IOD dla sklepu internetowego – obowiązkowy czy fakultatywny?

Administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze gdy:

• przetwarzania dokonują organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
• główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę; lub
• główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych (tzw. danych wrażliwych np. o stanie zdrowia), lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych (art. 37 ust. 1 RODO).

W pozostałych przypadkach wyznaczenie IOD zależy od decyzji administratora lub podmiotu przetwarzającego.

Co oczywiste firma prowadząca sklep internetowy nie jest podmiotem publicznym, co oznacza, że pierwszą z wymienionych przesłanek można z góry wykluczyć. Co do drugiej przesłanki, warto wskazać, że monitorowanie, o którym w niej mowa, ma obejmować osoby, których dotyczą dane osobowe przetwarzane w ramach głównej (zasadniczej) działalności administratora. Warto wyjaśnić, że taki przypadek dotyczy głównie agencji ochroniarskich prowadzących monitoring u innych podmiotów, ale nie tych podmiotów, nawet jeśli monitoring jest u nich prowadzony. Również ta przesłanka nie dotyczy IOD. Prowadzenie sklepu internetowego nie wiąże się też z przetwarzaniem szczególnych kategorii danych osobowych i danych dotyczących wyroków skazujących oraz czynów zabronionych, tym bardziej na dużą skalę.

Reasumując, wyznaczenie IOD w firmie prowadzącej sklep internetowy zależy od uznania danego podmiotu.