Materiały dla zarządów i osób odpowiedzialnych za zgodność w średnich i dużych organizacjach. Wyjaśniam, kiedy RODO wymaga wyznaczenia IOD, czego oczekiwać od tej funkcji i czym wykazać rozliczalność.
Stan prawny: sierpień 2026
Zobacz też: NIS2 i KSC Incydenty i naruszenia Szkolenia i warsztaty AI Act
Zewnętrzny IOD/DPO dla Twojej organizacjiOcena obowiązku, model funkcji i dowody rozliczalności zależą od tego, jak naprawdę wyglądają procesy. Zacznijmy od rozmowy o Twoich — bez zobowiązań i bez ofertowego wstępu. Poznaj usługę
RODO nie zawiera listy stanowisk wykluczonych z funkcji inspektora. Wykluczenie rozstrzygają trzy odrębne przepisy, a o konflikcie interesów nie przesądza nazwa stanowiska, tylko zakres decyzji o celach i sposobach przetwarzania. Ustalenie tej okoliczności należy do organizacji, nie do kandydata.
Rozporządzenie dopuszcza oba modele i stawia im te same wymagania. Wybór nie dotyczy zgodności, tylko warunków. Są to nakład pracy funkcji, konflikt interesów oraz dostępność i znajomość organizacji.
Zarząd powinien oczekiwać od inspektora ochrony danych obrazu stanu ochrony danych, a nie sprawozdania z czynności. Składa się na niego sześć obszarów — od planu pracy po warunki wykonywania funkcji. RODO nie ustala formatu raportu, ale przesądza, że przepływ informacji ma istnieć.
RODO nie wskazuje częstotliwości szkoleń. Rytm wyznaczają zmiany w procesach, rotacja, wnioski z incydentów i wyniki testów — a przy podmiotach objętych ustawą o KSC dochodzi twardy termin dla kierownictwa.
Obowiązek wyznaczenia inspektora ochrony danych powstaje w trzech przypadkach z art. 37 ust. 1 RODO. Żadna z przesłanek nie odwołuje się do wielkości organizacji — rozstrzyga charakter działalności i skala przetwarzania.
