Czy inspektor ochrony danych odpowiada za naruszenie?

Dlaczego to pytanie w ogóle powstaje

Przy naruszeniu ochrony danych inspektor jest zwykle najbardziej widoczną osobą w organizacji. Jego imię i nazwisko oraz dane kontaktowe trafiają do zgłoszenia, które administrator składa Prezesowi UODO, chyba że organizacja wskaże inny punkt kontaktowy (art. 33 ust. 3 lit. b RODO).

Pytanie wraca też przy cyberbezpieczeństwie, bo ustawa o krajowym systemie cyberbezpieczeństwa czyni kierownika podmiotu kluczowego lub ważnego odpowiedzialnym za wykonywanie wskazanych w ustawie obowiązków podmiotu w zakresie cyberbezpieczeństwa (art. 8c ust. 1). RODO nie ma odpowiednika takiego przepisu. Konstrukcję z ustawy o KSC opisuje materiał Za co osobiście odpowiada kierownik podmiotu kluczowego lub ważnego?.

Co trzeba ustalić, zanim przypiszesz odpowiedzialność

Kto odpowiada za naruszenie wobec organu i osób

RODO nakłada obowiązki związane z naruszeniem ochrony danych przede wszystkim na administratora. Administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z rozporządzeniem i aby móc to wykazać (art. 24 ust. 1). Odpowiada za przestrzeganie zasad przetwarzania i musi być w stanie wykazać ich przestrzeganie (art. 5 ust. 2). Po stwierdzeniu naruszenia zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin, chyba że ryzyko jest mało prawdopodobne (art. 33 ust. 1). Dokumentuje wszelkie naruszenia (art. 33 ust. 5), a gdy naruszenie może powodować wysokie ryzyko, bez zbędnej zwłoki zawiadamia osoby (art. 34 ust. 1). Podmiot przetwarzający zgłasza naruszenie administratorowi (art. 33 ust. 2).

Odszkodowanie za szkodę wynikłą z naruszenia rozporządzenia osoba ma prawo uzyskać od administratora lub podmiotu przetwarzającego (art. 82 ust. 1). Podmiot przetwarzający odpowiada za szkodę tylko wtedy, gdy nie dopełnił obowiązków nałożonych przez RODO bezpośrednio na podmioty przetwarzające albo działał poza zgodnymi z prawem poleceniami administratora lub wbrew nim (art. 82 ust. 2).

Administracyjna kara pieniężna z art. 83 ust. 4 lit. a dotyczy obowiązków administratora i podmiotu przetwarzającego wymienionych w tym przepisie, w tym obowiązków z art. 25–39. Obejmuje to zgłoszenie i zawiadomienie z art. 33 i 34 oraz obowiązki związane z inspektorem z art. 37 i 38. Za naruszenie zasady integralności i poufności z art. 5 ust. 1 lit. f kara grozi na podstawie art. 83 ust. 5 lit. a. Żaden ustęp art. 83 nie wymienia inspektora jako podmiotu, na który nakłada się karę.

Wytyczne Grupy Roboczej Art. 29 dotyczące inspektorów ochrony danych (WP 243) formułują zasadę ogólną. Inspektor nie odpowiada osobiście za niezgodność z wymogami ochrony danych. Zapewnienie i wykazanie zgodności przetwarzania jest obowiązkiem administratora lub podmiotu przetwarzającego.

Obowiązki związane z inspektorem organ egzekwuje od administratora lub podmiotu przetwarzającego, co pokazuje sprawa komornika, który sam pełnił w kancelarii funkcję inspektora. Sprawa wyszła na jaw przy weryfikacji zgłoszenia naruszenia, które komornik złożył Prezesowi UODO. Prezes UODO ukarał komornika jako administratora za niezapewnienie inspektorowi niezależności i za brak zawiadomienia o jego wyznaczeniu.

