Jak przebiega zmiana inspektora ochrony danych i co powinien przejąć nowy IOD?

Dlaczego to pytanie w ogóle powstaje

RODO opisuje wyznaczenie inspektora ochrony danych, jego status i zadania (art. 37–39). O odwołaniu inspektora mówi tylko tyle, że nie może ono nastąpić za wypełnianie zadań (art. 38 ust. 3). Wytyczne Grupy Roboczej Art. 29 dotyczące inspektorów ochrony danych (WP 243) wprost wskazują tę lukę. RODO nie wyjaśnia według nich, jak i kiedy inspektor może zostać odwołany i zastąpiony inną osobą. Ustawa o ochronie danych osobowych w art. 10 i 11 doprecyzowuje zawiadomienie Prezesa UODO i publikację danych z art. 37 ust. 7 RODO. Pozwala też wyznaczyć zastępcę inspektora (art. 11a). Przekazania funkcji następcy nie reguluje żaden z tych przepisów.

Zarząd chce zakończyć współpracę bez naruszenia gwarancji niezależności inspektora i bez przerwy w obowiązkach. Nowy inspektor chce wiedzieć, co zastaje i od czego zacząć. Do 30 marca 2022 r. UODO dostawał od inspektorów nieliczne sygnały m.in. o nieaktualnych danych inspektora na stronach administratorów i o przyczynach odwołań. Dotyczyły też zapisu w regulaminie organizacyjnym, że inspektor może być odwołany w każdym czasie.

Co trzeba ustalić przed zmianą inspektora

Z jakiej przyczyny poprzednik kończy pełnienie funkcji

Inspektor nie jest odwoływany ani karany przez administratora ani podmiot przetwarzający za wypełnianie swoich zadań (art. 38 ust. 3 RODO). Wytyczne WP 243 podają przykład. Inspektor może uznać przetwarzanie za wysoce ryzykowne i zalecić ocenę skutków dla ochrony danych, a administrator nie zgadza się z jego oceną. Za takie zalecenie inspektor nie może zostać odwołany. Według UODO przepis należy odnosić do obiektywnie prawidłowego wykonywania zadań. Nie chodzi w nim o ochronę inspektora, który nie wywiązuje się należycie ze swoich zadań.

Wytyczne dopuszczają odwołanie w uzasadnionych sytuacjach z przyczyn innych niż wykonywanie zadań inspektora. Według angielskiej wersji zastosowanie ma wtedy krajowe prawo umów lub prawo pracy oraz prawo karne, jak wobec każdego pracownika lub zleceniobiorcy. Jako przykłady wytyczne podają kradzież, nękanie i inne ciężkie przewinienia. Przyczynę zmiany warto zapisać w dokumentach organizacji. W praktyce zarzut związku zmiany z wypełnianiem zadań łatwiej postawić wtedy, gdy decyzja zapada tuż po sporze o zalecenie inspektora.

U inspektora zatrudnionego na umowę o pracę odwołanie z funkcji i zmiana albo rozwiązanie umowy to zwykle dwie odrębne czynności. Gdy funkcja jest stanowiskiem wskazanym w umowie, odwołanie warto uzgodnić z działem kadr razem ze zmianą umowy. Także gdy wypowiedzenie złożył sam inspektor, warto, żeby zarząd odwołał go z funkcji na piśmie z datą. Dopóki tego nie zrobi, inspektor zwolniony z obowiązku świadczenia pracy w okresie wypowiedzenia formalnie pełni funkcję, choć jej nie wykonuje. Zwolnienie z obowiązku pracy warto dać dopiero po przekazaniu spraw następcy. Odwołanie warto ustalić z końcem dnia poprzedzającego wyznaczenie następcy. Dzień wyznaczenia następcy najlepiej ustalić kilka dni przed końcem wypowiedzenia, żeby poprzednik zdążył przekazać sprawy i podpisać protokół.

