Jak ustalić, czy organizacja musi wyznaczyć IOD?

Dlaczego to pytanie w ogóle powstaje

Przesłanki z art. 37 ust. 1 RODO są celowo nieostre. Rozporządzenie nie definiuje ani „głównej działalności”, ani „dużej skali”, ani „regularnego i systematycznego monitorowania” — te pojęcia doprecyzowały dopiero wytyczne Grupy Roboczej Art. 29, zatwierdzone następnie przez Europejską Radę Ochrony Danych. Urząd Ochrony Danych Osobowych, odpowiadając na pytania o konkretne branże, konsekwentnie odmawia podania uniwersalnego progu i wskazuje, że ocenę przeprowadza sam administrator.

Dla organizacji oznacza to sytuację nietypową. Przepis nakłada obowiązek, ale nie daje testu, który dałoby się przejść mechanicznie. Wynik zależy od tego, co organizacja robi i w jakiej skali, a nie od tego, jak duża jest.

Pytanie wraca zwykle w trzech momentach. Dzieje się tak przy uruchamianiu nowej usługi opartej na danych, przy zmianie struktury organizacyjnej albo wtedy, gdy ktoś z zewnątrz — klient, ubezpieczyciel, audytor — pyta o dane kontaktowe inspektora i okazuje się, że nikt nie potrafi wskazać, na jakiej podstawie organizacja go nie ma.

Co trzeba ustalić przed decyzją

Analiza ma trzy kroki odpowiadające trzem przesłankom, plus dwa pytania kontrolne. Przechodź je w kolejności — pierwsza przesłanka jest rozstrzygająca i nie wymaga oceny skali.

1. Czy organizacja jest organem lub podmiotem publicznym

Pierwsza przesłanka działa niezależnie od skali przetwarzania. Jeżeli przetwarzania dokonuje organ lub podmiot publiczny, IOD jest obowiązkowy. RODO wyłącza z tego wyłącznie sądy w zakresie sprawowania wymiaru sprawiedliwości.

Polskie prawo doprecyzowuje ten krąg. Zgodnie z art. 9 ustawy z 10 maja 2018 r. o ochronie danych osobowych podmiotami publicznymi obowiązanymi do wyznaczenia inspektora są jednostki sektora finansów publicznych, instytuty badawcze oraz Narodowy Bank Polski. Ta lista rozstrzyga wątpliwości, które w innych państwach członkowskich pozostają otwarte, i zamyka temat dla większości organizacji publicznych — dalsza analiza skali nie jest im potrzebna.

2. Czy główna działalność wymaga monitorowania osób na dużą skalę

Druga przesłanka nie wymaga, by monitorowanie samo w sobie było główną działalnością — wystarczy, że główna działalność go wymaga ze względu na swój charakter, zakres lub cele. Ocenić trzeba trzy elementy naraz i wszystkie muszą wystąpić łącznie.

Główna działalność to — zgodnie z wytycznymi — kluczowe operacje niezbędne do osiągnięcia celów organizacji, a nie czynności pomocnicze. Przetwarzanie danych pracowników na potrzeby kadr i płac jest działalnością pomocniczą w niemal każdej organizacji, nawet dużej. Inaczej jest tam, gdzie przetwarzanie danych jest nierozerwalnie związane z usługą. Firma ochrony prowadząca monitoring obiektów albo szpital prowadzący dokumentację medyczną nie mogą świadczyć swojej usługi bez przetwarzania danych, więc jest ono elementem działalności głównej.

Regularne i systematyczne monitorowanie oznacza działanie powtarzalne i zorganizowane — prowadzone w określonych odstępach, ciągłe albo okresowe, według przyjętego planu zbierania danych. Wytyczne wskazują tu między innymi śledzenie zachowań w internecie, profilowanie, reklamę behawioralną i programy lojalnościowe.

Duża skala nie ma progu liczbowego. Wytyczne każą ważyć cztery czynniki. Są to liczba osób, których dane dotyczą, zakres i różnorodność przetwarzanych danych, czas trwania przetwarzania oraz zasięg geograficzny. Wśród przykładów przetwarzania na dużą skalę wymieniają szpitale, operatorów telekomunikacyjnych, systemy geolokalizacji, ubezpieczycieli i wyszukiwarki internetowe.

Wynik tego kroku bywa niejednoznaczny i to jest normalne. Istotne jest, żeby cztery czynniki zostały rzeczywiście ocenione, a ocena zapisana.

3. Czy główna działalność polega na przetwarzaniu szczególnych kategorii danych na dużą skalę

Trzecia przesłanka obejmuje szczególne kategorie danych, o których mowa w art. 9 RODO — w tym dane o zdrowiu, biometryczne i dotyczące przynależności związkowej — oraz dane osobowe dotyczące wyroków skazujących i czynów zabronionych, o których mowa w art. 10 RODO, przetwarzane na dużą skalę w ramach głównej działalności.

