Kto nie może pełnić funkcji inspektora ochrony danych?

Dlaczego to pytanie w ogóle powstaje

Organizacja szuka kandydata wewnątrz własnej struktury i pyta, kogo wolno wskazać. Odpowiedzi krążące na rynku mają postać listy zakazanych stanowisk. Takiej listy w rozporządzeniu nie ma, a sama lista bez kryterium prowadzi do dwóch przeciwnych błędów. Pierwszy polega na odrzuceniu osoby, która celów ani sposobów przetwarzania nie określa. Drugi polega na wyznaczeniu osoby spoza listy, która o tych celach realnie decyduje.

Drugie źródło nieporozumienia dotyczy podstawy zakazu konfliktu interesów. Bywa on przypisywany wytycznym Grupy Roboczej Art. 29, znanym jako WP 243. Stoi jednak w art. 38 ust. 6 rozporządzenia, które jest stosowane bezpośrednio. Wytyczne dokładają do niego kryterium oraz przykłady stanowisk, a nie samą normę.

Trzecie źródło jest praktyczne. Konflikt interesów IOD bywa traktowany jak cecha kandydata, którą wystarczy raz ocenić w rozmowie. Art. 38 ust. 6 nakłada jednak obowiązek zapewnienia braku konfliktu na organizację. Administratorowi art. 24 ust. 1 RODO każe ponadto wdrożyć odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z rozporządzeniem i aby móc to wykazać. Po ocenie powinien więc zostać ślad w dokumentach.

Te same podstawy obowiązują przy wyznaczeniu dobrowolnym. Grupa Robocza Art. 29 w wytycznych WP 243 wskazuje, że wymogi art. 37–39 stosuje się wtedy tak, jakby wyznaczenie było obowiązkowe. Przesłanki obowiązku opisuje materiał Jak ustalić, czy organizacja musi wyznaczyć IOD?.

Co trzeba ustalić przed wyznaczeniem

Kogo Prezes UODO uznaje za wykluczonego

Prezes UODO stawia granicę wyraźniej niż wytyczne. Za niedopuszczalne uznaje powołanie na inspektora osoby kierującej podmiotem, który jest administratorem albo podmiotem przetwarzającym. Jako przykłady podaje członka zarządu spółki, członka zarządu stowarzyszenia, dyrektora szkoły i wójta. Według organu taki inspektor oceniałby i monitorował samego siebie.

Organ potwierdził to stanowisko karami. W sprawozdaniu za 2025 r. Prezes UODO opisał karę dla podmiotu prywatnego, w którym inspektorem był prezes zarządu. Kara dotyczyła naruszenia art. 38 ust. 6. W komunikacie z 31 sierpnia 2026 r. Prezes UODO poinformował o karze dla komornika, który przez pięć lat sam pełnił funkcję inspektora w swojej kancelarii. Komornik był administratorem i przyjął, że takie rozwiązanie nie spowoduje konfliktu interesów. Organ uznał wyznaczenie administratora za niezgodne z przepisami. Nałożył 12 tys. zł za niezagwarantowanie inspektorowi statusu zapewniającego niezależność. Kolejne 3,5 tys. zł dotyczyło braku zawiadomienia Prezesa UODO w terminie 14 dni.

Ta sama granica obejmuje przedsiębiorcę prowadzącego jednoosobową działalność, bo to on jest administratorem. Pisemne uzasadnienie jej nie przesuwa. W sprawie komornika organ nie przyjął oceny administratora, że konfliktu nie ma. W toku kontroli UODO stwierdził też konflikt interesów przy pełnieniu funkcji inspektora przez sekretarza gminy.

Kiedy powstaje konflikt interesów IOD

Art. 38 ust. 6 RODO dopuszcza łączenie funkcji. Inspektor ochrony danych może wykonywać inne zadania i obowiązki. Granicę stawia drugie zdanie tego ustępu, które nakazuje administratorowi albo podmiotowi przetwarzającemu zapewnić brak konfliktu interesów.

