Compliance & Governance
Inspektor ochrony danych (IOD, ang. DPO) w outsourcingu, zgodnie z art. 37–39 RODO (GDPR): niezależna i stale obecna funkcja, która informuje zarząd, monitoruje zgodność oraz prowadzi dialog z włoskim organem ochrony danych (Garante) i z osobami, których dane dotyczą, bez obciążania struktury wewnętrznej.
Co robimy
Sprawdzamy, czy wyznaczenie IOD jest obowiązkowe (art. 37), czy tylko wskazane; przygotowujemy akt wyznaczenia z zakresem zadań i gwarancjami niezależności oraz w imieniu administratora zgłaszamy jego dane kontaktowe do Garante (art. 37 ust. 7).
Wydajemy pisemne opinie dotyczące nowych czynności przetwarzania, projektów, umów z dostawcami oraz pytań zgłaszanych przez poszczególne działy, wskazując ryzyka, podstawy prawne i odpowiednie środki (art. 39 ust. 1 lit. a).
Planujemy okresowe weryfikacje rejestru czynności przetwarzania, klauzul informacyjnych, upoważnień, środków bezpieczeństwa i okresów przechowywania danych; dokumentujemy wyniki i wspólnie z osobami odpowiedzialnymi za poszczególne obszary monitorujemy realizację działań korygujących.
Włączamy się w oceny skutków dla ochrony danych (DPIA, art. 35), wydając uzasadnioną opinię o niezbędności przetwarzania, metodyce i środkach ograniczających ryzyko, oraz monitorujemy ich przebieg zgodnie z art. 39 ust. 1 lit. c.
Jesteśmy punktem kontaktowym dla osób, których dane dotyczą, i wspieramy administratora w ocenie naruszeń, w zgłoszeniu do Garante, gdy zachodzą przesłanki (art. 33, w miarę możliwości w ciągu 72 godzin), oraz w odpowiedziach na żądania związane z wykonywaniem praw.
Współpracujemy z organem nadzorczym w przypadku zapytań, skarg lub kontroli i przedstawiamy zarządowi roczne sprawozdanie obejmujące wykonane działania, zidentyfikowane ryzyka oraz priorytety na kolejny rok.
Rozporządzenie (UE) 2016/679 (RODO, ang. GDPR) poświęca inspektorowi ochrony danych (IOD, ang. Data Protection Officer) trzy artykuły. Art. 37 określa, kiedy wyznaczenie jest obowiązkowe. Chodzi o trzy przypadki: organy i podmioty publiczne; regularne i systematyczne monitorowanie osób, których dane dotyczą, na dużą skalę jako główna działalność; przetwarzanie na dużą skalę, również jako główna działalność, szczególnych kategorii danych (art. 9) lub danych dotyczących wyroków skazujących i czynów zabronionych (art. 10). Art. 38 definiuje jego status: włączanie w odpowiednim czasie we wszystkie sprawy dotyczące danych osobowych, odpowiednie zasoby, brak instrukcji dotyczących wykonywania zadań, zakaz odwołania lub karania za ich wypełnianie, bezpośrednia podległość najwyższemu kierownictwu, obowiązek zachowania tajemnicy oraz brak konfliktu interesów. Art. 39 wymienia jego zadania: informowanie i doradzanie, monitorowanie przestrzegania rozporządzenia, wydawanie opinii w sprawie oceny skutków, współpraca z organem nadzorczym i pełnienie funkcji punktu kontaktowego.
Dane kontaktowe IOD muszą zostać opublikowane i zgłoszone do Garante, włoskiego organu ochrony danych osobowych, za pośrednictwem dedykowanej procedury online; pojawiają się także w klauzulach informacyjnych, w rejestrze czynności przetwarzania i w zgłoszeniach naruszeń. Wytyczne WP243 Grupy Roboczej Art. 29, przyjęte przez EDPB, oraz FAQ Garante wyjaśniają pojęcia „dużej skali”, „głównej działalności” i „regularnego oraz systematycznego monitorowania”. Art. 37 ust. 6 wyraźnie przewiduje, że IOD może być podmiotem zewnętrznym wykonującym swoje zadania na podstawie umowy o świadczenie usług; WP243 zalecają, aby w przypadku, gdy funkcję tę powierzono spółce, wskazać jedną osobę odpowiedzialną za kontakt z klientem.
