Czy IOD jest obowiązkowy? Kiedy trzeba powołać Inspektora Ochrony Danych?

Nie każda firma ma obowiązek powołania Inspektora Ochrony Danych. O konieczności wyznaczenia IOD nie decydują wyłącznie liczba pracowników, wysokość obrotów ani fakt posiadania bazy klientów. Znaczenie ma przede wszystkim charakter działalności organizacji, zakres przetwarzania danych oraz to, czy dane są wykorzystywane do regularnego monitorowania osób albo obejmują informacje szczególnie chronione.

Dlatego pytanie „czy IOD jest obowiązkowy?” należy rozpatrywać indywidualnie. Niewielka firma technologiczna może spełnić przesłanki obowiązkowego wyznaczenia inspektora, podczas gdy większe przedsiębiorstwo produkcyjne przetwarzające głównie zwykłe dane pracowników i kontrahentów może nie mieć takiego obowiązku.

Zapraszamy do współpracy

Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.

BPPZ – Biuro Porad Prawnych Zacharski

– Umów się na bezpłatną konsultację

• +48 600 784 526
• kontakt@bppz.pl

Zadzwoń Napisz wiadomość

W przepisach RODO używane jest określenie „wyznaczenie” Inspektora Ochrony Danych. W praktyce równie często mówi się o jego powołaniu. Oba sformułowania odnoszą się do wskazania konkretnej osoby, która będzie wykonywała zadania IOD w organizacji.

Najważniejsze informacje

• IOD jest obowiązkowy w trzech sytuacjach wskazanych w RODO.
• Sama liczba pracowników nie przesądza o obowiązku.
• Znaczenie mają główna działalność, skala oraz rodzaj danych.
• Obowiązek może dotyczyć także podmiotu przetwarzającego.
• Ocenę należy udokumentować i okresowo aktualizować.
• Pomagamy ustalić, czy organizacja powinna wyznaczyć IOD.

Kiedy wyznaczenie IOD jest obowiązkowe?

Zgodnie z art. 37 ust. 1 RODO administrator oraz podmiot przetwarzający muszą wyznaczyć Inspektora Ochrony Danych, gdy zachodzi co najmniej jedna z trzech przesłanek:

• przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości;
• główna działalność organizacji polega na operacjach wymagających regularnego i systematycznego monitorowania osób na dużą skalę;
• główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych albo danych dotyczących wyroków skazujących i naruszeń prawa. ¹

Wystarczy spełnienie jednej z tych przesłanek. Firma nie musi jednocześnie monitorować klientów i przetwarzać danych medycznych, aby powstał obowiązek wyznaczenia inspektora.

Przesłanka 1. Organ lub podmiot publiczny

W przypadku organów i podmiotów publicznych wyznaczenie IOD jest co do zasady obowiązkowe niezależnie od liczby pracowników oraz skali przetwarzania danych.

Polska ustawa o ochronie danych osobowych wskazuje, że do podmiotów publicznych objętych tym obowiązkiem należą:

• jednostki sektora finansów publicznych;
• instytuty badawcze;
• Narodowy Bank Polski.

Do jednostek sektora finansów publicznych należą między innymi urzędy, jednostki samorządu terytorialnego, szkoły publiczne, jednostki budżetowe, samodzielne publiczne zakłady opieki zdrowotnej oraz inne jednostki wymienione w przepisach o finansach publicznych. ²

Nie każda organizacja wykonująca zadania o społecznym znaczeniu jest jednak automatycznie podmiotem publicznym. Przykładowo prywatna przychodnia, niepubliczna szkoła albo prywatny operator usług komunalnych wymagają odrębnej analizy pozostałych przesłanek.

Przesłanka 2. Regularne i systematyczne monitorowanie osób na dużą skalę

Druga przesłanka dotyczy organizacji, których główna działalność wymaga regularnego i systematycznego monitorowania osób, a działania te odbywają się na dużą skalę.

Aby powstał obowiązek wyznaczenia IOD, należy więc łącznie potwierdzić trzy elementy:

• monitorowanie osób jest częścią głównej działalności;
• odbywa się regularnie i systematycznie;
• prowadzone jest na dużą skalę.

Nie chodzi wyłącznie o klasyczny monitoring wizyjny. Monitorowanie może obejmować także analizowanie zachowania, lokalizacji, aktywności, historii zakupów, zainteresowań, wiarygodności albo ryzyka związanego z określoną osobą.

