Konflikt interesów IOD pojawia się wtedy, gdy inspektor ma oceniać decyzje, które sam podjął jako administrator lub osoba zarządzająca przetwarzaniem danych. W małej firmie takie połączenie ról może wydawać się oszczędnością. Jednak problem nie dotyczy tylko formalnego stanowiska. Liczy się rzeczywisty wpływ na cele, narzędzia i zasady korzystania z danych. W sierpniu 2026 roku UODO opisał sprawę komornika sądowego, który przez pięć lat jednocześnie prowadził kancelarię i pełnił w niej funkcję IOD. Organ nałożył łącznie 15 500 zł kary za brak niezależności inspektora i niezawiadomienie urzędu o jego wyznaczeniu. Czy taki scenariusz może dotyczyć firmy prywatnej? Tak, jeśli właściciel lub członek zarządu zostanie wyznaczony na IOD i ma kontrolować własne decyzje. Wyjaśniamy, jak rozpoznać ryzyko i uporządkować obsadę tej funkcji.
Najważniejsze informacje
- Administrator nie powinien wyznaczać samego siebie na IOD, który ma monitorować jego działania.
- Nie każda firma ma obowiązek powołać IOD. Najpierw należy ocenić przesłanki z art. 37 RODO.
- Konflikt może dotyczyć także kierownika HR, IT lub marketingu, jeżeli decyduje o celach i sposobach przetwarzania.
- Zewnętrzny IOD nie jest niezależny tylko dlatego, że nie pracuje w firmie. Jego inne zadania również trzeba sprawdzić.
- Po wyznaczeniu IOD należy opublikować dane kontaktowe i zgłosić je Prezesowi UODO w terminie przewidzianym przez polskie przepisy.
- Najlepszym dowodem prawidłowego wyboru jest opis ról, zakresu decyzji i sposobu raportowania do zarządu.
Zapraszamy do współpracy
Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.
Co wydarzyło się w sprawie opisanej przez UODO?
UODO poinformował 31 sierpnia 2026 roku o decyzji DKN.5131.24.2025. Dotyczyła komornika sądowego, który był administratorem danych w swojej kancelarii. Jednocześnie przez pięć lat przedstawiał siebie jako inspektora ochrony danych.
Sprawa rozpoczęła się od zgłoszenia incydentu. Pismo o zajęciu rachunku bankowego trafiło do niewłaściwej osoby. Przy badaniu zgłoszenia urząd zauważył sposób obsadzenia funkcji IOD oraz brak zawiadomienia o jego wyznaczeniu.
Organ uznał, że inspektor nie mógł niezależnie monitorować własnych działań administratora. Nałożył 12 000 zł kary za naruszenie gwarancji niezależności oraz 3 500 zł za brak zgłoszenia wyznaczenia IOD. Łączna kwota wyniosła 15 500 zł. Komunikat UODO z 31 sierpnia 2026 roku podaje też, że wybór był świadomy i miał przynieść oszczędności.
To rozstrzygnięcie nie oznacza, że każdy przedsiębiorca musi powołać IOD. Komornik podlega odrębnym uwarunkowaniom swojej działalności. Dla firm najważniejsza jest inna lekcja: jeśli inspektor został wyznaczony, jego rola musi być rzeczywiście niezależna.
Kiedy trzeba wyznaczyć inspektora ochrony danych?
Artykuł 37 RODO wskazuje trzy główne przypadki obowiązkowego wyznaczenia IOD. Chodzi o przetwarzanie przez organ lub podmiot publiczny oraz o określone rodzaje działalności na dużą skalę.
W sektorze prywatnym znaczenie ma to, czy podstawowa działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę. Drugą przesłanką jest przetwarzanie na dużą skalę danych szczególnych kategorii albo danych o wyrokach skazujących i czynach zabronionych.
Sama liczba pracowników nie przesądza o obowiązku. Podobnie jak posiadanie strony internetowej, CRM lub programu kadrowego. Trzeba zbadać charakter głównej działalności, rodzaj danych, zakres monitorowania i skalę operacji.
