W poprzednim artykule punktowaliśmy obowiązki Administratora Danych względem IOD. Wskazywaliśmy na praktycznych przykładach, na czym w rzeczywistości polega wsparcie Inspektora w wykonywaniu jego funkcji. Część drugą poświęcamy działaniom ADO, które nie powinny mieć miejsca w stosunku do osoby pełniącej tę funkcję.
Pamiętaj, że na naszym blogu znajdziesz również inne artykuły poświęcone funkcji IOD:
Czego ADO nie może oczekiwać od Inspektora Ochrony Danych?
RODO wskazuje również czynności, których administrator danych nie może wykonać wobec Inspektora Ochrony Danych. Poniżej ich lista z krótkim komentarzem.
Przekazywanie IODowi instrukcji
ADO nie może przekazywać Inspektorowi Ochrony Danych instrukcji dotyczących wykonywania jego zadań (np. instrukcji dotyczących wyników, jakie należy osiągnąć, sposobu rozpatrywania skargi lub tego, czy należy przeprowadzić konsultacje z organem nadzorczym).
Przykład praktyczny:
Zobligowanie IODa do przyjęcia stanowiska
ADO nie może zobligować IOD do przyjęcia określonego stanowiska w sprawie przepisów dotyczących ochrony danych, np. ich określonej wykładni.
Przykład praktyczny:
Odwołanie lub ukaranie
ADO nie może odwoływać lub karać Inspektora Ochrony Danych za wypełnianie swoich zadań.
Chodzi tu o kary w różnych formach, bezpośrednie albo pośrednie, np. brak albo opóźnienie awansu, utrudnienie rozwoju zawodowego, ograniczenie dostępu do korzyści oferowanych pozostałym pracownikom. Należy przy tym pamiętać, że zakaz odwoływania IOD dotyczy wykonywania jakichkolwiek jego zadań wynikających lub związanych z pełnieniem funkcji. Nie prowadzi to oczywiście do bezkarności Inspektora Ochrony Danych w przypadku wykonywania tych zadań w sposób nienależyty.
Wszelkie uchybienia, błędy czy też niepodjęcie wymaganych działań powinny być traktowane jako niewypełnienie zadań, co już może prowadzić do pociągnięcia inspektora ochrony danych do odpowiedzialności (np. niezorganizowanie szkolenia dla Zespołu, brak kontaktu z osobami, których dane dotyczą, etc.).
Przykład praktyczny:
Delegowanie podległości
ADO nie może delegować podległości IOD na inną osobę lub jednostkę organizacyjną, niż najwyższe kierownictwo administratora.
O ile w niektórych przypadkach IOD może raportować o stanie ochrony danych do innych osób, to już nie może być im podległy. Art. 38 ust. 3 RODO wskazuje wprost na bezpośrednią podległość najwyższemu kierownictwu.
Przykład praktyczny:
Osobista odpowiedzialność IOD
ADO nie może zobowiązać Inspektora Ochrony Danych do poniesienia osobistej odpowiedzialności za przypadki naruszenia przepisów RODO.
Przykład praktyczny:
Ograniczanie kontaktu z UODO
ADO nie może uniemożliwiać bądź ograniczać Inspektorowi Ochrony Danych kontaktu z Prezesem Urzędu Ochrony Danych Osobowych.
Przykład praktyczny:
Zminimalizuj ryzyko naruszenia RODO w Twojej organizacji – przeszkól zespół.
Zależy Ci na tym aby Twoi pracownicy otrzymali certyfikat i poznali praktyczną wiedzę z zakresu RODO zamiast nużących regułek?
Sprawdź nasze interaktywne szkolenia e-learningowe.
Podsumowanie
W swojej praktyce spotykaliśmy się z sytuacjami, kiedy ADO odbierał IOD wpływ na organizację. Nie zapewniał odpowiednich zasobów, nie respektował zaleceń. Spotykaliśmy również sytuacje, kiedy IOD tworzył bardzo niepraktyczne procedury, niepotrzebnie utrudniające działanie organizacji.
Dobrze funkcjonujący IOD, musi posiadać pewien poziom niezależności. Tylko faktycznie niezależny IOD, zapewni organizacji zgodność z RODO. Taki IOD może również dać cenną informację zwrotną o funkcjonowaniu organizacji. Niezależność daje Inspektorowi możliwość wpływania na organizację. Z kolei ADO nie musi zawsze tym wpływom ulegać. Jeśli z jakiegoś powodu, zdaniem ADO, zalecenia IOD nie są dla organizacji korzystne, budzą jego wątpliwości, to warto, żeby ktoś z zewnątrz ocenił pracę IOD. Ostatnie 27 pytanie w ramach akcji kontroli relacji ADO – IOD, brzmiało „Czy administrator kontroluje pracę inspektora, jeżeli tak, to w jaki sposób?”.
Współpraca na linii IOD – ADO, to nieustanne ścieranie się ochrony prawa do prywatności (reprezentowanej przez IOD) z potrzebami operacyjnymi organizacji (reprezentowanej najczęściej przez Zarząd). Istnienie równowagi w tej relacji jest kluczem do sukcesu. Dla obu stron relacji.
Źródła:
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Ogólne rozporządzenie o ochronie danych)
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781)
Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.
Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.