Skuteczne wyznaczenie IOD warunkiem koniecznym skutecznej ochrony danych

Powiatowy Inspektor Nadzoru Budowlanego (PINB) w Częstochowie został ukarany administracyjną karą pieniężną w wysokości 25 tys. zł przez Prezesa Urzędu Ochrony Danych Osobowych (UODO). Powodem była niewyznaczenie inspektora ochrony danych (IOD) oraz brak publikacji jego danych kontaktowych i zawiadomienia organu nadzorczego o jego wyznaczeniu. Działania te są wymagane przez art. 37 ust. 1 lit. a) oraz art. 37 ust. 7 RODO.

Nieprawidłowości w wyznaczeniu IOD

W trakcie postępowania wyjaśniającego PINB przedstawił dokumenty, które miały potwierdzać, że funkcję IOD pełniły określone osoby. Jednak Prezes UODO uznał, że dokumenty te, takie jak zaświadczenia o ukończeniu szkoleń czy zakres czynności na podstawie ustnego polecenia, jedynie pośrednio wskazywały na pełnienie tej funkcji i nie stanowiły dowodu skutecznego wyznaczenia inspektora.

Prezes UODO podkreślił, że wyznaczenie IOD musi mieć charakter formalny, najlepiej w formie pisemnej umowy lub zarządzenia, które jednoznacznie wskazuje konkretną osobę oraz jej zakres obowiązków zgodny z art. 38 i 39 RODO.

Opóźnione działania PINB

Administrator skutecznie wyznaczył inspektora ochrony danych dopiero 4 marca 2024 roku, po zakończeniu postępowania, i zawiadomił o tym Prezesa UODO dzień później. Jednak do czasu wydania decyzji administracyjnej (18 października 2024 r.) nie opublikowano danych kontaktowych IOD, co stanowiło dodatkowe naruszenie przepisów RODO.

Znaczenie wyznaczenia IOD

Skuteczne wyznaczenie i publikacja danych kontaktowych IOD są kluczowe dla zapewnienia prawidłowej ochrony danych osobowych. Inspektor pełni istotną rolę, odpowiadając m.in. za monitorowanie zgodności przetwarzania danych z przepisami, udzielanie porad administratorowi oraz współpracę z organem nadzorczym. Właściwe formalności w tym zakresie są fundamentem odpowiedzialnego zarządzania danymi w organizacjach.

Decyzja Prezesa UODO przypomina o konieczności przestrzegania przepisów RODO oraz rzetelnego realizowania obowiązków związanych z ochroną danych osobowych w sektorze publicznym i prywatnym.

Źródło: https://uodo.gov.pl/pl/138/3421