Tu najczęściej pojawia się pytanie z ochrony zdrowia. Odpowiadając na pytanie o niepubliczny podmiot leczniczy obsługujący około dwóch tysięcy pacjentów, UODO nie podał rozstrzygnięcia, lecz wskazał punkty odniesienia z wytycznych. Szpital jest przykładem przetwarzania na dużą skalę, a przetwarzanie przez pojedynczego lekarza wykonującego praktykę indywidualną — nie. Między tymi biegunami organizacja musi ocenić własną sytuację sama, uwzględniając charakter działalności i skalę dokumentacji, i wracać do tej oceny, gdy skala się zmienia.

4. Czy obowiązek nie wynika z innego przepisu

Art. 37 ust. 4 RODO dopuszcza, by obowiązek wyznaczenia inspektora wynikał z prawa Unii lub prawa krajowego także w przypadkach nieobjętych ustępem 1. Zanim zamkniesz analizę wynikiem negatywnym, sprawdź przepisy sektorowe właściwe dla swojej branży.

Odróżnij przy tym IOD od ról wprowadzanych przez inne reżimy. Ustawa o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów kluczowych i ważnych wyznaczenia co najmniej dwóch osób odpowiedzialnych za utrzymywanie kontaktów z podmiotami krajowego systemu cyberbezpieczeństwa; jedna osoba wystarcza wyłącznie u mikro- i małego przedsiębiorcy oraz w podmiocie ważnym będącym podmiotem publicznym. To osobny obowiązek, o innej podstawie i innym zakresie — jego wykonanie nie zastępuje wyznaczenia inspektora ochrony danych, a wyznaczenie inspektora nie zwalnia z tamtego obowiązku.

5. Czy analizę przeprowadzono osobno dla roli administratora i podmiotu przetwarzającego

Art. 37 ust. 1 RODO adresuje obowiązek zarówno do administratora, jak i do podmiotu przetwarzającego. Organizacja, która świadczy usługi dla innych — hosting, obsługę kadrową, archiwizację, utrzymanie systemów — ocenia przesłanki także dla przetwarzania wykonywanego na cudze zlecenie. Zdarza się, że wynik jest różny dla obu ról. Podmiot nie ma obowiązku jako administrator własnych danych, ale ma go jako procesor obsługujący dane na dużą skalę dla klientów. Osobną decyzją organizacyjną jest liczba inspektorów. Grupa przedsiębiorstw może wyznaczyć jednego inspektora, o ile można łatwo nawiązać z nim kontakt z każdej jednostki organizacyjnej (art. 37 ust. 2), a kilka organów lub podmiotów publicznych — wspólnego inspektora, z uwzględnieniem ich struktury organizacyjnej i wielkości (art. 37 ust. 3).

Trzy możliwe wyniki analizy

Wynik	Co z niego wynika	Co musi powstać
Co najmniej jedna przesłanka spełniona	Wyznaczenie IOD jest obowiązkowe	Dokument wyznaczenia, zawiadomienie Prezesa UODO, publikacja danych, zapewnienie warunków wykonywania funkcji
Przesłanki niespełnione, organizacja wyznacza IOD dobrowolnie	Przyjmuje się, że do inspektora wyznaczonego dobrowolnie stosuje się te same wymagania co do wyznaczonego obowiązkowo	To samo co wyżej — dobrowolność dotyczy decyzji, nie reżimu
Przesłanki niespełnione, organizacja nie wyznacza IOD	Brak obowiązku, ale pozostaje obowiązek rozliczalności	Udokumentowana analiza wraz z datą, danymi wejściowymi i osobą zatwierdzającą

Trzeci wariant jest tym, o którym najczęściej się zapomina. Wytyczne wprost zalecają, aby administrator i podmiot przetwarzający dokumentowali przeprowadzoną analizę wewnętrzną — chyba że brak obowiązku jest oczywisty — właśnie po to, by móc wykazać, że właściwe czynniki zostały wzięte pod uwagę.

Najczęstsze błędy

Praktyka nadzorcza pokazuje, że więcej problemów powstaje po decyzji niż przy jej podejmowaniu.