Inspektor zewnętrzny zwykle kończy pełnienie funkcji wraz z końcem umowy o świadczenie usług. Według Trybunału Sprawiedliwości UE art. 38 ust. 3 zdanie drugie RODO stosuje się bez rozróżnienia do inspektora z personelu i do inspektora działającego na podstawie umowy o świadczenie usług (wyrok C-534/20, pkt 23). Przepis chroni także inspektora zewnętrznego przed każdą decyzją kończącą pełnienie funkcji, jeżeli pozostaje ona w związku z wypełnianiem jego zadań (pkt 28). Do zmiany dochodzi też, gdy inspektor sam rezygnuje albo gdy dostawca usługi proponuje na jego miejsce inną osobę. Inspektora wyznacza jednak organizacja (art. 37 RODO), więc nowa osoba zostaje inspektorem dopiero po decyzji organizacji. Warto, żeby umowa z dostawcą wymagała na taką zamianę zgody organizacji. W mojej ocenie we wszystkich tych przypadkach organizacja zawiadamia Prezesa UODO na podstawie art. 10 ust. 4 ustawy, bo osoba zgłoszona jako inspektor przestaje nim być. Spośród sposobów zakończenia funkcji przepis wymienia wprost tylko odwołanie. Za objęciem tych przypadków art. 10 ust. 4 przemawia to, że Biuletyn UODO wymienia formularze tylko na wyznaczenie, odwołanie i zmianę danych oraz na odwołanie połączone z wyznaczeniem następcy. Okres wypowiedzenia i współpracę przy przekazaniu spraw najlepiej wpisać do umowy od początku, co pokazuje tekst Co powinna zawierać umowa z zewnętrznym inspektorem ochrony danych?.

Czy organizacja może zostać bez inspektora

Organizacja obowiązana do wyznaczenia inspektora (art. 37 ust. 1 RODO, art. 8 ustawy) wyznacza go zawsze, gdy zachodzi któraś z przesłanek. Przepisy nie przewidują przerwy na szukanie następcy. Termin 14 dni z art. 10 ustawy dotyczy zawiadomienia Prezesa UODO, a nie samego wyznaczenia. Wyznaczenie następcy warto ustalić na dzień następujący po zakończeniu funkcji przez poprzednika (dzień zmiany). Według UODO akt wewnętrzny albo umowa powinny jednoznacznie wskazywać konkretną osobę, a dla celów dowodowych istotna jest forma pisemna. Ustne polecenie administratora nie stanowi o skuteczności wyznaczenia.

Ustawa pozwala wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności (art. 11a ust. 1). W mojej ocenie zastępstwo nie obejmuje okresu po odwołaniu inspektora, bo przepis wiąże je z nieobecnością inspektora, a po odwołaniu nie ma już kogo zastępować. Za objęciem zastępstwem także tego okresu przemawia cel, z którym UODO wiąże stałego zastępcę, czyli ciągłość działania inspektora. Jako przykłady nieobecności Urząd podaje jednak chorobę i urlop. Przy nagłym odejściu inspektora bezpieczniej od razu wyznaczyć inspektorem dotychczasowego zastępcę, po sprawdzeniu konfliktu interesów. Z funkcji zastępcy organizacja go wtedy odwołuje. Według UODO o odwołaniu zastępcy zawiadamia się w tym samym trybie co o odwołaniu inspektora, ale na odrębnym formularzu dla zastępcy.

Organizacja, która wyznaczyła inspektora dobrowolnie (art. 37 ust. 4 RODO), może nie wyznaczać następcy. Warunkiem jest to, że przesłanki z art. 37 ust. 1 nadal nie zachodzą i nie wymaga tego inny przepis. Decyzję warto oprzeć na udokumentowanej ponownej ocenie przesłanek, a dane inspektora usunąć ze strony, klauzul i rejestru. Według wytycznych do inspektora wyznaczonego dobrowolnie stosuje się wymagania z art. 37–39 tak, jakby wyznaczenie było obowiązkowe. O odwołaniu organizacja i tak zawiadamia Prezesa UODO (art. 10 ust. 4 ustawy).

Kto może zostać nowym inspektorem

Następcę wyznacza się na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań z art. 39 (art. 37 ust. 5 RODO). Może być członkiem personelu albo wykonywać zadania na podstawie umowy o świadczenie usług (art. 37 ust. 6). Jego inne zadania nie mogą powodować konfliktu interesów (art. 38 ust. 6). Granice tego wymogu pokazuje tekst Kto nie może pełnić funkcji inspektora ochrony danych?.