Przykładami mogą być:

• śledzenie lokalizacji użytkowników aplikacji;
• profilowanie klientów na potrzeby reklamy;
• ustalanie scoringu kredytowego;
• analizowanie zachowania użytkowników platformy;
• monitorowanie aktywności urządzeń ubieralnych;
• prowadzenie rozbudowanego programu lojalnościowego;
• monitoring wizyjny prowadzony przez firmę ochroniarską w wielu obiektach;
• analizowanie ryzyka ubezpieczeniowego;
• świadczenie usług telekomunikacyjnych.

Jednorazowa ankieta satysfakcji lub analiza pojedynczej transakcji zazwyczaj nie będzie jeszcze regularnym i systematycznym monitorowaniem. Inaczej należy ocenić proces prowadzony stale, według ustalonego modelu, obejmujący dużą grupę klientów i wpływający na sposób ich traktowania.

Co oznacza „regularne i systematyczne”?

RODO nie zawiera jednej zamkniętej definicji tego pojęcia. Zgodnie z wytycznymi Grupy Roboczej Art. 29 monitorowanie może być uznane za regularne, gdy odbywa się stale, cyklicznie, powtarzalnie albo w określonych odstępach czasu.

Systematyczny charakter może natomiast oznaczać, że działanie:

• odbywa się według ustalonego systemu;
• jest zorganizowane lub metodyczne;
• stanowi część szerszego planu gromadzenia danych;
• jest prowadzone w ramach określonej strategii.

Nie jest więc konieczne, aby monitorowanie odbywało się bez przerwy. Również okresowa, ale powtarzalna i zaplanowana analiza klientów może spełniać tę przesłankę.

Przesłanka 3. Szczególne kategorie danych na dużą skalę

IOD należy również wyznaczyć, gdy główna działalność administratora albo podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych.

Do tej grupy należą między innymi dane ujawniające:

• pochodzenie rasowe lub etniczne;
• poglądy polityczne;
• przekonania religijne lub światopoglądowe;
• przynależność do związków zawodowych;
• informacje genetyczne;
• dane biometryczne wykorzystywane do jednoznacznej identyfikacji;
• informacje o zdrowiu;
• dane dotyczące seksualności lub orientacji seksualnej.

Ta sama przesłanka obejmuje przetwarzanie na dużą skalę danych dotyczących wyroków skazujących i naruszeń prawa.

Obowiązek może więc dotyczyć między innymi szpitala, sieci placówek medycznych, laboratorium diagnostycznego, dużego dostawcy usług medycyny pracy albo podmiotu przetwarzającego dokumentację medyczną na rzecz wielu placówek.

Samo posiadanie przez pracodawcę zwolnień lekarskich, informacji o niepełnosprawności czy dokumentacji medycyny pracy nie oznacza jeszcze automatycznie, że jego główna działalność polega na przetwarzaniu danych o zdrowiu na dużą skalę.

Co oznacza „główna działalność”?

Jednym z najczęstszych błędów jest utożsamianie każdej czynności wykonywanej w firmie z jej główną działalnością.

Główna działalność obejmuje zasadnicze operacje niezbędne do osiągnięcia celów organizacji. Przetwarzanie danych nie musi być formalnie oferowaną usługą. Wystarczy, że pozostaje nierozerwalnie związane z podstawowym sposobem działania podmiotu.

Przykładowo podstawową działalnością szpitala jest leczenie pacjentów. Nie można jednak świadczyć usług medycznych bez przetwarzania historii choroby, wyników badań i informacji o stanie zdrowia. Przetwarzanie tych danych jest więc częścią głównej działalności szpitala.

Podobnie firma ochroniarska formalnie świadczy usługi ochrony, ale jeżeli podstawą tej usługi jest stały monitoring wielu obiektów, przetwarzanie obrazu osób staje się nierozerwalną częścią jej działalności.

Za działalność dodatkową zazwyczaj uznaje się natomiast standardową obsługę kadrową, prowadzenie księgowości, naliczanie wynagrodzeń albo zwykłe zarządzanie infrastrukturą IT. Są to działania potrzebne niemal każdej organizacji, lecz przeważnie nie stanowią jej zasadniczego celu.

Jak ocenić, czy przetwarzanie odbywa się na dużą skalę?