Co inspektor robi przy naruszeniu

Inspektor nie ma przy naruszeniu obowiązków administratora, ale ma własne zadania. Administrator i podmiot przetwarzający zapewniają, by inspektor był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych (art. 38 ust. 1). Według wytycznych WP 243 po naruszeniu albo innym incydencie trzeba natychmiast skonsultować się z inspektorem. Europejska Rada Ochrony Danych (EROD) zaleca niezwłoczne informowanie inspektora o naruszeniu i angażowanie go na wszystkich etapach zarządzania naruszeniem oraz jego zgłaszania.

Zadania inspektora wyznacza art. 39 ust. 1. Przy naruszeniu znaczenie mają zwłaszcza informowanie administratora i doradzanie mu (lit. a) oraz monitorowanie przestrzegania przepisów (lit. b). Do tego dochodzi współpraca z organem nadzorczym (lit. d) i funkcja punktu kontaktowego (lit. e). Inspektor wypełnia zadania z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania (art. 39 ust. 2). Według poradnika UODO inspektor udziela też wskazówek co do zaradzania naruszeniom, ich zgłaszania i zawiadamiania osób. Może również przekazywać organowi i osobom dodatkowe informacje o naruszeniu.

Czego inspektor nie robi za administratora

Według wytycznych WP 243 niezależność inspektora nie daje mu uprawnień decyzyjnych wykraczających poza zadania z art. 39. Decyzja, czy zgłosić naruszenie i czy zawiadomić osoby, należy do administratora (art. 33 ust. 1 i art. 34 ust. 1).

Poradnik UODO idzie dalej. Według niego inspektor nie może wykonywać zadań, za które odpowiada wyłącznie administrator lub podmiot przetwarzający. Poradnik wymienia pięć czynności, których inspektor nie powinien wykonywać.

1. Zgłaszanie naruszeń Prezesowi UODO w imieniu administratora oraz podpisywanie i wysyłanie takich zgłoszeń.
2. Zawiadamianie osób o naruszeniu w imieniu administratora.
3. Dokumentowanie naruszeń w imieniu administratora, w szczególności gdy wiązałoby się to z ustalaniem celów i sposobów przetwarzania albo z określaniem działań zaradczych.
4. Podejmowanie zobowiązań dotyczących bezpieczeństwa przetwarzania w imieniu administratora lub podmiotu przetwarzającego.
5. Działanie na podstawie pełnomocnictwa w sprawach ochrony danych osobowych.

Poradnik uzasadnia to potrzebą unikania konfliktu interesów i zapewnienia niezależności. Ostrzega też, że naruszenie zasad dotyczących statusu inspektora może skutkować sankcjami Prezesa UODO, w tym karami pieniężnymi. Obowiązki z art. 38 ust. 1–3 i 6, które zapewniają ten status, ciążą na administratorze i podmiocie przetwarzającym.

Wytyczne EROD 9/2022 dopuszczają, by inspektor otrzymał dodatkowe zadanie prowadzenia rejestrów naruszeń. W mojej ocenie inspektor może technicznie prowadzić rejestr, jeżeli treść wpisu, ocenę ryzyka i działania zaradcze ustala administrator. Poradnik UODO nie przewiduje jednak wyjątku dla technicznego prowadzenia rejestru. Bezpieczniej więc powierzyć rejestr osobie po stronie administratora. Jeżeli rejestr zostaje u inspektora, treść każdego wpisu warto zatwierdzać po stronie administratora.

Przejęcie przez inspektora decyzji i podpisu nie przenosi na niego obowiązku z art. 33. Obowiązek ciąży na administratorze, czyli na podmiocie ustalającym cele i sposoby przetwarzania (art. 4 pkt 7). Przejmując podpis, inspektor działa w imieniu administratora. Administrator, który na to pozwala, może naruszyć wymogi niezależności i braku konfliktu interesów z art. 38 ust. 3 i 6. W mojej ocenie przejęcie może też rozszerzyć odpowiedzialność inspektora wobec organizacji, gdy umowa albo polecenie czyni zgłoszenie jego zadaniem.

