Zgłoszenie inspektora ochrony danych do UODO odbywa się elektronicznie i co do zasady powinno nastąpić w terminie 14 dni od jego wyznaczenia albo odwołania. Jeżeli organizacja miała obowiązek wyznaczyć IOD i nie dopełniła obowiązku zawiadomienia, naraża się nie tylko na braki organizacyjne, ale również na odpowiedzialność administracyjną na gruncie RODO i krajowej ustawy.
W praktyce najwięcej problemów powodują: ustalenie, czy w ogóle trzeba wyznaczyć IOD, poprawne wskazanie danych IOD, właściwe umocowanie osoby podpisującej formularz oraz prawidłowe dołączenie dokumentu, gdy działa pełnomocnik. Poniżej krok po kroku wyjaśniam, kiedy trzeba wyznaczyć inspektora ochrony danych, jak wygląda elektroniczny tryb zawiadomienia oraz jakie błędy najczęściej wychwytuje UODO.
Kiedy wyznaczenie inspektora ochrony danych jest obowiązkowe?
Obowiązek, aby wyznaczyć inspektor ochrony danych, wynika z art. 37 ust. 1 RODO. Administrator lub podmiot przetwarzający musi go powołać, gdy:
- jest organem lub podmiotem publicznym, z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości,
- jego główna działalność polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób na dużą skalę,
- jego główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych albo danych dotyczących wyroków skazujących i naruszeń prawa.
To oznacza, że nie każdy administrator musi wyznaczyć IOD. Jeżeli jednak działalność obejmuje intensywne przetwarzania danych, monitoring, profilowanie albo szerokie operacje na danych medycznych, kadrowych czy biometrycznych, należy dokładnie ocenić przesłanki z roda. W wielu przypadkach obowiązek powstaje także po stronie podmiotu, który zawodowo pomaga innym przetwarzać dane osobowe.
Warto odróżnić dobrowolne wyznaczanie IOD od sytuacji obowiązkowej. Można wyznaczyć IOD również wtedy, gdy przepisy nie nakazują tego wprost. Skoro jednak dochodzi do formalnego wyznaczenia inspektora, uruchamia to obowiązek zawiadomienia organu nadzorczego.
Kiedy trzeba powołać inspektora ochrony danych osobowych?
Trzeba go powołać wtedy, gdy zachodzą przesłanki z art. 37 ust. 1 RODO. Chodzi przede wszystkim o organy publiczne, regularne i systematyczne monitorowanie osób na dużą skalę oraz przetwarzanie na dużą skalę danych szczególnych kategorii. W pozostałych przypadkach wyznaczenie jest co do zasady dobrowolne, ale po powołaniu nadal trzeba dopełnić formalności wobec UODO.
Dlaczego zgłoszenie inspektora ochrony danych do UODO jest obowiązkowe i jakie grożą sankcje?
Obowiązek przekazania uodo o wyznaczeniu albo odwołaniu IOD wynika z art. 37 ust. 7 RODO oraz z przepisów ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, które określają sposób dokonania zawiadomienia prezesa Urzędu. Zgłoszenie inspektora ochrony danych dostarcza Prezesowi UODO informacje o osobie pełniącej tę funkcję w danej organizacji.
Jeżeli administrator miał obowiązek wyznaczyć IOD, ale tego nie zrobił albo nie dopełnił obowiązku zawiadomienia, może dojść do naruszenia art. 37 RODO. Zgodnie z art. 83 ust. 4 lit. a roda, naruszenie obowiązków administratora i podmiotu przetwarzającego wynikających m.in. z art. 37 jest zagrożone administracyjną karą pieniężną do 10 000 000 EUR, a w przypadku przedsiębiorstwa – do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
Z punktu widzenia praktyki równie istotne jest to, że brak aktualnego zawiadomienia o wyznaczeniu lub odwołania skutkuje figurowaniem nieaktualnych danych w publicznym rejestrze i może uniemożliwiać organowi nadzorczemu kontakt z administratorem. Dla organizacji oznacza to realny problem dowodowy i organizacyjny w obszarze, jakim jest ochrona danych osobowych.
Co trzeba wiedzieć przed zgłoszeniem inspektora ochrony danych?
Przed wysłaniem zawiadomienia trzeba ustalić cztery kwestie: kto został wyznaczony, jakie są jego dane kontaktowe, kto podpisze formularz i na jakiej podstawie działa osoba podpisująca. To właśnie na tym etapie pojawia się większość błędów formalnych.
Dla prawidłowego zgłoszenia potrzebne są co najmniej: dane administratora albo podmiotu przetwarzającego, dane IOD, w tym imię i nazwisko oraz dane kontaktowe, a także wskazanie osoby składającej zawiadomienia. W celu prawidłowego zawiadomienia organu niezbędne jest precyzyjne zgłoszenie danych IOD, bo to one trafiają do rejestru prowadzonego przez UODO.
