Inspektor ochrony danych (IOD)
Inspektor ochrony danych (IOD) to osoba wyznaczona przez administratora lub podmiot przetwarzający, która doradza w sprawach ochrony danych osobowych, monitoruje przestrzeganie przepisów i jest punktem kontaktowym dla Prezesa UODO oraz osób, których dane dotyczą. Jego status i zadania określają art. 37-39 RODO, a w Polsce także ustawa o ochronie danych osobowych z 2018 r.
Kiedy trzeba wyznaczyć inspektora ochrony danych
O obowiązku decyduje rodzaj podmiotu i jego główna działalność, a nie liczba pracowników. Art. 37 RODO wskazuje trzy sytuacje:
- Podmiot publiczny - według polskiej ustawy to jednostki sektora finansów publicznych, instytuty badawcze i Narodowy Bank Polski. Inspektora ma więc urząd gminy, starostwo czy szkoła publiczna.
- Regularne i systematyczne monitorowanie osób na dużą skalę - na przykład operator telekomunikacyjny albo bank, który ocenia ryzyko kredytowe klientów.
- Dane szczególnych kategorii na dużą skalę, np. o zdrowiu, albo dane o wyrokach skazujących i czynach zabronionych - typowy przykład to szpital.
Lista płac i standardowa obsługa IT to działalność pomocnicza, więc same nie tworzą obowiązku. Firma może wyznaczyć IOD dobrowolnie. Wtedy, według wytycznych europejskich organów ochrony danych, stosuje te same zasady co przy wyznaczeniu obowiązkowym.
Co robi inspektor ochrony danych
Zadania wymienia art. 39 RODO. Inspektor informuje i doradza kierownictwu oraz pracownikom, monitoruje przestrzeganie przepisów i wewnętrznych polityk - w tym szkolenia i audyty - doradza przy ocenie skutków dla ochrony danych, współpracuje z Prezesem UODO i jest dla niego punktem kontaktowym. Może się do niego zwrócić każda osoba, której dane firma przetwarza. W praktyce IOD opiniuje nowe systemy i umowy powierzenia, przegląda rejestr czynności przetwarzania i pomaga ocenić, czy incydent trzeba zgłosić do UODO. Nie odpowiada jednak osobiście za zgodność z przepisami. Tę odpowiedzialność ponosi administrator.
Kto może być IOD - niezależność i konflikt interesów
Inspektorem może być pracownik albo osoba zewnętrzna działająca na podstawie umowy o świadczenie usług. Przepisy nie wymagają certyfikatu. Liczy się wiedza fachowa z prawa i praktyki ochrony danych. Inspektor nie dostaje instrukcji co do wykonywania zadań, nie może być za nie odwołany ani ukarany i podlega bezpośrednio najwyższemu kierownictwu. Może mieć inne obowiązki, ale bez konfliktu interesów. UODO wskazuje, że konflikt powstaje tam, gdzie ustala się cele i sposoby przetwarzania danych - u członka zarządu, dyrektora finansowego, kierownika HR czy kierownika IT. W sierpniu 2026 r. UODO poinformował o karze dla komornika, który przez pięć lat sam pełnił funkcję inspektora.
Inspektor ochrony danych a obieg dokumentów
Inspektor pyta o konkrety: kto ma dostęp do akt, gdzie leżą skany z numerem PESEL i czy da się to wykazać. System obiegu dokumentów odpowiada na te pytania zapisem, a nie deklaracją. Na platformie JobRouter®, którą wdraża e-MSI, dostęp wynika z ról, a każda operacja biznesowa może zostać zapisana z informacją, kto, kiedy i jakie działanie wykonał. Gdy dokument z danymi osobowymi ma trafić do publikacji lub na zewnątrz, anonimizacja dokumentów e-MSI wykrywa m.in. imiona i nazwiska, PESEL, NIP i adresy, a użytkownik zatwierdza zakres zaczernienia w workflow. Każda akcja jest rejestrowana, więc inspektor ma materiał do audytu.
Najczęstsze błędy przy wyznaczaniu IOD
- Brak zawiadomienia Prezesa UODO w ciągu 14 dni od wyznaczenia, odwołania lub zmiany danych inspektora.
