Outsourcing IOD czy własny inspektor — który model wybrać

Wewnętrzny inspektor ochrony danych czy outsourcing IOD? To pytanie pojawia się w wielu organizacjach. Najpierw trzeba ustalić, czy organizacja w ogóle ma obowiązek powołania inspektora. Jeżeli nie, warto ocenić, czy wyznaczenie IOD mimo wszystko będzie korzystne. Dopiero później można wybrać model najlepiej dopasowany do organizacji. W praktyce może to być IOD wewnętrzny, zewnętrzny albo rozwiązanie łączące oba podejścia. RODO nie faworyzuje żadnego z tych modeli. Zgodnie z art. 37 ust. 6 IOD może być pracownikiem albo wykonywać zadania na podstawie umowy. Oba rozwiązania są więc zgodne z prawem. Różnią się przede wszystkim sposobem organizacji pracy, dostępnością oraz wykorzystaniem zasobów. W artykule wyjaśniam, kiedy powołanie IOD jest obowiązkowe. Pokazuję też, w jakich organizacjach najlepiej sprawdzają się poszczególne modele.

Kto musi powołać inspektora ochrony danych

Art. 37 ust. 1 RODO wskazuje trzy podstawowe sytuacje, w których powołanie IOD jest obowiązkowe.

Organy i podmioty publiczne. IOD trzeba powołać, gdy dane przetwarza organ lub podmiot publiczny. Wyjątek dotyczy sądów w zakresie sprawowania wymiaru sprawiedliwości. Obowiązek może więc dotyczyć między innymi urzędów, szkół publicznych, jednostek samorządu terytorialnego oraz publicznych placówek medycznych.

Regularne i systematyczne monitorowanie osób na dużą skalę. Obowiązek powstaje także przy określonych modelach działalności opartych na monitorowaniu. Może chodzić między innymi o szerokie profilowanie, analizę zachowań użytkowników lub rozbudowane systemy śledzenia.

Przetwarzanie na dużą skalę danych szczególnych kategorii. Dotyczy to między innymi danych o zdrowiu czy innych informacji z art. 9 RODO.

Obowiązek obejmuje też przetwarzanie na dużą skalę danych dotyczących wyroków i czynów zabronionych z art. 10 RODO.

Przykładem mogą być duże podmioty lecznicze, dla których takie przetwarzanie stanowi element podstawowej działalności. Znaczenie mogą mieć również szczególne przepisy krajowe lub unijne. Przy ocenie „dużej skali” trzeba uwzględnić cały kontekst. Liczą się między innymi liczba osób, zakres danych, czas przetwarzania i zasięg geograficzny.

Kiedy powołanie IOD jest zalecane

Brak ustawowego obowiązku nie oznacza, że organizacja nie może powołać IOD. W wielu przypadkach dobrowolne wyznaczenie inspektora porządkuje zarządzanie ochroną danych i ułatwia codzienne podejmowanie decyzji. Takie rozwiązanie warto rozważyć szczególnie wtedy, gdy organizacja:

• przetwarza duże ilości danych,
• działa w sektorze podwyższonego ryzyka,
• szybko rozwija nowe usługi lub technologie,
• regularnie prowadzi projekty wymagające analizy RODO,
• chce wzmocnić system zarządzania zgodnością.

IOD może wspierać zespoły projektowe, opiniować ryzyka i uczestniczyć w ocenie skutków dla ochrony danych. Ponadto stanowi punkt kontaktowy dla osób, których dane dotyczą, oraz dla organu nadzorczego. Trzeba jednak pamiętać o jednej zasadzie. Dobrowolnie powołany IOD podlega wymaganiom RODO dotyczącym tej funkcji. Jeżeli organizacja uzna, że inspektor nie jest potrzebny, warto udokumentować tę ocenę. Takie podejście wspiera zasadę rozliczalności.

Dwa równorzędne modele pełnienia funkcji IOD

Po ustaleniu potrzeby powołania IOD pozostaje wybór sposobu organizacji tej funkcji. RODO dopuszcza dwa podstawowe modele.

IOD wewnętrzny jest członkiem organizacji. Funkcja inspektora może stanowić jego główne zadanie albo część obowiązków. W tym drugim przypadku trzeba jednak szczególnie uważać na konflikt interesów.

IOD zewnętrzny (outsourcing) wykonuje zadania na podstawie umowy o świadczenie usług. Może współpracować z organizacją w zakresie odpowiadającym jej rzeczywistym potrzebom.

