Inspektor zastąpi ABI

W zeszłym roku powołaliśmy administratora bezpieczeństwa informacji. Czy w 2018 roku zniknie funkcja administratora bezpieczeństwa informacji, a zastąpi go inspektor ochrony danych? Jakie zadania będzie wykonywać inspektor?

Ogólne rozporządzenie o ochronie danych osobowych wprowadza pojęcie inspektora ochrony danych (IOD). Tacy inspektorzy będą docelowo zastępować administratorów bezpieczeństwa informacji (nie będą więc działać razem, pojęcie administratora bezpieczeństwa informacji zniknie zupełnie z przepisów). Przy czym unijne rozporządzenie wyraźnie stanowi, kiedy należy powołać inspektora ochrony danych osobowych. Jeżeli na administratorze nie będzie ciążył obowiązek wyznaczenia inspektora wynikający z przepisów, będzie mógł go powołać fakultatywnie. Administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych zawsze, gdy:

• przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości lub
   
• główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę, lub
   
• główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 i art. 10 rozporządzenia.

Jak informuje GIODO: "W sektorze prywatnym przetwarzanie danych osobowych jest główną działalnością administratora, jeżeli oznacza jego zasadnicze, a nie poboczne czynności. Ocena kryterium dużej skali z pewnością będzie musiała być dokonywana w kontekście konkretnego stanu faktycznego (...) w poszczególnych przypadkach konieczne może być uwzględnienie proporcji, np. wielkości terytorium, na którym następować będzie przetwarzanie danych osobowych (im większe terytorium, tym większa liczba danych będzie podstawą uznania, że przetwarzanie odbywa się na dużą skalę)".

Inspektor ochrony danych może być członkiem personelu administratora albo podmiotu przetwarzającego lub wykonywać zadania na podstawie umowy o świadczenie usług.

Oprócz powierzonych mu zadań z zakresu ochrony danych osobowych może wykonywać inne zadania i obowiązki. Rozporządzenie stanowi, że jeżeli administrator lub podmiot przetwarzający jest organem lub podmiotem publicznym, dla kilku takich organów lub podmiotów można wyznaczyć jednego inspektora ochrony danych.

Rozporządzenie w art. 39 określa zadania inspektora ochrony danych. Należą do nich m.in.:

• informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy przepisów unijnego rozporządzenia,
   
• monitorowanie przestrzegania przepisów rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych,
   
• działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty.