Zewnętrzny czy wewnętrzny IOD? Co uwzględnić przed decyzją?

Dlaczego to pytanie w ogóle powstaje

RODO opisuje pozycję, kwalifikacje i zadania inspektora ale o formie prawnej jego działania mówi jednym zdaniem i na tym poprzestaje. Reszta wymagań jest identyczna dla obu modeli bo przepisy o statusie inspektora obciążają przede wszystkim administratora i podmiot przetwarzający. Osobę inspektora wiąże bezpośrednio tajemnica lub poufność z art. 38 ust. 5 RODO oraz katalog zadań z art. 39.

Organizacje traktują ten wybór jak porównanie kosztu etatu z kosztem umowy. To porównanie prowadzi na manowce bo dwa modele nie różnią się poziomem zgodności tylko rozkładem ryzyk. Model wewnętrzny daje znajomość organizacji ale zwykle wymaga połączenia funkcji z inną rolą i wtedy ryzykiem staje się konflikt interesów. Model zewnętrzny daje kwalifikacje i ciągłość ale ryzykiem staje się dostępność i głębokość wiedzy o organizacji. Wybór modelu nie przenosi przy tym niczego, odpowiedzialność za zgodność i za jej wykazanie pozostaje przy administratorze w każdym wariancie.

Pytanie wraca zwykle w trzech momentach — przy pierwszym wyznaczeniu inspektora, po odejściu osoby dotychczas pełniącej funkcję albo wtedy gdy zakres pracy przerósł czas, którym ta osoba dysponuje. Pierwszy z nich poprzedza ustalenie, czy organizacja musi wyznaczyć inspektora. Ostatni bywa najtrudniejszy bo organizacja formalnie ma inspektora i dopiero po analizie okazuje się, że nie ma warunków do wykonywania funkcji.

Proporcje między modelami pokazuje skoordynowane badanie Europejskiej Rady Ochrony Danych z 2023 r. obejmujące ponad 17 tysięcy odpowiedzi organizacji z Europejskiego Obszaru Gospodarczego. Członkami personelu badanych organizacji było 70 % inspektorów a model zewnętrzny pozostawał rozwiązaniem mniejszościowym. Organy nadzorcze wskazały przy tym problem dotyczący właśnie tego modelu, inspektorzy obsługujący wielu administratorów mogą rozproszyć się na zbyt wielu klientów i nie poświęcić żadnemu odpowiedniego czasu.

Co trzeba ustalić przed decyzją

1. Co przepisy przesądzają a czego nie

Przepisy przesądzają trzy rzeczy i żadna z nich nie zależy od modelu.

Kwalifikacje. Inspektora wyznacza się na podstawie kwalifikacji zawodowych a w szczególności wiedzy fachowej o prawie i praktykach w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań z art. 39 RODO. Wymóg z art. 37 ust. 5 działa tak samo wobec pracownika i wobec usługodawcy.

Status. Administrator i podmiot przetwarzający zapewniają inspektorowi zasoby niezbędne do wykonania zadań, dostęp do danych osobowych i operacji przetwarzania oraz zasoby na utrzymanie wiedzy fachowej. Zapewniają również, że inspektor nie otrzymuje instrukcji dotyczących wykonywania tych zadań. Rozporządzenie przesądza ponadto samodzielnie dwie rzeczy: inspektor nie jest odwoływany ani karany za wypełnianie swoich zadań i podlega bezpośrednio najwyższemu kierownictwu. Odrębną normą jest art. 38 ust. 6 — inspektor może wykonywać inne zadania i obowiązki ale administrator ma zapewnić by nie powodowały one konfliktu interesów. Żaden z tych obowiązków nie znika gdy inspektor jest spoza organizacji, zmienia się wyłącznie sposób ich wykonania.

Formalności. Publikacja danych kontaktowych inspektora i zawiadomienie o nich organu nadzorczego wynikają z art. 37 ust. 7 RODO a przepisy krajowe je doprecyzowują. Zawiadomienie Prezesa Urzędu Ochrony Danych Osobowych w terminie 14 dni od wyznaczenia (art. 10 ust. 1 ustawy o ochronie danych osobowych) oraz niezwłoczne udostępnienie danych inspektora na stronie internetowej (art. 11 ustawy). Ustawa dopuszcza również wyznaczenie osoby zastępującej inspektora na czas jego nieobecności z uwzględnieniem kryteriów z art. 37 ust. 5 i 6 RODO — a więc zastępcą także może być osoba działająca na podstawie umowy o świadczenie usług. Wyznaczenie zastępcy wymaga zawiadomienia organu w trybie art. 10 ustawy oraz udostępnienia jego danych zgodnie z art. 11.