Żaden z modeli nie jest z założenia lepszy. Wybór powinien uwzględniać skalę przetwarzania, strukturę organizacji, poziom ryzyka i częstotliwość spraw wymagających udziału inspektora.

Wymagania wobec IOD

Forma współpracy nie zmienia podstawowych wymagań wobec IOD. Inspektor powinien posiadać odpowiednią wiedzę z zakresu ochrony danych. Musi również potrafić wykonywać zadania wskazane w art. 39 RODO. Niezależność ma tutaj kluczowe znaczenie. Organizacja nie może instruować IOD, jaki wynik powinna mieć jego ocena. Inspektor powinien również podlegać bezpośrednio najwyższemu kierownictwu.

Ponadto administrator musi zapewnić mu odpowiedni czas, dostęp do informacji oraz zasoby potrzebne do wykonywania funkcji. IOD powinien uczestniczyć odpowiednio wcześnie we wszystkich sprawach dotyczących ochrony danych. W obu modelach należy też przeanalizować ryzyko konfliktu interesów. Dotyczy ono zarówno pracownika, jak i zewnętrznego usługodawcy. Po wyznaczeniu IOD trzeba opublikować jego dane kontaktowe i zawiadomić Prezesa UODO.

Kiedy dobrze sprawdza się IOD wewnętrzny

Model wewnętrzny może być naturalnym wyborem w organizacjach, gdzie ochrona danych wymaga stałego zaangażowania. Dotyczy to szczególnie dużych podmiotów oraz organizacji prowadzących wiele równoległych procesów przetwarzania. IOD wewnętrzny może dobrze sprawdzać się także tam, gdzie każdego dnia powstają nowe projekty wymagające konsultacji.

Najważniejsze zalety tego modelu to:

• stała dostępność wewnątrz organizacji — inspektor może na bieżąco uczestniczyć w projektach i spotkaniach,
• bardzo dobra znajomość procesów — z czasem dobrze poznaje systemy, strukturę oraz sposób działania organizacji,
• bliska współpraca z pracownikami — łatwiej buduje relacje z poszczególnymi działami,
• wspieranie kultury ochrony danych — stała obecność sprzyja regularnej edukacji i utrwalaniu dobrych praktyk,
• szybki przepływ informacji — inspektor może wcześniej dowiadywać się o zmianach i nowych inicjatywach.

Taki model warto rozważyć, gdy liczba procesów rzeczywiście uzasadnia stałą obecność specjalisty. Nie zawsze oznacza to jednak pełny etat. Zakres funkcji powinien odpowiadać rzeczywistym potrzebom organizacji.

Kiedy dobrze sprawdza się IOD zewnętrzny  (outsourcing)

Model zewnętrzny odpowiada organizacjom, które potrzebują specjalistycznej funkcji, ale nie wymagają codziennej obecności inspektora. Często wybierają go małe i średnie przedsiębiorstwa. Sprawdza się także w organizacjach o bardziej okresowym zapotrzebowaniu na wsparcie. Może być dobrym rozwiązaniem również wtedy, gdy wewnętrzna struktura utrudnia znalezienie osoby bez konfliktu interesów.

Do najważniejszych zalet należą:

• dostęp do wyspecjalizowanej wiedzy — zewnętrzny IOD może korzystać z doświadczeń z różnych organizacji i sektorów,
• elastyczny zakres współpracy — organizacja może dopasować usługę do skali i częstotliwości potrzeb,
• zewnętrzna perspektywa — łatwiej spojrzeć na proces bez przywiązania do dotychczasowych sposobów działania,
• brak konieczności tworzenia osobnego etatu — funkcję można zapewnić w wymiarze odpowiadającym realnemu obciążeniu,
• możliwość zapewnienia ciągłości — dobrze zorganizowana usługa może przewidywać wsparcie podczas nieobecności głównego inspektora.

Outsourcing może też dobrze sprawdzać się w grupach kapitałowych lub organizacjach wielooddziałowych. Jednocześnie także przy tym modelu trzeba zweryfikować niezależność i brak konfliktu interesów.

Model mieszany — IOD zewnętrzny i wsparcie wewnętrzne

W praktyce wybór nie zawsze sprowadza się do dwóch skrajnych rozwiązań. Wiele organizacji korzysta z modelu, w którym zewnętrzny IOD współpracuje z wewnętrznym koordynatorem lub zespołem privacy. Takie rozwiązanie łączy znajomość organizacji z dostępem do zewnętrznej wiedzy eksperckiej.