Wytyczne WP 243 uznają za przydatną wiedzę na temat sektora i podmiotu administratora. Inspektor powinien też znać operacje przetwarzania i systemy informatyczne administratora. Powinien znać również stosowane zabezpieczenia i potrzeby administratora w zakresie ochrony danych.

Zmiana IOD w zawiadomieniu do Prezesa UODO

Podmiot, który wyznaczył inspektora, zawiadamia Prezesa UODO o jego wyznaczeniu w terminie 14 dni od dnia wyznaczenia (art. 10 ust. 1 ustawy). Podaje imię, nazwisko oraz adres poczty elektronicznej lub numer telefonu inspektora. Wskazuje też własne dane z art. 10 ust. 3, w tym numer REGON, jeżeli go nadano. O odwołaniu inspektora i o każdej zmianie tych danych zawiadamia w terminie 14 dni od dnia zaistnienia zmiany danych lub odwołania (art. 10 ust. 4). Zawiadomienie ma postać elektroniczną i jest opatrzone kwalifikowanym podpisem elektronicznym albo podpisem potwierdzonym profilem zaufanym ePUAP (art. 10 ust. 6).

Zmiana IOD ma własny formularz. Na portalu biznes.gov.pl działa usługa „Zawiadom o odwołaniu dotychczasowego i wyznaczeniu nowego inspektora ochrony danych”, za którą odpowiada UODO. Według Biuletynu UODO (materiały archiwalne z lat 2018–2022) z tego formularza korzysta się wtedy, gdy z funkcji odwołano jedną osobę, a na jej miejsce powołano inną. Zawiadomienie przesłane na niewłaściwym formularzu trzeba według Urzędu przesłać ponownie.

Termin 14 dni biegnie od dnia odwołania poprzednika i od dnia wyznaczenia następcy. Gdy obie czynności już nastąpiły, wspólne zawiadomienie trzeba złożyć w ciągu 14 dni od wcześniejszej z nich. Gdy następcy nie wyznaczono w tym terminie, o odwołaniu zawiadamia się osobno, na formularzu dotyczącym samego odwołania. Datę skutku odwołania warto wpisać do pisma o odwołaniu, a u inspektora zewnętrznego także do wypowiedzenia albo porozumienia kończącego umowę. Pismo o odwołaniu najlepiej podpisać i doręczyć w ostatnim dniu pełnienia funkcji. Akt wyznaczenia następcy ze skutkiem od dnia zmiany najlepiej podpisać w tym samym dniu co pismo o odwołaniu albo w dniu zmiany. Termin na formularz łączony biegnie wtedy od ostatniego dnia funkcji poprzednika.

Zawiadomienie podpisują osoby uprawnione do reprezentowania organizacji, a przy reprezentacji łącznej każda z wymaganych osób. Może je złożyć także pełnomocnik, który dołącza pełnomocnictwo udzielone w formie elektronicznej (art. 10 ust. 2). Opis usługi na biznes.gov.pl wymienia też potwierdzenie uiszczenia opłaty skarbowej za pełnomocnictwo. Wpływ zawiadomienia potwierdza urzędowe poświadczenie przedłożenia (UPP). Poprawność według Biuletynu UODO ocenia zgłaszający, a wadliwe zawiadomienie trzeba ponowić. Gdy jednego inspektora wyznaczyła grupa przedsiębiorców albo kilka organów lub podmiotów publicznych, zawiadomienie składa każdy z nich (art. 10 ust. 5). Każdy aktualizuje też dane na swojej stronie (art. 11). Według Biuletynu UODO zawiadomienie o odwołaniu może złożyć następca prawny podmiotu, który wyznaczył inspektora, gdy podmiot ten zlikwidowano lub przejęto bez takiego zawiadomienia.

Jeżeli organizacja ma zastępcę inspektora, sprawdza, czy zmiana obejmuje także jego. O wyznaczeniu zastępcy zawiadamia się w trybie art. 10, a jego dane udostępnia zgodnie z art. 11 (art. 11a ust. 3). Według UODO ten sam tryb obejmuje odwołanie zastępcy i zmianę jego danych, a dla zastępcy przewidziano odrębne formularze.