RODO nie ustanawia jednego limitu liczby osób, rekordów ani dokumentów, po którego przekroczeniu IOD staje się obowiązkowy. Nie można więc przyjąć zasady, że inspektora trzeba wyznaczyć po osiągnięciu określonej liczby klientów.

Przy ocenie dużej skali należy uwzględnić:

• liczbę osób, których dane dotyczą;
• udział tych osób w określonej grupie lub populacji;
• zakres i różnorodność danych;
• czas trwania lub ciągłość przetwarzania;
• zasięg geograficzny operacji.

Za przykłady przetwarzania na dużą skalę uznaje się między innymi przetwarzanie danych pacjentów przez szpital, danych klientów banku lub ubezpieczyciela, informacji o lokalizacji użytkowników aplikacji oraz danych wykorzystywanych przez operatorów telekomunikacyjnych.

Za przetwarzanie na dużą skalę zazwyczaj nie jest natomiast uznawane prowadzenie dokumentacji pacjentów przez pojedynczego lekarza ani przetwarzanie danych dotyczących wyroków skazujących przez pojedynczego adwokata lub radcę prawnego. Wytyczne podkreślają również, że nie można wskazać jednej uniwersalnej wartości liczbowej rozstrzygającej ocenę. [3]

Czy każda przychodnia musi wyznaczyć IOD?

Nie każda placówka medyczna automatycznie ma taki obowiązek. W przypadku prywatnej przychodni należy przede wszystkim ocenić skalę przetwarzania danych o zdrowiu.

Znaczenie mogą mieć:

• liczba aktywnych pacjentów;
• liczba placówek i personelu;
• zakres wykonywanych świadczeń;
• liczba i rodzaj przetwarzanych informacji medycznych;
• długość przechowywania dokumentacji;
• obszar, na którym działa placówka;
• korzystanie ze wspólnego systemu przez kilka jednostek.

Pojedynczy lekarz prowadzący indywidualną praktykę zazwyczaj nie przetwarza danych na dużą skalę. Inaczej może wyglądać sytuacja sieci przychodni, szpitala albo placówki obsługującej tysiące pacjentów i wiele rodzajów dokumentacji medycznej.

UODO zwraca uwagę, że administrator powinien samodzielnie przeprowadzić i udokumentować ocenę. Należy ją również ponawiać, ponieważ niewielka placówka może z czasem rozwinąć działalność i zacząć przetwarzać dane szczególnych kategorii na dużą skalę. [4]

Czy sklep internetowy musi mieć IOD?

Zwykły sklep internetowy zazwyczaj nie musi wyznaczać Inspektora Ochrony Danych wyłącznie dlatego, że posiada bazę klientów, realizuje zamówienia i prowadzi newsletter.

Ocena może się jednak zmienić, jeżeli sklep lub platforma:

• prowadzi rozbudowane profilowanie użytkowników;
• śledzi zachowania w wielu kanałach;
• łączy dane z wielu zewnętrznych źródeł;
• tworzy szczegółowe profile zakupowe;
• analizuje lokalizację użytkowników;
• prowadzi monitoring na bardzo dużą skalę;
• oferuje takie działania analityczne innym podmiotom.

Standardowe statystyki odwiedzin lub prowadzenie podstawowej bazy zamówień nie przesądzają automatycznie o obowiązku. Kluczowe jest ustalenie, czy regularne monitorowanie stanowi część podstawowego modelu działalności i odbywa się na dużą skalę.

Czy agencja marketingowa powinna wyznaczyć IOD?

Agencja przygotowująca materiały reklamowe lub prowadząca profile klientów w mediach społecznościowych nie zawsze będzie zobowiązana do wyznaczenia inspektora.

Obowiązek może jednak powstać, gdy podstawową działalnością agencji jest:

• analizowanie zachowania dużych grup użytkowników;
• prowadzenie reklamy behawioralnej;
• tworzenie profili konsumenckich;
• łączenie danych z wielu baz;
• śledzenie użytkowników pomiędzy serwisami;
• prowadzenie kampanii opartych na szczegółowym scoringu odbiorców.

W takiej sytuacji należy ocenić łączną skalę wszystkich operacji prowadzonych na rzecz klientów, a nie tylko wielkość pojedynczej kampanii.

Czy firma ochroniarska musi mieć IOD?

