Dlaczego warto mieć u swego boku IOD-a, gdy przyjdzie kontroler UODO?
Finansowa kara administracyjna za naruszenie przepisów RODO to koszmar każdego administratora danych. Zanim jednak PUODO zdecyduje o nałożeniu kary, przeprowadzi szczegółową kontrolę. Udział inspektora ochrony danych osobowych podczas takiej kontroli może okazać się kluczowy. Dlaczego? Tego dowiesz się z najnowszego komentarza praktycznego w LEX Ochrona Danych Osobowych.
Coraz więcej skarg
W ciągu roku od momentu obowiązku stosowania RODO (tj. od 25 maja 2018 do 25 maja 2019 r.) do Urzędu Ochrony Danych Osobowych wpłynęło ponad 8000 skarg (dla porównania w całym 2017 r. wpłynęło ich 2950). W tym samym czasie administratorzy zgłosili ponad 4500 naruszeń ochrony danych osobowych, o których mowa w art. 33 RODO. Nie każda skarga złożona na działanie administratora danych zakończy się kontrolą, ale zdecydowanie zwiększa na nią szansę.
Do tego dochodzą jeszcze tzw. planowane kontrole, realizowane w oparciu o plan kontroli udostępniany przez UODO na początku roku. Nietrudno więc trafić na listę kontrolowanych podmiotów, w szczególności jeśli przetwarzamy dane osobowe na dużą skalę.
Gdy przyjdzie pismo z Urzędu
Otrzymanie przez administratora danych pisma z urzędu z prośbą o złożenie wyjaśnień, to pierwszy sygnał, że UODO skierował na nas swoją uwagę. To także ten moment, w którym takie pismo warto pokazać naszemu inspektorowi danych osobowych. Pomoże on zrozumieć, czego właściwie oczekuje od administratora UODO, a także podpowie jak udzielić właściwej odpowiedzi organowi nadzorczemu i jakie można już na tym etapie podjąć działania prewencyjne. Należy jednak pamiętać, że odpowiedzi na pismo udziela nie inspektor ochrony danych, ale administrator danych. Obowiązki IOD-a ograniczają się do doradztwa oraz czynności technicznych związanych z przygotowaniem odpowiedzi.
Prezes UODO nakazuje, IOD pomaga
Wskutek toczącego się przed organem nadzorczym postępowania, administrator może zostać zobowiązany do dokonania określonych czynności przez UODO. Nie zawsze jednak wie on, w jaki sposób zrealizować nakaz w prawidłowy sposób. Inspektor ochrony danych pomaga administratorowi we właściwym postępowaniu nie tylko poprzez przekazywanie zaleceń, ale też poprzez faktyczne wsparcie przy realizowaniu określonych czynności (np. poprzez opracowanie właściwych procedur postępowania, przygotowanie planu działania, przeprowadzenie analizy ryzyka czy oceny skutków). Kluczowe jest, aby każde działanie było dokumentowane, dzięki temu w przyszłości administrator będzie mógł wykazać podjęcie niezbędnych działań w tym obszarze.
ADO i IOD vs UODO
Wszczęcie kontroli to moment krytyczny, kiedy wsparcie IOD-a wydaje się być niezbędne. Po pierwsze, IOD przygotowuje samego administratora danych oraz jego pracowników do nadchodzącej kontroli, przybliża im przebieg kontroli, uprawnienia kontrolerów i inne istotne dla nich informacje. Ponadto IOD może fizycznie towarzyszyć administratorowi i kontrolerom podczas podejmowanych czynności kontrolnych, a także może być punktem kontaktowym dla kontrolerów.
Czy kontrola bez obecności inspektora ma sens?
Odpowiedź na to pytanie znajdziesz w najnowszym komentarzu praktycznym z cyklu "Okiem IOD-a" pt. Udział i rola IOD w kontrolach prowadzonych przez Prezesa UODO.
Autorką cyklu komentarzy jest Sylwia Czub-Kiełczewska - ekspert do spraw ochrony danych osobowych, szkoleniowiec, certyfikowany audytor wewnętrzny PN-ISO/IEC 27001. Wykładowca akademicki. Posiada wieloletnie zkuw koordynacji procesów bezpieczeństwa danych. Jest to nie tylko jej praca, ale także pasja: prowadzi popularnego bloga Sylwia Czub bloguje o danych osobowych (sylwiaczub.pl). Przez ponad 6 lat była związana zawodowo z Instytutem Książki, w którym koordynowała procesy bezpieczeństwa danych. Przeprowadziła kilkaset szkoleń ze stosowania przepisów o ochronie danych osobowych. Od 2014 roku prowadzi stałą kolumnę o ochronie danych osobowych w branżowym czasopiśmie "Bibliotekarz". Obecnie wspiera swoją wiedzą i doświadczeniem procesy ochrony informacji w spółkach kapitałowych, agencjach reklamowych, jednostkach samorządowych. Świadczy także usługi zewnętrznego Inspektora Ochrony Danych.
Zobacz także
Kto jest w praktyce odpowiedzialny za rozliczalność według RODO?
Polecam,
Alicja Plichta
redaktor naczelna działu Biznes
product manager Ochrona Danych Osobowych