Inspektor ochrony danych nie może zostać odwołany lub ukarany za wypełnianie zadań, nie może też otrzymywać innych zadań i obowiązków, jeśli mogłyby one spowodować konflikt interesów.

„W celu zapewnienia niezależności inspektorowi, administrator lub podmiot przetwarzający powinni zatem wprowadzić wewnętrzne regulacje gwarantujące inspektorowi ochrony danych niezależność i skuteczność w wykonywaniu przez niego obowiązków i zadań. Odnosi się to zwłaszcza do podmiotów publicznych czy też podmiotów o złożonych strukturach, które będą musiały dostosować swoje regulaminy organizacyjne oraz statuty tak, aby ten cel osiągnąć” – zaznaczył GIODO.

Jak zauważono w komunikacie, w odniesieniu do zakazu nakładania na inspektora dodatkowych zadań, mogących spowodować konflikt interesów, zbliżone rozwiązanie zostało przyjęte w ustawie o ochronie danych osobowych.

„Zgodnie z art. 36a ust. 4 u.o.d.o., administrator danych może powierzyć ABI inne zadania jedynie wówczas, gdy nie naruszy to prawidłowego wykonywania zadań ABI. Wymóg ten zobowiązuje administratora w każdej konkretnej sytuacji do starannego przeanalizowania, czy jakiekolwiek inne zadania funkcje, jakimi zamierzałby obarczyć ABI, nie utrudniłyby mu właściwego wykonywania jego ustawowych obowiązków” – podkreślono.

Według GIODO, w tym zakresie brane muszą być pod uwagę rozmaite czynniki, np. ilość czasu potrzebnego na wykonywanie poszczególnych obowiązków, stopień skomplikowania i ważności zadań, rezerwa czasowa na nieplanowane zadania, ilość i rodzaj danych osobowych oraz procesów i systemów informatycznych służących do ich przetwarzania.

Jak podkreślono w komunikacie, zasadniczą rolą inspektorów ochrony danych będzie doradzanie i weryfikacja prawidłowości wykonywania obowiązków wynikających z przepisów prawa dotyczących przetwarzania danych osobowych.

„Rola ta nie oznacza przeniesienia na inspektora ochrony danych odpowiedzialności za zgodne z prawem przetwarzanie danych osobowych, ponieważ nadal to administrator danych będzie ponosił pełną odpowiedzialność za zgodne z prawem przetwarzanie danych osobowych. Dlatego w interesie kierownictwa każdego podmiotu publicznego jest mieć niezależnego, właściwie usytuowanego w strukturze organizacyjnej, inspektora ochrony danych, który będzie mógł efektywnie realizować swoje obowiązki” - zauważono.

GIODO zwrócił uwagę, że według projektu nowej ustawy o ochronie danych osobowych (wersja z 3 marca 2018 r.) przez organy i podmioty publiczne zobowiązane do wyznaczenia inspektora ochrony danych rozumiane będą organy oraz podmioty publiczne wskazane m.in. w art. 9 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych.

„Jeśli przepis w takim brzmieniu zostanie uchwalony, to obowiązek wyznaczenia inspektora ochrony danych, będą miały, m.in: (…) jednostki samorządu terytorialnego oraz ich związki, samodzielne publiczne zakłady opieki zdrowotnej, (…) inne państwowe lub samorządowe osoby prawne utworzone na podstawie odrębnych ustaw w celu wykonywania zadań publicznych, z wyłączeniem przedsiębiorstw, instytutów badawczych, banków i spółek prawa handlowego” – zaznaczono w komunikacie.

kic/

Więcej na stronie GIODO