Firma świadcząca usługi ochrony przy wykorzystaniu monitoringu może mieć obowiązek wyznaczenia IOD, jeżeli obserwowanie osób stanowi istotną część podstawowej działalności i odbywa się na dużą skalę.

Znaczenie mają między innymi:

• liczba monitorowanych obiektów;
• liczba kamer;
• obszar objęty obserwacją;
• liczba osób mogących znaleźć się na nagraniach;
• okres przechowywania materiału;
• możliwość identyfikacji i analizowania zachowania osób.

Pojedyncza kamera przy wejściu do niewielkiego biura nie oznacza automatycznie obowiązku. Inaczej należy ocenić operatora prowadzącego stały monitoring wielu centrów handlowych, zakładów lub przestrzeni publicznych.

Czy podmiot przetwarzający również może mieć obowiązek wyznaczenia IOD?

Tak. Obowiązek wynikający z art. 37 RODO dotyczy zarówno administratorów, jak i podmiotów przetwarzających dane w ich imieniu.

Możliwa jest sytuacja, w której niewielka firma będąca administratorem nie musi wyznaczać inspektora, ale współpracujący z nią dostawca analityki, hostingu medycznego lub systemu kadrowego ma taki obowiązek ze względu na łączną skalę danych przetwarzanych dla wielu klientów.

Przykładowo lokalny gabinet może przetwarzać dane ograniczonej liczby pacjentów. Dostawca systemu medycznego obsługujący setki takich gabinetów może jednak przetwarzać dane o zdrowiu na dużą skalę.

Każdy podmiot powinien więc oddzielnie ocenić własną rolę i skalę wykonywanych operacji.

Czy liczba pracowników decyduje o obowiązku?

Nie. RODO nie wskazuje liczby pracowników, od której Inspektor Ochrony Danych staje się obowiązkowy.

Firma zatrudniająca pięć osób może prowadzić platformę analizującą aktywność setek tysięcy użytkowników i w rezultacie spełniać przesłanki z art. 37 RODO.

Z kolei przedsiębiorstwo zatrudniające kilkaset osób może przetwarzać głównie standardowe dane kadrowe i kontaktowe, które nie są częścią jego głównej działalności. W takim przypadku sam rozmiar organizacji nie wystarczy do stwierdzenia obowiązku.

Liczba zatrudnionych może wpływać na ogólną skalę przetwarzania, ale jest tylko jednym z elementów całej analizy.

Praktyczny test: czy IOD jest obowiązkowy?

Odpowiedz kolejno na poniższe pytania.

1. Czy organizacja jest podmiotem publicznym?

Jeżeli należy do kategorii wskazanych w polskiej ustawie o ochronie danych osobowych, powinna co do zasady wyznaczyć IOD.

2. Czy przetwarzanie danych jest częścią głównej działalności?

Sprawdź, czy bez przetwarzania określonych informacji organizacja mogłaby świadczyć swoje podstawowe usługi.

3. Czy firma regularnie i systematycznie monitoruje osoby?

Należy uwzględnić nie tylko monitoring wizyjny, ale też profilowanie, śledzenie lokalizacji, scoring, reklamę behawioralną i analizowanie aktywności klientów.

4. Czy monitorowanie odbywa się na dużą skalę?

Oceń liczbę osób, zakres danych, czas przetwarzania i zasięg geograficzny.

5. Czy główna działalność obejmuje szczególne kategorie danych?

Dotyczy to między innymi danych medycznych, biometrycznych, genetycznych oraz informacji o przekonaniach, pochodzeniu i przynależności związkowej.

6. Czy organizacja przetwarza dane o wyrokach i naruszeniach prawa?

Jeżeli odbywa się to w ramach głównej działalności i na dużą skalę, wyznaczenie IOD może być obowiązkowe.

7. Czy firma działa jako podmiot przetwarzający dla wielu klientów?

W takim przypadku należy uwzględnić łączną skalę obsługiwanych danych i procesów.

Jeżeli odpowiedź na któreś z pytań jest niejednoznaczna, należy przeprowadzić pogłębioną analizę i udokumentować sposób dojścia do wniosku.

Jak udokumentować, że firma nie musi wyznaczać IOD?

RODO nie wskazuje specjalnego formularza, który należy wypełnić w przypadku braku obowiązku. Z zasady rozliczalności wynika jednak, że organizacja powinna potrafić wykazać, dlaczego uznała, że żadna z przesłanek nie została spełniona.

