Kto nie może pełnić funkcji inspektora ochrony danych?

Dlaczego to pytanie w ogóle powstaje

Organizacja szuka kandydata wewnątrz własnej struktury i pyta, kogo wolno wskazać. Odpowiedzi krążące na rynku mają postać listy zakazanych stanowisk. Takiej listy w rozporządzeniu nie ma, a sama lista bez kryterium prowadzi do dwóch przeciwnych błędów. Pierwszy polega na odrzuceniu osoby, która celów ani sposobów przetwarzania nie określa. Drugi polega na wyznaczeniu osoby spoza listy, która o tych celach realnie decyduje.

Drugie źródło nieporozumienia dotyczy podstawy tego wymogu. Bywa on przypisywany wytycznym unijnej Grupy Roboczej, znanym jako WP 243. Stoi jednak w samym rozporządzeniu, które jest stosowane bezpośrednio. Wytyczne dokładają do niego kryterium oraz przykłady stanowisk, a nie samą normę.

Trzecie źródło jest praktyczne. Konflikt interesów IOD bywa traktowany jak cecha kandydata, którą wystarczy raz ocenić w rozmowie. Obowiązek zapewnienia adresuje przepis do organizacji. Administratorowi art. 24 ust. 1 RODO każe ponadto wdrożyć odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z rozporządzeniem i aby móc to wykazać. Po ocenie powinien więc zostać ślad w dokumentach.

Pytanie o wykluczenie ma sens dopiero wtedy, gdy obowiązek wyznaczenia jest już przesądzony. Kolejność tych rozstrzygnięć opisuje materiał Jak ustalić, czy organizacja musi wyznaczyć IOD?.

Co trzeba ustalić przed wyznaczeniem

Kiedy powstaje konflikt interesów IOD

Art. 38 ust. 6 RODO dopuszcza łączenie funkcji. Inspektor ochrony danych może wykonywać inne zadania i obowiązki. Granicę stawia drugie zdanie tego ustępu, które nakazuje administratorowi albo podmiotowi przetwarzającemu zapewnić brak konfliktu interesów.

Rozporządzenie nie definiuje samego konfliktu. Kryterium podają wytyczne WP 243. Inspektor nie może zajmować w organizacji stanowiska pociągającego za sobą określanie sposobów i celów przetwarzania danych. Wytyczne wskazują przy tym, że co do zasady za powodujące konflikt interesów mogą być uważane stanowiska kierownicze. Wymieniają dyrektora generalnego, dyrektora ds. operacyjnych, dyrektora finansowego i dyrektora ds. medycznych. Wymieniają też kierownika działu marketingu, kierownika działu HR i kierownika działu IT.

Kryterium jest funkcjonalne, a nie nazewnicze. Wytyczne obejmują nim także niższe stanowiska, jeżeli biorą udział w określaniu celów i sposobów przetwarzania danych. Wskazują przy tym, że ze względu na indywidualny charakter każdej organizacji aspekt ten powinien być analizowany osobno dla każdego podmiotu. W mojej ocenie stanowiska kierownicze wymagają więc uzasadnienia na piśmie, bo wytyczne wymieniają je na pierwszym miejscu wśród powodujących konflikt.

Wytyczne dodają kolejny przykład, czyli konflikt powstający po stronie usługodawcy. Jako przykład podają zewnętrznego inspektora poproszonego o reprezentowanie administratora lub podmiotu przetwarzającego przed sądem w sprawie o ochronę danych.

Kto przesądza, czy zachodzi konflikt interesów IOD

Adresatem normy jest administrator albo podmiot przetwarzający. Przepis nie nakłada obowiązku na kandydata i nie każe mu składać oświadczeń. Konflikt interesów IOD ustala więc organizacja, a przedmiotem oceny są zadania i obowiązki konkretnej osoby.

W praktyce sprowadza się to do trzech czynności. Organizacja opisuje zakres decyzji przypisanych do stanowiska kandydata. Zestawia ten zakres z zadaniami inspektora z art. 39 ust. 1. Zapisuje wniosek razem z uzasadnieniem.

