INSPEKTOR OCHRONY DANYCH to KONIECZNOŚĆ OD 25 MAJA 2018 r.

1. Art. 37 ust 5 – Inspektor ochrony danych jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk
   w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, o których mowa
   w art. 39.

Definicja – kwalifikacja to określony, formalnie potwierdzony zestaw efektów uczenia się, czyli wiedzy, umiejętności i kompetencji społecznych. Uzyskiwany w wyniku procesu potwierdzania kompetencji zgodnych z ustalonymi wymaganiami. Wymagania oznaczają następujące w trakcie cyklu kształcenia nabywanie wiedzy oraz przystąpienie i zdanie egzaminu. W ustawie z dnia 22 grudnia 2015 r. o Zintegrowanym Systemie Kwalifikacji (Dz. U. z 2016 r. poz. 64) w art. 2 pkt. 1 definiuje się pojęcie certyfikacji określając je jako proces, „w wyniku którego osoba ubiegająca się o nadanie określonej kwalifikacji, po uzyskaniu pozytywnego wyniku walidacji, otrzymuje od uprawnionego podmiotu certyfikującego dokument potwierdzający nadanie określonej kwalifikacji”. Tym samym zgodnie z polskimi przepisami o Zintegrowanym Systemie Kwalifikacji (ZSK) obejmuje ogół rozwiązań służących ustanawianiu, nadawaniu oraz zapewnianiu jakości tych kwalifikacji. Przez system rozumie się ogół działań państwa związanych z formalnym potwierdzaniem efektów wszelkiego rodzaju uczenia się. Kwalifikacje pełne nadawane są wyłącznie
w systemie oświaty i szkolnictwa wyższego w zróżnicowanych formach edukacyjnych.

Wniosek – osoba potencjalnie wyznaczana do pełnienia czynności Inspektora to kandydat legitymujący się jednoznacznie udokumentowanymi kwalifikacjami zawodowymi,
a dodatkowo – zgodnie z wytycznymi GIODO musi posiadać umiejętności współmierne do charakteru skomplikowania i ilości danych przetwarzanych w ramach jednostki. Szczególnie istotne w tym zakresie jest rozpoznawanie przepisów prawa oświatowego i specyfiki działania organizacji.

2. Art. 38 ust 1 – administrator zapewnia, by inspektor ochrony danych był właściwie
   i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych.

Rolą Inspektora jest systematyczne angażowanie się w procesy związane z przetwarzaniem danych i ocena zgodności ilości gromadzonych, utrwalanych i przechowywanych danych
w różnych operacjach – np. rekrutacja kandydatów do pracy, monitoring wizyjny organizacji z ograniczeniem czasowym zapisów, usługi zewnętrzne [IT]. Zaangażowanie IODO to także sytuacje utraty danych i wyjaśnienie przyczyn, określenie sprawców zdarzenia i ocena wyrządzonych szkód.

Wniosek – Inspektor w oparciu o przepisy ogólne, resortowe i wewnętrzne procedury dokonuje weryfikacji i oceny przesłanek legalnego przetwarzania danych, a także współpracuje w przygotowaniu zapisów w odpowiednich dokumentach wewnętrznych – statut, schemat organizacyjny, organizacyjna podległość, zadania nadzoru, weryfikacja
i aktualizacja kompleksowej dokumentacji przetwarzania i zabezpieczenia danych.

3. Art. 39 ust. 1 lit b – monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty;

IOD mają obowiązek przeprowadzania wewnętrznych audytów bezpieczeństwa danych, które dla podmiotów realizujących zadania publiczne muszą być zgodne z uregulowaniami zawartymi w § 20 Rozporządzenia Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności […]. Zapisy art. 37 ust. 5 RODO słusznie zatem zauważają potrzebę posiadania / legitymowania się kwalifikacjami zawodowymi IOD, które można skutecznie uzyskać w zgodności z istniejącymi przepisami prawa krajowego
o warunkach uzyskania uprawnień audytora bezpieczeństwa informacji.

Wniosek – IODO musi posiadać wydany przez jednostkę certyfikującą dokument
o nabyciu uprawnień audytora w obszarach bezpieczeństwa informacji.

4. Art. 38 ust. 2 – 2.Administrator wspiera inspektora ochrony danych w wypełnianiu przez niego zadań, o których mowa w art. 39, zapewniając mu zasoby niezbędne do wykonania tych zadań oraz dostęp do danych osobowych i operacji przetwarzania,
   a także zasoby niezbędne do utrzymania jego wiedzy fachowej.

W oparciu o Rozporządzenie Ministra Pracy i Polityki Społecznej z dnia 7 sierpnia 2014 r.
w sprawie klasyfikacji zawodów i specjalności na potrzeby rynku pracy oraz zakresu jej stosowania (Dz. U. z 2014 r. poz. 1145 ze zm.), ustawodawca określił pod nr indywidualnego kodu: 242212 umieścił zawód: „Inspektor ochrony danych osobowych”.

Wniosek – Inspektor w nowym porządku prawnym oznacza zawód i wynikającą z niego odpowiedzialność z tytułu wykonania zadań. W brzmieniu cytowanego artykuły ustawodawca wskazuje potrzebę zapewnienia zasobów do wykonania prac na rzecz administratora
i podwyższanie poziomu wiedzy Inspektora.

5. Art. 38 ust. 3 – Inspektor ochrony danych bezpośrednio podlega najwyższemu kierownictwu administratora.

Wniosek – podobnie jak w regulacji dotyczącej powołania ABI od 2015 r, Inspektor podlega bezpośrednio Dyrektorowi szkoły. Należy zatem wprowadzić instytucję Inspektora do schematu organizacyjnego szkoły w zgodności z cytowanym przepisem. Ilustracją podległości jest prezentowany schemat nr 2.