W skrócie
Inspektor jest obowiązkowy w trzech sytuacjach z art. 37 ust. 1 RODO oraz dodatkowo w szesnastu przypadkach z art. 34 ust. 1 LOPDGDD. Dobrowolne wyznaczenie z ust. 2 i tak poddaje podmiot temu samemu reżimowi RODO. W obu przypadkach — obowiązkowym i dobrowolnym — wyznaczenia i odwołania zgłasza się do AEPD w terminie dziesięciu dni (ust. 3), a wykaz inspektorów jest jawny i dostępny elektronicznie (ust. 4).
Dwie listy, które się sumują, a nie takie, między którymi się wybiera
Art. 37 ust. 1 RODO wymaga inspektora w trzech sytuacjach: przetwarzania przez organ lub podmiot publiczny; głównej działalności polegającej na operacjach wymagających regularnego i systematycznego monitorowania osób na dużą skalę; głównej działalności polegającej na przetwarzaniu na dużą skalę szczególnych kategorii z art. 9 lub danych z art. 10. Art. 34 ust. 1 LOPDGDD odsyła do tego przepisu i dodaje „a w każdym razie, gdy chodzi o następujące podmioty”. Spójnik ma znaczenie: to nie szesnaście przypadków zamiast trzech, lecz szesnaście oprócz trzech. Podmiot niewystępujący w żadnej literze może pozostawać zobowiązany na podstawie art. 37 — i odwrotnie.
Szesnaście liter
- a) Samorządy zawodowe i ich rady naczelne. b) Placówki oświatowe wszystkich szczebli oraz uczelnie publiczne i prywatne.
- c) Operatorzy sieci i dostawcy usług łączności elektronicznej, gdy przetwarzają dane regularnie i systematycznie na dużą skalę. d) Dostawcy usług społeczeństwa informacyjnego tworzący na dużą skalę profile użytkowników.
- e) Podmioty z art. 1 ustawy 10/2014 (instytucje kredytowe). f) Finansowe instytucje kredytowe. g) Zakłady ubezpieczeń i reasekuracji. h) Firmy inwestycyjne.
- i) Dystrybutorzy i sprzedawcy energii elektrycznej oraz gazu ziemnego. j) Administratorzy wspólnych zbiorów o wypłacalności i kredycie lub o przeciwdziałaniu oszustwom, w tym zbiorów z zakresu przeciwdziałania praniu pieniędzy.
- k) Podmioty reklamy i prospektingu handlowego, gdy przetwarzają preferencje lub tworzą profile. l) Placówki ochrony zdrowia zobowiązane do prowadzenia dokumentacji medycznej — z wyraźnym wyłączeniem osoby wykonującej zawód medyczny indywidualnie.
- m) Podmioty wydające informacje handlowe o osobach fizycznych. n) Operatorzy gier urządzanych kanałami elektronicznymi. ñ) Firmy ochrony osób i mienia. o) Związki sportowe, gdy przetwarzają dane małoletnich.
Dobrowolne wyznaczenie nie jest gestem dobrej woli
Ust. 2 stanowi, że podmiot niezobowiązany „może dobrowolnie wyznaczyć” inspektora, „który podlega reżimowi określonemu w rozporządzeniu (UE) 2016/679 i w niniejszej ustawie organicznej”. Czyli: niezależność, brak konfliktu interesów, zasoby, zakaz karania za wykonywanie zadań, podległość najwyższemu kierownictwu. A ust. 3 nakazuje zgłosić wyznaczenie do AEPD w ciągu dziesięciu dni „zarówno w przypadkach obowiązkowego wyznaczenia, jak i wtedy, gdy jest ono dobrowolne”. Wpisanie „IOD” w stopce poczty bez zgłoszenia to uchybienie, które ustala się w minutę.
Ust. 4 czyta się razem z poprzednim: AEPD i organy wspólnot autonomicznych prowadzą aktualny wykaz inspektorów dostępny drogą elektroniczną. Praktyczny skutek: twierdzenie „mamy inspektora” może sprawdzić każdy — także klient prowadzący weryfikację dostawcy i konkurent przygotowujący skargę. To nie jest rejestr wewnętrzny, lecz jawny.
Ust. 5 pozwala wreszcie na pełny lub niepełny wymiar, zależnie m.in. od wolumenu przetwarzania, przetwarzanych kategorii szczególnych i ryzyk dla osób. To nie jest zgoda na minimum: to kryterium, które trzeba uzasadnić i warto zapisać, bo właśnie o nie się pyta, gdy inspektor czegoś nie zdążył załatwić.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