Dla przedsiębiorstwa konsekwencje są bardzo konkretne. Brak wyznaczenia, gdy jest ono wymagane, albo wyznaczenie wyłącznie formalne – z IOD pozbawionym zasobów lub pozostającym w konflikcie interesów – należy do naruszeń zagrożonych karą do 10 milionów euro albo 2% całkowitego rocznego światowego obrotu (art. 83 ust. 4). Wyznaczanie i status IOD były ponadto przedmiotem skoordynowanego działania nadzorczego europejskich organów ochrony danych.
Wyznaczenie IOD nie jest formalnością, którą wystarczy odłożyć do akt: powołuje funkcję, która musi być obecna wtedy, gdy przedsiębiorstwo podejmuje decyzje dotyczące danych. Dlatego budujemy usługę jako stałe wsparcie kierownictwa i działów operacyjnych, z planem działań ustalanym na początku współpracy i poddawanym przeglądowi każdego roku.
Każde działanie odnotowujemy w rejestrze działań IOD: wydane opinie, otrzymane zapytania, przeprowadzone weryfikacje, ich wyniki i działania korygujące. To narzędzie pozwala administratorowi wykazać, w razie kontroli lub skargi, że IOD był włączany w prace i że wybory były przemyślane, także wtedy, gdy zarząd zdecydował inaczej, niż rekomendowaliśmy.
Usługa łączy kompetencje prawne i techniczne. Czytamy umowy z dostawcami i klauzule dotyczące przekazywania danych, ale potrafimy również ocenić logi, konfiguracje i środki bezpieczeństwa oraz rozmawiać z działem IT bez pośredników. Gdy przedsiębiorstwo posiada Model 231 (model organizacji, zarządzania i kontroli na podstawie włoskiego dekretu ustawodawczego 231/2001), podlega przepisom NIS2 (włoski dekret ustawodawczy nr 138/2024 wdrażający dyrektywę) lub wdraża system zarządzania ISO/IEC 27001:2022, koordynujemy działania IOD z tymi systemami i wymaganiami: przepływy informacji do Organismo di Vigilanza (OdV, organu nadzorczego przewidzianego we włoskim dekrecie ustawodawczym 231/2001) w zakresie przestępstw informatycznych, jedna procedura obsługi incydentów i naruszeń, jeden rejestr dostawców.
Nasza metoda
Ustalamy, czy wyznaczenie IOD jest obowiązkowe, jaki jest zakres czynności przetwarzania i – w ramach pierwszego przeglądu – jak wygląda istniejąca dokumentacja; wspólnie z kierownictwem określamy model nadzoru dopasowany do wielkości przedsiębiorstwa.
Przygotowujemy akt wyznaczenia i umowę o świadczenie usług, zajmujemy się zgłoszeniem do Garante, które podpisuje administrator, wprowadzamy dane kontaktowe IOD do klauzul informacyjnych i rejestru oraz przedstawiamy tę funkcję osobom odpowiedzialnym za poszczególne obszary.
Analizujemy rejestr czynności przetwarzania, DPIA, procedury i umowy z dostawcami; wskazujemy luki i obszary wymagające poprawy oraz ustalamy roczny plan działań z priorytetami, osobami odpowiedzialnymi i terminami.
Spotykamy się z osobami kontaktowymi w poszczególnych obszarach z ustaloną częstotliwością, wydajemy opinie na wniosek, prowadzimy weryfikacje wyrywkowe, wspieramy przedsiębiorstwo przy naruszeniach ochrony danych i żądaniach osób, których dane dotyczą, oraz szkolimy pracowników.
Przedstawiamy zarządowi roczne sprawozdanie obejmujące wykonane działania, ryzyka rezydualne i rekomendacje; poddajemy plan przeglądowi w świetle nowych przepisów i zmian organizacyjnych.