IOD można wyznaczyć dobrowolnie. Wtedy również obowiązują wymagania dotyczące jego pozycji i konfliktu interesów. Jeśli firma nie potrzebuje formalnego IOD, może zorganizować wsparcie prawne w innym modelu. Nie należy jednak nazywać zwykłego koordynatora IOD, gdy organizacja nie zapewnia mu wymaganych gwarancji.
Jeżeli nie wiesz, czy Twoja organizacja spełnia przesłanki z art. 37 RODO, zamów audyt RODO w BPPZ. W ramach oceny można sprawdzić również stanowiska, które już dziś uczestniczą w podejmowaniu decyzji o danych.
Dlaczego właściciel lub członek zarządu nie powinien być IOD?
Administrator ustala cele oraz zasadnicze sposoby przetwarzania danych. Decyduje na przykład, jakie informacje gromadzić w CRM, kto ma dostęp do dokumentacji HR i jak długo zachowywać historię zakupów.
IOD informuje o obowiązkach, doradza i monitoruje zgodność działań administratora. Musi móc wskazać błędy nawet wtedy, gdy są wynikiem decyzji zarządu. Gdy obie role pełni jedna osoba, niezależna ocena staje się fikcją.
Artykuł 38 ust. 6 RODO dopuszcza dodatkowe zadania IOD. Warunek jest jednak jasny: nie mogą powodować konfliktu interesów. UODO wyjaśnia, że stanowiska związane z określaniem celów i sposobów przetwarzania są co do zasady niezgodne z tą funkcją.
Przykład jest prosty. Właściciel decyduje o wprowadzeniu systemu monitorowania pracowników. Następnie jako IOD miałby ocenić zasadność, proporcjonalność i zabezpieczenia własnego pomysłu. Trudno oczekiwać niezależnej kontroli, nawet jeśli potrafi poprawnie przytoczyć przepisy.
Podobne ryzyko dotyczy członka zarządu. Sama deklaracja, że „w sprawach RODO występuje w innej roli”, nie zmienia zakresu jego kompetencji zarządczych.
Jak rozpoznać konflikt interesów IOD w innych działach?
Nie wystarczy sprawdzić nazwy stanowiska. Liczy się to, kto faktycznie wybiera cele przetwarzania i najważniejsze środki techniczne lub organizacyjne.
| Stanowisko | Typowe ryzyko | Co należy sprawdzić |
|---|---|---|
| Członek zarządu lub właściciel | Kontrola własnych decyzji administratora | Kompetencje do zatwierdzania celów, narzędzi i budżetów |
| Kierownik HR | Ocena własnych zasad rekrutacji i danych pracowników | Wpływ na zakres danych, retencję i dostęp |
| Kierownik IT | Ocena wdrożonych przez siebie systemów | Decyzje o dostawcach, konfiguracji i zabezpieczeniach |
| Kierownik marketingu | Ocena kampanii i profilowania, które projektuje | Wybór grup odbiorców, danych i kanałów kontaktu |
| Specjalista IT lub HR | Konflikt możliwy, ale nie automatyczny | Czy jedynie wykonuje polecenia, czy sam ustala istotne zasady |
| Zewnętrzny doradca | Ryzyko wynikające z innych zleceń | Czy nie ocenia własnego projektu albo nie reprezentuje strony w sporze dotyczącym tych danych |
Ta tabela nie zastępuje indywidualnej analizy. Na przykład pracownik działu IT może administrować kontami według zatwierdzonej procedury, nie decydując o celach wykorzystania danych. Kierownik tego samego działu może już wybierać dostawców i parametry przetwarzania.
Warto zadać każdemu kandydatowi trzy pytania. Czy zatwierdza proces, który ma monitorować? Czy może bez instrukcji kierownictwa formułować krytyczne zalecenia? Czy raportuje bezpośrednio do najwyższego kierownictwa?
Jeśli odpowiedzi pokazują konflikt, nie wystarczy dopisać do umowy zdania o niezależności. Trzeba zmienić podział zadań.
Niezależność IOD to również organizacja pracy
Wybór osoby bez konfliktu jest początkiem, nie końcem pracy. Inspektor powinien mieć dostęp do informacji potrzebnych do oceny procesów. Organizacja musi włączać go odpowiednio wcześnie w sprawy dotyczące danych.
