Konflikt interesów IOD — czego uczy kara 978 tys. zł dla Poczty Polskiej

Prawie milion złotych kary — i to nie za wyciek danych, lecz za to, kto i jak pełnił w firmie funkcję inspektora ochrony danych. Prezes Urzędu Ochrony Danych Osobowych nałożył na Pocztę Polską administracyjną karę pieniężną w wysokości 978 128 zł (równowartość ok. 232 tys. euro) za brak zapewnienia niezależności sprawowania funkcji Inspektora Ochrony Danych Osobowych (IOD) i wynikający z tego konflikt interesów.

To jedna z tych decyzji, które powinny zapalić lampkę ostrzegawczą w wielu organizacjach — zwłaszcza tam, gdzie funkcję inspektora „przy okazji” powierzono komuś z kierownictwa. UODO wysłał jasny sygnał: samo powołanie IOD nie wystarczy. Inspektor musi być realnie niezależny, jego rola nie może kolidować z innymi obowiązkami, a administrator musi umieć to wykazać.

W tym artykule wyjaśniam, co dokładnie zarzucono Poczcie Polskiej, przedstawiam trzy wymiary konfliktu interesów IOD, na których oparł się organ, oraz pokazuję, kto w praktyce nie powinien pełnić tej funkcji i jak zabezpieczyć się przed podobnym ryzykiem — z outsourcingiem inspektora włącznie.

Co się wydarzyło

Decyzja Prezesa UODO (sygn. DKN.5131.4.2025 z 2 stycznia 2026 r., nieprawomocna) zapadła po postępowaniu wszczętym z urzędu w kwietniu 2025 r. Impulsem było zgłoszone jeszcze w 2023 r. naruszenie ochrony danych: nieuprawniony dostęp do danych zawartych w dokumencie PIT-11. Badając sprawę, organ przyjrzał się nie tylko samemu incydentowi, ale i temu, jak w spółce zorganizowano funkcję inspektora ochrony danych.

I tu pojawił się problem. Funkcję IOD pełniła osoba, która jednocześnie była dyrektorem jednostki odpowiedzialnej za organizowanie i doskonalenie systemu ochrony informacji — w tym danych osobowych — a dodatkowo dysponowała pełnomocnictwem do reprezentowania spółki przed UODO i sądami administracyjnymi w sprawach ochrony danych. W praktyce inspektor nadzorował więc obszar, za który sam odpowiadał, i występował w imieniu administratora. UODO uznał to za naruszenie art. 38 ust. 3 oraz art. 38 ust. 6 RODO. Co równie ważne, spółka nie potrafiła wykazać, że przed powierzeniem tej funkcji przeprowadziła analizę konfliktu interesów.

Warto od razu zaznaczyć: decyzja jest nieprawomocna, a Poczta Polska zapowiedziała jej zaskarżenie do sądu administracyjnego. Niezależnie jednak od ostatecznego rozstrzygnięcia, sprawa doskonale ilustruje, jak organ nadzorczy podchodzi do niezależności IOD — i dlaczego jest to realne ryzyko finansowe.

Podstawa prawna — art. 38 RODO

Sedno sprawy leży w art. 38 RODO. Przepis pozwala, by inspektor wykonywał także inne zadania i obowiązki, ale pod jednym warunkiem: administrator musi zapewnić, że nie powodują one konfliktu interesów (art. 38 ust. 6). Jednocześnie inspektor przy wykonywaniu zadań nie otrzymuje żadnych instrukcji, nie może być za nie odwoływany ani karany i podlega bezpośrednio najwyższemu kierownictwu (art. 38 ust. 3). Innymi słowy: IOD ma monitorować zgodność przetwarzania z RODO (art. 39) — a trudno monitorować obiektywnie coś, o czym samemu się decyduje.

Wymóg unikania konfliktu interesów wynika też z motywu 97 preambuły RODO i został potwierdzony przez Trybunał Sprawiedliwości UE w wyroku X-FAB (C-453/21): inspektorowi nie można powierzać zadań, które prowadziłyby do określania przez niego celów i sposobów przetwarzania — bo to właśnie ich niezależne monitorowanie jest istotą jego funkcji.

