10 sierpnia 2026 r. CNIL opublikowała praktyczne wytyczne dotyczące problemu, który ma niemal każda organizacja i którego prawie żadna nie opisała na piśmie: konfliktu interesów inspektora ochrony danych.
Punktem wyjścia jest art. 38 ust. 6 RODO. IOD może wykonywać inne zadania niż te z art. 39, pod dwoma łącznymi warunkami: zadania te nie mogą pozbawiać go czasu potrzebnego na pełnienie funkcji IOD ani stawiać go w konflikcie interesów.
Pytania, które pozwalają go rozpoznać
CNIL zaleca przeprowadzenie analizy przed wyznaczeniem IOD albo przed powierzeniem nowych zadań osobie już pełniącej tę funkcję. Oto proponowane pytania:
- Jakie inne funkcje są łączone z funkcją IOD?
- Czy IOD pełni funkcje kierownicze? Dyrektor generalny i kierownik działu kadr są co do zasady niedopuszczalni, ale mogą nimi być również stanowiska niższego szczebla, jeżeli prowadzą do określania celów i sposobów przetwarzania
- Czy IOD lub jego zespół mają uprawnienia decyzyjne co do celów lub sposobów? Jeżeli IOD jest zarazem osobą odpowiedzialną za bezpieczeństwo informacji: czy ustala okresy przechowywania logów, proponuje środki bezpieczeństwa, decyduje o wnioskach o dostęp do danych pracowników?
- Czy w pozostałych funkcjach IOD zajmuje stanowisko wobec projektów dotyczących danych osobowych, na przykład jako członek komisji etyki?
- Czy IOD jest przedstawicielem pracowników lub pełni funkcję związkową? Przy głosowaniu może być zmuszony wypowiedzieć się o środkach kontroli pracowników
- Jeżeli IOD jest zewnętrzny: czy reprezentował już organizację w sporze dotyczącym ochrony danych? Czy należy do podmiotu o sprzecznych interesach, na przykład podmiotu przetwarzającego lub współadministratora?
Jeżeli konflikt istnieje, trzeba go usunąć
Organizacja wyznaczająca ma obowiązek zakończyć konflikt interesów. Są trzy drogi: wymiana IOD, odebranie mu zadań, które konflikt wywołują, albo zastosowanie innych środków zaradczych.
Wyłączenie i zastępca IOD
Najczęstszym środkiem jest wyłączenie: IOD wycofuje się z zakresu objętego konfliktem, a w tym zakresie działa zastępca. CNIL jednoznacznie wskazuje, że nie może to być czynność wyłącznie formalna. Sama kontrasygnata, bez rzeczywistych uprawnień decyzyjnych zastępcy, nie wystarczy.
Zastępca musi korzystać z tych samych gwarancji, co przewidziane w art. 37 i 39: środków, szkolenia, udziału w sprawach należących do jego zakresu. I nie może pozostawać w stosunku podległości wobec wyznaczonego IOD. Przykład CNIL jest jasny: jeżeli IOD zakładu ubezpieczeń jest zarazem szefem działu przeciwdziałania nadużyciom i musi się w tym obszarze wyłączyć, analityk tego działu nie może być jego zastępcą, ponieważ nie może niezależnie nadzorować przetwarzania, o którym zdecydował jego przełożony.
Należy udokumentować ryzyko uzasadniające wyłączenie oraz podział odpowiedzialności między IOD a zastępcą, tak aby żadna operacja przetwarzania nie pozostała bez nadzoru. Zastępcy nie zgłasza się organowi: punktem kontaktowym pozostaje wyznaczony IOD, który jednak musi mieć możliwość poinformowania zastępcy, gdy organ pisze w sprawach z zakresu objętego wyłączeniem.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