Rozporządzenie nie definiuje samego konfliktu. Grupa Robocza Art. 29 w wytycznych WP 243 wskazuje w szczególności, że inspektor nie może zajmować stanowiska, na którym określa cele i sposoby przetwarzania danych. Wytyczne wskazują przy tym, że co do zasady za powodujące konflikt interesów mogą być uważane stanowiska kierownicze. Wymieniają dyrektora generalnego, dyrektora ds. operacyjnych, dyrektora finansowego i dyrektora ds. medycznych. Wymieniają też kierownika działu marketingu, kierownika działu HR i kierownika działu IT.

Kryterium jest funkcjonalne, a nie nazewnicze. Wytyczne obejmują nim także niższe stanowiska, jeżeli biorą udział w określaniu celów i sposobów przetwarzania danych. Wskazują przy tym, że konflikt trzeba oceniać osobno w każdej organizacji, bo każda ma inną strukturę. Przy stanowiskach kierowniczych, które nie obejmują kierowania podmiotem, rekomenduję pisemne uzasadnienie oceny.

Drugie źródło konfliktu wskazuje Prezes UODO. Konflikt może wynikać z występowania inspektora w organizacji jednocześnie w dwóch rolach. Może też wynikać z działań lub decyzji inspektora, które następnie podlegają jego ocenie na podstawie art. 39 ust. 1 lit. b. Wytyczne WP 243 dodają przykład spoza struktury organizacji. Konflikt może powstać, gdy zewnętrzny inspektor zostanie poproszony o reprezentowanie administratora lub podmiotu przetwarzającego przed sądem w sprawie dotyczącej ochrony danych osobowych.

Jakie zadania wykluczają kandydata bez stanowiska kierowniczego

Konflikt nie wymaga stanowiska kierowniczego. Prezes UODO wskazuje, że w ocenie pomocne mogą być trzy kryteria. Są to kryteria organizacyjne, merytoryczne i czasowe. Kryterium organizacyjne dotyczy podległości inspektora. Dwa pozostałe dotyczą treści i liczby jego innych zadań.

W 2025 r. Prezes UODO odpowiadał na pytanie, czy inspektorem może zostać sekretarz szkoły albo główny specjalista ds. kadr i płac. Wskazał, że praca w dziale kadr i płac może wiązać się z decydowaniem albo współdecydowaniem o celach i sposobach przetwarzania. Podkreślił, że może to dotyczyć nie tylko osoby kierującej działem. Jako przykład podał formułowanie ogłoszeń o pracę, które może wymagać określenia kategorii danych kandydatów. Drugim przykładem jest decyzja, czy i jakie dokumenty przechowywać w aktach osobowych oraz jak długo. Organ przypomniał, że zadania prowadzące do określania celów i sposobów przetwarzania nie mogą należeć do inspektora.

Druga grupa to zadania, które inspektor miałby potem oceniać. W innej odpowiedzi z 2025 r. Prezes UODO ocenił, że powierzenie inspektorowi koordynacji postępowania z naruszeniami należałoby uznać za niezgodne z prawem. To samo dotyczyło koordynacji rozpatrywania wniosków osób, których dane dotyczą, o realizację praw z art. 15–22 RODO. Inspektor nie mógłby potem obiektywnie monitorować działań, które sam koordynował. Kontrole opisane w sprawozdaniu Prezesa UODO za 2025 r. wykazały, że w kilku podmiotach naruszenia dokumentował inspektor, jego zastępca albo zespół. Powierzenia im tego zadania nie poprzedziła tam utrwalona na piśmie analiza konfliktu interesów.

Trzecie kryterium jest czasowe. Według Prezesa UODO konflikt interesów może wynikać także z nadmiaru obowiązków. Dochodzi do niego, gdy inspektor musi wybierać między zadaniami, bo na wszystkie brakuje mu czasu.

