Krótka odpowiedź
Obowiązek wyznaczenia inspektora ochrony danych powstaje w trzech przypadkach wskazanych w art. 37 ust. 1 RODO: gdy przetwarzania dokonuje organ lub podmiot publiczny, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo gdy główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych lub danych dotyczących wyroków skazujących i naruszeń prawa. Poza tymi przypadkami wyznaczenie IOD jest dobrowolne. Żadna z przesłanek nie odwołuje się do wielkości organizacji ani do liczby zatrudnionych — rozstrzyga charakter działalności i skala przetwarzania, dlatego odpowiedź wymaga analizy, a nie sprawdzenia jednego progu.
Dlaczego to pytanie w ogóle powstaje
Przesłanki z art. 37 ust. 1 RODO są celowo nieostre. Rozporządzenie nie definiuje ani „głównej działalności”, ani „dużej skali”, ani „regularnego i systematycznego monitorowania” — te pojęcia doprecyzowały dopiero wytyczne Grupy Roboczej Art. 29, zatwierdzone następnie przez Europejską Radę Ochrony Danych. Urząd Ochrony Danych Osobowych, odpowiadając na pytania o konkretne branże, konsekwentnie odmawia podania uniwersalnego progu i wskazuje, że ocenę przeprowadza sam administrator.
Dla organizacji oznacza to sytuację nietypową: przepis nakłada obowiązek, ale nie daje testu, który dałoby się przejść mechanicznie. Wynik zależy od tego, co organizacja robi i w jakiej skali, a nie od tego, jak duża jest.
Pytanie wraca zwykle w trzech momentach: przy uruchamianiu nowej usługi opartej na danych, przy zmianie struktury organizacyjnej albo wtedy, gdy ktoś z zewnątrz — klient, ubezpieczyciel, audytor — pyta o dane kontaktowe inspektora i okazuje się, że nikt nie potrafi wskazać, na jakiej podstawie organizacja go nie ma.
Co trzeba ustalić przed decyzją
Analiza ma trzy kroki odpowiadające trzem przesłankom, plus dwa pytania kontrolne. Przechodź je w kolejności — pierwsza przesłanka jest rozstrzygająca i nie wymaga oceny skali.
1. Czy organizacja jest organem lub podmiotem publicznym
Pierwsza przesłanka działa niezależnie od skali przetwarzania: jeżeli przetwarzania dokonuje organ lub podmiot publiczny, IOD jest obowiązkowy. RODO wyłącza z tego wyłącznie sądy w zakresie sprawowania wymiaru sprawiedliwości.
Polskie prawo doprecyzowuje ten krąg. Zgodnie z art. 9 ustawy z 10 maja 2018 r. o ochronie danych osobowych podmiotami publicznymi obowiązanymi do wyznaczenia inspektora są jednostki sektora finansów publicznych, instytuty badawcze oraz Narodowy Bank Polski. Ta lista rozstrzyga wątpliwości, które w innych państwach członkowskich pozostają otwarte, i zamyka temat dla większości organizacji publicznych — dalsza analiza skali nie jest im potrzebna.
Warto odnotować sytuację pośrednią: spółka komunalna albo instytucja realizująca zadania publiczne na podstawie umowy nie zawsze mieści się w tym katalogu, a mimo to może podlegać obowiązkowi z innego tytułu. W takim układzie przechodzi się do kolejnych kroków zamiast poprzestawać na odpowiedzi „nie jesteśmy jednostką sektora finansów publicznych”.
2. Czy główna działalność polega na monitorowaniu osób na dużą skalę
Druga przesłanka wymaga oceny trzech elementów naraz i wszystkie muszą wystąpić łącznie.