Dokument może obejmować:

• opis działalności organizacji;
• wskazanie głównych procesów przetwarzania;
• informacje o liczbie osób i zakresie danych;
• ocenę regularności monitorowania;
• analizę szczególnych kategorii danych;
• ocenę działalności jako administratora i procesora;
• przyjęty wniosek wraz z uzasadnieniem;
• datę kolejnego przeglądu.

Taką ocenę warto aktualizować po uruchomieniu nowej usługi, przejęciu innej firmy, wdrożeniu systemu profilowania, znacznym zwiększeniu liczby klientów albo rozpoczęciu przetwarzania nowych kategorii danych.

Ocena może być częścią szerszego audytu RODO lub analizy ryzyka RODO.

Czy można dobrowolnie wyznaczyć IOD?

Tak. Organizacja może wyznaczyć Inspektora Ochrony Danych również wtedy, gdy przepisy nie nakładają takiego obowiązku.

Może to być uzasadnione, gdy:

• firma przetwarza dużą ilość danych, ale wynik oceny nie jest jednoznaczny;
• organizacja działa w regulowanej branży;
• regularnie występują skomplikowane projekty związane z danymi;
• klienci wymagają stałego nadzoru nad zgodnością;
• firma planuje szybki rozwój albo nowe technologie;
• nie posiada wewnętrznych kompetencji w zakresie ochrony danych.

Należy jednak pamiętać, że dobrowolnie wyznaczony IOD powinien spełniać wymagania wynikające z art. 37–39 RODO. Organizacja nie może użyć nazwy stanowiska wyłącznie wizerunkowo, a następnie pozbawić inspektora niezależności, zasobów i dostępu do informacji.

Alternatywą może być powierzenie specjaliście funkcji doradczej bez formalnego wyznaczania go jako IOD. Zakres odpowiedzialności i sposób komunikacji powinny być wtedy jasno opisane.

Kto może pełnić funkcję IOD?

Inspektorem może być pracownik organizacji albo osoba wykonująca zadania na podstawie umowy o świadczenie usług.

Przy wyborze należy uwzględnić:

• wiedzę z zakresu prawa i praktyki ochrony danych;
• znajomość procesów organizacji;
• umiejętność oceny ryzyka;
• dostępność dla pracowników, osób fizycznych i UODO;
• niezależność;
• brak konfliktu interesów;
• możliwość rzeczywistego wykonywania obowiązków.

IOD nie może jednocześnie zajmować stanowiska, na którym sam ustala cele i sposoby przetwarzania danych, a następnie kontroluje własne decyzje. Problem ten może dotyczyć między innymi członka zarządu, dyrektora IT, kierownika HR albo osoby zarządzającej działalnością operacyjną.

Szerzej tę kwestię można omówić w artykule czy prezes firmy może być Inspektorem Ochrony Danych.

Co trzeba zrobić po wyznaczeniu IOD?

Samo wskazanie osoby w wewnętrznym dokumencie nie kończy procesu.

Organizacja powinna:

1. formalnie wyznaczyć inspektora;
2. określić okres i zasady pełnienia funkcji;
3. zawiadomić Prezesa UODO;
4. opublikować dane kontaktowe IOD;
5. zapewnić mu zasoby i dostęp do informacji;
6. włączać go we wszystkie sprawy dotyczące ochrony danych;
7. zagwarantować niezależność i brak konfliktu interesów.

O wyznaczeniu IOD należy zawiadomić Prezesa UODO w terminie 14 dni. Ten sam termin obowiązuje przy odwołaniu inspektora lub zmianie zgłoszonych danych. Dane kontaktowe należy również niezwłocznie udostępnić na stronie internetowej, a jeżeli organizacja jej nie prowadzi – w miejscu prowadzenia działalności.

Szczegółowa procedura została opisana we wpisie jak zgłosić IOD do UODO.

Wyznaczenie IOD nie przenosi odpowiedzialności za RODO

Inspektor doradza, monitoruje przestrzeganie przepisów, wspiera przy ocenie skutków, współpracuje z organem nadzorczym i pełni funkcję punktu kontaktowego.

Nie przejmuje jednak odpowiedzialności administratora za zgodność przetwarzania.