Bezpośrednia podległość to obowiązek organizacji

Art. 38 ust. 3 RODO zawiera trzy odrębne normy. Administrator oraz podmiot przetwarzający zapewniają, by inspektor nie otrzymywał instrukcji dotyczących wykonywania swoich zadań. Inspektor nie jest odwoływany ani karany przez administratora ani podmiot przetwarzający za wypełnianie swoich zadań. Podlega bezpośrednio najwyższemu kierownictwu administratora lub podmiotu przetwarzającego.

Ostatnia z tych norm nie ocenia szczebla kandydata. Nakłada na organizację obowiązek zapewnienia inspektorowi bezpośredniej drogi do najwyższego kierownictwa. Według UODO w ramach swoich czynności inspektor nie może podlegać żadnej innej osobie ani komórce. Prezes UODO stosuje to także do innych zadań osoby, która łączy funkcje. Wykluczone jest jej podporządkowanie dyrektorowi departamentu, kierownikowi działu albo innej osobie spoza najwyższego kierownictwa. Niski szczebel kandydata nie jest więc przeszkodą na gruncie art. 38 ust. 3. Przeszkodą jest układ, w którym w drugiej roli nadal podlegałby kierownikowi działu.

Wytyczne WP 243 wiążą miejsce w strukturze także z oceną kwalifikacji, bo możliwość wykonywania zadań interpretują przez pryzmat cech osobowych i kwalifikacji oraz pozycji w strukturach podmiotu.

Czego wymaga art. 37 ust. 5

Inspektora wyznacza się na podstawie kwalifikacji zawodowych. Przepis wskazuje w szczególności wiedzę fachową na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętność wypełnienia zadań z art. 39.

To jest przesłanka pozytywna, więc działa inaczej niż zakaz. Osoba bez takich kwalifikacji nie zostaje wykluczona imiennie. Nie spełnia natomiast warunku, na podstawie którego wyznaczenie w ogóle następuje.

Przepisy nie wskazują ani wymaganego wykształcenia, ani certyfikatu, ani stażu. Motyw 97 rozporządzenia wskazuje natomiast, jak ustalić niezbędny poziom wiedzy fachowej. Ustala się go w szczególności w świetle prowadzonych operacji przetwarzania danych oraz ochrony, której te dane wymagają. Wiedza o prawie i praktyce ochrony danych jest więc wymagana zawsze, a jej poziom dobiera się do konkretnej organizacji. Grupa Robocza Art. 29 w wytycznych WP 243 uznaje za istotne, żeby inspektor znał krajowe i europejskie przepisy oraz praktykę ochrony danych i dogłębnie rozumiał RODO.

Kto ocenia konflikt interesów IOD

Adresatem art. 38 ust. 6 jest administrator albo podmiot przetwarzający. Przepis nie nakłada obowiązku na kandydata i nie każe mu składać oświadczeń. Konflikt interesów IOD ocenia więc organizacja. Bada zadania i obowiązki konkretnej osoby na tle struktury organizacyjnej i wewnętrznych zasad. Ocena organizacji nie jest jednak ostateczna. Prezes UODO może ją zweryfikować, a naruszenie art. 38 podlega karze z art. 83 ust. 4 lit. a RODO.

Zależnie od rodzaju działalności oraz rozmiaru i struktury organizacji wytyczne wskazują pięć rzeczy, które mogą być dobrą praktyką administratora albo podmiotu przetwarzającego.

• Zidentyfikowanie stanowisk niekompatybilnych z funkcją inspektora.
• Opracowanie wewnętrznych zasad w tym zakresie, aby uniknąć konfliktu interesów.
• Zapewnienie bardziej ogólnego wyjaśnienia o konflikcie interesów.
• Zadeklarowanie przez organizację, że jej inspektor nie ma konfliktu interesów, co służy zwiększeniu świadomości wymogu.
• Wprowadzenie zabezpieczeń do zasad wewnętrznych i zapewnienie, żeby ogłoszenie o rekrutacji albo umowa o świadczenie usług były wystarczająco jasne i precyzyjne.