Kiedy powstaje odpowiedzialność IOD

Inspektor nie odpowiada za to, że administrator zdecydował inaczej, niż mu doradzono. Odpowiada natomiast za sposób, w jaki wykonał własne zadania.

Art. 38 ust. 3 RODO stanowi, że inspektor nie jest odwoływany ani karany przez administratora ani podmiot przetwarzający za wypełnianie swoich zadań. Według wytycznych WP 243 kary są zakazane tylko wtedy, gdy są skutkiem wykonywania przez inspektora jego zadań. Według wytycznych inspektora nie wolno odwołać ani ukarać za zalecenie oceny skutków dla ochrony danych, z którym administrator się nie zgodził.

UODO dodaje, że przepis należy odnosić do obiektywnie prawidłowego wykonywania zadań. Według urzędu nie chodzi w nim o ochronę inspektora, który nie wywiązuje się należycie ze swoich zadań.

Odpowiedzialność IOD może dotyczyć zaniedbania własnego zadania, w tym porady udzielonej bez należytej staranności. Przykładem jest inspektor, który dostał informację o naruszeniu i przez kilka dni nie przekazał jej osobom decydującym. Innym przykładem jest ujawnienie informacji objętych tajemnicą lub poufnością, do których zachowania inspektor jest zobowiązany (art. 38 ust. 5 RODO, u pracownika także art. 100 § 2 pkt 4 i 5 Kodeksu pracy). Nawet wtedy RODO nie wymienia inspektora wśród adresatów kary i odszkodowania. Wobec Prezesa UODO za terminowe zgłoszenie odpowiada administrator, który według EROD musi utrzymywać zdolność do terminowego stwierdzania naruszeń (wytyczne 9/2022, pkt 32).

Inspektor może być członkiem personelu administratora lub podmiotu przetwarzającego albo wykonywać zadania na podstawie umowy o świadczenie usług (art. 37 ust. 6). O reżimie odpowiedzialności decyduje to, czy inspektor jest pracownikiem. Rozstrzyga o tym rzeczywisty sposób wykonywania pracy, a nie nazwa umowy (art. 22 § 1¹ Kodeksu pracy).

Odpowiedzialność IOD przy umowie o pracę

Pracownik, który wskutek niewykonania lub nienależytego wykonania obowiązków pracowniczych ze swej winy wyrządził pracodawcy szkodę, ponosi odpowiedzialność materialną (art. 114 Kodeksu pracy). Kodeks ogranicza tę odpowiedzialność w kilku miejscach.

1. Pracodawca musi wykazać okoliczności uzasadniające odpowiedzialność pracownika oraz wysokość szkody (art. 116).
2. Pracownik odpowiada w granicach rzeczywistej straty i tylko za normalne następstwa działania lub zaniechania (art. 115).
3. Pracownik nie odpowiada w zakresie, w jakim pracodawca lub inna osoba przyczyniły się do powstania albo zwiększenia szkody (art. 117 § 1). Nie ponosi też ryzyka związanego z działalnością pracodawcy, a w szczególności nie odpowiada za szkodę wynikłą w związku z działaniem w granicach dopuszczalnego ryzyka (art. 117 § 2).
4. Odszkodowanie nie może przewyższać trzymiesięcznego wynagrodzenia z dnia wyrządzenia szkody (art. 119). Postanowienie umowy o pracę podnoszące ten limit jest nieważne (art. 18 § 2). Ugoda albo sąd pracy mogą je obniżyć (art. 121). Szkodę wyrządzoną umyślnie pracownik naprawia w pełnej wysokości, bez limitu z art. 119 (art. 122).

Roszczenie pracodawcy przedawnia się z upływem roku od dnia, w którym dowiedział się o wyrządzeniu szkody przez pracownika, najpóźniej z upływem trzech lat od jej wyrządzenia (art. 291 § 2). Przy szkodzie umyślnej stosuje się terminy z Kodeksu cywilnego (art. 291 § 3).

