Jakich informacji zarząd powinien oczekiwać od IOD?

Dlaczego to pytanie w ogóle powstaje

RODO opisuje pozycję i zadania inspektora, ale nie opisuje drogi, którą wyniki jego pracy mają docierać do kierownictwa. Rozporządzenie wymaga, by administrator zapewnił właściwe i niezwłoczne włączanie inspektora we wszystkie sprawy dotyczące ochrony danych osobowych (art. 38 ust. 1), przesądza jego bezpośrednią podległość najwyższemu kierownictwu (art. 38 ust. 3) i wylicza zadania (art. 39 ust. 1): informowanie i doradzanie, monitorowanie przestrzegania przepisów i polityk — w tym podziału obowiązków, działań zwiększających świadomość, szkoleń personelu i powiązanych z nimi audytów — udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych wraz z monitorowaniem jej wykonania, współpracę z organem nadzorczym oraz funkcję punktu kontaktowego. O tym, co konkretnie ma trafiać na stół zarządu, w jakiej formie i jak często, nie mówi nic.

Powstaje przez to układ niewygodny dla obu stron. Odpowiedzialność za zgodność i za jej wykazanie pozostaje przy administratorze, czyli przy organizacji reprezentowanej przez kierownictwo — inspektor monitoruje i doradza, ale nie odpowiada za skutki decyzji, których nie podejmuje. Zarząd odpowiada więc za obszar, o którym wie dokładnie tyle, ile mu powiedziano, i zwykle nie ma własnego sposobu sprawdzenia, czy powiedziano mu wszystko, co istotne.

Skala tego zjawiska jest znana. W skoordynowanym badaniu Europejskiej Rady Ochrony Danych z 2023 roku, obejmującym ponad 17 tysięcy odpowiedzi organizacji z Europejskiego Obszaru Gospodarczego, najczęstszą odpowiedzią o częstotliwość raportowania inspektora do najwyższego kierownictwa było „raz lub dwa razy w roku” (mediana 45,64 %), a 16,9 % respondentów wskazało, że nie oczekuje od inspektora raportowania w ogóle. Powodów odstąpienia od rekomendacji inspektora nie dokumentuje większość organizacji — robi to za każdym razem 34,59 % (mediana).

Trzeci powód jest praktyczny. Lista pytań, które Urząd Ochrony Danych Osobowych kieruje do administratorów przy weryfikacji przestrzegania przepisów o inspektorze, dotyczy w dużej części właśnie przepływu informacji: czy inspektor opracowuje plan pracy, jak często przekazuje wyniki audytów, w jaki sposób administrator dokumentuje niezastosowanie się do jego rekomendacji, jak administrator kontroluje jego pracę. To pytania do administratora, nie do inspektora. Zarząd, który nie zna odpowiedzi, dowiaduje się o luce w najgorszym możliwym momencie.

Co trzeba ustalić przed decyzją

Co wynika z przepisów, a co z ustaleń organizacji

Z przepisów wynika pozycja inspektora i obowiązek utrzymania przepływu informacji, nie format raportu. Włączanie inspektora we wszystkie sprawy dotyczące ochrony danych ma być właściwe i niezwłoczne, a jego podległość — bezpośrednia. Oba wymogi są adresowane do administratora, czyli do organizacji, nie do inspektora. Kiedy obowiązek wyznaczenia inspektora w ogóle powstaje i jak udokumentować tę analizę, opisałem w materiale Jak ustalić, czy organizacja musi wyznaczyć IOD?. Wytyczne dotyczące inspektorów ochrony danych podają jako przykład realizacji tej podległości roczne sprawozdanie z działań inspektora przygotowywane dla najwyższego kierownictwa. To przykład dobrej praktyki, a nie obowiązek ustawowy, i w tym rozróżnieniu tkwi cała trudność: brak sprawozdania nie jest sam w sobie naruszeniem, ale organizacja bez takiego dokumentu ma czym innym wykazywać, że kierownictwo znało sytuację.