Wytyczne przypominają, że konflikt może przybierać różne formy przy rekrutacji wewnętrznej i zewnętrznej. Deklarację składa organizacja o swoim inspektorze, a nie kandydat. Służy budowaniu świadomości i nie zastępuje oceny. Rekomenduję zapisywać także rozstrzygnięcia odmowne, bo do odrzuconej kandydatury warto móc wrócić przy kolejnej zmianie struktury.

Czy inspektorem może być firma albo zespół

Art. 37 ust. 6 dopuszcza dwie formy. Inspektor bywa członkiem personelu albo wykonuje zadania na podstawie umowy o świadczenie usług. Wytyczne WP 243 dodają, że taka umowa bywa zawierana z osobą fizyczną albo z innym podmiotem spoza organizacji administratora lub podmiotu przetwarzającego.

Ustawa krajowa nie zakazuje umowy ze spółką, ale jej tryb zawiadomienia ma znaczenie. Art. 10 ust. 1 ustawy o ochronie danych osobowych nakazuje zawiadomić Prezesa UODO w terminie 14 dni od dnia wyznaczenia. Zawiadomienie wskazuje imię i nazwisko inspektora oraz jego adres poczty elektronicznej lub numer telefonu. UODO wymaga zawiadomienia o wyznaczeniu konkretnej osoby. W Polsce wyznaczoną osobą jest więc osoba fizyczna, nawet jeżeli umowę zawarto ze spółką.

Wytyczne WP 243 dopuszczają pracę zespołu po stronie usługodawcy. Stawiają przy tym warunek, żeby każdy członek takiego podmiotu spełniał wszystkie odpowiednie wymogi z sekcji 4 rozdziału IV RODO. Jako przykład podają unikanie konfliktu interesów przez każdą z tych osób. Za równie ważne uznają objęcie każdej z tych osób ochroną przewidzianą w rozporządzeniu. Zalecają też wyraźny podział zadań oraz wyznaczenie jednej wiodącej osoby kontaktowej i odpowiedzialnej za każdego klienta. Dodają, że ogólnie przydatne byłoby ujęcie tych kwestii w umowie o świadczenie usług.

Co kandydata nie wyklucza

Trzy okoliczności bywają traktowane jak przeszkoda, choć przepisy jej z nich nie czynią.

Pierwsza to obsługa kilku podmiotów przez jedną osobę. Art. 37 ust. 2 dopuszcza jednego inspektora dla grupy przedsiębiorstw, pod warunkiem łatwego kontaktu z każdej jednostki organizacyjnej. Art. 37 ust. 3 dopuszcza jednego inspektora dla kilku organów lub podmiotów publicznych, z uwzględnieniem ich struktury organizacyjnej i wielkości. Trzeci układ opisuje art. 37 ust. 4 zdanie drugie, które dopuszcza działanie inspektora w imieniu zrzeszeń i innych podmiotów reprezentujących administratorów lub podmioty przetwarzające. Poza tymi trzema układami dopuszczalność opiera się na art. 37 ust. 6 oraz na sekcji 2.5 wytycznych, a nie na osobnym przepisie.

Obsługa wielu podmiotów ma jednak granice. UODO dopuszcza ją tylko w uzasadnionych przypadkach i przy liczbie podmiotów mieszczącej się w racjonalnych granicach. Według Urzędu liczą się m.in. dostępność inspektora, jego czas i unikanie konfliktu interesów. EROD w sprawozdaniu z akcji skoordynowanej z 2023 r. opisuje ustalenie jednego z organów nadzorczych. Ten sam zewnętrzny inspektor pełnił tam funkcję u administratora i u jego podmiotu przetwarzającego. Według EROD w takim układzie może powstać konflikt interesów.

Druga okoliczność to brak zatrudnienia w organizacji. Art. 37 ust. 6 dopuszcza zarówno członka personelu, jak i osobę działającą na podstawie umowy o świadczenie usług.

Trzecia to wykonywanie innych zadań. Zdanie pierwsze art. 38 ust. 6 dopuszcza je wprost. Granicę stawia konflikt interesów, w tym kryterium czasowe wskazywane przez Prezesa UODO.

