Każda jednostka sektora finansów publicznych - gmina, publiczna szkoła i przedszkole, ośrodek pomocy społecznej, samorządowa biblioteka i dom kultury, samodzielny publiczny zakład opieki zdrowotnej - musi wyznaczyć inspektora ochrony danych (IOD). Wynika to z art. 37 ust. 1 lit. a RODO w związku z art. 9 ustawy o ochronie danych osobowych. O wyznaczeniu zawiadamia się Prezesa UODO w ciągu 14 dni (art. 10 ust. 1 tej ustawy), a dane kontaktowe inspektora publikuje na swojej stronie internetowej (art. 11). Jeden inspektor może obsługiwać kilka jednostek (art. 37 ust. 3 RODO), ale każda z nich wyznacza go i zgłasza osobno.
Kto musi wyznaczyć inspektora
Art. 37 ust. 1 lit. a RODO nakłada obowiązek na organy i podmioty publiczne, z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości. Kogo to obejmuje w Polsce, mówi art. 9 ustawy o ochronie danych osobowych (Dz.U. 2019 poz. 1781): jednostki sektora finansów publicznych, instytuty badawcze i Narodowy Bank Polski.
Sektor finansów publicznych definiuje art. 9 ustawy o finansach publicznych. Dla samorządu najważniejsze są:
- jednostki samorządu terytorialnego i ich związki (pkt 2) - gmina, powiat, województwo,
- jednostki budżetowe (pkt 3) - zwykle szkoła, przedszkole, ośrodek pomocy społecznej,
- samorządowe zakłady budżetowe (pkt 4),
- samodzielne publiczne zakłady opieki zdrowotnej (pkt 10),
- państwowe i samorządowe instytucje kultury (pkt 13) - biblioteka, dom kultury, muzeum.
Szkoła niepubliczna, prywatna przychodnia czy spółka komunalna nie są jednostkami sektora finansów publicznych. Muszą jednak sprawdzić dwa pozostałe warunki: regularne i systematyczne monitorowanie osób na dużą skalę (art. 37 ust. 1 lit. b) albo przetwarzanie na dużą skalę danych szczególnych kategorii, na przykład o zdrowiu (lit. c).
Za naruszenia RODO Prezes UODO może nałożyć na jednostkę sektora finansów publicznych karę do 100 000 zł, a na instytucję kultury do 10 000 zł (art. 102 ust. 1 i 2 ustawy o ochronie danych osobowych).
Jeden inspektor dla kilku jednostek
Gmina i jej jednostki często korzystają z jednego inspektora. Pozwala na to art. 37 ust. 3 RODO, „stosownie do ich struktury organizacyjnej i wielkości”. Warunek nie jest formalnością: inspektor musi mieć czas i zasoby, by w każdej jednostce realnie wykonywać zadania (art. 38 ust. 2). Dwadzieścia jednostek na jednym etacie to ryzyko, które wyjdzie przy pierwszym naruszeniu albo kontroli.
Wspólny inspektor nie oznacza wspólnego zgłoszenia. Każda jednostka jest odrębnym administratorem, sama wyznacza inspektora i sama zawiadamia UODO (art. 10 ust. 5 ustawy o ochronie danych osobowych). Na czas nieobecności inspektora można wyznaczyć osobę go zastępującą, którą także się zgłasza i publikuje (art. 11a).
Pracownik czy umowa zewnętrzna
Inspektorem może być członek personelu albo osoba lub firma wykonująca zadania na podstawie umowy o świadczenie usług (art. 37 ust. 6 RODO). Wybiera się go na podstawie kwalifikacji zawodowych, w szczególności wiedzy fachowej o prawie i praktykach w dziedzinie ochrony danych (art. 37 ust. 5). Przepisy nie wymagają żadnego certyfikatu.
| Pracownik jednostki | Inspektor zewnętrzny | |
|---|---|---|
| Podstawa | umowa o pracę lub powołanie, art. 37 ust. 6 | umowa o świadczenie usług, art. 37 ust. 6 |
| Znajomość jednostki | dobra, na miejscu | zależy od zaangażowania i liczby klientów |
| Ryzyko konfliktu interesów | wyższe, jeśli łączy funkcje | niższe, ale trzeba to sprawdzić |
| Ochrona przed odwołaniem | art. 38 ust. 3 plus prawo pracy | art. 38 ust. 3 i warunki umowy |
| Zastępstwo | trzeba zorganizować (art. 11a) | często zapewnia firma |
Zgłoszenie do UODO i publikacja danych
Zawiadomienie zawiera imię, nazwisko oraz adres e-mail lub numer telefonu inspektora (art. 10 ust. 1), a także pełną nazwę, adres siedziby i REGON jednostki (art. 10 ust. 3). Sporządza się je elektronicznie i podpisuje kwalifikowanym podpisem elektronicznym albo profilem zaufanym (art. 10 ust. 6). Każdą zmianę tych danych i odwołanie inspektora zgłasza się w ciągu 14 dni (art. 10 ust. 4).
Dane inspektora jednostka udostępnia niezwłocznie na swojej stronie internetowej, a gdy jej nie prowadzi - w sposób ogólnie dostępny w siedzibie (art. 11 ustawy, art. 37 ust. 7 RODO). Te same dane muszą się znaleźć w każdej klauzuli informacyjnej (art. 13 ust. 1 lit. b, art. 14 ust. 1 lit. b) i w rejestrze czynności przetwarzania (art. 30 ust. 1 lit. a).