Z ustaleń organizacji wynika reszta: zakres informacji, ich cykl, forma, adresat po stronie zarządu i ścieżka eskalacji w sprawach pilnych. Te ustalenia są decyzją zarządczą, nie techniczną — i warto je podjąć świadomie, zamiast pozwolić, żeby ukształtowały się przypadkiem.

Sześć obszarów, o które warto pytać regularnie

• Plan pracy i stan jego realizacji. Monitorowanie zgodności ma charakter ciągły, a nie jednorazowy, więc powinno wynikać z planu uwzględniającego specyfikę organizacji, ocenę ryzyka i rzeczywiste operacje przetwarzania — takie stanowisko zajął UODO, odpowiadając na pytanie o plan audytów inspektora. Podstawa jest przy tym wprost w rozporządzeniu: monitorowanie przestrzegania przepisów obejmuje również powiązane z nim audyty oraz działania zwiększające świadomość i szkolenia personelu. Zarząd powinien znać ten plan, jego zakres i to, ile z niego zrealizowano, a co przesunięto i z jakiego powodu.
• Wynik monitorowania, a nie lista czynności. Wartość ma informacja, które obszary sprawdzono, gdzie stwierdzono odstępstwa i jaka jest ich waga. Zestawienie liczby przeprowadzonych szkoleń i sprawdzeń bez oceny wyniku nie mówi zarządowi nic o stanie organizacji.
• Ryzyka priorytetowe i to, czym inspektor się nie zajmuje. Inspektor wypełnia zadania z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania, mając na uwadze charakter, zakres, kontekst i cele przetwarzania — co w praktyce oznacza ustalanie priorytetów. Zarząd powinien wiedzieć, co znalazło się poza tymi priorytetami: to informacja o świadomie przyjętej ekspozycji, a nie o zaniedbaniu.
• Rekomendacje i ich losy. To najważniejszy element całego przepływu. Zarząd powinien wiedzieć, jakie rekomendacje wydano, które wdrożono, których nie wdrożono i z jakim uzasadnieniem. Decyzja odmienna od stanowiska inspektora jest dopuszczalna — administrator podejmuje decyzje samodzielnie — ale musi być udokumentowana, bo bez tego wygląda później nie jak decyzja, tylko jak przeoczenie.
• Naruszenia, żądania osób i kontakty z organem. Chodzi o obraz zbiorczy: ile zdarzeń oceniono, ile zakwalifikowano jako naruszenia ochrony danych, ile zgłoszono organowi i dlaczego pozostałych nie zgłoszono, jakie żądania osób wpłynęły i czy dotrzymano terminów, czy toczą się postępowania. Pojedyncze zdarzenie o wysokim ryzyku wymaga oczywiście informacji natychmiastowej, poza cyklem.
• Warunki wykonywania funkcji. Zapewnienie inspektorowi zasobów niezbędnych do wykonania zadań, dostępu do danych osobowych i operacji przetwarzania oraz zasobów na utrzymanie wiedzy fachowej jest obowiązkiem administratora wynikającym wprost z rozporządzenia. Pytanie o warunki jest więc pytaniem zarządu o wykonanie własnego obowiązku, a nie uprzejmością wobec inspektora. Do tego samego obszaru należy konflikt interesów oraz — jeżeli organizacja z tej możliwości korzysta — wyznaczenie osoby zastępującej inspektora na czas jego nieobecności, którą polska ustawa dopuszcza przy zachowaniu tych samych kryteriów kwalifikacyjnych i po zawiadomieniu Prezesa UODO.

Te sześć obszarów układa się w jedną informację: czy organizacja panuje nad przetwarzaniem danych i czy potrafi to wykazać. Jeżeli raport inspektora nie pozwala odpowiedzieć na to pytanie, jego zakres wymaga zmiany — niezależnie od tego, jak jest obszerny.

Czego zarząd nie powinien oczekiwać od inspektora

Część problemów w relacji zarząd–inspektor bierze się z oczekiwań, których rola po prostu nie obejmuje.

