RODO

Od dnia 25 maja 2018 roku obowiązują nowe przepisy dotyczące ochrony danych osobowych – Ogólne Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO), zgodnie z którymi funkcja eksperckiego wsparcia dla administratorów danych i podmiotów przetwarzających spoczywa na Inspektorze Ochrony Danych (ang. DPO Data Protection Officer).
Zadaniem Inspektorów Ochrony Danych (IOD) – tak jak poprzednio Administratorów Bezpieczeństwa Informacji (ABI) – jest działanie na rzecz zgodnego z przepisami o ochronie danych przetwarzania danych, zarówno w administracji publicznej, jak i w sektorze prywatnym.

Wyznaczenie Inspektora Ochrony Danych zgodnie z nowymi przepisami staje się w wielu przypadkach obowiązkiem, a nie jak dotąd, uprawnieniem administratora danych.

Ogólne rozporządzenie o ochronie danych RODO w art. 37 ust 1 przewiduje obowiązek wyznaczenia Inspektora Ochrony Danych
dla administratorów i podmiotów przetwarzających wówczas, gdy:

1. 1. Przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
2. 2. Główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą na dużą skalę;
3. 3. Główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1, oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa,
   o których mowa w art. 10.

Dobrą praktyką jest powołanie Inspektora Ochrony Danych przez prywatne jednostki realizujące zadania w interesie publicznym lub sprawujące władzę publiczną. W takim przypadku działalność Inspektora Ochrony Danych powinna obejmować wszelkie operacje przetwarzania prowadzone przez jednostkę, w tym te niezwiązane z zadaniami realizowanymi w interesie publicznym.

Zadania Inspektora Ochrony Danych (IOD) w ogólnym rozporządzeniu o ochronie danych RODO zostały sformułowane w sposób ogólny,
bez wskazania trybu oraz terminów ich realizacji. Jest to istotna różnica w stosunku do poprzedniej ustawy o ochronie danych osobowych
i aktów do niej wykonawczych w zakresie zadań Administratora Bezpieczeństwa Informacji (ABI).

Podstawowe zadania Inspektora Ochrony Danych, wynikające z ogólnego rozporządzenia o ochronie danych RODO, obejmują m.in.:

1. 1. Informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy ogólnego rozporządzenia o ochronie danych RODO oraz innych przepisów Unii lub państw członkowskich o ochronie danych
   i doradzanie im w tej sprawie;
2. 2. Monitorowanie przestrzegania ogólnego rozporządzenia
   o ochronie danych RODO, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty;
3. 3. Udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania zgodnie z art. 35;
4. 4. Współpracę z organem nadzorczym;
5. 5. Pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami,
   o których mowa w art. 36, oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach;
6. 6. Pełnienie roli punktu kontaktowego dla osób, których dane dotyczą, we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących im na mocy niniejszego rozporządzenia;
7. 7. Prowadzenie rejestru czynności lub rejestru kategorii czynności.

Inspektor Ochrony Danych doradza Administratorowi Danych Osobowych m.in.:

• – które obszary powinny zostać poddane wewnętrznemu albo zewnętrznemu audytowi;
• – jakie szkolenia dla pracowników lub kierowników odpowiedzialnych za przetwarzanie danych należy przeprowadzić;
• – na które operacje przetwarzania należy przeznaczyć więcej czasu i zasobów.

Do pobrania:

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000).

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679.

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680.

Rozporządzenie MSWiA ws.dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024).

Rozporządzenie w sprawie zadań ABI.

Rozporządzenie w sprawie wzoru zgłoszenia ABI do rejestracji.

Rozporządzenie w sprawie prowadzenia rejestru przez ABI.