Inspektor danych osobowych w firmie: kiedy pracodawca musi go powołać

Zatrudniasz ludzi, więc masz ich teczki osobowe, listę płac, zwolnienia lekarskie, a czasem orzeczenia o niepełnosprawności. Łatwo z tego wyciągnąć wniosek, że inspektor danych osobowych w firmie to dla Ciebie obowiązek. Ale czy na pewno?

Zwykle nie. Samo zatrudnianie pracowników nie tworzy obowiązku powołania inspektora ochrony danych (IOD), bez względu na to, czy masz 5, czy 500 osób na liście płac. Liczy się to, kim jesteś jako pracodawca i z czego żyje Twoja firma. Poniżej znajdziesz trzy przesłanki z RODO, przykłady szkół, gabinetów i spółek komunalnych oraz to, co zrobić, gdy już wiesz, na czym stoisz.

Dane pracowników to nie powód do powołania IOD

Każda firma, która zatrudnia, prowadzi kadry i płace. RODO nie wymienia ich wśród powodów powołania inspektora. Wytyczne europejskich organów ochrony danych o inspektorach (WP243, polskie tłumaczenie na stronie Urzędu Ochrony Danych Osobowych) mówią, że prowadzenie listy płac i standardowa obsługa IT to zwykle działania wspierające, a nie główna działalność firmy.

Od pojęcia „główna działalność” zależą dwie z trzech przesłanek. RODO wyjaśnia, że chodzi o zasadniczą działalność firmy, a nie o przetwarzanie danych jako działalność pomocniczą (motyw 97 RODO). Piekarnia piecze chleb, warsztat naprawia samochody. Kadry są zapleczem tej pracy.

No dobra, ale zwolnienia lekarskie i orzeczenia to dane o zdrowiu, czyli dane szczególnej kategorii (art. 9 RODO). To prawda, tylko że przesłanka dotycząca takich danych działa wtedy, gdy ich przetwarzanie na dużą skalę JEST Twoją główną działalnością. Zakład produkcyjny, który trzyma w aktach zaświadczenia lekarskie, nie żyje z przetwarzania danych o zdrowiu.

Nie ma też progu liczby pracowników. Próg 250 zatrudnionych osób dotyczy w RODO rejestru czynności przetwarzania (art. 30 ust. 5), a nie inspektora.

Kiedy inspektora ochrony danych osobowych należy powołać? Trzy przesłanki z art. 37 RODO

Obowiązek wynika z art. 37 ust. 1 RODO. Odpowiedz sobie na trzy pytania. Wystarczy jedno „tak”, żeby IOD był obowiązkowy, a trzy razy „nie” oznacza, że go mieć nie musisz.

Kto jest podmiotem publicznym, rozstrzyga art. 9 ustawy o ochronie danych osobowych. Listę jednostek sektora finansów publicznych podaje z kolei art. 9 ustawy o finansach publicznych. Z pracodawców są to m.in. gminy i powiaty, jednostki budżetowe, samorządowe zakłady budżetowe, samodzielne publiczne zakłady opieki zdrowotnej (SP ZOZ), uczelnie publiczne oraz państwowe i samorządowe instytucje kultury, np. gminny dom kultury czy biblioteka.

Firma ochrony i szpital to przykłady z wytycznych WP243. Kamery na hali czy w biurze zwykle przesłanki z pytania 2 nie spełniają, bo monitoring jest tu dodatkiem do Twojej pracy, a nie Twoją główną działalnością (motyw 97 RODO).

IOD w szkole i przedszkolu: placówka samorządowa musi, prywatna zwykle nie

Szkoła i przedszkole prowadzone przez gminę albo powiat to zwykle jednostki budżetowe, czyli część sektora finansów publicznych. Urząd Ochrony Danych Osobowych (UODO) w poradniku RODO dla szkół pisze, że dyrektorzy szkół publicznych będących jednostkami budżetowymi muszą wyznaczyć inspektora i zawiadomić o tym Prezesa UODO. Poradnik pod słowem „szkoła” rozumie też przedszkole.

Dla dyrektora szkoły samorządowej IOD jest obowiązkiem nawet wtedy, gdy zatrudnia kilkunastu nauczycieli. Kilka szkół tej samej gminy może mieć jednego, wspólnego inspektora (art. 37 ust. 3 RODO), ale każda z nich go wyznacza i każda zawiadamia urząd (art. 10 ust. 5 ustawy o ochronie danych osobowych).

Inaczej jest w szkole i przedszkolu niepublicznym, prowadzonym np. przez fundację, spółkę albo osobę fizyczną. Takiej placówki nie ma w sektorze finansów publicznych, więc pytanie 1 odpada. Zostaje pytanie 3, a na nie odpowiedź zwykle brzmi „nie”, bo pojedyncza placówka nie przetwarza danych o zdrowiu na dużą skalę. Ostrożniej oceń placówkę specjalną, integracyjną albo terapeutyczną, w której dane o zdrowiu dzieci są częścią codziennej pracy.

Liczy się to, kto prowadzi placówkę, a nie to, czy ma status publicznej. Szkołę, także publiczną, może prowadzić inna osoba prawna niż samorząd albo osoba fizyczna (art. 8 ust. 1 i 2 Prawa oświatowego), a wtedy nie jest ona jednostką budżetową. Dotacja z gminy też tego nie zmienia.

Dane o zdrowiu: kiedy gabinet, przychodnia albo szpital musi mieć IOD

Jeśli prowadzisz placówkę medyczną, to dane o zdrowiu pacjentów są w centrum Twojej pracy. WP243 pokazuje to na przykładzie szpitala: leczenie nie jest możliwe bez historii choroby, więc przetwarzanie danych pacjentów należy do głównej działalności. Przy prywatnej placówce o obowiązku decyduje więc skala.