IOD podlega bezpośrednio najwyższemu kierownictwu. Nie powinien dostawać poleceń, do jakiego wniosku ma dojść w konkretnej ocenie. Jednocześnie nie przejmuje odpowiedzialności administratora za decyzje biznesowe.
To ważne rozróżnienie. Inspektor może rekomendować ograniczenie zakresu danych lub zmianę dostawcy. Zarząd podejmuje decyzję i powinien umieć ją uzasadnić. Jeśli wybiera rozwiązanie odmienne od zalecenia IOD, warto zapisać przyczyny.
Potrzebne są też odpowiedni czas, kompetencje i środki. Osoba wyznaczona formalnie, lecz pozbawiona dostępu do projektów, nie będzie mogła skutecznie monitorować zgodności. Z kolei inspektor, który sam „zatwierdza” każdy proces zamiast doradzać, może zostać wciągnięty w decyzje podlegające późniejszej kontroli.
Wewnętrzny czy zewnętrzny IOD?
RODO pozwala, aby IOD był pracownikiem albo wykonywał zadania na podstawie umowy o świadczenie usług. Żaden z tych modeli nie jest automatycznie lepszy. Trzeba porównać kompetencje, dostępność, sposób raportowania i zakres dodatkowych obowiązków.
Wewnętrzny inspektor zna organizację i jest blisko zespołów. Trzeba jednak upewnić się, że nie kieruje jednocześnie działem, którego decyzje ma oceniać. Zewnętrzny inspektor może dać firmie specjalistyczną wiedzę bez tworzenia etatu. Jego niezależność również wymaga sprawdzenia.
Przykładowo zewnętrzny wykonawca projektuje cały system marketingowy, wybiera cele profilowania i później jako IOD monitoruje własne rozwiązanie. Takie połączenie może budzić podobne zastrzeżenia jak rola wewnętrzna. UODO wskazuje również możliwy konflikt przy reprezentowaniu administratora przed sądem w sprawie dotyczącej ochrony danych.
Jeśli potrzebujesz stałej, wyraźnie oddzielonej funkcji nadzorczej, sprawdź usługę zewnętrznego IOD w BPPZ. Zakres współpracy warto ustalić tak, by rekomendacje inspektora trafiały do zarządu, a decyzje biznesowe pozostawały po stronie firmy.
Co zrobić, jeżeli obecny IOD ma konflikt interesów?
Najpierw ustal, czy funkcja została wyznaczona obowiązkowo czy dobrowolnie. Następnie zbadaj rzeczywisty zakres kompetencji obecnego inspektora. Warto przejrzeć dokumenty, ale również sposób działania zespołów.
Praktyczna procedura może mieć sześć etapów:
- Opisz procesy, które IOD ma monitorować, oraz osoby podejmujące w nich decyzje.
- Wskaż zadania inspektora, które pokrywają się z jego obowiązkami zarządczymi.
- Zdecyduj, czy należy zmienić podział ról, czy wyznaczyć inną osobę.
- Ustal sposób raportowania, zasoby i zasady dokumentowania zaleceń.
- Zaktualizuj dane kontaktowe IOD oraz wymagane zgłoszenie do UODO.
- Poinformuj pracowników, kogo mają angażować w projekty i do kogo kierować pytania osób.
Warto zachować notatkę z oceny konfliktu interesów. Powinna wskazywać kompetencje stanowiska, zakres przetwarzania oraz przyczyny wyboru konkretnego modelu. Sama karta z nazwiskiem IOD nie pokaże, czy zapewniono mu niezależność.
Jeżeli kontrola wykaże braki w procedurach i podziale odpowiedzialności, wdrożenie RODO z BPPZ pozwala uporządkować obieg decyzji, zgłoszeń, zaleceń i działań zespołów. Dzięki temu zmiana inspektora nie pozostanie wyłącznie poprawką w dokumentach.
Czy dane kontaktowe IOD trzeba zgłosić i opublikować?