Zmiana IOD na stronie internetowej, w rejestrze i w klauzulach

Imię, nazwisko oraz adres e-mail lub numer telefonu nowego inspektora organizacja udostępnia niezwłocznie po jego wyznaczeniu na swojej stronie internetowej (art. 37 ust. 7 RODO, art. 11 ustawy). Organizacja bez strony internetowej udostępnia je w sposób ogólnie dostępny w miejscu prowadzenia działalności. Według UODO dane powinny znaleźć się w łatwo dostępnym miejscu, na przykład w zakładce „Kontakt” albo „Inspektor ochrony danych”. Za niewłaściwe Urząd uznaje miejsca wymagające długiego przeszukiwania, takie jak „Aktualności” czy „Polityka prywatności”.

Dane kontaktowe inspektora stoją też w innych dokumentach. Zawiera je rejestr czynności przetwarzania administratora (art. 30 ust. 1 lit. a RODO) i rejestr kategorii czynności prowadzony przez podmiot przetwarzający (art. 30 ust. 2 lit. a). Podają je również klauzule informacyjne (art. 13 ust. 1 lit. b i art. 14 ust. 1 lit. b). W klauzulach RODO wymaga danych kontaktowych inspektora, a nie jego imienia i nazwiska. Imię i nazwisko oraz dane kontaktowe inspektora lub oznaczenie innego punktu kontaktowego podaje natomiast zgłoszenie naruszenia (art. 33 ust. 3 lit. b) i zawiadomienie osób (art. 34 ust. 2). Przy zgłoszeniu uzupełnianym sukcesywnie (art. 33 ust. 4) warto podać dane nowego inspektora.

Wytyczne WP 243 wymieniają wśród danych kontaktowych dedykowany adres e-mail. Funkcyjny adres w domenie organizacji pozwala przejść przez zmianę IOD bez poprawiania klauzul. Powinien należeć do osobnej skrzynki współdzielonej, a nie być aliasem na koncie poprzednika. Adres w domenie dawnego dostawcy usługi trzeba zmienić. Do tego czasu bezpieczniej uzgodnić z dostawcą autoodpowiedź z nowym adresem niż przekazywanie poczty. Wiadomości, które mimo to trafią na dawny adres, nowy inspektor odbiera od dostawcy na bieżąco. Gdy klauzule podają osobisty adres poprzednika, organizacja poprawia je we wszystkich kanałach zbierania danych. Adres poprzednika bywa też wpisany w umowach powierzenia jako kontakt do zgłaszania naruszeń. Nowy kontakt warto podać podmiotom przetwarzającym i administratorom, dla których organizacja przetwarza dane. Wytyczne zalecają w ramach dobrej praktyki poinformowanie pracowników o imieniu, nazwisku i danych kontaktowych inspektora, na przykład w intranecie.

Co nowy inspektor powinien przejąć

Większość dokumentów, które przejmuje następca, nie należy do inspektora. Rejestr czynności prowadzi administrator albo podmiot przetwarzający (art. 30 ust. 1 i 2 RODO). Według wytycznych WP 243 obowiązek zostaje przy nich także wtedy, gdy rejestr w praktyce prowadzi inspektor. Polityki ochrony danych należą do środków, które administrator wdraża, jeżeli jest to proporcjonalne do czynności przetwarzania (art. 24 ust. 2). Przekazanie organizuje więc organizacja. Podstawą jest jej obowiązek zapewnienia inspektorowi dostępu do danych osobowych i operacji przetwarzania oraz zasobów niezbędnych do wykonania zadań (art. 38 ust. 2). Udział odchodzącego inspektora warto zapisać w jego umowie.

Nowy inspektor powinien dostać materiały i dostępy z czterech grup. Pierwszych dwóch potrzebuje od dnia wyznaczenia.

• Sprawy w toku z biegnącym terminem. Żądania osób, na które administrator odpowiada bez zbędnej zwłoki, najpóźniej w terminie miesiąca od ich otrzymania (art. 12 ust. 3). Naruszenia w trakcie oceny oraz trwające oceny skutków i projekty czekające na opinię. Sprawy przed Prezesem UODO, w których inspektor jest punktem kontaktowym (art. 39 ust. 1 lit. e).
• Dostęp. Kanał kontaktu dla osób, których dane dotyczą (art. 38 ust. 4), i systemy potrzebne do monitorowania zgodności. Udział w naradach kierownictwa, w ramach włączania inspektora we wszystkie sprawy ochrony danych (art. 38 ust. 1).
• Dokumentacja administratora. Rejestr czynności i dokumentacja naruszeń z art. 33 ust. 5. Oceny skutków dla ochrony danych, przy których administrator konsultuje się z inspektorem (art. 35 ust. 2). Polityki i procedury oraz umowy powierzenia. Akt wyznaczenia poprzednika i potwierdzenia złożonych zawiadomień.
• Plan pracy i zalecenia poprzednika. Wyniki audytów i plan pracy, w tym szkoleń. Listę zaleceń, których organizacja nie wykonała, razem z powodami.

