Inspektor ochrony danych — ocena obowiązku i organizacja funkcji
Pomagamy ustalić, czy firma powinna wyznaczyć inspektora ochrony danych, i prawidłowo umiejscowić tę funkcję w organizacji. Analizujemy rzeczywiste procesy, zakres odpowiedzialności i możliwe konflikty interesów. Przygotowujemy uzgodnione dokumenty wyznaczenia oraz zasady współpracy, raportowania i dostępu do informacji.
W jakiej sytuacji możemy pomóc?
Dla firm rozwijających przetwarzanie danych, podmiotów medycznych i organizacji, które wyznaczają IOD lub weryfikują dotychczasowy model nadzoru.
Rozwój przetwarzania
Nowa aplikacja lub większa liczba klientów zmienia skalę danych i wymaga ponownej oceny obowiązku wyznaczenia IOD.
Łączenie stanowisk
Kierownik IT, kadr albo członek zarządu ma pełnić funkcję inspektora; trzeba sprawdzić niezależność i zakres decyzji.
Zmiana wykonawcy
Firma przechodzi na zewnętrzną obsługę i potrzebuje zasad przekazania dokumentów, zgłoszeń oraz spraw w toku.
Zakres pomocy i konkretny rezultat
Możesz zamówić wybrany etap albo ustalić szerszy zakres. Przed pracą potwierdzamy, jakie materiały przygotujemy.
Ocena obowiązku
Opisujemy przesłanki obowiązkowego wyznaczenia na podstawie faktycznych procesów. Wskazujemy brakujące informacje oraz sytuacje wymagające ponownej oceny.
Uzasadnione stanowisko dla kierownictwa.
Model niezależności
Porządkujemy podległość, inne zadania, dostęp do informacji i raportowanie. Wyjaśniamy, których decyzji inspektor nie powinien sam zatwierdzać.
Podział ról i analiza konfliktów.
Dokumenty współpracy
Przygotowujemy uzgodniony zakres zadań, dokument wyznaczenia lub warunki umowy. Uwzględniamy zmianę inspektora i przekazanie spraw.
Pakiet do wdrożenia funkcji.
Przekazanie dokumentów i ustaleń
Omawiamy przygotowany materiał oraz uwagi klienta. Wskazujemy osoby odpowiedzialne za podpisy i dalsze czynności, dokumenty pozostające do uzupełnienia oraz działania wymagające osobnego zlecenia.
Materiały z kolejnością dalszych działań.
Granice zlecenia
Usługa nie oznacza automatycznego przyjęcia stałej funkcji IOD ani przejęcia odpowiedzialności administratora.
Trzy obszary oceny IOD
Każdy wymaga ustaleń odnoszących się do konkretnej organizacji.
| Element | Co sprawdzamy | Rezultat |
|---|---|---|
| Obowiązek | Główna działalność, skala i rodzaj danych | Wniosek o potrzebie wyznaczenia. |
| Niezależność | Decyzyjność i pozostałe stanowiska | Warunki usunięcia konfliktu. |
| Współpraca | Czas, zasoby, kontakt i raportowanie | Zasady wykonywania zadań. |
Co warto ustalić przed zleceniem?
Obowiązek wynika z działalności, a nie samej liczby pracowników
Sprawdzamy charakter podstawowej działalności, skalę przetwarzania i sposób obserwowania osób. Regularne i systematyczne monitorowanie na dużą skalę oraz przetwarzanie szczególnych kategorii danych wymagają odrębnej oceny przesłanek. Nie zakładamy, że mała firma zawsze jest zwolniona ani że każda baza klientów wymaga inspektora. Jeżeli obowiązek nie występuje, dokumentujemy uzasadnienie i wskazujemy zdarzenia, po których warto wrócić do analizy. Dobrowolne wyznaczenie IOD również oznacza konieczność zapewnienia właściwego statusu tej funkcji; sama zmiana nazwy stanowiska nie usuwa wymagań wynikających z RODO.
Niezależność trzeba zapewnić w codziennej pracy
Weryfikujemy, kto podejmuje decyzje o celach i sposobach przetwarzania oraz komu podlega proponowany inspektor. IOD nie powinien kontrolować decyzji, za które jednocześnie sam odpowiada. Analizujemy inne obowiązki, dostępny czas, zastępstwo, zasoby i bezpośredni kontakt z najwyższym kierownictwem. Rozdzielamy doradzanie i monitorowanie zgodności od odpowiedzialności administratora za wdrożenie rozwiązań. Przy modelu zewnętrznym ustalamy dostępność, poufność, obsługę konfliktów oraz granice umowy. Dokumenty obejmują także publikację danych kontaktowych i właściwe zawiadomienie UODO, jeżeli dochodzi do wyznaczenia lub zmiany inspektora.