Szkodę wyrządzoną przez pracownika osobie trzeciej przy wykonywaniu obowiązków pracowniczych naprawia wyłącznie pracodawca (art. 120 § 1). Osoba, której dane objęło naruszenie, nie może więc dochodzić od takiego inspektora odszkodowania za szkodę wyrządzoną przy wykonywaniu obowiązków. Dotyczy to także pracownika firmy pełniącej funkcję inspektora albo innej spółki z grupy. Za szkodę wyrządzoną z winy pracownika przy wykonywaniu powierzonej czynności odpowiada wtedy jego pracodawca (art. 430 Kodeksu cywilnego). Wobec pracodawcy, który naprawił szkodę, pracownik odpowiada na zasadach odpowiedzialności materialnej (art. 120 § 2).

Przy ciężkim naruszeniu podstawowych obowiązków pracowniczych pracodawca może też rozwiązać umowę bez wypowiedzenia w ciągu miesiąca od uzyskania wiadomości o tej okoliczności (art. 52 § 1 pkt 1 i § 2). Według Trybunału Sprawiedliwości UE art. 38 ust. 3 RODO chroni inspektora przed każdą decyzją kończącą jego funkcję, stawiającą go w niekorzystnej sytuacji albo stanowiącą sankcję. Dotyczy to rozwiązania stosunku pracy, a także inspektora na umowie o świadczenie usług (wyrok C-534/20, pkt 21–24). Zakaz działa jednak tylko wtedy, gdy przyczyną decyzji jest wypełnianie zadań.

Odpowiedzialność IOD przy umowie o świadczenie usług

Do umów o świadczenie usług, które nie są uregulowane innymi przepisami, stosuje się odpowiednio przepisy o zleceniu (art. 750 Kodeksu cywilnego). Inspektor na umowie cywilnej albo firma, która pełni tę funkcję, odpowiada za niewykonanie lub nienależyte wykonanie umowy na zasadach ogólnych.

1. Dłużnik naprawia szkodę wynikłą z niewykonania lub nienależytego wykonania zobowiązania, chyba że jest ono następstwem okoliczności, za które nie odpowiada (art. 471).
2. Jeżeli przepis szczególny ani umowa nie stanowią inaczej, dłużnik odpowiada za niezachowanie należytej staranności (art. 472). Przy działalności gospodarczej staranność ocenia się z uwzględnieniem jej zawodowego charakteru (art. 355 § 2).
3. Odpowiedzialność obejmuje tylko normalne następstwa działania lub zaniechania (art. 361 § 1). Przyczynienie się poszkodowanego zmniejsza odszkodowanie (art. 362).
4. Usługodawca odpowiada co do zasady jak za własne działania za osoby pomagające mu w wykonaniu umowy i za osoby, którym jej wykonanie powierza (art. 474).

Inspektor odpowiada co do zasady za brak należytej staranności, a za zgodność przetwarzania odpowiada administrator (art. 472 Kodeksu cywilnego i art. 24 ust. 1 RODO). Samo naruszenie u administratora nie dowodzi nienależytego wykonania umowy przez inspektora.

Kodeks cywilny nie ma dla tej odpowiedzialności górnej granicy podobnej do art. 119 Kodeksu pracy. W braku odmiennego przepisu ustawy lub postanowienia umowy odszkodowanie obejmuje poniesione straty i utracone korzyści (art. 361 § 2).

W granicach swobody umów (art. 353¹ Kodeksu cywilnego) strony mogą ograniczyć odpowiedzialność usługodawcy, na przykład do określonej kwoty. Nieważne jest jednak zastrzeżenie, że dłużnik nie będzie odpowiadał za szkodę wyrządzoną umyślnie (art. 473 § 2).