Terminy z art. 12 ust. 3 biegną od otrzymania żądania przez administratora. Przepis nie zatrzymuje ich na czas zmiany inspektora, a przedłużenie o dwa miesiące dopuszcza tylko z uwagi na skomplikowany charakter żądania lub liczbę żądań. Zmiana nie wstrzymuje też terminu 72 godzin na zgłoszenie naruszenia, który biegnie od jego stwierdzenia (art. 33 ust. 1). Na dzień zmiany warto wskazać, kto przyjmuje zgłoszenia naruszeń i kończy oceny poprzednika. W sprawach toczących się przed Prezesem UODO dane następcy warto podać pismem z numerem sprawy. Listę spraw w toku, dokumentację i listę zaleceń organizacja najlepiej przygotowuje z poprzednikiem w okresie wypowiedzenia, póki on pracuje i pełni funkcję. Według Biuletynu UODO przepisy nie przewidują wyznaczenia więcej niż jednego inspektora. Następca przejmuje więc funkcję i sprawy w toku dopiero po zakończeniu funkcji przez poprzednika. Przekazanie warto zamknąć protokołem z datą, listą przekazanych materiałów i braków. Podpisują go poprzednik, następca i przedstawiciel organizacji. Korespondencję objętą tajemnicą wystarczy oznaczyć w nim numerem sprawy, bez treści.

Inspektor zewnętrzny często prowadzi rejestry we własnym narzędziu albo na swoim dysku. Narzędzie bywa licencją poprzednika, więc konta zwykle nie da się przejąć. Dostęp do takiego narzędzia zwykle wygasa z końcem umowy o świadczenie usług. Przed końcem umowy organizacja odbiera sprawdzony eksport w edytowalnym formacie, z datami wpisów. Potem żąda od poprzednika usunięcia kopii dokumentacji i korespondencji oraz pisemnego potwierdzenia. Gdy poprzednik odchodzi w sporze, organizacja przed ogłoszeniem decyzji zabezpiecza kopię dokumentacji administratora ze swoich systemów. Gdy poprzednik nie współpracuje, stan zastany nowy inspektor odtwarza z dokumentów organizacji i przedstawia zarządowi do potwierdzenia. W dniu zmiany organizacja odbiera poprzednikowi dostęp do skrzynki funkcyjnej i systemów. Cofa też jego upoważnienia i pełnomocnictwa, usuwa reguły przekazujące pocztę na zewnątrz i kończy aktywne sesje.

UODO w zestawie pytań do administratorów pyta, czy inspektor opracował plan pracy i jak często przekazuje wyniki audytów. Pyta też o postępowanie administratora, gdy nie uwzględnia wskazówek lub rekomendacji inspektora, na przykład czy dokumentuje powody ich niezastosowania. Wytyczne WP 243 zalecają w ramach dobrej praktyki dokumentowanie przypadków i powodów postępowania niezgodnego z zaleceniem inspektora.

Co z korespondencją i zapiskami poprzednika

Inspektor jest zobowiązany do zachowania tajemnicy lub poufności co do wykonywania swoich zadań, zgodnie z prawem Unii lub prawem państwa członkowskiego (art. 38 ust. 5 RODO). Wytyczne WP 243 łączą poufność z kontaktem osób z inspektorem. Pracownicy mogą niechętnie składać skargi do inspektora, jeżeli poufność ich komunikacji nie jest zapewniona. Korespondencja w skrzynce funkcyjnej i robocze zapiski poprzednika mogą więc zawierać informacje, których nie powinien czytać zarząd.