Jak wygląda współpraca
Najpierw cel i zakres. Następnie dokumenty, uzgodnione działania i wynik, z którego możesz skorzystać.
Cel i aktualny etap
Omawiamy oczekiwany rezultat, uczestników sprawy i najbliższe terminy. Potwierdzamy możliwość przyjęcia zlecenia oraz osobę odpowiedzialną za jego wykonanie.
Materiały i zakres
Ustalamy dokumenty potrzebne do analizy, sposób ich przekazania i ewentualne braki. Oferta określa konkretne opracowania oraz granice odpowiedzialności.
Analiza i opracowanie
Przygotowujemy uzgodniony materiał, wyjaśniamy istotne ryzyka i wskazujemy decyzje, których nie można podjąć bez informacji od klienta lub specjalisty.
Omówienie i dalsze kroki
Przekazujemy wynik wraz z wyjaśnieniami. Ustalamy, które czynności wykona klient, a które wymagają odrębnego zlecenia, zgody albo działania właściwego organu.
Zrozumiałe warunki przed startem
Wycena po ustaleniu zakresu
Wynagrodzenie ustalamy po określeniu zakresu i ocenie materiałów. W ofercie wskazujemy dokumenty lub działania objęte ceną, liczbę uzgodnień i sposób rozliczania dodatkowych prac. Opłaty urzędowe, sądowe, notarialne oraz koszty zewnętrznych specjalistów omawiamy osobno, jeżeli dotyczą sprawy. Termin naszej pracy potwierdzamy po otrzymaniu potrzebnych informacji; nie jest on gwarancją terminu decyzji urzędu, sądu lub kontrahenta.
Co wpływa na koszt?
- Liczba procesów i jednostek organizacyjnych.
- Zakres innych obowiązków kandydata na IOD.
- Ocena jednorazowa lub przygotowanie dokumentów.
Co przygotować do rozmowy
Ta lista pomaga uporządkować materiały. Nie musisz mieć całego kompletu, aby zapytać o możliwość pomocy.
- Mapa procesów i kategorie danych
- Schemat organizacyjny oraz zakresy stanowisk
- Aktualna umowa lub dokument wyznaczenia IOD
- Opis skali monitorowania i obsługiwanych osób
Na początek wystarczy opis
Dokumenty przekażesz po uzgodnieniu sposobu kontaktu. Nie wpisuj danych innych osób ani szczegółów wrażliwych w pierwszej wiadomości.
Osoba prowadząca i zasady pracy
Przed przyjęciem zlecenia ustalamy wykonawcę, formę kontaktu i zakres odpowiedzialności. Jeśli potrzebne jest działanie uprawnionego pełnomocnika, omawiamy jego udział oraz warunki osobno.
Zanim zdecydujesz.
Czy każda firma musi mieć IOD?
Nie. Oceniamy ustawowe przesłanki, rodzaj działalności i rzeczywiste procesy przetwarzania.
Czy liczba pracowników przesądza o obowiązku?
Nie jest samodzielnym kryterium rozstrzygającym. Istotne są między innymi skala i charakter przetwarzania.
Czy IOD może odpowiadać za dział IT?
Łączenie funkcji wymaga oceny konfliktu interesów, zwłaszcza wpływu na cele i sposoby przetwarzania.
Czy można skorzystać z zewnętrznego inspektora?
Tak. Warunki współpracy muszą umożliwiać rzeczywiste i niezależne wykonywanie jego zadań.
Czy IOD przejmuje odpowiedzialność administratora?
Nie. Administrator nadal odpowiada za zgodność procesów i wykonanie podjętych decyzji.
Czy ta usługa obejmuje stałe pełnienie funkcji?
Podstawowy zakres dotyczy oceny i organizacji funkcji; stałą obsługę ustalamy odrębnie.
Zapytaj o zakres i wycenę.
Opisz działalność, rodzaje danych i obecny podział odpowiedzialności. Na początek wystarczy opis bez danych wrażliwych. Sposób przekazania dokumentów ustalimy po kontakcie.
Ustalimy, jakie informacje są potrzebne do oceny zakresu i wyceny. Samo zapytanie nie oznacza zawarcia umowy.
Jeśli masz termin sądowy lub urzędowy, podaj go już przy pierwszym kontakcie.
Przygotuj krótką wiadomość
Opisz działalność, rodzaje danych i obecny podział odpowiedzialności. Na początek wystarczy opis bez danych wrażliwych. Sposób przekazania dokumentów ustalimy po kontakcie.
Oficjalne informacje związane z tematem
- RODO — rozporządzenie (UE) 2016/679
- UODO — wyznaczanie i niezależność IOD