Umowa może też przewidywać kary umowne. Kara należy się bez względu na wysokość szkody, a odszkodowanie ponad nią przysługuje tylko wtedy, gdy umowa tak stanowi (art. 484 § 1). Pozostałe postanowienia tej umowy, w tym granicę między miernikiem usługi a zakazaną instrukcją, opisuje materiał Co powinna zawierać umowa z zewnętrznym inspektorem ochrony danych?.

Wobec osoby poszkodowanej inspektor na umowie cywilnej odpowiada na zasadach ogólnych za szkodę wyrządzoną z własnej winy (art. 415 Kodeksu cywilnego). Przy naruszeniu dóbr osobistych dochodzą przepisy o ich ochronie (art. 24 § 1 i art. 448). Oba reżimy dotyczą czynu samego inspektora, na przykład ujawnienia danych, a nie naruszenia po stronie administratora.

Czy administrator może żądać od inspektora zwrotu kary UODO?

Przepisy nie rozstrzygają wprost, czy administrator może dochodzić od inspektora zwrotu zapłaconej kary. W mojej ocenie takie roszczenie ma wąskie pole. Kara z art. 83 sankcjonuje obowiązek administratora, a jej wysokość zależy między innymi od umyślnego lub nieumyślnego charakteru naruszenia i od stopnia odpowiedzialności administratora (art. 83 ust. 2 lit. b i d).

Administrator musiałby wykazać, że kara jest normalnym następstwem zaniedbania inspektora (art. 361 § 1 Kodeksu cywilnego, art. 115 Kodeksu pracy). Przy umowie o pracę musiałby też wykazać jego winę (art. 114 i 116 Kodeksu pracy). Inspektor na umowie cywilnej uwolni się, gdy wykaże okoliczności, za które nie odpowiada (art. 471 Kodeksu cywilnego). Przyczynienie się samego administratora zmniejszyłoby odszkodowanie (art. 362 Kodeksu cywilnego, art. 117 § 1 Kodeksu pracy). Przyczynieniem może być niewykonanie zalecenia inspektora albo niezapewnienie mu zasobów (art. 38 ust. 2 RODO).

Za szerszym polem takiego roszczenia przemawia to, że zapłacona kara jest rzeczywistą stratą organizacji. Jeżeli inspektor zawinił, na przykład zatrzymał informację o naruszeniu, związek kary za spóźnione zgłoszenie z jego zaniedbaniem może dać się wykazać. Przy naruszeniu, przed którym inspektor ostrzegał, kara wynika z decyzji administratora i trudno ją powiązać z zaniedbaniem inspektora. Żądanie zwrotu takiej kary mogłoby też naruszać zakaz karania za wypełnianie zadań z art. 38 ust. 3, bo według WP 243 kary mogą być bezpośrednie albo pośrednie. Według wytycznych karą może być też brak awansu albo ograniczenie dostępu do korzyści przysługujących innym pracownikom, a sama groźba kary może wystarczyć do utrudnienia inspektorowi wykonywania zadań.

Umowa cywilna może wprawdzie rozszerzyć odpowiedzialność usługodawcy (art. 473 § 1 Kodeksu cywilnego). W mojej ocenie zapis o zwrocie każdej kary UODO bez względu na winę inspektora jest jednak ryzykowny, bo obejmowałby też karę za decyzję podjętą wbrew jego zaleceniu (art. 38 ust. 3 RODO).

Odpowiedzialność karna inspektora

Ustawa o ochronie danych osobowych przewiduje przestępstwa, które może popełnić każdy. Karze podlega ten, kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do ich przetwarzania nie jest uprawniony (art. 107 ust. 1). Karze podlega też ten, kto udaremnia lub utrudnia kontrolującemu prowadzenie kontroli przestrzegania przepisów o ochronie danych osobowych (art. 108 ust. 1). Przepisy te dotyczą także inspektora, ale tylko jego własnego czynu, a nie naruszenia w organizacji.