W mojej ocenie przekazanie takich materiałów następcy mieści się w celu art. 38 ust. 5, bo informacje zostają w obrębie funkcji inspektora związanej tą samą tajemnicą. Przepis nie zawiera jednak wyjątku dla następcy, a osoby pisały do konkretnego inspektora. Sposób przekazania warto ustalić wcześniej, w umowie z inspektorem albo w wewnętrznych zasadach jego działania. Dostęp do skrzynki funkcyjnej warto przenieść bezpośrednio na nowego inspektora. Zarządowi dostępu do niej lepiej nie nadawać. Administratorzy IT mogą go sobie technicznie nadać, więc ich wgląd warto ograniczyć organizacyjnie i rejestrować. Żądania osób inspektor przekazuje administratorowi sam. Osobistą skrzynkę inspektora z personelu warto wyłączyć ze zwykłej procedury odejścia pracownika, która przekazuje pocztę przełożonemu.

Od czego nowy inspektor zaczyna pracę

Inspektor wypełnia zadania z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania (art. 39 ust. 2 RODO). Według wytycznych WP 243 wymaga to ustalania priorytetów i koncentrowania się na aspektach o wyższym ryzyku. Pierwsze tygodnie warto poświęcić sprawom w toku i obszarom o najwyższym ryzyku, a pełny przegląd rozłożyć w planie pracy.

Inspektor bezpośrednio podlega najwyższemu kierownictwu (art. 38 ust. 3), więc tam trafia jego pierwszy raport. Warto, żeby oddzielał stan zastany od planu działań. Wytyczne WP 243 wskazują, że inspektor nie jest osobiście odpowiedzialny za niezgodność z wymogami ochrony danych. Zapewnienie zgodności i możliwość jej wykazania należą do administratora (art. 5 ust. 2 i art. 24 ust. 1), a według wytycznych także do podmiotu przetwarzającego. Zaległości sprzed zmiany pozostają więc sprawą administratora albo podmiotu przetwarzającego, a nowy inspektor powinien je wskazać.

Zmiana IOD krok po kroku — kto i w jakim terminie

Czynność	Kto	Podstawa i termin	Wyjątki i ograniczenia
Zakończenie funkcji poprzednika	administrator lub podmiot przetwarzający	art. 38 ust. 3 RODO; prawo pracy albo umowa o świadczenie usług	nie za wypełnianie zadań inspektora
Wyznaczenie następcy	jak wyżej	art. 37 ust. 1, 5 i 6, art. 38 ust. 6 RODO — bez przerwy w funkcji; akt albo umowa na piśmie dla dowodu (UODO)	przy wyznaczeniu dobrowolnym (art. 37 ust. 4) następca nie jest obowiązkowy, jeżeli przesłanki z art. 37 ust. 1 nadal nie zachodzą i nie wymaga tego inny przepis
Zawiadomienie Prezesa UODO	podmiot, który wyznaczył inspektora, albo pełnomocnik	art. 10 ust. 1, 2, 4 i 6 ustawy — 14 dni od odwołania i od wyznaczenia; formularz łączony — 14 dni od wcześniejszej z tych dat	każdy podmiot grupy przedsiębiorców albo organ lub podmiot publiczny ze wspólnym inspektorem osobno (art. 10 ust. 5); zastępca — zawiadomienie w trybie art. 10 (art. 11a ust. 3), według UODO na odrębnym formularzu
Publikacja danych	podmiot, który wyznaczył inspektora	art. 37 ust. 7 RODO, art. 11 ustawy — niezwłocznie	bez strony internetowej — w miejscu prowadzenia działalności; dane zastępcy także (art. 11a ust. 3)
Rejestr czynności i klauzule	administrator; podmiot przetwarzający w swoim rejestrze	art. 30 ust. 1 lit. a i ust. 2 lit. a, art. 13 ust. 1 lit. b, art. 14 ust. 1 lit. b RODO	klauzule bez zmian, gdy podają tylko adres funkcyjny w domenie organizacji
Przekazanie dokumentacji i spraw w toku	administrator lub podmiot przetwarzający	art. 38 ust. 1 i 2 RODO — włączanie niezwłocznie, bez terminu w dniach	terminy z art. 12 ust. 3 biegną dalej; tajemnica z art. 38 ust. 5

Wnioski i dalsze kroki

Zmiana IOD bez przerwy w funkcji wymaga ustalenia daty wyznaczenia następcy i listy spraw w toku, zanim poprzednik zakończy pracę. Przy miesięcznym wypowiedzeniu następcę warto wybrać w pierwszym tygodniu, a resztę czasu przeznaczyć na przygotowanie przekazania.