Czego wymaga się od osoby zastępującej

Art. 11a ust. 1 ustawy o ochronie danych osobowych pozwala wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności. Przepis każe przy tym uwzględnić kryteria z art. 37 ust. 5 i 6 rozporządzenia. Art. 11a ust. 2 nakazuje ponadto stosować do osoby zastępującej odpowiednio przepisy dotyczące inspektora. Robi to w związku z wykonywaniem obowiązków inspektora w czasie jego nieobecności.

Na czas zastępstwa zastępcę obejmuje więc także zakaz konfliktu interesów i wymóg bezpośredniej podległości. UODO dopuszcza wyznaczenie zastępcy na stałe. W mojej ocenie stały zastępca nie powinien zajmować stanowiska, które wykluczałoby samego inspektora. Konflikt ujawniłby się bowiem przy pierwszym zastępstwie. Art. 11a ust. 3 dokłada zawiadomienie w trybie art. 10 oraz udostępnienie danych zgodnie z art. 11.

Podstawy, które rozstrzygają najczęściej

Podstawa	Kogo wyklucza	Wyjątki i ograniczenia	Od kiedy
Art. 38 ust. 6 RODO	samego administratora i osobę kierującą podmiotem (stanowisko Prezesa UODO) oraz osobę, której inne zadania powodują konflikt interesów	inne zadania i obowiązki są dopuszczalne; konflikt może wynikać z określania celów i sposobów, z oceny własnych działań albo z nadmiaru obowiązków	25 maja 2018 r.
Art. 37 ust. 5 RODO	nie wyklucza imiennie — stawia warunek pozytywny, którego nie spełnia osoba bez kwalifikacji zawodowych	wiedza fachowa i umiejętność wykonania zadań z art. 39 to „w szczególności”, a nie cały katalog; przepis nie wskazuje wykształcenia, certyfikatu ani stażu	25 maja 2018 r.
Art. 38 ust. 3 RODO	nikogo z racji szczebla — wyklucza układ, w którym inspektor w innych zadaniach podlega osobie spoza najwyższego kierownictwa (stanowisko Prezesa UODO)	obowiązek zapewnienia bezpośredniej podległości ciąży na organizacji	25 maja 2018 r.

Najczęstsze błędy

• Wyznaczenie członka zarządu albo samego administratora. Prezes UODO uznaje takie wyznaczenie za niedopuszczalne. Pisemne uzasadnienie tego nie zmienia.

• Powierzenie inspektorowi koordynacji naruszeń albo wniosków osób. W ocenie Prezesa UODO inspektor oceniałby wtedy własne działania.

• Rozszerzenie zadań inspektora bez pisemnej analizy konfliktu. Kontrole UODO wykazały takie zmiany przy dokumentowaniu naruszeń.

• Podporządkowanie inspektora kierownikowi działu w jego drugiej roli. Prezes UODO uznaje takie rozwiązanie za wykluczone.

• Oczekiwanie oświadczenia od kandydata zamiast oceny organizacji. Wytyczne WP 243 opisują deklarację, którą składa organizacja o swoim inspektorze.

• Pominięcie zawiadomienia Prezesa UODO. Termin wynosi 14 dni od wyznaczenia. Za samo to uchybienie organ nałożył na komornika 3,5 tys. zł.

Wnioski i dalsze kroki

Konflikt interesów IOD nie jest jedyną przyczyną odrzucenia kandydata. Art. 37 ust. 5 działa niezależnie od niego, więc kandydat bez konfliktu nadal bywa nieodpowiedni. Art. 38 ust. 3 wymaga ponadto, żeby organizacja zapewniła inspektorowi bezpośrednią podległość najwyższemu kierownictwu.

Siedem kroków, które porządkują dobór kandydata.