Główna działalność to — zgodnie z wytycznymi — kluczowe operacje niezbędne do osiągnięcia celów organizacji, a nie czynności pomocnicze. Przetwarzanie danych pracowników na potrzeby kadr i płac jest działalnością pomocniczą w niemal każdej organizacji, nawet dużej. Inaczej jest tam, gdzie przetwarzanie danych jest nierozerwalnie związane z usługą: firma ochrony prowadząca monitoring obiektów albo szpital prowadzący dokumentację medyczną nie mogą świadczyć swojej usługi bez przetwarzania danych, więc jest ono elementem działalności głównej.
Regularne i systematyczne monitorowanie oznacza działanie powtarzalne i zorganizowane — prowadzone w określonych odstępach, ciągłe albo okresowe, według przyjętego planu zbierania danych. Wytyczne wskazują tu między innymi śledzenie zachowań w internecie, profilowanie, reklamę behawioralną i programy lojalnościowe.
Duża skala nie ma progu liczbowego. Wytyczne każą ważyć cztery czynniki: liczbę osób, których dane dotyczą, zakres i różnorodność przetwarzanych danych, czas trwania przetwarzania oraz zasięg geograficzny. Wśród przykładów przetwarzania na dużą skalę wymieniają szpitale, operatorów telekomunikacyjnych, systemy geolokalizacji, ubezpieczycieli i wyszukiwarki internetowe.
Wynik tego kroku bywa niejednoznaczny i to jest normalne. Istotne jest, żeby cztery czynniki zostały rzeczywiście ocenione, a ocena zapisana.
3. Czy główna działalność polega na przetwarzaniu szczególnych kategorii danych na dużą skalę
Trzecia przesłanka obejmuje szczególne kategorie danych — w tym dane o zdrowiu, biometryczne i dotyczące przynależności związkowej — oraz dane dotyczące wyroków skazujących i naruszeń prawa, przetwarzane na dużą skalę w ramach głównej działalności.
Tu najczęściej pojawia się pytanie z ochrony zdrowia. Odpowiadając na pytanie o niepubliczny podmiot leczniczy obsługujący około dwóch tysięcy pacjentów, UODO nie podał rozstrzygnięcia, lecz wskazał punkty odniesienia z wytycznych: szpital jest przykładem przetwarzania na dużą skalę, a przetwarzanie przez pojedynczego lekarza wykonującego praktykę indywidualną — nie. Między tymi biegunami organizacja musi ocenić własną sytuację sama, uwzględniając charakter działalności i skalę dokumentacji, i wracać do tej oceny, gdy skala się zmienia.
4. Czy obowiązek nie wynika z innego przepisu
Art. 37 ust. 4 RODO dopuszcza, by obowiązek wyznaczenia inspektora wynikał z prawa Unii lub prawa krajowego także w przypadkach nieobjętych ustępem 1. Zanim zamkniesz analizę wynikiem negatywnym, sprawdź przepisy sektorowe właściwe dla swojej branży.
Odróżnij przy tym IOD od ról wprowadzanych przez inne reżimy. Ustawa o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów kluczowych i ważnych wyznaczenia osoby odpowiedzialnej za kontakty w sprawach cyberbezpieczeństwa. To osobny obowiązek, o innej podstawie i innym zakresie — jego wykonanie nie zastępuje wyznaczenia inspektora ochrony danych, a wyznaczenie inspektora nie zwalnia z tamtego obowiązku.
5. Czy analizę przeprowadzono osobno dla roli administratora i podmiotu przetwarzającego
Art. 37 ust. 1 RODO adresuje obowiązek zarówno do administratora, jak i do podmiotu przetwarzającego. Organizacja, która świadczy usługi dla innych — hosting, obsługę kadrową, archiwizację, utrzymanie systemów — ocenia przesłanki także dla przetwarzania wykonywanego na cudze zlecenie. Zdarza się, że wynik jest różny dla obu ról: podmiot nie ma obowiązku jako administrator własnych danych, ale ma go jako procesor obsługujący dane na dużą skalę dla klientów.
