Dlaczego IOD to pułapka, w którą wpadają polskie firmy?

Inspektor ochrony danych nie może być pośrednio podporządkowany w strukturze organizacyjnej, nawet jeśli w praktyce zachowuje pewną autonomię.

Zbliżamy się do ósmej rocznicy stosowania przepisów Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679, zwanego RODO. Mimo to niektóre zagadnienia nadal stanowią wyzwanie. Jednym z nich jest kwestia niezależności inspektora ochrony danych (IOD). Choć przepisy w tym zakresie są stosunkowo jasne i nie pozostawiają dużego pola do interpretacji, praktyka pokazuje, że problem nadal istnieje. Wydawać by się mogło, że liczne wytyczne, decyzje organu nadzorczego (Prezes Urzędu Ochrony Danych Osobowych, PUODO) oraz utrwalona linia interpretacyjna mają pomagać. Jest jednak inaczej.

Umocowanie IOD-a w strukturze

Zgodnie z art. 38 ust. 3 RODO osoba pełniąca funkcję IOD powinna podlegać bezpośrednio najwyższemu kierownictwu administratora danych. W teorii brzmi to klarownie. W praktyce jednak nadal spotykamy modele, w których IOD osadzony jest w strukturze podległej dyrektorowi, np. działu prawnego, IT, Compliance czy HR. Tego rodzaju rozwiązania bywają uzasadniane względami organizacyjnymi lub operacyjnymi. Problem polega na tym, że z perspektywy RODO są one wadliwe. Organ nadzorczy wielokrotnie wskazywał, również w decyzjach administracyjnych...