Kto może podpisać zgłoszenie? Co do zasady osoba uprawniona do reprezentacji administratora lub podmiotu przetwarzającego, zgodnie z zasadami reprezentacji, albo ustanowiony pełnomocnik. Jeżeli działa pełnomocnik, potrzebne jest pełnomocnictwo. W praktyce pełnomocnictwo powinno potwierdzać umocowanie do dokonania konkretnej czynności, czyli do złożenia zawiadomienia do UODO. Jeżeli pełnomocnictwo udzielone jest przez osobę niewłaściwie reprezentującą organizację, zgłoszenie może zostać uznane za wadliwe.
Trzeba też pamiętać, że pełnomocnictwo składane w sprawie administracyjnej co do zasady podlega opłacie skarbowej, chyba że zachodzi ustawowe zwolnienie. W razie działania przez pełnomocnik należy przygotować pełnomocnictwo, a jeżeli trzeba, również potwierdzenie opłaty. Taki dokument można dołączyć jako załącznik do formularz. Gdy strona chce później wnieść wyjaśnienia lub uzupełnienie, to samo umocowanie zwykle pozostaje aktualne, o ile jego zakres obejmuje dalsze czynności.
Jak wygląda proces elektronicznego zawiadomienia o wyznaczeniu IOD?
Wypełnianie e-formularza zawiadomienia UODO krok-po-kroku sprowadza się do wejścia do właściwej usługi administracji publicznej, wskazania rodzaju sprawy, wpisania danych organizacji i IOD oraz podpisania zgłoszenia. To tryb wyłącznie elektroniczny, a iod do uodo zgłasza się przez odpowiedni formularz.
Najczęściej procedura wygląda tak:
- wybrać właściwy formularz dotyczący wyznaczenia albo odwołania,
- uzupełnić dane administratora lub podmiotu,
- wskazać dane IOD i dane kontaktowe,
- określić osobę podpisującą zawiadomienia,
- dołączyć pełnomocnictwo, jeśli działa pełnomocnik,
- podpisać dokument i wysłać go do UODO.
Autoryzacja odbywa się zwykle przy użyciu środków identyfikacji elektronicznej, np. przez system epuap, z użyciem profilu zaufanego ePUAP, albo przez kwalifikowany podpis elektroniczny. Dopuszczalne jest również podpisanie kwalifikowanym podpisem elektronicznym. W praktyce oznacza to, że elektroniczny wniosek musi zostać podpisany przez osobę właściwie umocowaną; samo wpisanie danych bez podpisu nie kończy procedury.
Case study z praktyki kancelarii: najczęściej problem nie dotyczy samego formularza, ale etapu podpisywania. Administrator wpisuje dane poprawnie, lecz system odrzuca wysyłkę, bo podpis składa osoba, której reprezentacja nie wynika z rejestru, albo nie dołączono pliku obejmującego pełnomocnictwo. W artykule warto dodać zrzuty ekranu z kolejnych kroków i zaznaczyć, że trudność zwykle pojawia się właśnie przy załączaniu umocowania i wyborze metody podpisu kwalifikowany.
| Element zgłoszenia | Co sprawdzić |
|---|---|
| Rodzaj sprawy | Czy chodzi o wyznaczenie, zmianę lub odwołanie IOD |
| Dane organizacji | Czy zgadzają się z rejestrem i zasadami reprezentacji |
| Dane IOD | Czy podano aktualne dane kontaktowe i właściwą funkcję |
| Umocowanie | Czy załączono pełnomocnictwo i czy obejmuje złożenie zawiadomienia |
| Podpis | Czy dokument podpisuje właściwa osoba w trybie elektronicznym |
Co się stanie po zgłoszeniu inspektora ochrony danych?
Po skutecznym wysłaniu zawiadomienia o wyznaczeniu inspektora ochrony dane trafiają do Prezesa UODO, a następnie do rejestru. To ważne, bo Urząd Ochrony Danych Osobowych oraz osoby, których dotyczą dane osobowe, uzyskują kanał kontaktu z osobą odpowiedzialną za nadzór nad zgodnością z roda.
Dla administratora oznacza to też uporządkowanie wewnętrznego modelu zgodności. Inspektor ochrony danych nie przejmuje odpowiedzialności za zgodność działań z prawem, bo nadal odpowiada za nią administrator. IOD pełni jednak funkcję doradczą i nadzorczą, szczególnie w zakresie, jakim jest ochrona danych osobowych, analiza ryzyk i monitorowanie zgodności z rozporządzenie o ochronie danych.
Jakie są najczęstsze błędy przy zgłaszaniu inspektora ochrony danych?
Najczęstsze błędy są powtarzalne i zwykle dotyczą formalności, nie meritum. UODO najczęściej widzi:
- złożenie zgłoszenia po terminie 14 dni,
- podanie niepełnych danych kontaktowych IOD,
- podpisanie zgłoszenia przez osobę bez prawa reprezentacji,
- brak załącznika obejmującego pełnomocnictwo,
- wadliwe pełnomocnictwo lub pełnomocnictwo o zbyt wąskim zakresie,
- mylenie zgłoszenia IOD ze zgłoszeniem naruszenia ochrony danych,
- brak aktualizacji po zmianie danych lub przy wyznaczeniu nowego inspektora.