Jedno rozstrzygnięcie dotyczy wyłącznie modelu zewnętrznego i bywa źródłem błędu. Urząd Ochrony Danych Osobowych wskazuje, że umowa z inspektorem spoza organizacji ma być umową o świadczenie usług a nie umową powierzenia przetwarzania — jej przedmiotem nie są zadania administratora lecz zadania wskazane w art. 39 ust. 1 RODO. Sprawozdanie EROD idzie w tym samym kierunku i odnotowuje stanowisko organu nadzorczego, według którego traktowanie inspektora jak podmiotu przetwarzającego może naruszać wymóg niezależności z art. 38 ust. 3 RODO.

2. Ile czasu funkcja rzeczywiście wymaga

To pytanie rozstrzyga więcej niż porównanie kosztów a bywa pomijane bo wymaga pracy przed decyzją a nie po niej. Nakład pracy inspektora wyznacza charakter przetwarzania a nie wielkość organizacji.

Szacunek opiera się na danych, które organizacja zwykle już ma:

• liczba i złożoność procesów przetwarzania oraz liczba systemów, w których się odbywają;
• liczba zdarzeń ocenianych rocznie pod kątem naruszenia ochrony danych;
• liczba żądań osób, których dane dotyczą i terminowość ich obsługi;
• tempo zmian — nowe usługi, migracje, zmiany organizacyjne w ciągu roku;
• liczba dostawców przetwarzających dane w imieniu organizacji;
• liczba lokalizacji i stopień samodzielności jednostek organizacyjnych.

Wynik tego szacunku prowadzi do jednego z dwóch układów. Jeżeli funkcja wymaga pełnego zaangażowania, model wewnętrzny staje się możliwy i zwykle korzystny. Jeżeli wymaga części etatu, wewnętrzny kandydat będzie ją łączył z inną rolą — i wtedy pytanie o konflikt interesów przestaje być formalnością.

Porównanie kosztów ma sens dopiero po tym szacunku i po obu stronach musi obejmować to samo. Po stronie wewnętrznej do wynagrodzenia dochodzą utrzymanie wiedzy fachowej, narzędzia i zastępstwo na czas nieobecności. Po stronie zewnętrznej — zakres godzin objętych umową oraz zasady rozliczania pracy poza tym zakresem bo naruszenie albo kontrola organu potrafią zająć więcej czasu niż kwartał zwykłej pracy.

3. Czy wewnątrz jest kandydat wolny od konfliktu interesów

Podstawą jest art. 38 ust. 6 RODO. Inspektor może wykonywać inne zadania ale administrator ma zapewnić by nie powodowały one konfliktu interesów. Wytyczne dotyczące inspektorów ochrony danych wskazują gdzie ta granica przebiega — inspektor nie może zajmować stanowiska, które prowadzi do określania celów i sposobów przetwarzania danych. Jako powodujące konflikt interesów wymieniają role kierownicze, w tym kierownika działu IT, kierownika kadr i osoby z zarządu.

W średniej i dużej organizacji to jest wąskie gardło modelu wewnętrznego. Osoby, które znają dane i procesy najlepiej to zwykle właśnie te, które nimi zarządzają. Kandydat wolny od konfliktu interesów bywa więc albo osobą bez wystarczającej wiedzy o organizacji albo osobą bez pozycji pozwalającej cokolwiek w organizacji zmienić — oba warianty trzeba nazwać przed decyzją a nie po roku.

Konflikt interesów nie jest jednak problemem wyłącznie modelu wewnętrznego. Sprawozdanie EROD wskazuje sytuację w której kancelaria wyznaczona na inspektora otrzymuje jednocześnie zadania kolidujące z tą funkcją, na przykład reprezentowanie klienta w sporach sądowych z zakresu ochrony danych. Przy wyborze usługodawcy pytanie o inne role pełnione wobec tej samej organizacji jest więc równie zasadne jak pytanie o strukturę wewnętrzną.

4. Czy inspektor pozna organizację i pozostanie dla niej dostępny

Rozporządzenie wymaga w art. 38 ust. 1, by inspektor był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych, a w art. 38 ust. 4 daje osobom, których dane dotyczą, prawo kontaktu z nim. Oba wymogi opisują dostępność a nie formę umowy i to one wyznaczają granicę modelu zewnętrznego.

Urząd Ochrony Danych Osobowych zajął w kwietniu 2026 r. stanowisko wprost dotyczące tej granicy. Przepisy nie określają ile podmiotów może obsługiwać jeden inspektor ale liczba ta musi mieścić się w racjonalnych granicach. Ocena zależy między innymi od efektywnej dostępności inspektora, możliwości uzyskania przez niego szczegółowej wiedzy o funkcjonowaniu podmiotu oraz ilości czasu odpowiedniej do zakresu zadań i specyfiki procesów. Urząd dodaje, że wybór osoby do pełnienia funkcji jest decyzją podejmowaną z pełną świadomością odpowiedzialności administratora za przestrzeganie przepisów.