Gabinet jednego lekarza, stomatologa czy fizjoterapeuty zwykle IOD mieć nie musi. Motyw 91 RODO mówi, że przetwarzanie danych pacjentów przez pojedynczego lekarza albo innego pracownika służby zdrowia nie powinno być uznawane za przetwarzanie na dużą skalę. Jedno zastrzeżenie: WP243 przypomina, że ten motyw dotyczy oceny skutków dla ochrony danych (osobnej analizy ryzyka, którą RODO każe zrobić przed przetwarzaniem niosącym wysokie ryzyko), a nie wprost inspektora, więc to wskazówka, a nie zwolnienie.

Szpital to podręcznikowy przykład dużej skali, więc musi mieć IOD także wtedy, gdy działa jako spółka. Przychodnia działająca jako SP ZOZ musi go mieć z innego powodu: jest jednostką sektora finansów publicznych, więc rozmiar nie ma znaczenia.

Najtrudniej ocenić prywatną przychodnię z kilkoma lekarzami. Przepisy nie podają liczby pacjentów, od której zaczyna się duża skala. WP243 zaleca wziąć pod uwagę liczbę osób (także jako odsetek danej grupy społeczeństwa), zakres danych, jak długo są przetwarzane i zasięg geograficzny. Dla porządku: chodzi o dane pacjentów. Zwolnienia lekarskie Twoich pracowników niczego tu nie zmieniają.

Spółka komunalna jako pracodawca: obowiązek nie jest automatyczny

Wodociągi, przewoźnik miejski albo spółka od odpadów należą do gminy, więc wydaje się, że to „publiczne” i IOD musi być. Tymczasem spółek prawa handlowego nie ma w katalogu art. 9 ustawy o finansach publicznych, a pkt 14 tego artykułu wprost wyłącza je spośród innych państwowych i samorządowych osób prawnych. Spółka komunalna, np. spółka z o.o. w całości należąca do gminy, nie jest podmiotem publicznym w rozumieniu przepisów o inspektorze.

Uważaj na formę. Zakład gospodarki komunalnej działający jako samorządowy zakład budżetowy to już jednostka sektora finansów publicznych (art. 9 pkt 4 tej ustawy), więc IOD jest obowiązkowy.

Spółka komunalna sprawdza więc pytania 2 i 3, jak każda inna firma. Przewoźnik z imiennymi kartami miejskimi, które zapisują przejazdy, powinien zrobić to dokładnie, bo WP243 podaje właśnie takie dane jako przykład przetwarzania na dużą skalę. Te same wytyczne zalecają też inspektora, jako dobrą praktykę, firmom wykonującym zadania publiczne, np. w transporcie publicznym albo dostawie wody i energii. To zalecenie, a nie obowiązek.

Co zrobić po sprawdzeniu: notatka albo zgłoszenie IOD do UODO

Wyszło, że inspektora mieć nie musisz? WP243 zaleca, żebyś zapisał, jak do tego doszedłeś. Wystarczy krótka notatka: które przesłanki z art. 37 sprawdziłeś, dlaczego odpowiedź brzmi „nie” i kiedy wrócisz do oceny, np. gdy firma zacznie robić coś nowego. Przy kontroli taka kartka mówi więcej niż tłumaczenie z pamięci.

Uważaj na nazwę stanowiska. Jeśli dobrowolnie wyznaczysz IOD, obowiązują Cię te same zasady co przy obowiązkowym, łącznie ze zgłoszeniem do UODO i publikacją danych. A osoba, która tylko pomaga Ci w sprawach RODO, nie powinna nazywać się „inspektorem ochrony danych”, żeby nikogo nie wprowadzać w błąd (WP243). Pozostałe obowiązki z RODO zostają: o podpisach nowej osoby piszemy we wpisie Dokumenty RODO dla pracownika: podpisy pierwszego dnia i akta osobowe, a o szkoleniu załogi w tekście Szkolenie RODO obok BHP: jak często i jak dokumentować skuteczność.

Wyszło, że musisz? Wtedy:

• wyznacz inspektora - może to być Twój pracownik albo osoba z zewnątrz na umowie o świadczenie usług (art. 37 ust. 6 RODO);
• zawiadom Prezesa UODO w ciągu 14 dni od wyznaczenia, elektronicznie, z podpisem kwalifikowanym albo profilem zaufanym, podając m.in. imię, nazwisko oraz e-mail lub telefon inspektora (art. 10 ust. 1 ustawy o ochronie danych osobowych);
• niezwłocznie opublikuj te dane na swojej stronie internetowej, a jeśli jej nie masz, w ogólnie dostępny sposób w miejscu prowadzenia działalności (art. 11 tej ustawy).

Nie masz nikogo, kto mógłby tę funkcję pełnić bez konfliktu interesów, czyli kogoś, kto sam nie decyduje, po co i jak firma przetwarza dane? Może ją przejąć zewnętrzny Inspektor Ochrony Danych. A gdyby urząd kiedyś o to zapytał, zajrzyj do wpisu Pismo z UODO u pracodawcy: o co pyta urząd i jak odpowiedzieć.

Najczęstsze pytania o inspektora danych osobowych w firmie

Pamiętaj: zanim zapłacisz za inspektora albo zrezygnujesz z niego, odpowiedz sobie na trzy pytania z art. 37 i zapisz odpowiedzi na jednej kartce. Nie masz pewności, jak wypada Twoja firma? Napisz albo zadzwoń, sprawdzimy to razem.