Trzy wymiary konfliktu interesów IOD

Najciekawsze w tej decyzji jest to, że UODO rozłożył konflikt interesów na trzy wymiary. To praktyczny sposób patrzenia na własną organizację.

Wymiar organizacyjny (ustrojowy). Chodzi o miejsce IOD w strukturze — inspektor powinien podlegać bezpośrednio najwyższemu kierownictwu. Co ciekawe, tu UODO nie dopatrzył się konfliktu: IOD podlegał Prezesowi Zarządu. To ważna nauka — sama prawidłowa podległość organizacyjna nie wystarczy, by mówić o niezależności.

Wymiar merytoryczny. To tu leżało sedno naruszenia. Jako dyrektor jednostki odpowiedzialnej za organizowanie systemu ochrony informacji, inspektor określał cele i sposoby przetwarzania danych — a więc wchodził w rolę zastrzeżoną dla administratora. Jednocześnie, zgodnie z art. 39 ust. 1 lit. b RODO, miał monitorować zgodność tych samych procesów z przepisami. Efekt: IOD de facto nadzorował własną działalność. Dodatkowo pełnomocnictwo do reprezentowania spółki przed UODO związało inspektora instrukcjami mocodawcy, co bezpośrednio uderzało w jego niezależność i obiektywizm.

Wymiar czasowy. Łącząc funkcję IOD z obowiązkami dyrektorskimi i pełnomocnika, inspektor mógł po prostu nie mieć czasu na rzetelne wykonywanie zadań z art. 39. UODO podkreślił, że administrator powinien przeanalizować, czy IOD zdoła wykonywać swoje obowiązki należycie — a posiadanie zespołu wspierającego nie zwalnia z tej analizy (tym bardziej, że kierownik tego zespołu, będący zarazem zastępcą IOD, sam był obarczony analogicznym konfliktem).

Prawdziwy grzech: brak udokumentowanej analizy

Choć spółka twierdziła, że jednoczesne pełnienie funkcji nie powodowało konfliktu, bo dyrektor „nie określa celów i sposobów przetwarzania”, nie potrafiła tego wykazać. Co więcej, sama przyznała, że analiza konfliktu interesów nie została udokumentowana. To okazało się kluczowe.

Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) to administrator musi udowodnić, że spełnia wymogi RODO. Samo oświadczenie „przeanalizowaliśmy i nie ma konfliktu” nie wystarczy — potrzebna jest udokumentowana ocena wszystkich istotnych okoliczności, w szczególności struktury organizacyjnej. Brak takiej dokumentacji sprawił, że spółka nie była w stanie obronić swojego stanowiska. To najważniejsza praktyczna nauka z tej sprawy: analizę konfliktu interesów trzeba przeprowadzić i spisać — jeszcze przed powołaniem IOD.

Kto w praktyce nie powinien być IOD

Z tej logiki wynika lista stanowisk, które co do zasady nie powinny łączyć się z funkcją inspektora — ani jego zastępcy. Konflikt interesów pojawia się zwłaszcza wtedy, gdy IOD to jednocześnie:

• członek zarządu lub właściciel decydujący o celach i sposobach przetwarzania,
• dyrektor lub kierownik IT albo osoba odpowiedzialna za systemy i bezpieczeństwo informacji,
• szef HR, marketingu, sprzedaży czy obsługi klienta,
• główny księgowy lub dyrektor finansowy,
• pełnomocnik reprezentujący administratora w sporach i postępowaniach dotyczących danych osobowych.

Wspólny mianownik: to osoby, które w swoim obszarze decydują o tym, jak przetwarzane są dane, albo działają w interesie procesowym administratora. Powierzenie im dodatkowo roli inspektora sprawia, że kontrola staje się iluzoryczna — bo nadzorują sami siebie. Ta sama zasada dotyczy zastępcy IOD.

Co zaważyło na wysokości kary

Wysokość kary (978 128 zł) to wynik zważenia okoliczności obciążających i łagodzących. Po stronie obciążającej UODO wskazał m.in.:

• umyślny charakter naruszenia — wieloletnia praktyka łączenia funkcji mimo znajomości stanowiska organu w kwestii konfliktu interesów,
• charakter ciągły i długotrwały — model ten funkcjonował jeszcze pod rządami starej ustawy o ochronie danych z 1997 r., a pierwsze działania naprawcze podjęto dopiero po ponad 6 latach obowiązywania RODO,
• wcześniejsze decyzje wobec spółki, świadczące o ogólnym podejściu do zgodności z RODO.