Tak, jeżeli IOD został wyznaczony. Artykuł 37 ust. 7 RODO nakazuje opublikowanie jego danych kontaktowych i przekazanie ich organowi nadzorczemu.
Polska ustawa o ochronie danych osobowych przewiduje zawiadomienie Prezesa UODO w ciągu 14 dni od wyznaczenia IOD. Dotyczy to także zmian danych wymagających zawiadomienia, zgodnie z odpowiednimi przepisami ustawy. W opisanej sprawie urząd nałożył osobną karę właśnie za brak informacji o wyznaczeniu.
Publicznie dostępny kontakt ma pomóc osobom, których dane dotyczą, i urzędowi. Nie oznacza to obowiązku opublikowania prywatnego numeru inspektora. Firma powinna zapewnić skuteczny adres lub inny kanał kontaktu, a następnie sprawdzić, czy działa on także podczas urlopu.
W praktyce problemy pojawiają się przy zmianie inspektora lub zakończeniu współpracy z dostawcą. Strona internetowa pokazuje stary adres, a zgłoszenie nie zostało zaktualizowane. Dlatego obowiązki kontaktowe warto wpisać do checklisty wyznaczenia i zakończenia współpracy.
Przykład: właściciel firmy jako IOD w spółce usługowej
Spółka świadczy usługi dla wielu klientów. Jej właściciel zatwierdza wybór CRM, zasady przechowywania danych i dostęp zespołu do dokumentacji. Osobno wpisuje siebie do polityki jako IOD.
Firma nie bada, czy musi formalnie wyznaczyć inspektora. Nie opisuje też konfliktu interesów. Gdy klient żąda usunięcia danych, właściciel ocenia zgodność zasad, które sam zatwierdził. Gdy pracownik zgłasza incydent, kieruje go również do tej samej osoby.
Rozwiązanie zależy od wyniku analizy przesłanek z art. 37 RODO. Jeśli wyznaczenie jest obowiązkowe, trzeba wskazać innego, kompetentnego IOD bez konfliktu. Jeśli było dobrowolne, można rozważyć odrębny model obsługi RODO, nieposługujący się tytułem IOD.
W obu wariantach warto rozdzielić doradztwo, monitorowanie i decyzje zarządcze. To daje zespołowi jasną ścieżkę eskalacji, a firmie dowód, że ryzyko zostało ocenione.
Checklista dla zarządu
- Czy mamy udokumentowaną ocenę obowiązku wyznaczenia IOD?
- Kto faktycznie określa cele i istotne sposoby przetwarzania danych?
- Czy obecny IOD nie monitoruje własnych decyzji?
- Czy ma bezpośredni dostęp do najwyższego kierownictwa?
- Czy może wydawać zalecenia bez instrukcji co do wyniku?
- Czy otrzymuje informacje o nowych procesach przed ich wdrożeniem?
- Czy ma czas, zasoby i odpowiednie kompetencje?
- Czy zbadaliśmy dodatkowe obowiązki także zewnętrznego inspektora?
- Czy opublikowaliśmy aktualny kontakt i dokonaliśmy zgłoszenia?
- Czy zapisujemy zalecenia, decyzje oraz ich uzasadnienie?
Jeśli na kilka pytań odpowiadasz „nie”, zamów przegląd obsady funkcji w ramach audytu RODO BPPZ. Największą wartość ma ocena realnych kompetencji, nie tylko treści polityki.
Podsumowanie
Konflikt interesów IOD nie jest formalnym problemem z nazwą stanowiska. Powstaje wtedy, gdy inspektor ma niezależnie monitorować proces, który sam projektuje lub zatwierdza jako osoba zarządzająca.
Sprawa opisana przez UODO pokazuje, że oszczędność wynikająca z połączenia ról może prowadzić do kary. Dla przedsiębiorcy właściwy pierwszy krok to ustalenie, czy wyznaczenie IOD jest wymagane. Drugi to udokumentowana ocena jego niezależności i zgłoszenia.
Jeżeli firma potrzebuje stałego wsparcia, warto wybrać model, w którym inspektor skutecznie doradza i monitoruje zgodność, a zarząd zachowuje odpowiedzialność za decyzje. BPPZ oferuje zewnętrzną funkcję IOD wraz z praktycznym wsparciem dla organizacji, które chcą uporządkować ten podział.