Zależnie od rodzaju działalności oraz rozmiaru i struktury organizacji wytyczne wskazują pięć rzeczy, które mogą być dobrą praktyką administratora albo podmiotu przetwarzającego. Zidentyfikowanie stanowisk niekompatybilnych z funkcją inspektora. Opracowanie wewnętrznych zasad, które uniemożliwiają łączenie stanowisk będących w konflikcie. Zapewnienie bardziej ogólnego wyjaśnienia o konflikcie interesów. Zadeklarowanie braku konfliktu u obecnego inspektora, co służy zwiększeniu świadomości wymogu. Wprowadzenie zabezpieczeń do zasad wewnętrznych i zapewnienie, żeby ogłoszenie o rekrutacji albo umowa o świadczenie usług były dość jasne i precyzyjne. Deklaracja nie zastępuje więc oceny organizacji, tylko ją uzupełnia. Rekomenduję zapisywać także rozstrzygnięcia odmowne, bo do odrzuconej kandydatury warto móc wrócić przy kolejnej zmianie struktury.

Czego wymaga art. 37 ust. 5, czyli druga podstawa wykluczenia

Inspektora wyznacza się na podstawie kwalifikacji zawodowych. Przepis wskazuje w szczególności wiedzę fachową na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętność wypełnienia zadań z art. 39.

To jest przesłanka pozytywna, więc działa inaczej niż zakaz. Osoba bez takich kwalifikacji nie zostaje wykluczona imiennie. Nie spełnia natomiast warunku, na podstawie którego wyznaczenie w ogóle następuje.

Przepisy nie wskazują ani wymaganego wykształcenia, ani certyfikatu, ani stażu. Motyw 97 rozporządzenia wskazuje natomiast, jak ustalić niezbędny poziom wiedzy fachowej. Ustala się go w szczególności w świetle prowadzonych operacji przetwarzania danych oraz ochrony, której te dane wymagają. Poziom wiedzy ocenia się więc względem konkretnej organizacji, a nie względem ogólnego wzorca.

Trzecia podstawa, czyli miejsce kandydata w strukturze

Art. 38 ust. 3 RODO zawiera trzy odrębne normy. Administrator oraz podmiot przetwarzający zapewniają, by inspektor nie otrzymywał instrukcji dotyczących wykonywania tych zadań. Inspektor nie jest odwoływany ani karany przez administratora ani podmiot przetwarzający za wypełnianie swoich zadań. Podlega bezpośrednio najwyższemu kierownictwu administratora lub podmiotu przetwarzającego.

Ostatnia z tych norm bywa pomijana przy doborze kandydata. Umiejscowienie w strukturze musi pozwalać na bezpośrednią podległość najwyższemu kierownictwu. Kandydat, wobec którego nie da się tego zapewnić, odpada z tego właśnie powodu. Wytyczne WP 243 wiążą miejsce w strukturze także z oceną kwalifikacji, bo możliwość wykonywania zadań interpretują przez pryzmat cech osobowych i kwalifikacji oraz pozycji w strukturach podmiotu.

Czy inspektorem może być firma albo zespół

Art. 37 ust. 6 dopuszcza dwie formy. Inspektor bywa członkiem personelu albo wykonuje zadania na podstawie umowy o świadczenie usług. Wytyczne WP 243 dodają, że taka umowa bywa zawierana z osobą fizyczną albo z innym podmiotem spoza organizacji administratora lub podmiotu przetwarzającego.

Ustawa krajowa nie formułuje tu zakazu, ale jej tryb zawiadomienia nie jest obojętny. Art. 10 ust. 1 nakazuje zawiadomić Prezesa Urzędu w terminie 14 dni od dnia wyznaczenia. Zawiadomienie wskazuje imię i nazwisko inspektora oraz jego adres poczty elektronicznej lub numer telefonu. W mojej ocenie wyznaczoną osobą jest więc osoba fizyczna, nawet jeżeli umowę zawarto ze spółką.