Warto pamiętać, że inspektor ochrony danych to nie to samo co osoba technicznie odpowiedzialna za bezpieczeństwo IT. Jeżeli organizacja chce wyznaczyć IOD, musi wyznaczyć konkretną osobę lub podmiot zgodnie z art. 37-39 roda, a potem złożyć właściwe zawiadomienia. Błędem jest też założenie, że samo wewnętrzne powołaniu wystarczy bez kontaktu z organem.
Co zrobić w przypadku odwołania inspektora ochrony danych?
Jeżeli dochodzi do odwołaniu inspektora, administrator powinien niezwłocznie złożyć odpowiedni formularz do UODO. Jeżeli równocześnie dochodzi do zmiany personalnej, składa się zawiadomienie o wyznaczeniu nowej osoby oraz informację o odwołaniu dotychczasowej. To istotne dla ciągłości kontaktu z organem oraz dla osób, których dane osobowe są przetwarzane.
Brak aktualizacji powoduje, że w rejestrze pozostają nieaktualne dane, co utrudnia kontakt z organizacją i osłabia realną ochrona danych osobowych. Dotyczy to zarówno sytuacji, gdy administrator miał obowiązek wyznaczyć IOD, jak i wtedy, gdy zrobił to dobrowolnie.
Czy powołanie zastępcy IOD oraz publikacja danych na stronie WWW podlegają zgłoszeniu?
Przepisy roda nie przewidują odrębnej instytucji zastępcy IOD. Można organizacyjnie zapewnić zastępstwo lub wsparcie dla IOD, ale do UODO zgłasza się wyłącznie osobę wyznaczoną jako IOD. Samo wyznaczenie zastępcy nie stanowi więc samodzielnej podstawy do dokonania zgłoszenia, chyba że faktycznie dochodzi do wyznaczenia inspektora jako nowej osoby pełniącej tę funkcję.
Osobną kwestią jest publikacja danych kontaktowych. Zgodnie z art. 37 ust. 7 roda administrator lub podmiot przetwarzający publikuje dane kontaktowe IOD i przekazuje je organowi nadzorczemu. Nie chodzi jednak o ujawnianie nadmiarowych informacji. W praktyce należy opublikować takie dane, które umożliwią kontakt w sprawach związanych z ochrona danych osobowych i ochronie danych przetwarzanych w związku z działalnością organizacji.
Jak zgłosić incydent naruszenia ochrony danych osobowych?
Incydent zgłasza się odrębnie od zgłoszenia IOD. Jeżeli doszło do naruszenia, administrator ocenia ryzyko dla praw i wolności osób fizycznych i w razie potrzeby składa do UODO odrębne zgłoszenie naruszenia na podstawie art. 33 roda. Nie należy mieszać tego trybu z procedurą wyznaczenia IOD.
Jak zgłosić naruszenie ochrony danych osobowych?
Naruszenie zgłasza administrator, a nie IOD we własnym imieniu. Zgłoszenie składa się do organu nadzorczego w trybie przewidzianym dla naruszeń, podając okoliczności zdarzenia, możliwe skutki i środki zaradcze. To odrębny elektroniczny proces niż zgłoszenie IOD.
Kiedy należy zgłosić naruszenie ochrony danych osobowych?
Co do zasady bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Termin ten wynika z art. 33 ust. 1 roda. Jeżeli zgłoszenie następuje po tym czasie, administrator powinien podać przyczyny opóźnienia.
Bibliografia
1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, czyli Ogólne rozporządzenie o ochronie danych.
2. Ustawa o ochronie danych osobowych, w tym przepisy dotyczące zawiadamiania Prezesa Urzędu Ochrony Danych Osobowych.
3. Informacje publikowane przez Urząd Ochrony Danych Osobowych UODO dotyczące zgłaszania IOD w formie elektronicznej.
Na marginesie warto dodać, że określenie roda bywa używane potocznie, ale prawidłową nazwą aktu jest RODO. Sam iod na podstawie ustawy lub na gruncie unijnego Rozporządzenie ma pełnić funkcję wspierającą zgodność, natomiast za legalność działań nadal odpowiada administratora danych. Artykuł opisuje wyłącznie pewne reguły wynikające z podstawie ustawy o ochronie danych, podstawie ustawy krajowej i z RODO.
Jeżeli mają Państwo wątpliwości, czy trzeba wyznaczyć IOD, jak przygotować zawiadomienie, jak ocenić wyznaczanie IOD w konkretnej strukturze albo jak poprawnie zgłosić zmianę do Prezes UODO, warto skonsultować stan faktyczny indywidualnie. Treść ma charakter informacyjny i nie stanowi porady prawnej. W sprawach dotyczących RODO, prawa IT i obsługi przedsiębiorców zapraszamy do kontaktu z kancelarią.
