Kto nie może być inspektorem ochrony danych: kara 12 tys. zł dla komornika

Wyobraź sobie małą firmę. Program do dokumentacji RODO pyta, kto jest inspektorem ochrony danych, a w biurze nie ma nikogo innego niż właściciel. Wpisuje więc siebie.

Na papierze wszystko się zgadza: jest administrator, jest inspektor, jest podpis.

Tyle że właściciel firmy to jedna z osób, które inspektorem być nie mogą. Komornik, który przez ponad pięć lat był inspektorem we własnej kancelarii, dostał za to 12 tys. zł kary, a razem z drugą karą 15,5 tys. zł. Wyjaśniam, kto nie może być inspektorem ochrony danych i dlaczego, co dokładnie zarzucił mu Urząd Ochrony Danych Osobowych (UODO) i jak naprawić złe wyznaczenie, zanim urząd zapyta o nie Ciebie.

Dlaczego administrator danych nie może być swoim inspektorem?

Bo inspektor ma sprawdzać decyzje o danych, a administrator je podejmuje. Administrator to Ty jako firma: decydujesz, po co i jak przetwarzasz dane klientów, pacjentów czy pracowników. Inspektor ochrony danych (IOD) ma Ci doradzać i monitorować, czy przestrzegasz RODO (art. 39 ust. 1 RODO).

Inspektor może mieć w firmie inne zadania, ale administrator musi dopilnować, żeby nie powodowały konfliktu interesów (art. 38 ust. 6 RODO). Trybunał Sprawiedliwości UE w wyroku z 9 lutego 2023 r. (C-453/21) wyjaśnił, że taki konflikt może istnieć, gdy inspektor dostaje zadania, przy których sam ustala cele i sposoby przetwarzania danych.

Jest też drugi powód, na który zwrócił uwagę urząd w opisanej niżej decyzji. Inspektor podlega bezpośrednio najwyższemu kierownictwu firmy (art. 38 ust. 3 RODO). Jeśli tym kierownictwem jest on sam, ten przepis traci sens.

Według UODO niedopuszczalne jest powołanie na inspektora osoby, która kieruje administratorem, np. członka zarządu spółki, dyrektora szkoły albo wójta, bo oceniałaby i monitorowała samą siebie. To stanowisko urząd przypomniał w decyzji o komorniku.

Kara 12 tys. zł dla komornika, który był swoim inspektorem

Sprawę opisuje decyzja Prezesa UODO z 29 lipca 2026 r. (DKN.5131.24.2025). W portalu orzeczeń UODO ma status nieprawomocnej.

Wszystko zaczęło się od zgłoszenia naruszenia ochrony danych z kwietnia 2023 r. W rubryce „Inspektor ochrony danych” komornik wpisał siebie. Tak samo przedstawił się w zawiadomieniu wysłanym do osoby, której dane dotyczyły naruszenia: jako kontakt podał siebie w roli inspektora ochrony danych.

Urząd zapytał więc, jak łączy te dwie funkcje.

Okazało się, że komornik był inspektorem we własnej kancelarii od 30 stycznia 2020 r. do 29 września 2025 r. W dokumentacji przygotowanej w programie do polityki bezpieczeństwa figurował jednocześnie jako administrator danych, inspektor i administrator systemu informatycznego. Analizę, czy takie połączenie jest dopuszczalne, zatwierdził sam.

Urząd uznał to za kolejny przykład konfliktu interesów: o tym, czy opinia o nim jest rzetelna, zdecydowała osoba, której ta opinia dotyczyła.

Jak tłumaczył się komornik i co odpowiedział urząd

• „Nie musiałem mieć inspektora”. Musiał. Komornik działa jako organ władzy publicznej, a takie podmioty muszą wyznaczyć inspektora (art. 37 ust. 1 lit. a RODO w związku z art. 9 ustawy o ochronie danych osobowych). Urząd dodał, że nawet przy dobrowolnym wyznaczeniu obowiązują wszystkie zasady z art. 37-39 RODO.
• „Formalnie inspektora nie było”. Urząd nazwał to argumentem rażąco nielogicznym. Kto przedstawia się jako inspektor wobec osób, których dane przetwarza, i wobec urzędu, nie może potem twierdzić, że tej funkcji nie pełnił.
• „W kancelarii pracuje jedna osoba, nie mam kogo wyznaczyć, a zewnętrzny inspektor nie byłby bardziej niezależny”. Urząd uznał tę argumentację za oczywiście błędną i nielogiczną. RODO pozwala, żeby inspektor wykonywał zadania na podstawie umowy o świadczenie usług, czyli był osobą z zewnątrz (art. 37 ust. 6 RODO).

Kary były dwie: 12 000 zł za konflikt interesów (art. 38 ust. 6 RODO) i 3 500 zł za to, że komornik nie zawiadomił urzędu o inspektorze (art. 37 ust. 7 RODO). Komornik należy do sektora finansów publicznych, więc jego kary są ograniczone do 100 tys. zł (art. 102 ust. 1 pkt 1 ustawy o ochronie danych osobowych). Kto jeszcze ma taki limit, opisaliśmy we wpisie Kara UODO dla szkoły, szpitala i biblioteki: kto ma limit 100 tys. zł, a kto 10 tys. zł.

Konflikt interesów IOD: kto jeszcze nie może być inspektorem?