Wytyczne WP 243 dopuszczają pracę zespołu po stronie usługodawcy. Stawiają przy tym warunek, żeby każdy członek takiego podmiotu spełniał wszystkie odpowiednie wymogi z sekcji 4 rozdziału IV RODO. Jako przykład podają unikanie konfliktu interesów przez każdą z tych osób. Za równie ważne uznają objęcie każdej z tych osób ochroną przewidzianą w rozporządzeniu. Zalecają też wyraźny podział zadań oraz wyznaczenie jednej wiodącej osoby kontaktowej i odpowiedzialnej za każdego klienta. Dodają, że ogólnie przydatne byłoby ujęcie tych kwestii w umowie o świadczenie usług.

Czego wymaga się od osoby zastępującej

Art. 11a ust. 1 ustawy krajowej pozwala wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności. Przepis każe przy tym uwzględnić kryteria z art. 37 ust. 5 i 6 rozporządzenia. Art. 11a ust. 2 nakazuje ponadto stosować do osoby zastępującej odpowiednio przepisy dotyczące inspektora. Robi to jednak w związku z wykonywaniem obowiązków inspektora w czasie jego nieobecności.

Skutek jest praktyczny. W mojej ocenie opisane wyżej podstawy obejmują więc także zastępcę, choć wprost przepis odsyła tylko do art. 37 ust. 5 i 6. Art. 11a ust. 3 dokłada zawiadomienie w trybie art. 10 oraz udostępnienie danych zgodnie z art. 11.

Co kandydata nie wyklucza

Trzy okoliczności bywają traktowane jak przeszkoda, choć przepisy jej z nich nie czynią.

Pierwsza to obsługa kilku podmiotów przez jedną osobę. Art. 37 ust. 2 dopuszcza jednego inspektora dla grupy przedsiębiorstw, pod warunkiem łatwego kontaktu z każdej jednostki organizacyjnej. Art. 37 ust. 3 dopuszcza jednego inspektora dla kilku organów lub podmiotów publicznych, z uwzględnieniem ich struktury organizacyjnej i wielkości. Trzeci układ opisuje art. 37 ust. 4 zdanie drugie, które dopuszcza działanie inspektora w imieniu zrzeszeń i innych podmiotów reprezentujących administratorów lub podmioty przetwarzające. Poza tymi trzema układami dopuszczalność opiera się na art. 37 ust. 6 oraz na sekcji 2.5 wytycznych, a nie na osobnym przepisie.

Druga to brak zatrudnienia w organizacji. Art. 37 ust. 6 dopuszcza obie formy.

Trzecia to wykonywanie innych zadań. Zdanie pierwsze art. 38 ust. 6 dopuszcza je wprost. Granicę stawia konflikt interesów IOD, a w mojej ocenie także wymogi z art. 38 ust. 1 i 2.

Trzy podstawy, które rozstrzygają najczęściej

Poniższe zestawienie porządkuje podstawy, które w mojej ocenie rozstrzygają najczęściej. Nie jest to wyliczenie ustawowe.

Podstawa	Kogo wyklucza	Wyjątki i ograniczenia	Od kiedy
Art. 38 ust. 6 RODO	osobę, której inne zadania powodują konflikt interesów	inne zadania i obowiązki są dopuszczalne; granicą jest sam konflikt	25 maja 2018 r.
Art. 37 ust. 5 RODO	nie wyklucza imiennie — stawia warunek pozytywny, którego nie spełnia osoba bez kwalifikacji zawodowych	wiedza fachowa i umiejętność wykonania zadań z art. 39 to „w szczególności”, a nie cały katalog; przepis nie wskazuje wykształcenia, certyfikatu ani stażu	25 maja 2018 r.
Art. 38 ust. 3 RODO	osobę, której umiejscowienie wyklucza bezpośrednią podległość	norma dotyczy miejsca w strukturze, nie treści innych zadań	25 maja 2018 r.

Najczęstsze błędy

• Traktowanie wykazu stanowisk jak katalogu zamkniętego. Wytyczne obejmują kryterium także niższe stanowiska, jeżeli biorą udział w określaniu celów i sposobów przetwarzania danych.