1. Zapisz przyczynę zakończenia funkcji i sprawdź, czy nie wiąże się z zaleceniami inspektora.
2. Odwołaj poprzednika i wyznacz następcę na piśmie z datami, które nie zostawiają przerwy, po sprawdzeniu kwalifikacji i konfliktu interesów.
3. Przed dniem zmiany przygotuj z poprzednikiem sprawy w toku, dokumentację i listę niewykonanych zaleceń, najlepiej w okresie wypowiedzenia. Przekaż je następcy w dniu wyznaczenia i zamknij przekazanie protokołem.
4. Ustal, jak przechodzi korespondencja skierowana do poprzedniego inspektora.
5. W dniu zmiany odbierz poprzednikowi dostępy i pełnomocnictwa, zażądaj usunięcia kopii dokumentacji i korespondencji, a kontrahentom z umów powierzenia podaj nowy kontakt.
6. Niezwłocznie zaktualizuj dane na stronie internetowej, w rejestrze czynności i w klauzulach, które wskazują poprzednika.
7. W ciągu 14 dni od wcześniejszej z dat odwołania i wyznaczenia złóż zawiadomienie na formularzu o odwołaniu dotychczasowego i wyznaczeniu nowego inspektora. Sprawdź podpisy według reprezentacji, zachowaj UPP i sprawdź, czy zmiana dotyczy też zastępcy.
8. Poproś nowego inspektora o pierwszy raport ze stanem zastanym i planem pracy.

Materiały powiązane

• Co powinna zawierać umowa z zewnętrznym inspektorem ochrony danych? — wypowiedzenie i przekazanie dokumentacji w umowie.
• Jakie zasoby musi otrzymać inspektor ochrony danych? — czas, dostęp do informacji i zastępca inspektora.
• Jakich informacji zarząd powinien oczekiwać od IOD? — raporty inspektora dla zarządu.
• Zewnętrzny czy wewnętrzny IOD? Co uwzględnić przed decyzją? — wybór modelu przed zmianą inspektora.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 5 ust. 2, art. 12 ust. 3, art. 13 ust. 1 lit. b, art. 14 ust. 1 lit. b, art. 24 ust. 1 i 2, art. 30 ust. 1 i 2, art. 33 ust. 1, ust. 3 lit. b, ust. 4 i 5, art. 34 ust. 2, art. 35 ust. 2 oraz art. 37–39 — eur-lex.europa.eu.
• Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, tekst ujednolicony ze stanem na 18 sierpnia 2026 r. — art. 8, 10, 11 i 11a — isap.sejm.gov.pl.
• Grupa Robocza Art. 29, Wytyczne dotyczące inspektorów ochrony danych (WP 243 rew. 01), zatwierdzone przez Europejską Radę Ochrony Danych — pkt 2.1, 2.5, 2.6, 3.1, 3.4, 4.4 i 4.5 oraz pytanie 12 załącznika, wersja polska — uodo.gov.pl oraz wersja angielska — ec.europa.eu.
• Wyrok Trybunału Sprawiedliwości Unii Europejskiej z dnia 22 czerwca 2022 r., C-534/20 Leistritz, ECLI:EU:C:2022:495 — pkt 23 i 28 — curia.europa.eu.
• Urząd Ochrony Danych Osobowych, Biuletyn UODO — numer specjalny (materiały z archiwalnej strony UODO z lat 2018–2022), rozdziały „Wyznaczenie i status IOD” i „Zawiadomienia Prezesa UODO związane z IOD” — uodo.gov.pl.
• Urząd Ochrony Danych Osobowych, Weryfikacja przestrzegania przepisów dotyczących inspektora ochrony danych — uodo.gov.pl oraz komunikat „Skuteczne wyznaczenie IOD warunkiem koniecznym skutecznej ochrony danych” — uodo.gov.pl.
• Biznes.gov.pl, Zawiadom o odwołaniu dotychczasowego i wyznaczeniu nowego inspektora ochrony danych (na podstawie ustawy o ochronie danych osobowych – RODO), instytucja odpowiedzialna: Urząd Ochrony Danych Osobowych — biznes.gov.pl.