Właściciele niewielkich przedsiębiorstw często zakładają, że inspektor ochrony danych to wymóg dla korporacji. Inni z ostrożności kupują usługi IOD, choć przepisy wcale ich do tego nie zobowiązują. Obie postawy wynikają z tego samego nieporozumienia. RODO nie uzależnia obowiązku od liczby pracowników ani wysokości obrotów, tylko od tego, jakie dane firma przetwarza i w jakiej skali.
Kiedy wyznaczenie IOD jest obowiązkowe?
RODO przewiduje trzy sytuacje. Inspektora muszą wyznaczyć organy i podmioty publiczne, firmy, których główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę, oraz firmy przetwarzające na dużą skalę dane szczególnych kategorii, np. o zdrowiu, albo dane o wyrokach i czynach zabronionych.
Liczy się przy tym główna działalność, a nie czynności pomocnicze. Sklep internetowy, który wysyła newsletter i prowadzi kadry, zwykle nie musi mieć IOD. Obowiązek może natomiast dotyczyć kilkuosobowej firmy oferującej lokalizację GPS pojazdów tysiącom klientów albo małej sieci laboratoriów diagnostycznych.
Mit progu 250 pracowników
Liczba 250 pracowników pojawia się w RODO, ale w innym miejscu. Dotyczy zwolnienia z obowiązku prowadzenia rejestru czynności przetwarzania, i to tylko w ograniczonym zakresie. Z wyznaczeniem inspektora nie ma nic wspólnego, dlatego mała firma z branży medycznej czy monitoringowej nie może się na nią powoływać.
Co z gabinetem lekarskim i małą przychodnią?
Motywy RODO wskazują, że przetwarzanie danych pacjentów przez pojedynczego lekarza nie jest przetwarzaniem na dużą skalę. Jednoosobowy gabinet zwykle nie musi więc wyznaczać IOD. Inaczej bywa w przychodni z kilkoma poradniami i tysiącami pacjentów, gdzie ocenę trzeba przeprowadzić indywidualnie.
IOD z wyboru. Na co uważać?
Firma, która nie ma obowiązku, może wyznaczyć inspektora dobrowolnie. Wtedy stosuje się do niego te same zasady co do inspektora obowiązkowego, w tym niezależność, zakaz konfliktu interesów i zgłoszenie danych kontaktowych do Prezesa UODO w ciągu 14 dni. Jeśli przedsiębiorca chce jedynie mieć osobę koordynującą sprawy RODO, lepiej nazwać to stanowisko inaczej.
Czytaj też: Bezpieczeństwo danych osobowych – kompendium wiedzy
Niezależnie od decyzji warto udokumentować analizę, na podstawie której firma uznała, że obowiązek jej nie dotyczy. W razie kontroli pozwala to wykazać rozliczalność. Przy wątpliwościach dobrym rozwiązaniem są zewnętrzne usługi IOD, które obejmują zarówno ocenę obowiązku, jak i pełnienie funkcji inspektora bez zatrudniania dodatkowego pracownika.
Podsumowanie
Wielkość firmy nie przesądza o obowiązku wyznaczenia inspektora ochrony danych. Decyduje charakter i skala przetwarzania, a błędna ocena w którąkolwiek stronę oznacza niepotrzebne koszty albo ryzyko sankcji. Pomoc w analizie i obsługę inspektorską zapewnia między innymi Ratio-Go. Kilka godzin poświęconych na rzetelną ocenę pozwala uniknąć problemów przy kontroli.
Dodaj komentarz