Po stronie łagodzącej decydujące było to, że spółka sama usunęła naruszenie jeszcze przed wszczęciem postępowania — zlikwidowała problematyczną jednostkę, wyodrębniła funkcję IOD i powierzyła mu wyłącznie zadania wynikające z RODO. To pozwoliło na znaczną redukcję kary. Warto zauważyć, że naruszenie miało charakter formalny i nie wiązało się z wykazaną szkodą po stronie osób — a mimo to kara sięgnęła prawie miliona złotych.

Jak zrobić to dobrze — wzorzec naprawczy

Paradoksalnie, sposób, w jaki Poczta Polska naprawiła sytuację, jest dobrym wzorcem dla innych organizacji. Kluczowe elementy to:

• wyodrębnienie funkcji IOD w strukturze, obok innych jednostek, z bezpośrednią podległością zarządowi,
• powierzenie inspektorowi wyłącznie zadań wynikających z RODO, bez łączenia z funkcjami decyzyjnymi,
• oddzielenie pionu monitorującego zgodność (IOD) od działów wdrażających rozwiązania z zakresu ochrony danych.

Do tego dochodzą trzy stałe elementy dobrej praktyki: przeprowadzenie i udokumentowanie analizy konfliktu interesów przy powołaniu IOD, zapewnienie mu realnej niezależności (brak instrukcji, zasoby, czas) oraz okresowe powtarzanie tej analizy przy zmianach organizacyjnych.

Kiedy outsourcing IOD rozwiązuje problem

Zewnętrzny inspektor ochrony danych ma jedną istotną przewagę: z założenia nie określa celów i sposobów przetwarzania w organizacji klienta ani nie zajmuje w niej stanowiska kierowniczego, więc konflikt interesów o charakterze merytorycznym w praktyce znika. Outsourcing IOD daje też niezależność i obiektywizm (inspektor nie jest uwikłany w wewnętrzne zależności ani związany instrukcjami mocodawcy), stały dostęp do wiedzy eksperckiej i aktualnego orzecznictwa oraz ciągłość funkcji.

Warto pamiętać, że również przy outsourcingu obowiązują zasady wynikające z wytycznych: należy wskazać osobę odpowiedzialną za kontakt oraz zapewnić inspektorowi warunki i czas na rzetelne wykonywanie zadań. Dobrze skonstruowana umowa o outsourcing IOD adresuje te kwestie wprost.

Checklist — czy Twój IOD jest naprawdę niezależny

• IOD (ani jego zastępca) nie jest członkiem zarządu ani osobą decydującą o celach i sposobach przetwarzania.
• IOD nie nadzoruje obszaru, za który sam odpowiada operacyjnie.
• IOD nie reprezentuje administratora jako pełnomocnik w sprawach ochrony danych.
• Przeprowadzono i udokumentowano analizę konfliktu interesów (wymiar organizacyjny, merytoryczny i czasowy).
• IOD podlega bezpośrednio najwyższemu kierownictwu i nie otrzymuje instrukcji co do sposobu realizacji zadań.
• IOD ma zapewnione zasoby i czas na zadania z art. 39 RODO.
• Pion monitorujący (IOD) jest oddzielony od działów wdrażających rozwiązania.
• Dane kontaktowe IOD zgłoszono do UODO i opublikowano.
• Analizę niezależności powtarza się okresowo i przy zmianach organizacyjnych.

Potrzebujesz niezależnego inspektora ochrony danych?

Sprawa Poczty Polskiej pokazuje, że konflikt interesów IOD to realne ryzyko finansowe — i że warto zawczasu upewnić się, czy inspektor w Twojej organizacji jest naprawdę niezależny oraz czy analiza konfliktu interesów została prawidłowo udokumentowana. W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont oferujemy outsourcing funkcji inspektora ochrony danych oraz analizę konfliktu interesów dla już powołanych IOD — z zapewnieniem niezależności, obiektywizmu i eksperckiego wsparcia.