Lista tego, kto nie może być inspektorem ochrony danych, nie kończy się na właścicielu firmy. Unijne wytyczne w sprawie inspektorów ochrony danych (WP243), przyjęte przez Grupę Roboczą Art. 29 (wspólne ciało unijnych urzędów ochrony danych sprzed RODO) i zatwierdzone przez Europejską Radę Ochrony Danych, w pkt 3.5 podają jako przykłady stanowisk, które zwykle kolidują z funkcją inspektora:

• dyrektora generalnego, dyrektora ds. operacyjnych, dyrektora finansowego i dyrektora ds. medycznych;
• kierownika działu marketingu;
• kierownika działu kadr;
• kierownika działu IT;
• niższe stanowiska, jeśli osoba na nich decyduje, po co i jak przetwarza się dane.

Liczy się to, co ktoś naprawdę robi, a nie nazwa stanowiska. Wytyczne każą to oceniać osobno w każdej organizacji, a UODO w specjalnym wydaniu swojego Biuletynu (styczeń 2025) dodaje, że przyczyny konfliktu mogą pojawić się także później, już po wyznaczeniu inspektora. Dlatego konflikt interesów trzeba sprawdzać stale, a nie tylko w dniu wyznaczenia.

Czy informatyk może być IOD?

Kierownik działu IT zwykle nie, bo jest na liście z wytycznych. Z informatykiem, który administruje systemami, też jest problem.

W tym samym wydaniu Biuletynu urząd pisze, że łączenie funkcji inspektora z funkcją administratora systemu informatycznego może być w konkretnych przypadkach niezgodne z RODO. Osoba, która konfiguruje konta i zabezpieczenia, nadzorowałaby wtedy własną pracę.

Kierownicy z listy wytycznych zwykle odpadają, bo w swoich działach decydują, po co i jak przetwarza się dane. Samo stanowisko kierownika nie przesądza sprawy: UODO pisze, że RODO wprost nie zakazuje łączenia funkcji inspektora i kierownika komórki. Przed takim wyznaczeniem trzeba jednak sprawdzić co najmniej trzy rzeczy: czy jako inspektor podlegałby bezpośrednio najwyższemu kierownictwu, czy inne obowiązki nie odbierają mu niezależności i czy ma dość czasu na zadania inspektora.

Inspektor jako pełnomocnik firmy: też konflikt interesów

Konflikt może wynikać nie tylko ze stanowiska, ale też z zadania, które dostaje inspektor. Wytyczne WP243 w tym samym pkt 3.5 podają taki przykład: zewnętrzny inspektor, którego firma prosi, żeby reprezentował ją przed sądem w sprawie dotyczącej ochrony danych.

UODO w Biuletynie UODO ze stycznia 2024 r., odpowiadając na pytanie, czy inspektor może jako pełnomocnik podpisać odpowiedź na żądanie dostępu do danych, napisał ogólnie: inspektor nie powinien być pełnomocnikiem administratora w sprawach z zakresu ochrony danych osobowych. Postępowanie przed UODO to też taka sprawa. Pełnomocnik działa według instrukcji i w interesie firmy, a inspektor ma działać niezależnie i nie przyjmować instrukcji (art. 38 ust. 3 RODO).

Z tego samego powodu za konflikt interesów urząd uznaje sytuację, w której inspektor na podstawie pełnomocnictwa podpisuje formularz zgłoszenia naruszenia albo pisma, w których firma zobowiązuje się do konkretnych działań.

Inspektor współpracuje z urzędem i jest dla niego punktem kontaktowym (art. 39 ust. 1 lit. d i e RODO), więc może pomóc z dokumentami i doradzić, co powinno się znaleźć w odpowiedzi. Odpowiada jednak firma: pismo podpisuje osoba, która ją reprezentuje, a jeśli firma ustanawia pełnomocnika, nie powinien nim być inspektor. Jak odpowiedzieć na takie pismo i co grozi za milczenie, opisaliśmy we wpisie Pismo z UODO: jak odpowiedzieć i kara za brak odpowiedzi.

Jak naprawić błędne wyznaczenie IOD i zgłoszenie do UODO

Komornik naprawił sytuację dopiero po kolejnym piśmie z urzędu: 29 września 2025 r. podpisał umowę z zewnętrznym inspektorem, a 3 października zawiadomił o nim UODO. Urząd uznał, że konflikt interesów ustał z dniem wyznaczenia nowego inspektora, a samo zawiadomienie potraktował jako okoliczność łagodzącą przy karze za brak zgłoszenia. Lepiej zrobić to samemu, zanim urząd zapyta:

Jeśli inspektora mieć nie musisz, a chcesz, żeby ktoś w firmie pilnował RODO, nie nazywaj go inspektorem. Wytyczne WP243, które urząd przywołał w decyzji, zalecają wtedy jasno poinformować, że ta osoba nie jest inspektorem w rozumieniu RODO. Jeśli jednak wyznaczysz inspektora dobrowolnie, obowiązują Cię wszystkie zasady, łącznie z zawiadomieniem urzędu.

Za samo niewyznaczenie obowiązkowego inspektora UODO też już karał: przykład z powiatowym inspektoratem nadzoru budowlanego jest we wpisie Kary za naruszenie RODO w Polsce: 4 sprawy małych podmiotów.

Najczęstsze pytania o to, kto może być inspektorem

Szukasz inspektora bez konfliktu interesów?

Pamiętaj: inspektorem nie może być ktoś, kto sam decyduje o danych, którymi ma się zajmować. Jeśli w Twojej firmie nie ma nikogo, kto spełnia ten warunek, zostaje inspektor z zewnątrz. Zobacz, jak działa u nas zewnętrzny IOD, albo napisz, a sprawdzimy, czy Twoje obecne wyznaczenie jest w porządku.