Korzyści
Efekty pracy
Częste pytania
Tak, w trzech przypadkach wskazanych w art. 37 RODO: podmioty publiczne; regularne i systematyczne monitorowanie na dużą skalę jako główna działalność; przetwarzanie na dużą skalę, również jako główna działalność, szczególnych kategorii danych lub danych dotyczących wyroków skazujących. Wątpliwości pojawiają się w przypadku podmiotów, które profilują klientów, korzystają z geolokalizacji flot pojazdów lub przetwarzają dane dotyczące zdrowia: tu decydują kryteria „dużej skali” i „głównej działalności” z Wytycznych WP243. W pozostałych przypadkach wyznaczenie jest dobrowolne, ale do IOD wyznaczonego dobrowolnie stosuje się w całości art. 37–39. Naszą ocenę przekazujemy na piśmie, także wtedy, gdy przedsiębiorstwo postanawia nie wyznaczać IOD.
IOD nie może znajdować się w konflikcie interesów: osoba, która decyduje o celach i sposobach przetwarzania, nie może pełnić tej funkcji, a wyznaczony pracownik i tak wymaga szkolenia, czasu i zasobów oraz ochrony przed odwołaniem i karami (art. 38). Zewnętrznego IOD łączy z administratorem umowa o świadczenie usług, a nie podległość służbowa; współpracuje on z wyznaczoną w firmie osobą kontaktową. Przedsiębiorstwo zachowuje kontrolę nad własnymi danymi i zyskuje nadzór, który nie zależy od wewnętrznych układów organizacyjnych.
Bieżące zadania IOD: zaplanowane spotkania z osobami kontaktowymi, opinie, weryfikacje wyrywkowe, prowadzenie rejestru działań, wsparcie przy naruszeniach ochrony danych i żądaniach osób, których dane dotyczą, relacje z Garante oraz sprawozdanie roczne. Liczbę dni i częstotliwość spotkań określa oferta. Projekty dostosowawcze, takie jak opracowanie od podstaw rejestru i procedur, wyceniane są odrębnie, przy zachowaniu rozdziału między osobami, które projektują środki, a tymi, które nadzorują ich wdrożenie.
Nie. Odpowiedzialność za zgodność pozostaje po stronie administratora (art. 5 ust. 2 i art. 24 RODO), a w zakresie własnych obowiązków – po stronie podmiotu przetwarzającego (art. 28). IOD informuje, doradza i monitoruje; decyzje podejmuje zarząd. Dlatego dokumentujemy opinie i rekomendacje: jeżeli przedsiębiorstwo postanowi ich nie realizować, decyzja i jej uzasadnienie pozostają udokumentowane i możliwe do obrony.
Nie. Art. 37 ust. 2 pozwala grupie przedsiębiorstw wyznaczyć jednego IOD, pod warunkiem że jest on łatwo dostępny z każdej jednostki organizacyjnej. Przygotowujemy akty wyznaczenia dla każdego administratora w grupie, zajmujemy się odpowiednimi zgłoszeniami do Garante i organizujemy nadzór z uwzględnieniem specyfiki każdej spółki.
Usługi powiązane
Dostosowanie do rozporządzenia (UE) 2016/679 i włoskiego Kodeksu ochrony danych osobowych: audyt, rejestr czynności przetwarzania, DPIA, polityki i szkolenia.
Dowiedz się więcejModele organizacji, zarządzania i kontroli zgodne z włoskim dekretem ustawodawczym 231/2001, ocena ryzyka przestępstw źródłowych i wsparcie dla Organismo di Vigilanza (OdV).
Dowiedz się więcejTechniczne weryfikacje bezpieczeństwa sieci, aplikacji i infrastruktury: wykrywamy podatności, zanim zrobi to atakujący.
Dowiedz się więcejPorozmawiajmy
Prosimy opowiedzieć o priorytetach Państwa firmy: podczas pierwszego spotkania bez zobowiązań analizujemy sytuację i proponujemy konkretną ścieżkę, z terminami i mierzalnymi rezultatami.