Kodeks karny karze też tego, kto wbrew przepisom ustawy lub przyjętemu na siebie zobowiązaniu ujawnia lub wykorzystuje informację poznaną między innymi w związku z pełnioną funkcją albo wykonywaną pracą (art. 266 § 1). Ściganie następuje na wniosek pokrzywdzonego (art. 266 § 3). Przestępstwa z art. 107 i 108 ustawy oraz z art. 266 Kodeksu karnego można popełnić tylko umyślnie, bo przepisy nie przewidują ich odmiany nieumyślnej (art. 8 Kodeksu karnego).

Inspektor będący pracownikiem administracji rządowej, innego organu państwowego lub samorządu terytorialnego jest funkcjonariuszem publicznym, chyba że pełni wyłącznie czynności usługowe (art. 115 § 13 pkt 4). Funkcjonariusz odpowiada, gdy przekracza uprawnienia lub nie dopełnia obowiązków i działa na szkodę interesu publicznego lub prywatnego (art. 231 § 1). Gdy działa nieumyślnie, odpowiada, jeśli wyrządzi istotną szkodę (art. 231 § 3). Za ujawnienie osobie nieuprawnionej między innymi informacji uzyskanej w związku z czynnościami służbowymi, gdy może to narazić na szkodę prawnie chroniony interes, odpowiada surowiej i z urzędu (art. 266 § 2 i 3). Każdy odpowiada też za pomocnictwo, na przykład gdy z zamiarem popełnienia czynu przez inną osobę ułatwia go radą lub informacją (art. 18 § 3).

Kto za co odpowiada przy naruszeniu

RODO stosuje się od 25 maja 2018 r. (art. 99 ust. 2).

Odpowiedzialność	Kto i wobec kogo	Podstawa	Wyjątki i ograniczenia
Zgłoszenie naruszenia, zawiadomienie osób, dokumentowanie — od stwierdzenia naruszenia	administrator wobec Prezesa UODO i osób, których dane dotyczą; inspektor doradza i jest punktem kontaktowym	art. 33 ust. 1 i 5, art. 34 RODO	bez zgłoszenia, gdy ryzyko jest mało prawdopodobne; wyjątki z art. 34 ust. 3
Administracyjna kara pieniężna — od naruszenia obowiązku	administrator lub podmiot przetwarzający wobec Prezesa UODO	art. 83 ust. 4 lit. a i ust. 5 lit. a RODO, art. 101 i 102 ustawy o ochronie danych osobowych	odrębne zasady dla jednostek sektora finansów publicznych, instytutów badawczych i NBP (art. 102 ustawy)
Odszkodowanie z RODO — od wyrządzenia szkody	administrator lub podmiot przetwarzający wobec osoby, która poniosła szkodę	art. 82 RODO	podmiot przetwarzający tylko w przypadkach z art. 82 ust. 2; zwolnienie, gdy udowodnią, że w żaden sposób nie ponoszą winy za zdarzenie (art. 82 ust. 3)
Odpowiedzialność inspektora przy umowie o pracę — od wyrządzenia szkody	inspektor wobec pracodawcy	art. 114–122 Kodeksu pracy	wina; rzeczywista strata i limit trzymiesięcznego wynagrodzenia poza szkodą umyślną; przyczynienie się pracodawcy lub innej osoby; obniżenie przez ugodę lub sąd; szkodę osobie trzeciej naprawia wyłącznie pracodawca
Odpowiedzialność inspektora przy umowie o świadczenie usług — od wyrządzenia szkody	inspektor albo firma pełniąca funkcję wobec zleceniodawcy	art. 750 i art. 471–474 Kodeksu cywilnego oraz umowa	należyta staranność; normalne następstwa; przyczynienie się; brak limitu ustawowego, umowa może ograniczyć odpowiedzialność poza szkodą umyślną (art. 473 § 2)
Odpowiedzialność z czynu niedozwolonego — od wyrządzenia szkody	wobec osoby, która poniosła szkodę, inspektor na umowie cywilnej, a pracodawca inspektora także za winę pracownika	art. 415, art. 430, art. 24 § 1 i art. 448 Kodeksu cywilnego	wina przy art. 415 i 430; pracownik nie odpowiada wobec poszkodowanego za szkodę wyrządzoną przy wykonywaniu obowiązków (art. 120 § 1 Kodeksu pracy)
Odpowiedzialność karna — od popełnienia czynu	każdy sprawca, także inspektor, wobec państwa	art. 107 i 108 ustawy o ochronie danych osobowych, art. 18, 231 i 266 Kodeksu karnego	własny czyn, także pomocnictwo (art. 18 § 3); umyślność poza art. 231 § 3 (art. 8); sprawcą przestępstw z art. 231 i art. 266 § 2 jest funkcjonariusz publiczny; przestępstwo z art. 266 § 1 ścigane na wniosek

