Inspektor ochrony danych: kto musi go powołać, a kto nie

Prowadzisz prywatne przedszkole, gabinet albo pracujesz w spółce należącej do gminy i zastanawiasz się, czy musisz mieć inspektora ochrony danych? To zależy… i nie od samej branży. Inspektor ochrony danych (w skrócie IOD) pilnuje przestrzegania RODO w firmie albo urzędzie. To z nim kontaktuje się Urząd Ochrony Danych Osobowych (UODO) i ludzie, których dane przetwarzasz.

Przy szkołach, gabinetach i spółkach komunalnych o pomyłkę najłatwiej. W każdym z tych trzech przypadków znaleźliśmy niedawno błędną odpowiedź na to pytanie, sprawdzając z przepisami teksty o dokumentacji RODO, w tym gotowy poradnik. Wyjaśniam, kto naprawdę musi powołać inspektora, kto zwykle nie musi i co zrobić, gdy obowiązku nie masz.

Obowiązek powołania inspektora ochrony danych: trzy sytuacje z art. 37 RODO

RODO wymienia trzy sytuacje, w których inspektor jest obowiązkowy (art. 37 ust. 1 RODO). Poza nimi decyzja należy do Ciebie, chyba że obowiązek nakłada inny przepis (art. 37 ust. 4).

Kto jest „podmiotem publicznym”, mówi art. 9 ustawy o ochronie danych osobowych: to jednostki sektora finansów publicznych, instytuty badawcze i Narodowy Bank Polski. Kto należy do sektora finansów publicznych, wylicza art. 9 ustawy o finansach publicznych. Są tam m.in. gminy, powiaty i województwa, jednostki budżetowe, samorządowe zakłady budżetowe, Narodowy Fundusz Zdrowia, uczelnie publiczne, publiczne szpitale i przychodnie działające jako samodzielne publiczne zakłady opieki zdrowotnej oraz państwowe i samorządowe instytucje kultury.

W dwóch pozostałych sytuacjach decydują dwa pojęcia: główna działalność i duża skala. Główna działalność to według motywu 97 RODO (motywy to wstęp do rozporządzenia, który wyjaśnia, jak czytać przepisy) czynności zasadnicze, a nie poboczne. Wytyczne Grupy Roboczej Art. 29 w sprawie inspektorów ochrony danych (WP243), które przyjęła Europejska Rada Ochrony Danych, podają przykład: wypłata pensji czy obsługa informatyczna to zwykle czynności pomocnicze, nawet jeśli bez nich firma by nie działała. Dużej skali RODO nie definiuje liczbą. Wytyczne zalecają brać pod uwagę liczbę osób, ilość i zakres danych, to, jak długo i jak stale je przetwarzasz, oraz zasięg geograficzny przetwarzania (jedna miejscowość czy cały kraj).

Oba warunki muszą być spełnione naraz: Twoja działalność polega na takim przetwarzaniu albo nie da się jej bez niego prowadzić, i odbywa się ono na dużą skalę. Przy monitorowaniu musi ono być dodatkowo regularne i systematyczne.

Dlatego zwykłe kamery w sklepie czy biurze nie rodzą obowiązku IOD. Wytyczne wymieniają monitoring wizyjny wśród działań, które mogą być regularnym i systematycznym monitorowaniem, ale główną działalnością sklepu jest sprzedaż. Co innego firma ochroniarska, która pilnuje kamerami centrów handlowych. Tu obserwowanie ludzi jest podstawowym zajęciem i według wytycznych taka firma inspektora mieć musi. Kamery bez IOD też mają swoje obowiązki, opisujemy je we wpisie Tabliczka „obiekt monitorowany” to za mało: obowiązki z RODO i Kodeksu pracy.

Gdy obowiązek jest, a inspektora brak, grozi kara do 10 mln euro, a w przypadku przedsiębiorstwa do 2% jego rocznego światowego obrotu, jeśli ta kwota jest wyższa (art. 83 ust. 4 lit. a RODO). Jednostkom sektora finansów publicznych polska ustawa obniża górną granicę do 100 000 zł, a państwowym i samorządowym instytucjom kultury do 10 000 zł (art. 102 ustawy o ochronie danych osobowych).

Taka kara zdarza się także w małych urzędach. Powiatowy Inspektor Nadzoru Budowlanego w Częstochowie dostał 25 tys. zł za niewyznaczenie inspektora, a tę i trzy inne sprawy opisujemy we wpisie Kary za naruszenie RODO w Polsce: 4 sprawy małych podmiotów.

Czy szkoła i przedszkole muszą mieć inspektora ochrony danych?