• Ocena według wielkości organizacji zamiast charakteru działalności. Liczba pracowników nie jest kryterium z art. 37 ust. 1 RODO. Mała firma prowadząca profilowanie użytkowników może podlegać obowiązkowi, którego nie ma duży zakład produkcyjny.
• Wyznaczenie ustne albo dorozumiane. UODO wskazuje, że skuteczne wyznaczenie wymaga aktu wewnętrznego — zarządzenia, uchwały, powierzenia obowiązków — albo umowy, z określonym zakresem zadań. Osoba „nieformalnie zajmująca się RODO” nie jest inspektorem. Sama forma nie wystarcza. Inspektora wyznacza się na podstawie kwalifikacji zawodowych, w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań określonych w art. 39 RODO (art. 37 ust. 5).
• Pominięcie zawiadomienia i publikacji. Obowiązek opublikowania danych kontaktowych inspektora i zawiadomienia o nich organu nadzorczego wynika z art. 37 ust. 7 RODO; ustawa z 10 maja 2018 r. dodaje termin, formę i sposób. Zawiadomienie Prezesa UODO składa się w terminie 14 dni od wyznaczenia, w postaci elektronicznej, opatrzone kwalifikowanym podpisem elektronicznym albo podpisem zaufanym; ten sam termin obowiązuje przy zmianie danych i przy odwołaniu inspektora, a przy jednym inspektorze wyznaczonym dla kilku podmiotów publicznych albo dla grupy przedsiębiorców zawiadomienie składa każdy z tych podmiotów osobno. Dane inspektora udostępnia się niezwłocznie na stronie internetowej, a przy jej braku — w sposób ogólnie dostępny w miejscu prowadzenia działalności. UODO prowadził postępowania zakończone administracyjną karą pieniężną właśnie za brak skutecznego wyznaczenia, brak zawiadomienia i brak publikacji danych.
• Konflikt interesów. Powierzenie funkcji osobie, która decyduje o celach i sposobach przetwarzania — kierownikowi IT, kadr, marketingu albo członkowi zarządu — podważa niezależność roli. To jeden z elementów, o które urząd pyta wprost przy weryfikacji.
• Mylenie IOD z rolami z innych reżimów. Osoby do kontaktów wyznaczone na podstawie ustawy o KSC, koordynator bezpieczeństwa informacji i inspektor ochrony danych to trzy różne funkcje o różnych podstawach.
• Traktowanie analizy jako czynności jednorazowej. Zmiana profilu działalności, wejście na nowe rynki, uruchomienie programu lojalnościowego albo przejęcie innego podmiotu mogą zmienić wynik. Ocena bez daty i bez cyklu przeglądu starzeje się razem z organizacją.

Wnioski i dalsze kroki

Odpowiedź na pytanie o obowiązek wyznaczenia IOD jest wynikiem analizy trzech przesłanek, a nie sprawdzenia jednego kryterium. Dla podmiotów publicznych wymienionych w ustawie sprawa jest przesądzona. Dla pozostałych organizacji rozstrzyga charakter głównej działalności i skala przetwarzania, ocenione według czynników z wytycznych — liczby osób, zakresu danych, czasu trwania i zasięgu geograficznego.

Sensowna kolejność działań jest krótka. Ustal, czy organizacja mieści się w katalogu podmiotów publicznych z art. 9 ustawy. Jeżeli nie, oceń obie przesłanki skalowe osobno dla roli administratora i podmiotu przetwarzającego. Sprawdź przepisy sektorowe pod kątem art. 37 ust. 4 RODO. Zapisz wynik wraz z danymi wejściowymi, datą i osobą zatwierdzającą — niezależnie od tego, czy wynik jest pozytywny, czy negatywny. Jeżeli obowiązek istnieje albo organizacja decyduje się na wyznaczenie dobrowolne, zaplanuj od razu trzy rzeczy. Są to dokument wyznaczenia z zakresem zadań, zawiadomienie w terminie 14 dni oraz publikacja danych. Inspektor może przy tym być członkiem personelu administratora albo wykonywać zadania na podstawie umowy o świadczenie usług (art. 37 ust. 6) — wybór modelu jest decyzją organizacyjną, nie warunkiem skuteczności wyznaczenia. Na koniec ustal moment ponownego przeglądu — najprościej powiązać go z przeglądem rejestru czynności przetwarzania.

Materiały powiązane

• Czy każde naruszenie ochrony danych trzeba zgłosić? — decyzja o zgłoszeniu naruszenia i rola, którą pełni w niej inspektor ochrony danych.
• Jak często szkolić pracowników z ochrony danych osobowych? — kto w organizacji odpowiada za działania zwiększające świadomość i szkolenia personelu.
• Kto nie może pełnić funkcji inspektora ochrony danych? — kolejne pytanie, czyli kogo wolno wskazać po rozstrzygnięciu obowiązku.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 37–39, tekst skonsolidowany — EUR-Lex: eur-lex.europa.eu (dostęp: 17.08.2026)
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, art. 8–11a — ISAP: isap.sejm.gov.pl (dostęp: 17.08.2026)
• Czy należy wyznaczyć IOD w niepublicznym zakładzie opieki zdrowotnej mającym około 2000 pacjentów — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• Weryfikacja przestrzegania przepisów dotyczących inspektora ochrony danych — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• Skuteczne wyznaczenie IOD warunkiem koniecznym skutecznej ochrony danych — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
• Wytyczne dotyczące inspektorów ochrony danych (WP 243 rew. 01), Grupa Robocza Art. 29, przyjęte 13 grudnia 2016 r., zmienione 5 kwietnia 2017 r., zatwierdzone przez Europejską Radę Ochrony Danych, wersja polska — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)