Zadania inspektora
Art. 39 ust. 1 RODO wymienia co najmniej pięć zadań:
- informowanie administratora i pracowników o obowiązkach i doradzanie w tej sprawie,
- monitorowanie przestrzegania RODO i polityk, w tym podział obowiązków, szkolenia i audyty,
- doradzanie w sprawie oceny skutków dla ochrony danych i monitorowanie jej wykonania (art. 35 ust. 2),
- współpraca z Prezesem UODO,
- pełnienie funkcji punktu kontaktowego dla organu.
Inspektor wykonuje je z uwzględnieniem ryzyka (art. 39 ust. 2). Ważne jest to, czego tu nie ma: inspektor nie odpowiada za zgodność przetwarzania. Odpowiada administrator, czyli jednostka i jej kierownik (art. 24). Inspektor doradza i sprawdza, a decyzje podejmuje dyrektor, wójt czy kierownik.
Pozycja i niezależność
Art. 38 RODO określa warunki pracy inspektora:
- jest włączany we wszystkie sprawy ochrony danych, właściwie i niezwłocznie (ust. 1),
- dostaje zasoby - czas, dostęp do danych i operacji, szkolenia (ust. 2),
- nie otrzymuje instrukcji co do wykonywania zadań, nie jest odwoływany ani karany za ich wykonywanie i podlega bezpośrednio najwyższemu kierownictwu (ust. 3),
- osoby, których dane dotyczą, mogą się z nim kontaktować (ust. 4),
- jest zobowiązany do tajemnicy (ust. 5),
- może mieć inne zadania, jeśli nie powodują konfliktu interesów (ust. 6).
Konflikt interesów TSUE opisał w wyroku z 9 lutego 2023 r. w sprawie C-453/21 (X-FAB Dresden): powstaje, gdy inspektor dostaje zadania prowadzące do ustalania celów i sposobów przetwarzania danych. W jednostce publicznej to przede wszystkim kierownik jednostki, jego zastępca, sekretarz gminy, kierownik kadr albo osoba decydująca o systemach informatycznych. Inspektor nie może oceniać decyzji, które sam podjął.
IOD a osoba do kontaktów w KSC
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa każe podmiotowi ważnemu będącemu podmiotem publicznym wyznaczyć co najmniej jedną osobę odpowiedzialną za utrzymywanie kontaktów (art. 9 ust. 3), a podmiotom kluczowym i ważnym co najmniej dwie (art. 9 ust. 1 pkt 1). Jednostka powinna najpierw ustalić, czy ustawa ją obejmuje - zob. podmiot ważny publiczny w KSC.
Ani ustawa o KSC, ani RODO nie zabraniają powierzenia tej roli inspektorowi. Nie znaleźliśmy też oficjalnego stanowiska UODO ani ministra cyfryzacji w tej sprawie, więc warto ją sprawdzić przed decyzją. Ocena zależy od art. 38 ust. 6 RODO:
- zwykle bez konfliktu - przekazywanie informacji między jednostką, CSIRT i innymi podmiotami, jeśli inspektor nie decyduje o zabezpieczeniach,
- ryzyko konfliktu - zarządzanie SZBI, wybór środków bezpieczeństwa albo samodzielne wysyłanie zgłoszeń, które inspektor potem ocenia jako IOD.
Liczy się też praktyka: osoba do kontaktów musi być osiągalna, a zewnętrzny inspektor obsługujący wiele jednostek nie zawsze jest. Współpraca obu ról i tak jest konieczna, bo incydent w KSC często jest też naruszeniem ochrony danych, które administrator zgłasza w 72 godziny (art. 33 RODO, zob. naruszenie ochrony danych krok po kroku).
Najczęstsze błędy
- Brak zgłoszenia zmiany. Nowy inspektor, nowy e-mail albo odwołanie - każde wymaga zawiadomienia UODO w 14 dni (art. 10 ust. 4).
- Dane inspektora na stronie gminy, a nie jednostki. Szkoła czy biblioteka z własną stroną publikuje je u siebie (art. 11).
- Inspektor z funkcją kierowniczą albo decydujący o systemach - konflikt z art. 38 ust. 6.
- Inspektor jako autor wszystkich decyzji. Gdy inspektor ustala okresy przechowywania i wybiera zabezpieczenia, nikt nie sprawdza go z zewnątrz.
- Inspektor dowiaduje się po fakcie o nowym systemie, monitoringu albo dostawcy - to naruszenie art. 38 ust. 1.
- Za dużo jednostek na jednego inspektora - bez czasu na każdą art. 37 ust. 3 przestaje być spełniony.
- Stare dane w klauzulach i rejestrze czynności po zmianie inspektora.
Jak pomaga Cyberenu
W Cyberenu profil jednostki zawiera status inspektora (wyznaczony, niewyznaczony albo niewymagany), jego dane kontaktowe i datę wyznaczenia, a każdy dokument dokumentacji RODO bierze je z tego jednego miejsca. Po zmianie inspektora wystarczy poprawić profil i wydać dokumenty ponownie.
Inspektor albo konsultant weryfikuje kolejne kroki ścieżki wdrożenia i prowadzi przy nich wątek z jednostką, a w widoku konsultanta widzi postęp wszystkich jednostek, które obsługuje - co ułatwia pracę jednego IOD dla kilku jednostek gminy. Zapytaj o szczegóły przez stronę kontaktową.