Trzy możliwe wyniki analizy
| Wynik | Co z niego wynika | Co musi powstać |
|---|---|---|
| Co najmniej jedna przesłanka spełniona | Wyznaczenie IOD jest obowiązkowe | Dokument wyznaczenia, zawiadomienie Prezesa UODO, publikacja danych, zapewnienie warunków wykonywania funkcji |
| Przesłanki niespełnione, organizacja wyznacza IOD dobrowolnie | Do inspektora wyznaczonego dobrowolnie stosuje się te same wymagania co do wyznaczonego obowiązkowo | To samo co wyżej — dobrowolność dotyczy decyzji, nie reżimu |
| Przesłanki niespełnione, organizacja nie wyznacza IOD | Brak obowiązku, ale pozostaje obowiązek rozliczalności | Udokumentowana analiza wraz z datą, danymi wejściowymi i osobą zatwierdzającą |
Trzeci wariant jest tym, o którym najczęściej się zapomina. Wytyczne wprost zalecają, aby administrator i podmiot przetwarzający dokumentowali przeprowadzoną analizę wewnętrzną — chyba że brak obowiązku jest oczywisty — właśnie po to, by móc wykazać, że właściwe czynniki zostały wzięte pod uwagę.
Co powinien wiedzieć zarząd?
Decyzja o wyznaczeniu inspektora nie jest decyzją techniczną działu IT ani kadr. Wybór roli, jej umiejscowienie w strukturze i zapewnienie niezależności to decyzje zarządcze, a odpowiedzialność za nie pozostaje po stronie administratora — czyli organizacji reprezentowanej przez jej kierownictwo.
Trzy rzeczy, które zarząd powinien rozumieć przed podjęciem decyzji. Po pierwsze, ustalenie, że obowiązku nie ma, trzeba umieć wykazać — analiza bez dokumentu jest w praktyce nieistniejąca. Po drugie, wyznaczenie IOD nie przenosi na niego odpowiedzialności za zgodność; inspektor monitoruje, doradza i pełni funkcję punktu kontaktowego, a decyzje pozostają przy administratorze. Po trzecie, funkcja wymaga warunków: dostępu do informacji, zasobów, braku konfliktu interesów i bezpośredniej podległości najwyższemu kierownictwu — inspektor wyznaczony bez tych warunków tworzy pozór zgodności, a nie zgodność.
Najczęstsze błędy
Praktyka nadzorcza pokazuje, że więcej problemów powstaje po decyzji niż przy jej podejmowaniu.
- Ocena według wielkości organizacji zamiast charakteru działalności. Liczba pracowników nie jest kryterium z art. 37 ust. 1 RODO. Mała firma prowadząca profilowanie użytkowników może podlegać obowiązkowi, którego nie ma duży zakład produkcyjny.
- Wyznaczenie ustne albo dorozumiane. UODO wskazuje, że skuteczne wyznaczenie wymaga aktu wewnętrznego — zarządzenia, uchwały, powierzenia obowiązków — albo umowy, z określonym zakresem zadań. Osoba „nieformalnie zajmująca się RODO” nie jest inspektorem.
- Pominięcie zawiadomienia i publikacji. Zawiadomienie Prezesa UODO składa się w terminie 14 dni od wyznaczenia, w postaci elektronicznej, opatrzone kwalifikowanym podpisem elektronicznym albo podpisem zaufanym; ten sam termin obowiązuje przy zmianie danych i przy odwołaniu inspektora. Dane inspektora udostępnia się niezwłocznie na stronie internetowej, a przy jej braku — w sposób ogólnie dostępny w miejscu prowadzenia działalności. UODO prowadził postępowania zakończone administracyjną karą pieniężną właśnie za brak skutecznego wyznaczenia, brak zawiadomienia i brak publikacji danych.
- Konflikt interesów. Powierzenie funkcji osobie, która decyduje o celach i sposobach przetwarzania — kierownikowi IT, kadr, marketingu albo członkowi zarządu — podważa niezależność roli. To jeden z elementów, o które urząd pyta wprost przy weryfikacji.