• Przypisywanie wymogu wytycznym. Obowiązek zapewnienia braku konfliktu stoi w art. 38 ust. 6 rozporządzenia i jest stosowany bezpośrednio.

• Oczekiwanie oświadczenia od kandydata zamiast oceny organizacji. Obowiązek zapewnienia adresuje przepis do administratora lub podmiotu przetwarzającego. Deklarację braku konfliktu wytyczne wymieniają jako dobrą praktykę uzupełniającą tę ocenę.

• Odrzucanie osób spoza organizacji. Art. 37 ust. 6 dopuszcza zarówno członka personelu, jak i osobę działającą na podstawie umowy o świadczenie usług.

• Pominięcie osoby zastępującej. Art. 11a ust. 2 ustawy nakazuje stosować do niej odpowiednio przepisy dotyczące inspektora.

• Pominięcie wymogu bezpośredniej podległości. Kandydat bez konfliktu bywa wykluczony z powodu samego miejsca w strukturze.

• Uznanie spółki za wyznaczonego inspektora. W mojej ocenie zawiadomienie z art. 10 ust. 1 ustawy przesądza, że wyznacza się osobę fizyczną.

Wnioski i dalsze kroki

Konflikt interesów IOD jest w mojej ocenie tylko jedną z trzech podstaw, które rozstrzygają najczęściej. Dwie pozostałe podstawy działają niezależnie od niego, więc kandydat bez konfliktu nadal bywa nieodpowiedni.

Cztery kroki, które porządkują dobór kandydata.

1. Opisz zakres decyzji przypisanych do stanowiska kandydata, ze wskazaniem celów i sposobów przetwarzania, o których współdecyduje.
2. Zestaw ten zakres z zadaniami z art. 39 ust. 1 i zapisz wniosek razem z uzasadnieniem.
3. Sprawdź kwalifikacje względem operacji przetwarzania prowadzonych w organizacji, zgodnie z motywem 97.
4. Ustal, czy umiejscowienie kandydata pozwala na bezpośrednią podległość najwyższemu kierownictwu.

Do tego zestawu wracaj przy każdej zmianie struktury. Awans albo przejęcie nowego działu potrafi wytworzyć konflikt, którego w dniu wyznaczenia nie było.

Materiały powiązane

• Jak ustalić, czy organizacja musi wyznaczyć IOD? — rozstrzygnięcie, które poprzedza dobór kandydata.
• Zewnętrzny czy wewnętrzny IOD? Co uwzględnić przed decyzją? — wybór modelu, w którym funkcja ma być pełniona.
• Jakich informacji zarząd powinien oczekiwać od IOD? — relacja z inspektorem po jego wyznaczeniu.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 24 ust. 1, art. 37 ust. 2, 3, 4, 5 i 6, art. 38 ust. 1, 2, 3 i 6, art. 39 oraz art. 99 ust. 2 — eur-lex.europa.eu (dostęp: 13.09.2026).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja ogłoszona w Dz.U. UE L 119 z 4 maja 2016 r. — motyw 97 — eur-lex.europa.eu (dostęp: 13.09.2026).
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, tekst ujednolicony ze stanem na 6 maja 2026 r. — art. 8–11a — isap.sejm.gov.pl (dostęp: 13.09.2026).
• Urząd Ochrony Danych Osobowych, Gwarancje niezależności inspektora ochrony danych — uodo.gov.pl (dostęp: 13.09.2026).
• Urząd Ochrony Danych Osobowych, Czy z zewnętrznym IOD należy zawrzeć umowę powierzenia? — uodo.gov.pl (dostęp: 13.09.2026).
• Grupa Robocza Art. 29, Wytyczne dotyczące inspektorów ochrony danych (WP 243 rew. 01), przyjęte 13 grudnia 2016 r., ostatnio zmienione 5 kwietnia 2017 r., wersja polska — sekcje 2.5 i 3.5 — uodo.gov.pl (dostęp: 13.09.2026).