Kiedy powoływać Inspektora ochrony danych?

• 16.07.2018

• Autor: Katarzyna Marcisz

• inspektor ochrony danych

Mimo że RODO obowiązuje od 25 maja, to wciąż rodzą się wątpliwości dotyczące konieczności  powołania przez administratorów inspektora ochrony danych. Grupa Robocza art. 29 wydała wytyczne, które rozjaśniają wymogi dot. powołania IOD w świetle RODO.

Zgodnie z RODO, powołanie IOD jest obowiązkowe kiedy:

• przetwarzanie danych osobowych odbywa się kiedy administratorem jest podmiot publiczny (nie ma tutaj znaczenia jaki rodzaj danych osobowych przetwarza), np. urząd lub instytucja państwowa;
• główna działalność administratora polega na regularnym i systematycznym monitorowaniu osób których dane dotyczą, i jest to monitorowanie na dużą skalę;
• główna działalność podmiotu przetwarzającego polega na przetwarzaniu danych na dużą skalę, przetwarzaniu szczególnych kategorii danych, np. dotyczących wyroków skazujących i naruszeń prawa.

Co to jest duża skala i jak ją określić?

W samej treści RODO nie znajdziemy definicji  „dużej skali”, natomiast Grupa Robocza art. 29 w ramach wskazówek proponuje by brać pod uwagę poniższe kryteria, które pomogą  określić kiedy mamy do czynienia z dużą skalą:

• jaka jest liczba (lub procent) osób, których dane dotyczą?
• jaki jest zakres przetwarzania danych?
• przez jaki czas dane są przetwarzane?
• jaki jest zakres terytorialny przetwarzania danych (np. miasto, województwo, UE)

Przykłady dużej skali można zobrazować jako:

• przetwarzanie danych pacjentów szpitala;
• przetwarzanie dotyczące geo-lokalizacji np. przy aplikacjach mierzących dane wykonanego treningu, map internetowych, aplikacjach dobierających dietę;
• przetwarzanie danych przez banki, ubezpieczycieli;
• przetwarzanie danych w celach prowadzenia reklamy behawiorlanej.

Co wskazuje na „regularne i systematyczne monitorowanie”?

To pojęcie także nie jest zdefiniowane w RODO. Przykładem jest śledzenie i profilowanie w sieci, natomiast nie ogranicza się ono tylko do Internetu, może dotyczyć także innych kanałów np. monitorowanie pracy kierowców poprzez zainstalowane czujniki, kamery na dworcach, lotniskach.

Grupa Robocza art. 29 definiuje „regularność” jako przynajmniej jedno z poniższych kryteriów:

• kiedy przetwarzanie jest stałe lub występujące w określonych odstępach czasu przez pewien wskazany, ustalony okres;
• kiedy przetwarzanie jest cykliczne lub powtarza się w określonych odstępach czasu.

Następnie Grupa Robocza art. 29 definiuje „systematyczność” jako jedno z poniższych kryteriów:

• kiedy przetwarzanie występuje zgodnie z określonym systemem;
• kiedy przetwarzanie jest zaaranżowane, zorganizowane lub metodyczne;
• kiedy przetwarzanie odbywa się na podstawie generalnego planu zbierania danych;
• kiedy przetwarzanie jest przeprowadzone w ramach określonej strategii.

Przykładem  regularnego i systematycznego przetwarzania może być:

• świadczenie usług telekomunikacyjnych;
• profilowanie i dokonywanie oceny oraz przewidywania na potrzeby oceny ryzyka (np. przy ocenie zdolności kredytowej, ubezpieczeniowej, działaniach zapobiegających przestępstwom);
• śledzenie lokalizacji przez dedykowane do tego aplikacje;
• prowadzenie monitoringu wizyjnego;
• Internet Rzeczy (w ramach np. inteligentnych domów, inteligentnych liczników).

Jak oznaczyć „główną działalność administratora”?

To inaczej główne operacje, które są wykonywane  aby administrator danych osiągał swoje cele biznesowe. Czyli np. dla sklepu internetowego główną działalnością jest sprzedaż produktów, dla firmy ochroniarskiej – pełnienie ochrony, dla szpitala – leczenie, a dla szkoły – nauczanie. Ale  trzeba mieć tu także na uwadze czynności, które są wykonywane aby owe główne cele biznesowe zrealizować. Dlatego firma ochroniarska w ramach świadczonych usług monitoruje obiekty; sklep internetowy może wysyłać newslettery, może przetwarzać szczególne kategorie danych,  np. o orientacji seksualnej  (w zależności od sprzedawanych produktów); szpital prowadzi dokumentację medyczną, zawierającą  dane o stanie zdrowia elektronicznie, w systemach IT jak i w formie papierowej. Przedsiębiorcy przetwarzają dane także w ramach działań wspierających,  które mają na celu zapewnienie lepszego funkcjonowania organizacji.

Dodatkowo Grupa Robocza art. 29 w ramach dobrowolnego stosowania tzw. dobrych praktyk zaleca powołanie inspektora  nawet wówczas, kiedy nie jest to obowiązkowe. Mogą na to wskazywać  przepisy unijne, państw członkowskich lub administrator danych sam może zdecydować o powołaniu  w swojej organizacji inspektora . Należy zauważyć, że wówczas na takim inspektorze ciążą takie same obowiązki jak na inspektorach powołanych u administratorów, którzy do powołania IOD byli zobowiązani.

Autor

Katarzyna Marcisz

Doświadczenie w zakresie ochrony danych osobowych zdobywała w Ministerstwie Cyfryzacji, jako wsparcie Departamentu Zarządzania Danymi przy konsultacjach społecznych ustawy o ochronie danych osobowych. Posiada certyfikat audytora wiodącego ISO 27001 (Bezpieczeństwo Informacji) i wieloletnie doświadczenie w obsłudze Klienta biznesowego.