- Mylenie IOD z rolami z innych reżimów. Osoba do kontaktów wyznaczona na podstawie ustawy o KSC, koordynator bezpieczeństwa informacji i inspektor ochrony danych to trzy różne funkcje o różnych podstawach.
- Traktowanie analizy jako czynności jednorazowej. Zmiana profilu działalności, wejście na nowe rynki, uruchomienie programu lojalnościowego albo przejęcie innego podmiotu mogą zmienić wynik. Ocena bez daty i bez cyklu przeglądu starzeje się razem z organizacją.
Wnioski i dalsze kroki
Odpowiedź na pytanie o obowiązek wyznaczenia IOD jest wynikiem analizy trzech przesłanek, a nie sprawdzenia jednego kryterium. Dla podmiotów publicznych wymienionych w ustawie sprawa jest przesądzona. Dla pozostałych organizacji rozstrzyga charakter głównej działalności i skala przetwarzania, ocenione według czynników z wytycznych — liczby osób, zakresu danych, czasu trwania i zasięgu geograficznego.
Sensowna kolejność działań jest krótka. Ustal, czy organizacja mieści się w katalogu podmiotów publicznych z art. 9 ustawy. Jeżeli nie, oceń obie przesłanki skalowe osobno dla roli administratora i podmiotu przetwarzającego. Sprawdź przepisy sektorowe pod kątem art. 37 ust. 4 RODO. Zapisz wynik wraz z danymi wejściowymi, datą i osobą zatwierdzającą — niezależnie od tego, czy wynik jest pozytywny, czy negatywny. Jeżeli obowiązek istnieje albo organizacja decyduje się na wyznaczenie dobrowolne, zaplanuj od razu trzy rzeczy: dokument wyznaczenia z zakresem zadań, zawiadomienie w terminie 14 dni oraz publikację danych. Na koniec ustal moment ponownego przeglądu — najprościej powiązać go z przeglądem rejestru czynności przetwarzania.
Materiały powiązane
- Czy każde naruszenie ochrony danych trzeba zgłosić? — decyzja o zgłoszeniu naruszenia i rola, którą pełni w niej inspektor ochrony danych.
- Jak często szkolić pracowników z ochrony danych osobowych? — kto w organizacji odpowiada za działania zwiększające świadomość i szkolenia personelu.
Źródła
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 37–39, tekst skonsolidowany — EUR-Lex: eur-lex.europa.eu (dostęp: 17.08.2026)
- Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, art. 8–11 — ISAP: isap.sejm.gov.pl (dostęp: 17.08.2026)
- Czy należy wyznaczyć IOD w niepublicznym zakładzie opieki zdrowotnej mającym około 2000 pacjentów — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
- Weryfikacja przestrzegania przepisów dotyczących inspektora ochrony danych — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
- Skuteczne wyznaczenie IOD warunkiem koniecznym skutecznej ochrony danych — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
- Wytyczne dotyczące inspektorów ochrony danych (WP 243 rew. 01), Grupa Robocza Art. 29, przyjęte 13 grudnia 2016 r., zmienione 5 kwietnia 2017 r., zatwierdzone przez Europejską Radę Ochrony Danych, wersja polska — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 17.08.2026)
Ustal to raz, a porządnie
Jeżeli wynik analizy w Twojej organizacji nie jest jednoznaczny albo inspektor został wyznaczony, ale nie wiadomo, czy skutecznie, warto rozstrzygnąć obie kwestie przed kolejnymi decyzjami organizacyjnymi. Wsparcie zewnętrznego IOD/DPO obejmuje ocenę obowiązku, uporządkowanie dokumentacji wyznaczenia i zgłoszeń oraz przejęcie lub wsparcie funkcji inspektora.
Materiał ma charakter ogólny i edukacyjny. Nie stanowi indywidualnej opinii prawnej ani rekomendacji dla konkretnej organizacji. Zakres obowiązków należy ocenić z uwzględnieniem jej sytuacji.
Stan prawny: sierpień 2026.