IOD, który decyduje, nie może kontrolować sam siebie

10 sierpnia 2026 r. CNIL opublikowała praktyczne wytyczne dotyczące problemu, który ma niemal każda organizacja i którego prawie żadna nie opisała na piśmie: konfliktu interesów inspektora ochrony danych.

Punktem wyjścia jest art. 38 ust. 6 RODO. IOD może wykonywać inne zadania niż te z art. 39, pod dwoma łącznymi warunkami: zadania te nie mogą pozbawiać go czasu potrzebnego na pełnienie funkcji IOD ani stawiać go w konflikcie interesów.

Pytania, które pozwalają go rozpoznać

CNIL zaleca przeprowadzenie analizy przed wyznaczeniem IOD albo przed powierzeniem nowych zadań osobie już pełniącej tę funkcję. Oto proponowane pytania:

• Jakie inne funkcje są łączone z funkcją IOD?
• Czy IOD pełni funkcje kierownicze? Dyrektor generalny i kierownik działu kadr są co do zasady niedopuszczalni, ale mogą nimi być również stanowiska niższego szczebla, jeżeli prowadzą do określania celów i sposobów przetwarzania
• Czy IOD lub jego zespół mają uprawnienia decyzyjne co do celów lub sposobów? Jeżeli IOD jest zarazem osobą odpowiedzialną za bezpieczeństwo informacji: czy ustala okresy przechowywania logów, proponuje środki bezpieczeństwa, decyduje o wnioskach o dostęp do danych pracowników?
• Czy w pozostałych funkcjach IOD zajmuje stanowisko wobec projektów dotyczących danych osobowych, na przykład jako członek komisji etyki?
• Czy IOD jest przedstawicielem pracowników lub pełni funkcję związkową? Przy głosowaniu może być zmuszony wypowiedzieć się o środkach kontroli pracowników
• Jeżeli IOD jest zewnętrzny: czy reprezentował już organizację w sporze dotyczącym ochrony danych? Czy należy do podmiotu o sprzecznych interesach, na przykład podmiotu przetwarzającego lub współadministratora?

Jeżeli konflikt istnieje, trzeba go usunąć

Organizacja wyznaczająca ma obowiązek zakończyć konflikt interesów. Są trzy drogi: wymiana IOD, odebranie mu zadań, które konflikt wywołują, albo zastosowanie innych środków zaradczych.

Wyłączenie i zastępca IOD

Najczęstszym środkiem jest wyłączenie: IOD wycofuje się z zakresu objętego konfliktem, a w tym zakresie działa zastępca. CNIL jednoznacznie wskazuje, że nie może to być czynność wyłącznie formalna. Sama kontrasygnata, bez rzeczywistych uprawnień decyzyjnych zastępcy, nie wystarczy.

Zastępca musi korzystać z tych samych gwarancji, co przewidziane w art. 37 i 39: środków, szkolenia, udziału w sprawach należących do jego zakresu. I nie może pozostawać w stosunku podległości wobec wyznaczonego IOD. Przykład CNIL jest jasny: jeżeli IOD zakładu ubezpieczeń jest zarazem szefem działu przeciwdziałania nadużyciom i musi się w tym obszarze wyłączyć, analityk tego działu nie może być jego zastępcą, ponieważ nie może niezależnie nadzorować przetwarzania, o którym zdecydował jego przełożony.

Należy udokumentować ryzyko uzasadniające wyłączenie oraz podział odpowiedzialności między IOD a zastępcą, tak aby żadna operacja przetwarzania nie pozostała bez nadzoru. Zastępcy nie zgłasza się organowi: punktem kontaktowym pozostaje wyznaczony IOD, który jednak musi mieć możliwość poinformowania zastępcy, gdy organ pisze w sprawach z zakresu objętego wyłączeniem.