Inspektor nie ponosi odpowiedzialności za niezgodność przetwarzania z przepisami. Obowiązek zapewnienia i wykazania zgodności należy do administratora — wyznaczenie inspektora go nie przenosi. Inspektor nie zastępuje też administratora w jego zadaniach: prowadzenie rejestru czynności przetwarzania jest obowiązkiem administratora, a powierzanie go inspektorowi zostało wskazane w sprawozdaniu z badania EROD jako praktyka problematyczna, podobnie jak przyznawanie inspektorowi umocowania do reprezentowania administratora w sprawach ochrony danych.

Inspektor nie „zatwierdza” projektów ani decyzji. Wydaje stanowisko, a decyzję podejmuje ten, kto odpowiada za proces. W zakresie oceny skutków dla ochrony danych jego rola jest jeszcze węższa, niż się przyjmuje: udziela zaleceń na żądanie i monitoruje wykonanie oceny — nie prowadzi jej za właściciela procesu.

Dwa ograniczenia idą w drugą stronę i wiążą przede wszystkim zarząd. Administrator ma zapewnić, że inspektor nie otrzymuje instrukcji dotyczących wykonywania zadań, oraz że nie jest odwoływany ani karany za ich wypełnianie. To nie są zalecenia kierowane do inspektora, tylko obowiązki organizacji — a więc również granice tego, czego zarząd może od niego wymagać. Oczekiwanie „stanowiska, które pozwoli uruchomić projekt” jest w tym układzie oczekiwaniem niewykonalnym.

Trzecie ograniczenie bywa zaskoczeniem: inspektor jest zobowiązany do zachowania tajemnicy lub poufności co do wykonywania swoich zadań. Zarząd może oczekiwać pełnego obrazu stanu ochrony danych, ale nie każdej informacji, którą inspektor uzyskał — w szczególności tam, gdzie w grę wchodzą zgłoszenia osób i sprawy indywidualne.

Cykl, forma i ślad dowodowy

Sensowny układ ma trzy poziomy i warto je rozdzielić, bo mieszanie ich powoduje albo zalew szczegółów, albo ciszę. Poziom pierwszy to raport okresowy — roczny jako minimum, w organizacjach o intensywnym przetwarzaniu półroczny lub kwartalny — obejmujący sześć obszarów opisanych wyżej. Poziom drugi to informacja natychmiastowa poza cyklem, uruchamiana przez zdarzenia wymagające decyzji: naruszenie o wysokim ryzyku, postępowanie organu, ocena skutków wskazująca wysokie ryzyko szczątkowe, planowana zmiana o dużym wpływie na przetwarzanie. Poziom trzeci to bezpośredni dostęp — możliwość zwrócenia się do inspektora poza harmonogramem i możliwość zwrócenia się inspektora do zarządu, gdy uzna to za potrzebne.

Poziomy drugi i trzeci nie są dobrą praktyką ponad standard — są sposobem realizacji wymogu, żeby inspektor był włączany we wszystkie sprawy dotyczące ochrony danych właściwie i niezwłocznie. Organizacja, która ma wyłącznie raport roczny, tego wymogu nie spełnia, choćby raport był wzorowy.

Wszystkie trzy poziomy warto zapisać: w regulaminie, uchwale albo dokumencie wyznaczającym inspektora. Dokument ustala oczekiwania po obu stronach i jednocześnie stanowi dowód, że przepływ informacji został w organizacji zaprojektowany, a nie pozostawiony przypadkowi. Ten sam walor ma przyjęcie zasady, że stanowisko inspektora i decyzja zarządu odmienna od tego stanowiska trafiają do protokołu wraz z uzasadnieniem.