FAQ
Jeżeli właściciel jako administrator decyduje o celach i sposobach przetwarzania, wyznaczenie go na IOD tworzy oczywisty konflikt. Inspektor miałby monitorować własne decyzje. Najpierw trzeba jednak sprawdzić, czy firma w ogóle ma obowiązek wyznaczenia IOD. Gdy obowiązek istnieje, należy wybrać osobę, która może oceniać działalność administratora niezależnie.
Nie. Obowiązek zależy od przesłanek z art. 37 RODO oraz ewentualnych przepisów szczególnych. W prywatnej firmie istotna jest zwłaszcza skala regularnego monitorowania osób lub przetwarzania danych szczególnych kategorii w ramach głównej działalności. Sama liczba pracowników nie wystarczy do rozstrzygnięcia. Warto udokumentować ocenę również wtedy, gdy jej wynikiem jest brak obowiązku.
Zwykle będzie to ryzykowne, jeżeli wybiera systemy, dostawców, zabezpieczenia i zasady dostępu, a następnie miałby je monitorować. Nie decyduje jednak sama nazwa stanowiska. Pracownik IT wykonujący zatwierdzone instrukcje może mieć inny zakres kompetencji. Administrator powinien zbadać rzeczywisty wpływ tej osoby na cele i zasadnicze sposoby przetwarzania.
Nie. Trzeba sprawdzić dodatkowe zadania wykonawcy. Jeśli zewnętrzny inspektor sam określa cele wykorzystania danych w projekcie, a potem ocenia ten projekt, konflikt może nadal istnieć. Warto oddzielić rolę doradczą od decyzji biznesowych. Umowa powinna też umożliwiać niezależne raportowanie i zapewniać dostęp do potrzebnych informacji.
Tak. RODO dopuszcza dobrowolne wyznaczenie inspektora. Wtedy jednak należy zapewnić mu wymagane gwarancje, między innymi brak konfliktu interesów i niezależność przy wykonywaniu zadań. Nie warto używać tytułu IOD wyłącznie jako nazwy dla koordynatora dokumentacji. Jeśli firma potrzebuje doradztwa bez formalnej funkcji, może wybrać inny model współpracy.
Po zmianie osoby firma powinna sprawdzić polskie zasady zawiadomienia organu oraz termin dotyczący aktualizacji danych. Należy też zmienić informacje opublikowane na stronie i w dokumentach. Wewnętrznie trzeba poinformować pracowników o nowym kontakcie. Samo podpisanie umowy z nowym IOD nie aktualizuje automatycznie danych w urzędzie.
Administrator odpowiada za zapewnienie i wykazanie zgodności przetwarzania. IOD doradza, monitoruje i współpracuje z organem, lecz nie powinien przejmować zarządczej decyzji o celu wykorzystania danych. Zarząd może nie przyjąć zalecenia inspektora, ale powinien umieć uzasadnić swój wybór. Takie rozdzielenie pomaga zachować niezależność funkcji.
Tak, jeśli analiza ujawnia konflikt interesów. Brak skargi nie oznacza zgodności modelu. UODO wykrył problem podczas badania zgłoszenia incydentu, które początkowo dotyczyło innej sprawy. Warto ocenić zakres kompetencji, wyznaczyć właściwą osobę i poprawić zgłoszenie oraz dane kontaktowe. Należy też zapisać, jakie działania naprawcze wykonano.
Źródła
- UODO – Kara za niezapewnienie niezależności inspektorowi ochrony danych osobowych, 31 sierpnia 2026 r..
- UODO – Jakie gwarancje niezależności zostały przyznane IOD w przepisach RODO?.
- EUR-Lex – Rozporządzenie (UE) 2016/679, w szczególności art. 37–39.
- ELI – Ustawa z 10 maja 2018 r. o ochronie danych osobowych, przepisy dotyczące zawiadomienia o wyznaczeniu IOD.
- UODO – Niezależność IOD, odpowiedzi na pytania inspektorów i stanowisko organu.
