Lista lektur prawniczych Inspektora Ochrony Danych

Inspektor Ochrony Danych to bardzo „młody” zawód. Oczekiwania co do zakresu wiedzy i kompetencji IODa bywają diametralnie różne. W dzisiejszym wpisie przyjrzymy się wiedzy i umiejętnościom, które powinien posiadać IOD.

Co na temat kompetencji IODa mówi RODO?

Autorzy RODO użyli sformułowania o fachowej wiedzy na temat prawa. Wykształcenie prawnicze wydaje się być preferowane przez twórców RODO.

Prawo to jednak zdecydowanie nie wszystko!

Czy nie-prawnik może być dobrym IODem?

Zdecydowanie TAK! Warunkiem jest jednak to, że nasz Inspektor uzyska wsparcie prawników.

Od czasów Administratora Bezpieczeństwa Informacji, niewiele się zmieniło. Odwieczna dyskusja odnośnie tego czy ABI powinien być:

• Prawnikiem,
• Informatykiem,
• Specjalistą od ISO,
• Czy jeszcze kimś innym…

Trwa po dziś dzień. Ta dyskusja jest według mnie całkowicie jałowa. Obecnie modeli sprawowania funkcji IOD jest bardzo wiele.

Bo prawo to nie wszystko!

Poza wskazaną w RODO wiedzą prawniczą, IOD powinien także:

• Posiadać wiedzę informatyczną,
• Dysponować umiejętnościami miękkimi (w tym prowadzenia szkoleń),
• Być dobrym managerem i organizatorem,
• Dysponować szeroką wiedzą na temat branży, w której działa jego organizacja.

Idealny IOD jest więc wziętym prawnikiem, informatykiem, szkoleniowcem i jednocześnie dobrym managerem.

Czy ktoś z Państwa zna osoby o tak szerokiej wiedzy i kompetencjach? Ja nie znam. I sam nie czuje się komfortowo we wszystkich tych obszarach łącznie.

Co więc powinien zrobić wystarczająco dobry IOD?

Wystarczająco dobry IOD, jest w pełni świadom niemożliwości bycia ekspertem, we wszystkich obszarach, o których pisałem w poprzednim akapicie.

To niemożliwe!

Możliwe jest za to takie ułożenie sobie współpracy wewnątrz organizacji, aby obszary w których IOD czuje się mniej pewnie, powierzyć innym osobom.

Jeśli IOD nie jest prawnikiem – sugeruję powierzyć prace nad umowami powierzenia czy klauzulami zgód, działowi prawnemu.

Jeśli IOD nie jest informatykiem, niech za obszar bezpieczeństwa IT odpowiada odpowiednio kompetentny informatyk.

Jeśli IOD ma lęk przed wystąpieniami publicznymi i nie chce szkolić pracowników – niech powierzy to działanie zewnętrznym lub wewnętrznym trenerom.

Rozwiązań i sposobów poradzenia sobie z brakiem wiedzy i umiejętności w poszczególnych obszarach jest bardzo dużo.

Największym błędem jest próba bycia ekspertem w każdej sferze, na którą oddziałuje RODO.

Co IOD prawnik powinien przeczytać?

W dzisiejszym wpisie przygotowałem coś dla wszystkich IODów, specjalizujących się w obszarze prawniczym.

Poniższa tabela zawiera ważne akty prawne/rekomendacje/opinie/publikacje, które powinien znać każdy IOD – prawnik.

Wykaz podstawowych aktów prawnych / wytycznych / innych materiałów dla Inspektora Ochrony Danych:

Akty prawne

Wytyczne / poradniki Prezesa Urzędu Ochrony Danych Osobowych

Decyzje Prezesa Urzędu Ochrony Danych Osobowych

Opinie i wytyczne Europejskiej Rady Ochrony Danych / Grupy Roboczej Art. 29

Materiały pomocnicze

Wyliczona przez z nas powyżej, liczba stron jest mocno szacunkowa. Podobnie jak zaprezentowany wykaz „lektur”, który w konkretnym przypadku może być krótszy, ale też i dłuższy. Każdy Inspektor Ochrony Danych powinien bowiem zapoznać się także z przepisami sektorowymi dotyczącymi obszaru działalności podmiotu, który go wyznaczył na tę funkcję np. medycyna, oświata, samorząd terytorialny itp. Ostateczna ilość i obszerność materiałów z którymi będzie musiał zaznajomić się IOD zależeć będzie od branży, w której działa administrator i przedmiotu jego działalności, a także zakresu obowiązków IOD.

Ponadto wytycznych EROD czy UODO cały czas przybywa. Powyższe zestawienie rośnie z miesiąca na miesiąc.

Wnioski

Mam kilka wniosków, płynących z lektury powyższej tabeli:

• Jeśli jesteś początkującym prawnikiem i właśnie zostałeś człowiekiem od RODO w swojej organizacji, to potrzebujesz dużo czasu, aby rzetelnie zapoznać się z powyższą listą.
• Profesjonalne pełnienie funkcji IODa w dużej organizacji na doczepkę, obok 20 innych ważnych obszarów, jest niemożliwe.
•  Bycie dobrym prawnikiem w obszarze RODO wymaga specjalizacji. Nie wyobrażam sobie naszych ekspertów zajmujących się równocześnie prawem nowych technologii czy zamówień publicznych.

A jak z ilością potrzebnej do przyswojenia wiedzy radzi sobie nasz ekspert?

Podsumowanie

Lista lektur obowiązkowych z samego obszaru prawnego jest pokaźna. I wciąż rośnie. Jako IODowie potrzebujemy czasu na zapoznanie się z ww. pozycjami. Potrzebujemy się nieustannie doskonalić i aktualizować naszą wiedzę.

Jeśli ktoś trywializuję naszą pracę do poziomu jednego Rozporządzenia (RODO), liczącego sobie zaledwie 99 artykułów – niech załączona tabela będzie krótką i celną ripostą.