To administrator nadal odpowiada między innymi za:

• dobór podstaw prawnych;
• realizację praw osób;
• zabezpieczenie danych;
• zawieranie umów powierzenia;
• zgłaszanie naruszeń;
• prowadzenie dokumentacji;
• podejmowanie decyzji o ryzyku;
• wdrażanie zaleceń lub świadome uzasadnienie innego stanowiska.

IOD powinien posiadać warunki pozwalające na niezależną ocenę tych działań, ale nie może zastępować kierownictwa w podejmowaniu decyzji należących do administratora.

Najczęstsze błędy przy ocenie obowiązku

„Mamy mniej niż 250 pracowników, więc IOD nie jest potrzebny”

RODO nie ustanawia takiego limitu. Mały zespół może prowadzić przetwarzanie na bardzo dużą skalę.

„Każda firma przetwarzająca dane medyczne musi mieć IOD”

Znaczenie ma również skala oraz związek przetwarzania z główną działalnością. Pojedynczy lekarz jest oceniany inaczej niż szpital lub sieć przychodni.

„Mamy monitoring, więc IOD jest automatycznie obowiązkowy”

Pojedynczy system kamer nie zawsze oznacza regularne i systematyczne monitorowanie na dużą skalę.

„IOD jest potrzebny tylko administratorowi”

Obowiązek może dotyczyć również podmiotu przetwarzającego dane dla wielu klientów.

„Wystarczy nadać funkcję obecnemu dyrektorowi”

Trzeba zweryfikować kompetencje, dostępność i konflikt interesów. Nie każda osoba zajmująca kierownicze stanowisko może być IOD.

„Nie powołujemy IOD, więc nie musimy niczego dokumentować”

Brak udokumentowanej analizy utrudnia wykazanie, że organizacja świadomie i prawidłowo oceniła swój obowiązek.

Jak możemy pomóc w ocenie obowiązku?

Ustalenie, czy organizacja powinna wyznaczyć IOD, może być trudne, szczególnie gdy firma prowadzi kilka rodzajów działalności, obsługuje wiele podmiotów albo wykorzystuje profilowanie, monitoring czy dane szczególnych kategorii.

Biuro Porad Prawnych Zacharski może pomóc:

• przeanalizować główne procesy przetwarzania;
• ocenić skalę i regularność operacji;
• ustalić rolę administratora i podmiotu przetwarzającego;
• przygotować uzasadnienie przyjętego stanowiska;
• zidentyfikować możliwy konflikt interesów;
• wskazać dalsze formalności po wyznaczeniu inspektora.

Jeżeli wynik analizy potwierdzi obowiązek albo organizacja zdecyduje się na dobrowolne wyznaczenie inspektora, możliwe jest skorzystanie ze wsparcia BPPZ w zakresie realizacji funkcji IOD.

Kiedy trzeba powołać IOD? Podsumowanie

Inspektora Ochrony Danych należy obowiązkowo wyznaczyć, gdy:

• dane przetwarza organ lub podmiot publiczny;
• główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę;
• główna działalność obejmuje przetwarzanie na dużą skalę danych szczególnych kategorii albo informacji o wyrokach i naruszeniach prawa.

O obowiązku nie decyduje sama wielkość firmy, liczba zatrudnionych ani fakt posiadania bazy klientów. Konieczna jest ocena rzeczywistych procesów, skali, charakteru danych i modelu biznesowego organizacji.

Jeżeli IOD nie jest obowiązkowy, warto zachować udokumentowane uzasadnienie tej decyzji i ponawiać analizę po istotnych zmianach w działalności. Firma, która obecnie nie spełnia przesłanek, może zostać nimi objęta po rozwoju usług, zwiększeniu liczby klientów albo wdrożeniu nowych sposobów analizowania danych.

Źródła:

1. Parlament Europejski i Rada Unii Europejskiej, Rozporządzenie (UE) 2016/679 – RODO, w szczególności art. 37–39.
2. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, w szczególności art. 8–11.
3. Grupa Robocza Art. 29, Wytyczne dotyczące inspektorów ochrony danych – WP 243 rev.01, zatwierdzone przez Europejską Radę Ochrony Danych.
4. Urząd Ochrony Danych Osobowych, Czy należy wyznaczyć IOD w niepublicznym zakładzie opieki zdrowotnej mającym około 2 000 pacjentów?