Z tego wynika oczekiwanie wobec organizacji a nie wobec dostawcy. Sprawozdanie EROD formułuje je jako zalecenie, administrator korzystający z zewnętrznego inspektora powinien zweryfikować ilu klientów ten inspektor obsługuje aby upewnić się, że ma czas i zdolność do wykonania zadań. Pytanie o liczbę obsługiwanych podmiotów warto więc zadać przed podpisaniem umowy a odpowiedź zapisać bo to ona uzasadnia wybór gdyby organ o niego zapytał.

Wytyczne dopuszczają przy tym by zadania inspektora wykonywał zespół po stronie usługodawcy. Warunkiem jest wyraźny podział zadań w zespole i wskazanie jednej wiodącej osoby kontaktowej. Model zespołowy bywa więc mocną stroną rozwiązania zewnętrznego pod warunkiem, że organizacja wie kto konkretnie odpowiada za jej sprawy a nie tylko która firma.

5. Ciągłość funkcji i to co zostaje po zmianie

Każdy model ma inny punkt kruchości.

W modelu wewnętrznym kruche są nieobecność i odejście. Wiedza o organizacji zostaje wprawdzie wewnątrz ale w dużej części zostaje w jednej głowie a jej odtworzenie po odejściu inspektora bywa długie i kosztowne. Instrumentem przewidzianym przez ustawę jest osoba zastępująca inspektora na czas nieobecności. Warto ją wyznaczyć wcześniej a nie w trakcie zdarzenia wymagającego decyzji.

W modelu zewnętrznym kruche jest zakończenie umowy. Ciągłość w trakcie jej trwania zwykle zapewnia zespół dostawcy ale wiedza o organizacji gromadzi się poza nią. Przed podpisaniem umowy trzeba więc ustalić co pozostaje po stronie administratora — dokumentacja pracy inspektora, rejestr ocenionych i zgłoszonych zdarzeń oraz korespondencja z organem nadzorczym i z osobami, których dane dotyczą.

Jest też kwestia, która wygląda inaczej w obu modelach choć przepis jest ten sam. Zakaz odwoływania i karania inspektora za wypełnianie zadań, wyrażony w art. 38 ust. 3 RODO nie odwołuje się do formy prawnej w jakiej inspektor działa. W ocenie praktycznej oznacza to, że w modelu zewnętrznym granicą jest wypowiedzenie umowy z powodu treści stanowiska inspektora a nie z powodu jakości albo terminowości świadczonej usługi. Sprawozdanie EROD odnotowuje w tym kontekście, że organy nadzorcze wspierają wzmacnianie niezależności inspektora niezależnie od formy umowy na podstawie której pełni on funkcję. Z tego samego przepisu wynika druga granica, umowa może określać ramy współpracy, zakres godzin, dostępność, sposób raportowania ale nie może narzucać jak inspektor ma wykonywać zadania z art. 39 RODO.

Cztery warianty i to, co w każdym trzeba zamknąć

Wariant	Kiedy się sprawdza	Główne ryzyko do zamknięcia
Inspektor wewnętrzny dedykowany	Przetwarzanie na dużą skalę, wiele procesów i lokalizacji, funkcja wymaga pełnego zaangażowania	Utrzymanie wiedzy fachowej i zastępstwo na czas nieobecności
Inspektor wewnętrzny łączący funkcję z inną rolą	Ograniczony zakres przetwarzania, istnieje kandydat poza rolami decydującymi o celach i sposobach	Konflikt interesów oraz realny czas na wykonywanie zadań
Inspektor zewnętrzny na umowę o świadczenie usług	Brak kandydata bez konfliktu interesów, potrzeba szerokich kwalifikacji, funkcja wymaga części etatu	Dostępność, znajomość organizacji i liczba obsługiwanych podmiotów
Inspektor wewnętrzny ze wsparciem zewnętrznym	Potrzebna stała obecność w organizacji przy jednoczesnym dostępie do wiedzy specjalistycznej	Rozgraniczenie ról: inspektorem jest osoba wyznaczona a nie doradca

Czwarty wariant bywa pomijany, a odpowiada na częsty układ w średnich i dużych organizacjach. Jest kandydat rozumiejący firmę, brakuje mu natomiast doświadczenia w sprawach, które zdarzają się rzadko. Warunkiem jego poprawności jest jednoznaczne rozgraniczenie, zawiadomienie do organu i publikacja danych dotyczą osoby wyznaczonej a wsparcie zewnętrzne pozostaje wsparciem i nie przejmuje zadań z art. 39 ust. 1 RODO.