Wewnętrzna osoba może zbierać informacje, koordynować dokumentację i wspierać komunikację pomiędzy działami. Zewnętrzny inspektor zachowuje natomiast funkcję niezależnego doradcy i nadzoruje zgodność z perspektywy RODO. Ten model często sprawdza się w organizacjach, które mają wiele procesów, lecz nie potrzebują pełnoetatowego IOD. Może być również etapem przejściowym podczas rozwoju organizacji lub budowania własnego zespołu ochrony danych.

Jak dopasować model IOD do organizacji

Najlepiej zacząć od rzeczywistych potrzeb, a nie od samej formy zatrudnienia. Przy wyborze warto uwzględnić kilka kryteriów.

Skala i złożoność przetwarzania. Duża liczba procesów może przemawiać za stałą obecnością inspektora. Mniejsze obciążenie sprzyja modelowi zewnętrznemu.

Częstotliwość spraw wymagających konsultacji. Codzienne projekty mogą uzasadniać IOD wewnętrznego. Okresowe potrzeby często dobrze obsługuje model zewnętrzny.

Poziom ryzyka. Im bardziej złożone i ryzykowne przetwarzanie, tym większego doświadczenia i dostępności wymaga funkcja.

Dostępność odpowiedniego kandydata. W organizacji musi znaleźć się osoba posiadająca wiedzę i jednocześnie wolna od konfliktu interesów.

Struktura organizacyjna. Grupy kapitałowe i organizacje rozproszone mogą potrzebować rozwiązania obejmującego kilka podmiotów lub lokalizacji.

Zasoby wewnętrzne. Nawet przy outsourcingu warto wyznaczyć osoby, które będą sprawnie współpracować z IOD.

Plany rozwoju. Model odpowiedni dzisiaj nie musi odpowiadać organizacji za kilka lat.

Dlatego wybór warto okresowo weryfikować.

IOD w organizacji — praktyczna checklista

• Sprawdź, czy powołanie IOD jest obowiązkowe na podstawie art. 37 RODO.
• Jeżeli obowiązku nie ma, oceń korzyści dobrowolnego powołania.
• Udokumentuj przeprowadzoną analizę i przyjętą decyzję.
• Oceń skalę i częstotliwość spraw dotyczących ochrony danych.
• Sprawdź dostępność odpowiednich kompetencji wewnątrz organizacji.
• Przeanalizuj ryzyko konfliktu interesów niezależnie od wybranego modelu.
• Dobierz model do struktury i poziomu ryzyka organizacji.
• Zapewnij IOD odpowiedni czas, zasoby i dostęp do informacji.
• Włącz inspektora odpowiednio wcześnie w sprawy dotyczące danych osobowych.
• Zapewnij bezpośredni dostęp do najwyższego kierownictwa.
• Opublikuj dane kontaktowe IOD i zgłoś jego wyznaczenie do UODO.
• Okresowo sprawdzaj, czy przyjęty model nadal odpowiada potrzebom organizacji.

Potrzebujesz dobrać model IOD do swojej organizacji?

Wybór pomiędzy IOD wewnętrznym i zewnętrznym powinien wynikać z rzeczywistych potrzeb organizacji. Najpierw warto ustalić obowiązek powołania inspektora. Następnie trzeba ocenić skalę przetwarzania, ryzyka, strukturę oraz dostępne zasoby.

W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont wspieramy organizacje zarówno przy tworzeniu funkcji IOD, jak i w jej bieżącym wykonywaniu. Pomagamy ocenić, czy powołanie inspektora jest obowiązkowe, a następnie dobrać model najlepiej odpowiadający strukturze, skali i poziomowi ryzyka danej organizacji.

Możemy pełnić funkcję zewnętrznego IOD w modelu outsourcingowym. W zależności od bieżącej dostępności możliwa jest również współpraca w formule wewnętrznego inspektora ochrony danych.

Wspieramy także organizacje, które mają już własnego IOD. Oferujemy wtedy dodatkowe wsparcie eksperckie przy audytach, bardziej złożonych analizach, ocenach skutków dla ochrony danych (DPIA), przygotowaniu dokumentacji oraz bieżących zagadnieniach wymagających pogłębionej oceny prawnej.