Szkoła albo przedszkole prowadzone przez gminę, powiat, województwo albo ministra - tak. Według art. 4 ust. 1 ustawy o finansowaniu zadań oświatowych taka placówka jest jednostką budżetową, czyli jednostką sektora finansów publicznych. UODO potwierdza to w poradniku „Ochrona danych osobowych w szkołach i placówkach oświatowych”: dyrektorzy szkół publicznych będących jednostkami budżetowymi muszą wyznaczyć inspektora i zawiadomić o tym Prezesa UODO.

Szkoła, która wybiera inspektora z zewnątrz, może dostać oferty, które różnią się ponad 20 razy, tak jak w jednym z publicznych zapytań szkoły. Skąd ta różnica i co porównać, opisujemy w tekście Inspektor ochrony danych w szkole: ile kosztuje i co jest w cenie.

Prywatna szkoła czy przedszkole - zwykle nie. Placówka prowadzona przez osobę prywatną, spółkę, fundację albo stowarzyszenie nie jest jednostką budżetową, więc nie jest podmiotem publicznym w rozumieniu ustawy. To samo dotyczy szkoły publicznej, którą prowadzi np. stowarzyszenie albo osoba prywatna, a także szkoły niepublicznej z uprawnieniami szkoły publicznej.

Liczy się to, kto prowadzi placówkę, a nie to, czy ma w nazwie słowo „publiczna”.

Prywatna placówka musiałaby mieć IOD tylko w jednej z dwóch pozostałych sytuacji: gdyby jej główną działalnością było monitorowanie ludzi albo przetwarzanie danych szczególnych na dużą skalę. W zwykłym przedszkolu dane o zdrowiu, np. o alergiach czy zwolnieniach, pojawiają się przy okazji i dotyczą części dzieci, więc nie są ani główną działalnością, ani dużą skalą. Placówka specjalna, w której dokumenty o zdrowiu dzieci (np. orzeczenia o potrzebie kształcenia specjalnego) są codziennością, powinna przeanalizować to dokładniej i zapisać wynik.

Czy gabinet lekarski musi mieć IOD?

Dane o zdrowiu to dane szczególne (art. 9 ust. 1 RODO), więc wiele gabinetów zakłada, że inspektor jest dla nich obowiązkowy. Tymczasem i tu muszą być spełnione oba warunki: przetwarzanie danych o zdrowiu jest częścią Twojej głównej działalności i odbywa się na dużą skalę.

Pierwszy warunek w gabinecie zwykle jest spełniony, bo leczyć bez dokumentacji pacjentów się nie da. Ten sam argument wytyczne podają przy szpitalu. Rozstrzyga więc skala. Motyw 91 RODO mówi, że przetwarzanie danych pacjentów przez pojedynczego lekarza, innego pracownika służby zdrowia albo prawnika nie powinno być uznawane za przetwarzanie na dużą skalę. Wytyczne podają przykłady z obu stron: dane pacjentów u pojedynczego lekarza to nie jest duża skala, dane pacjentów, które szpital przetwarza na co dzień, już tak.

Pojedynczy gabinet zwykle nie musi mieć inspektora, szpital musi.

Między nimi jest szeroka szara strefa: przychodnia z kilkoma lekarzami, kilka gabinetów pod jedną marką, laboratorium. Progu liczbowego nie ma, więc bierzesz pod uwagę liczbę pacjentów, ilość i zakres danych, to, jak długo i jak stale je przetwarzasz, oraz zasięg geograficzny przetwarzania. Wytyczne zastrzegają też, że motyw 91 dotyczy oceny skutków dla ochrony danych, czyli osobnej analizy ryzyka wymaganej przy niektórych rodzajach przetwarzania (art. 35 RODO), a nie wprost inspektora, więc przy IOD nie musi działać dokładnie tak samo.

Osobna sprawa to placówki publiczne. Samodzielny publiczny zakład opieki zdrowotnej (SP ZOZ) jest jednostką sektora finansów publicznych (art. 9 pkt 10 ustawy o finansach publicznych), więc musi mieć inspektora bez względu na wielkość.

Gabinet bez IOD i tak przetwarza dane o zdrowiu i ma z tym obowiązki, np. przy stronie internetowej. Piszemy o tym we wpisie Piksel Facebooka na stronie gabinetu - dane o zdrowiu, zgoda, usunięcie, test.

Czy spółka komunalna musi mieć inspektora ochrony danych?