Najczęstsze błędy

• Umowa powierzenia zamiast umowy o świadczenie usług. Inspektor nie przetwarza danych w imieniu administratora więc traktowanie go jak podmiotu przetwarzającego godzi w jego niezależność. To błąd formalny, który organ wychwytuje bez wchodzenia w merytorykę pracy inspektora.
• Porównanie kosztu etatu z ceną umowy bez oszacowania nakładu pracy. Bez ustalenia ile godzin funkcja rzeczywiście wymaga, porównanie dotyczy dwóch różnych rzeczy i nie prowadzi do żadnego wniosku.
• Wybór kandydata według znajomości procesów. Kierownik działu IT albo kadr zna procesy, ponieważ nimi zarządza i to jest właśnie powód wykluczenia go z funkcji a nie argument za jego wyznaczeniem.
• Brak pytania o liczbę podmiotów obsługiwanych przez zewnętrznego inspektora. Weryfikacja obciąża administratora, nie dostawcę a jej brak zostawia decyzję bez uzasadnienia, którego organ może oczekiwać.
• Decyzja podjęta raz na zawsze. Zmiana skali przetwarzania, przejęcie innego podmiotu albo uruchomienie nowej usługi potrafią unieważnić szacunek na którym oparto wybór modelu.

Wnioski i dalsze kroki

Model inspektora jest decyzją o warunkach, a nie o poziomie zgodności. Praktyczne rozstrzygnięcie sprowadza się do dwóch pytań zadanych w odpowiedniej kolejności: ile czasu funkcja rzeczywiście wymaga a następnie czy w organizacji jest kandydat, który spełnia wymóg kwalifikacji i pozostaje poza rolami decydującymi o celach i sposobach przetwarzania. Odpowiedź negatywna na drugie pytanie zamyka model wewnętrzny szybciej niż jakakolwiek kalkulacja kosztów i odwrotnie, organizacja o intensywnym przetwarzaniu i wielu jednostkach rzadko zamknie potrzeby jednym inspektorem zewnętrznym obsługującym również innych administratorów.

Kolejność działań:

1. Oszacuj nakład pracy funkcji na podstawie liczby procesów, zdarzeń i żądań osób oraz tempa zmian w systemach.
2. Sprawdź czy w organizacji jest kandydat spełniający wymóg kwalifikacji z art. 37 ust. 5 RODO i wolny od konfliktu interesów w rozumieniu art. 38 ust. 6.
3. Zestaw oba modele nie po kosztach lecz po warunkach, które trzeba w nich zapewnić: dostępności, znajomości organizacji, ciągłości i niezależności.
4. Przy modelu zewnętrznym zawrzyj umowę o świadczenie usług obejmującą zadania z art. 39 ust. 1 RODO. Ustal w niej zakres godzin i wiodącą osobę kontaktową.
5. Przy modelu zewnętrznym zapytaj też o liczbę obsługiwanych podmiotów i zapisz odpowiedź wraz z uzasadnieniem wyboru.
6. Dokonaj zawiadomienia Prezesa UODO w terminie 14 dni i udostępnij dane inspektora — to obowiązek w każdym modelu. Wyznaczenie osoby zastępującej jest natomiast uprawnieniem z którego warto skorzystać.
7. Opisz ścieżkę kontaktu inspektora z najwyższym kierownictwem i ustal moment przeglądu decyzji — najprościej powiązać go z przeglądem rejestru czynności przetwarzania.

Materiały powiązane

• Jak ustalić, czy organizacja musi wyznaczyć IOD? — trzy przesłanki obowiązku i dokumentowanie analizy czyli etap poprzedzający wybór modelu.
• Jakich informacji zarząd powinien oczekiwać od IOD? — zakres i cykl raportowania, który trzeba ustalić niezależnie od wybranego modelu.
• Co zrobić po wykryciu incydentu? — moment w którym dostępność inspektora weryfikuje się najszybciej.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 37–39, tekst skonsolidowany — EUR-Lex: eur-lex.europa.eu (dostęp: 19.08.2026)
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, art. 8–11a, tekst ujednolicony — Kancelaria Sejmu, ISAP: isap.sejm.gov.pl (dostęp: 19.08.2026)
• Ile maksymalnie podmiotów może obsługiwać jeden IOD?, materiał z 23 kwietnia 2026 r. — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 19.08.2026)
• Czy z zewnętrznym IOD należy zawrzeć umowę powierzenia?, materiał z 18 maja 2021 r. — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 19.08.2026)
• Wytyczne dotyczące inspektorów ochrony danych (WP 243 rew. 01), Grupa Robocza Art. 29, zatwierdzone przez Europejską Radę Ochrony Danych, wersja polska — Urząd Ochrony Danych Osobowych: uodo.gov.pl (dostęp: 19.08.2026)
• 2023 Coordinated Enforcement Action. Designation and Position of Data Protection Officers, sprawozdanie przyjęte 16 stycznia 2024 r. — Europejska Rada Ochrony Danych: edpb.europa.eu (dostęp: 19.08.2026)