- Powierzenie funkcji osobie, która sama decyduje o przetwarzaniu danych - prezesowi, kierownikowi HR lub IT.
- Dane kontaktowe inspektora nieopublikowane na stronie internetowej i pominięte w klauzulach informacyjnych.
- „Osoba od ochrony danych” nazwana inspektorem, choć nie ma jego statusu, czasu ani zasobów.
- Włączanie inspektora dopiero po wdrożeniu nowego systemu, a nie na etapie projektu.
Przykłady zastosowania
Urząd gminy jako jednostka sektora finansów publicznych wyznacza inspektora, w ciągu 14 dni elektronicznie zawiadamia Prezesa UODO i publikuje e-mail inspektora na swojej stronie.
Sieć przychodni przetwarza na dużą skalę dane o zdrowiu pacjentów. Funkcję IOD powierza zewnętrznemu specjaliście na podstawie umowy o świadczenie usług.
Dział kadr wdraża elektroniczne teczki pracownicze. Inspektor przed uruchomieniem opiniuje role dostępu, okres przechowywania dokumentów i treść klauzuli informacyjnej dla pracowników.
Pracownik wysyła skan umowy z numerem PESEL pod zły adres e-mail. Inspektor pomaga ocenić ryzyko i zdecydować, czy administrator musi zgłosić naruszenie do UODO w ciągu 72 godzin.
Grupa kapitałowa wyznacza jednego inspektora dla kilku spółek, z którym łatwo skontaktować się z każdej z nich. Każda spółka osobno zawiadamia Prezesa UODO o jego wyznaczeniu.
Najczęstsze pytania
Czym się zajmuje inspektor ochrony danych?
Doradza kierownictwu i pracownikom w sprawach ochrony danych osobowych, monitoruje przestrzeganie przepisów i wewnętrznych polityk, w tym szkolenia i audyty, doradza przy ocenie skutków dla ochrony danych oraz współpracuje z Prezesem UODO. Jest też punktem kontaktowym dla klientów, pracowników i innych osób, których dane przetwarza firma.
Czy IOD jest obowiązkowy?
Nie zawsze. Obowiązek mają podmioty publiczne, a w sektorze prywatnym firmy, których główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę danych szczególnych kategorii, np. o zdrowiu. Pozostali mogą wyznaczyć IOD dobrowolnie.
Kto może zostać inspektorem ochrony danych?
Może nim być pracownik firmy albo osoba z zewnątrz działająca na podstawie umowy o świadczenie usług. RODO wymaga wiedzy fachowej z prawa i praktyki ochrony danych, ale nie certyfikatu. Inspektorem nie powinna być osoba, która sama decyduje o celach i sposobach przetwarzania danych, np. członek zarządu, kierownik HR czy kierownik IT, bo powstaje konflikt interesów.
Jak zgłosić inspektora ochrony danych do UODO?
Elektronicznie, w ciągu 14 dni od wyznaczenia, przez biznes.gov.pl, e-Doręczenia albo ePUAP. Zawiadomienie zawiera imię i nazwisko inspektora oraz jego e-mail lub telefon, a także dane podmiotu, który go wyznaczył. Podpisuje je osoba uprawniona kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym.
Czym różni się IOD od ABI?
ABI, czyli administrator bezpieczeństwa informacji, działał na podstawie ustawy o ochronie danych osobowych z 1997 r. Osoba pełniąca tę funkcję 24 maja 2018 r. stała się z mocy prawa inspektorem do 1 września 2018 r., a dłużej, jeśli administrator do tego dnia zgłosił ją Prezesowi UODO. Inspektor ma zadania i gwarancje niezależności określone w RODO.
Czy inspektor ochrony danych odpowiada za naruszenia?
Nie osobiście. Za zgodność przetwarzania z przepisami odpowiada administrator lub podmiot przetwarzający, a inspektor doradza i monitoruje. Kary nakłada się na nich, np. za naruszenie obowiązków dotyczących inspektora - do 10 mln euro albo do 2% rocznego światowego obrotu przedsiębiorstwa, jeśli ta kwota jest wyższa. Większości jednostek sektora finansów publicznych grozi do 100 tys. zł.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