Nie automatycznie, choć twierdzenie, że musi, znaleźliśmy nawet w gotowym poradniku do dokumentacji RODO. Art. 9 pkt 14 ustawy o finansach publicznych zalicza do sektora finansów publicznych inne państwowe lub samorządowe osoby prawne utworzone na podstawie odrębnych ustaw do wykonywania zadań publicznych. Wprost wyłącza jednak z tej grupy spółki prawa handlowego. Spółka z o.o. albo spółka akcyjna należąca do gminy nie jest więc jednostką sektora finansów publicznych. Nie musi mieć IOD tylko dlatego, że jej właścicielem jest samorząd.

Uwaga na formę prawną. Gminne wodociągi czy zakład zieleni mogą działać jako spółka albo jako jednostka czy zakład budżetowy. Jednostka i zakład budżetowy należą do sektora finansów publicznych (art. 9 pkt 3 i 4), więc inspektora mieć muszą.

Spółka nadal może mieć obowiązek z jednej z dwóch pozostałych sytuacji. Wytyczne jako przykład przetwarzania na dużą skalę podają dane o przejazdach pasażerów komunikacji miejskiej, np. zbierane przez karty miejskie. Spółkom, które wykonują zadania publiczne, jak transport publiczny, dostawa wody i energii czy mieszkania komunalne, wytyczne zalecają inspektora jako dobrą praktykę, choć obowiązku nie ma. Mieszkańcy zwykle nie mają tam wyboru, komu oddają swoje dane.

Spółka komunalna sprawdza obowiązek tak samo jak prywatna firma, a jeśli wykonuje zadania publiczne, wytyczne zalecają jej inspektora.

Nie musisz mieć IOD. Co z RODO i tak musisz zrobić?

Brak obowiązku IOD nie zwalnia z niczego innego. Prywatne przedszkole, gabinet czy spółka bez inspektora mają te same obowiązki co wszyscy, a przede wszystkim muszą umieć wykazać, że przestrzegają przepisów (zasada rozliczalności, art. 5 ust. 2 RODO). W praktyce to m.in.:

• klauzule informacyjne dla osób, których dane zbierasz (art. 13 i 14);
• rejestr czynności przetwarzania (art. 30). Zwolnienie dla firm poniżej 250 osób nie obejmuje przetwarzania, które nie jest sporadyczne albo dotyczy danych szczególnych, a dane uczniów czy pacjentów przetwarzasz na co dzień;
• umowy powierzenia z firmami, które przetwarzają dane w Twoim imieniu, np. z dostawcą programu albo poczty (art. 28);
• zabezpieczenia dopasowane do ryzyka (art. 32), a w nich także zasady dostępu pracowników do danych. O tym, czym grozi brak podpisanych upoważnień, piszemy we wpisie Upoważnienie do przetwarzania danych osobowych: pracownik odszedł bez podpisu;
• zgłoszenie naruszenia do UODO bez zbędnej zwłoki, najpóźniej w 72 godziny od jego stwierdzenia (spóźnione zgłoszenie trzeba uzasadnić), chyba że naruszenie raczej nie stworzy ryzyka dla ludzi, których dane dotyczą (art. 33).

Zapisz też, dlaczego inspektor nie jest Ci potrzebny. Wytyczne zalecają udokumentowanie takiej analizy, chyba że brak obowiązku jest oczywisty. Analizę odświeżasz, gdy zaczynasz nową działalność, a urząd może o nią poprosić.

Możesz też wyznaczyć inspektora dobrowolnie. Wtedy obowiązują wszystkie zasady z art. 37-39 RODO, tak jakby to był obowiązek: niezależność inspektora, zasoby do pracy, publikacja jego danych kontaktowych i zawiadomienie Prezesa UODO. Jeśli chcesz tylko kogoś, kto zajmuje się sprawami RODO w firmie, nie nazywaj go inspektorem. Wytyczne każą wtedy jasno mówić pracownikom, urzędowi i klientom, że to nie jest IOD.

Niezależność oznacza też, że inspektorem nie może być osoba, która sama decyduje o danych, i właśnie za to UODO ukarał komornika, o czym piszemy we wpisie Kto nie może być inspektorem ochrony danych: kara 12 tys. zł dla komornika.

Najczęstsze pytania o inspektora ochrony danych

Pamiętaj: o obowiązku IOD decyduje to, kto prowadzi placówkę i czym się głównie zajmujesz, a nie sama branża. Szkoła gminna musi, prywatna zwykle nie. Szpital musi, pojedynczy gabinet zwykle nie. Spółka komunalna nie musi z automatu.

Gdy z analizy wyjdzie, że inspektora mieć musisz, a nie chcesz tworzyć na to etatu, zajrzyj do naszej oferty zewnętrzny IOD. Gdy wyjdzie, że nie musisz, zacznij od tego, co obowiązuje wszystkich, czyli dokumentacji RODO.