1. Wyklucz samego administratora i osoby kierujące podmiotem, w tym członków zarządu.
2. Opisz decyzje kandydata o danych we wszystkich jego rolach, ze wskazaniem celów i sposobów przetwarzania, o których współdecyduje.
3. Sprawdź, czy kandydat nie wykonuje albo nie koordynuje zadań, które jako inspektor miałby potem oceniać.
4. Oceń, ile czasu zostanie mu na zadania inspektora obok innych obowiązków.
5. Sprawdź kwalifikacje względem operacji przetwarzania prowadzonych w organizacji, zgodnie z motywem 97.
6. Zapisz w regulaminie organizacyjnym bezpośrednią podległość inspektora najwyższemu kierownictwu, także w jego innych zadaniach.
7. Zapisz ocenę z uzasadnieniem, w ciągu 14 dni od wyznaczenia zawiadom Prezesa UODO i niezwłocznie opublikuj dane inspektora.

Do tej oceny wracaj przy każdej zmianie struktury. Awans albo przejęcie nowego działu potrafi wytworzyć konflikt, którego w dniu wyznaczenia nie było. Gdy ocena wykaże konflikt, odbierz kolidujące zadanie albo wskaż inną osobę.

Materiały powiązane

• Jak ustalić, czy organizacja musi wyznaczyć IOD? — rozstrzygnięcie, które poprzedza dobór kandydata.
• Zewnętrzny czy wewnętrzny IOD? Co uwzględnić przed decyzją? — wybór modelu, w którym funkcja ma być pełniona.
• Jakich informacji zarząd powinien oczekiwać od IOD? — relacja z inspektorem po jego wyznaczeniu.
• Co powinna zawierać umowa z zewnętrznym inspektorem ochrony danych? — postanowienia, które chronią niezależność zewnętrznego inspektora.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 15–22, art. 24 ust. 1, art. 37 ust. 2, 3, 4, 5 i 6, art. 38 ust. 3 i 6, art. 39 ust. 1, art. 83 ust. 4 lit. a oraz art. 99 ust. 2 — eur-lex.europa.eu.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja ogłoszona w Dz.U. UE L 119 z 4 maja 2016 r. — motyw 97 — eur-lex.europa.eu.
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 10, art. 11 i art. 11a — isap.sejm.gov.pl.
• Grupa Robocza Art. 29, Wytyczne dotyczące inspektorów ochrony danych (WP 243 rew. 01), przyjęte 13 grudnia 2016 r., ostatnio zmienione 5 kwietnia 2017 r. — sekcje 2.1, 2.5 i 3.5 — wersja polska: uodo.gov.pl, wersja angielska: ec.europa.eu.
• Urząd Ochrony Danych Osobowych, Jakie gwarancje niezależności zostały przyznane IOD w przepisach RODO? — uodo.gov.pl.
• Urząd Ochrony Danych Osobowych, Czy funkcję IOD może pełnić osoba spoza organizacji administratora/podmiotu przetwarzającego? — uodo.gov.pl.
• Urząd Ochrony Danych Osobowych, Ile maksymalnie podmiotów może obsługiwać jeden IOD? — uodo.gov.pl.
• Urząd Ochrony Danych Osobowych, Czy zastępca IOD powinien być wyznaczony na stałe? — uodo.gov.pl.
• Urząd Ochrony Danych Osobowych, Weryfikacja przestrzegania przepisów dotyczących inspektora ochrony danych, komunikat z 30 marca 2022 r. — uodo.gov.pl.
• Urząd Ochrony Danych Osobowych, Kara za niezapewnienie niezależności inspektorowi ochrony danych osobowych, komunikat z 31 sierpnia 2026 r. o decyzji DKN.5131.24.2025 — uodo.gov.pl.
• Prezes Urzędu Ochrony Danych Osobowych, Sprawozdanie z działalności Prezesa Urzędu Ochrony Danych Osobowych w roku 2025 — s. 74, 84–85, 232–234 i 245–246 — uodo.gov.pl.
• Europejska Rada Ochrony Danych, 2023 Coordinated Enforcement Action. Designation and Position of Data Protection Officers, sprawozdanie przyjęte 16 stycznia 2024 r. — pkt 4.5.1 — edpb.europa.eu.