Najczęstsze błędy

• Raport z czynności zamiast raportu o stanie. Dokument wyliczający zrealizowane szkolenia, wydane opinie i przeprowadzone sprawdzenia bez oceny wyniku nie daje podstawy do żadnej decyzji.
• Brak śladu po odrzuconych rekomendacjach. Odstąpienie od stanowiska inspektora bez zapisanego uzasadnienia jest jedną z najczęściej wskazywanych słabości w badaniu EROD i jednym z punktów, o które pyta organ nadzorczy.
• Raportowanie przez pośrednika. Przekazywanie informacji przez dyrektora IT, kadr albo compliance narusza zasadę bezpośredniej podległości najwyższemu kierownictwu i po drodze wygładza to, co dla zarządu najistotniejsze.
• Wyłącznie cykl roczny. Raport raz do roku nie realizuje wymogu niezwłocznego włączania inspektora w sprawy dotyczące ochrony danych. Bez ścieżki poza cyklem organizacja dowiaduje się o problemie w terminie, w którym decyzja jest już spóźniona.
• Traktowanie sprawozdania jako formalności. Raport przyjęty bez omówienia i bez decyzji nie różni się w skutkach od raportu, którego nie było.
• Oczekiwanie gwarancji. Pytanie „czy jesteśmy zgodni” nie ma jednoznacznej odpowiedzi. Odpowiedź użyteczna brzmi: które obszary są uporządkowane, które nie, jaka jest waga odstępstw i w jakiej kolejności warto je zamykać.
• Pytanie tylko po zdarzeniu. Kontakt z inspektorem wyłącznie przy naruszeniu albo kontroli oznacza, że organizacja korzysta z roli reaktywnie, a przez większość roku nie wie, na czym stoi.

Pytania na najbliższe posiedzenie zarządu

Ta lista nie zastępuje raportu — pozwala sprawdzić, czy dotychczasowy przepływ informacji jest wystarczający.

Wnioski i dalsze kroki

Przepływ informacji między inspektorem a zarządem jest elementem systemu ochrony danych, a nie kwestią kultury organizacyjnej. Przepisy dają temu przepływowi podstawę i wyznaczają jego minimum — właściwe i niezwłoczne włączanie inspektora we wszystkie sprawy oraz bezpośrednia podległość najwyższemu kierownictwu — ale nie wypełniają go treścią. Wypełnia ją organizacja i to ona odpowiada za skutki, jeżeli tego nie zrobi.

Kolejność działań jest krótka. Ustal, czy w organizacji istnieje ustalony zakres i cykl informacji od inspektora; jeżeli nie, przyjmij je jako pierwsze. Uzgodnij zakres raportu wokół sześciu obszarów: planu pracy, wyniku monitorowania, ryzyk priorytetowych, rekomendacji i ich losów, spraw naruszeń i kontaktów z organem oraz warunków wykonywania funkcji. Wprowadź zasadę dokumentowania decyzji odmiennych od stanowiska inspektora. Wyznacz zdarzenia uruchamiające informację natychmiastową. Zapisz te ustalenia w dokumencie, który da się pokazać. Na koniec sprawdź, czy inspektor ma warunki, żeby taki raport w ogóle przygotować — bo ich zapewnienie jest obowiązkiem administratora, a raport wymagany od osoby bez dostępu do informacji i bez czasu na ich analizę będzie dokładnie tyle wart, ile te warunki.

Materiały powiązane

• Jak ustalić, czy organizacja musi wyznaczyć IOD? — trzy przesłanki obowiązku i dokumentowanie analizy.
• Czy każde naruszenie ochrony danych trzeba zgłosić? — ocena ryzyka i decyzja o zgłoszeniu, czyli materiał do piątego obszaru raportu.
• Od czego zarząd powinien rozpocząć przygotowanie do NIS2? — odpowiedzialność kierownictwa w drugim reżimie.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 38–39, tekst skonsolidowany — EUR-Lex: eur-lex.europa.eu (dostęp: 18.08.2026)
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, art. 8–11a, tekst ujednolicony — Kancelaria Sejmu, ISAP: isap.sejm.gov.pl (dostęp: 18.08.2026)
• Czy IOD powinien sporządzić plan audytów? — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 18.08.2026)
• Weryfikacja przestrzegania przepisów dotyczących inspektora ochrony danych, komunikat z 30 marca 2022 r. — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 18.08.2026)
• Wytyczne dotyczące inspektorów ochrony danych (WP 243 rew. 01), Grupa Robocza Art. 29, zatwierdzone przez Europejską Radę Ochrony Danych, wersja polska — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 18.08.2026)
• 2023 Coordinated Enforcement Action. Designation and Position of Data Protection Officers, sprawozdanie przyjęte 16 stycznia 2024 r. — Europejska Rada Ochrony Danych: edpb.europa.eu (dostęp: 18.08.2026)