Wnioski i dalsze kroki

Wytyczne WP 243 podają dwie praktyki, które pomagają udokumentować podział ról. Stanowisko inspektora powinno być zawsze brane pod uwagę, a przy braku zgody wytyczne zalecają jako dobrą praktykę dokumentowanie powodów, dla których organizacja nie zastosowała się do jego porady. Gdy administrator podejmuje decyzję niezgodną z RODO i z zaleceniem inspektora, inspektor powinien mieć możliwość przedstawienia odrębnej opinii najwyższemu kierownictwu i osobom podejmującym decyzję.

Kroki dla zarządu i administratora.

1. Wpisz do procedury obsługi naruszeń, kto decyduje o zgłoszeniu i zawiadomieniu oraz kto je podpisuje. Przygotuj osobie podpisującej i jej zastępcy pełnomocnictwo oraz dostęp do formularza zgłoszenia przed pierwszym naruszeniem.
2. Sprawdź, czy inspektor zgłasza naruszenia, zawiadamia osoby albo dokumentuje naruszenia w imieniu administratora lub na podstawie pełnomocnictwa. Jeżeli tak, przenieś zgłaszanie i zawiadamianie na osobę działającą w imieniu administratora, która nie jest inspektorem. Gdy rejestr naruszeń zostaje u inspektora, zatwierdzaj wpisy po stronie administratora.
3. Wprowadź formularz oceny naruszenia z datą i godziną stwierdzenia naruszenia oraz poinformowania inspektora. Przewidź w nim osobne pola na stanowisko inspektora, decyzję administratora i powód odstąpienia od zalecenia, każde z datą i godziną.
4. Sprawdź, czy Prezes UODO ma aktualne zawiadomienie o wyznaczeniu inspektora (art. 10 ust. 1 i 5 ustawy o ochronie danych osobowych). Gdy inspektora wyznacza kilka spółek z grupy, zawiadamia każda z nich.
5. Rozważ wyznaczenie osoby zastępującej inspektora w czasie jego nieobecności, z uwzględnieniem kryteriów z art. 37 ust. 5 i 6 RODO. Jej wyznaczenie zgłasza się Prezesowi UODO, a jej dane udostępnia się jak dane inspektora (art. 11a ustawy o ochronie danych osobowych).
6. Sprawdź w umowie cywilnej z inspektorem zakres usługi i czas reakcji. Sprawdź też zastępstwo, limit odpowiedzialności, kary umowne i zapis o zwrocie kar UODO. Jeżeli usługodawca ma ubezpieczenie odpowiedzialności cywilnej, sprawdź wyłączenia polisy.

Kroki dla inspektora.

