Zastępca IOD na czas nieobecności inspektora ochrony danych osobowych - czy jego wyznaczenie jest konieczne

Zgodnie z art. 37 ust.1 ogólnego rozporządzenia o ochronie danych (RODO) każdy administrator danych oraz podmiot przetwarzający ma obowiązek wyznaczyć inspektora ochrony danych (IOD) w sytuacji, gdy:

· przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości,

· główna działalność administratora polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę;

· główna działalność administratora polega na przetwarzaniu na dużą skalę danych osobowych wrażliwych oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa.

Instytucja zastępcy inspektora ochrony danych została z kolei przewidziana w polskiej ustawie o ochronie danych osobowych. Ani RODO ani ta ustawa nie nakładają jednak na administratorów danych jak również procesorów obowiązku powołania zastępcy IOD na okres nieobecności inspektora, nawet jeśli wyznaczenie samego IOD jest w danym przypadku obowiązkowe.

Zastępca IOD według polskiej ustawy o ochronie danych osobowych

Z art. 11a ustawy o ochronie danych osobowych wynika jedynie tyle, że podmiot, który wyznaczył inspektora, może wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności. Jeśli jednak dokonano wyznaczenia takiego zastępcy, wtedy obowiązkowe staje się zgłoszenie tego wyznaczenia do Prezesa UODO.

Wiemy już, że przepisy RODO oraz ustawy o ochronie danych osobowych nie nakładają na administratorów danych ani na podmioty przetwarzające obowiązku powołania zastępcy IOD na okres nieobecności inspektora, nawet jeśli powołanie samego IOD jest obowiązkowe w samym podmiocie. Z drugiej strony powołanie takiego zastępcy jest oczywiście możliwe i dopuszczalne - czy to na stałe czy poprzez czasowe powierzenie jego zadań innemu pracownikowi.

Zgodnie z Wytycznymi Grupy Roboczej art. 29 dotyczącymi IOD w celu umożliwienia IOD realizacji jego zadań przydatne może być m.in. powołanie zespołu inspektora ochrony danych. W przypadku powołania takiego zespołu, jego struktura, podział i zakres obowiązków powinny zostać jasno ustalone. W skład takiego zespołu może oczywiście wchodzić zastępca IOD.