1. Przekazuj stanowisko w sprawie naruszenia na piśmie albo w systemie, który zostawia datę i godzinę.
2. Prowadź zestawienie stanowisk i zaleceń oraz informacji o tym, co się z nimi stało. Dołącz do niego wnioski o zasoby i odpowiedzi na nie.
3. Sprawdź w zakresie obowiązków i w umowie, czy żaden zapis nie przenosi na ciebie decyzji administratora.
4. Gdy zarząd prosi cię o podpisanie zgłoszenia albo to poleca, odpowiedz na piśmie i wskaż osobę, która według procedury podpisuje je w imieniu administratora. Powołaj się na art. 38 ust. 6 RODO i na poradnik UODO, według którego inspektor nie powinien podpisywać zgłoszeń w imieniu administratora.

Materiały powiązane

• Jakich informacji zarząd powinien oczekiwać od IOD? — sprawozdanie inspektora i zadania, których jego rola nie obejmuje.
• Co powinna zawierać umowa z zewnętrznym inspektorem ochrony danych? — ramy współpracy, mierniki usługi i zakończenie umowy.
• Czy każde naruszenie ochrony danych trzeba zgłosić? — ocena ryzyka, o której rozstrzyga administrator.
• Za co osobiście odpowiada kierownik podmiotu kluczowego lub ważnego? — osobista odpowiedzialność kierownika w ustawie o KSC.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 4 pkt 7, art. 5, art. 24 ust. 1, art. 33, art. 34, art. 37, art. 38, art. 39, art. 82, art. 83, art. 99 ust. 2 — eur-lex.europa.eu.
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 10, art. 11a, art. 101, art. 102, art. 107 i art. 108 — isap.sejm.gov.pl.
• Ustawa z dnia 26 czerwca 1974 r. — Kodeks pracy, tekst jednolity Dz.U. 2026 poz. 1245 — art. 18 § 2, art. 22 § 1¹, art. 52 § 1 pkt 1 i § 2, art. 100 § 2 pkt 4 i 5, art. 114–122, art. 291 § 2 i 3 — isap.sejm.gov.pl.
• Ustawa z dnia 23 kwietnia 1964 r. — Kodeks cywilny, tekst jednolity Dz.U. 2026 poz. 795 — art. 24 § 1, art. 353¹, art. 355 § 2, art. 361, art. 362, art. 415, art. 430, art. 448, art. 471–474, art. 484 § 1, art. 750 — isap.sejm.gov.pl.
• Ustawa z dnia 6 czerwca 1997 r. — Kodeks karny, tekst ujednolicony ze stanem na 28 lipca 2026 r. (t.j. Dz.U. 2025 poz. 383 ze zm.) — art. 8, art. 18 § 3, art. 115 § 13 pkt 4, art. 231 § 1 i 3, art. 266 § 1–3 — isap.sejm.gov.pl.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 8c ust. 1 — isap.sejm.gov.pl.
• Urząd Ochrony Danych Osobowych, Poradnik dotyczący naruszeń ochrony danych osobowych, wersja z 20 lutego 2025 r., rozdział 3.6 — uodo.gov.pl; Jakie gwarancje niezależności zostały przyznane IOD w przepisach RODO? — uodo.gov.pl; Kara za niezapewnienie niezależności inspektorowi ochrony danych osobowych, komunikat z 31 sierpnia 2026 r. o decyzji DKN.5131.24.2025 — uodo.gov.pl.
• Grupa Robocza Art. 29, Wytyczne dotyczące inspektorów ochrony danych (WP 243 rew. 01) — pkt 3.1, 3.3, 3.4, 4.1 i odpowiedź na pytanie 12, wersja polska — uodo.gov.pl; wersja angielska — ec.europa.eu.
• Europejska Rada Ochrony Danych, Wytyczne 9/2022 dotyczące zgłaszania naruszenia ochrony danych osobowych na podstawie RODO, wersja 2.0 przyjęta 28 marca 2023 r. — pkt 32, 132 i 133, wersja polska — edpb.europa.eu; wersja angielska — edpb.europa.eu.
• Wyrok Trybunału Sprawiedliwości UE z dnia 22 czerwca 2022 r., C-534/20 Leistritz — pkt 21–24 — eur-lex.europa.eu.