Upomnienie dla Uczelni Łazarskiego za naruszenie przepisów RODO dotyczących IOD

Uczelnia z opóźnieniem wprowadziła regulacje gwarantujące spełnienie wymogów RODO dotyczących zasad współpracy administratora z inspektorem ochrony danych. Z tego powodu Prezes UODO Mirosław Wróblewski nałożył na szkołę wyższą upomnienie.

Zasady współpracy uczelni z inspektorem ochrony danych (IOD) Prezes UODO rozpoznał w postępowaniu, pytając uczelnię o fakty i analizując jej odpowiedzi. Ustalił, że dopiero wprowadzenie przez uczelnię 3 kwietnia oraz 9 października 2023 r. nowych regulacji wewnętrznych dotyczących wykonywania zadań przez Inspektora Ochrony Danych (IOD) spowodowało usunięcie nieprawidłowości.

1. Wcześniej szkoła wyższa nie zapewniła, aby IOD był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych, ponieważ nie wdrożyła w tym zakresie jakichkolwiek skonkretyzowanych rozwiązań, np. w polityce ochrony danych lub innych wewnętrznych regulacjach.
2. Nie było też rozwiązań zapewniających IOD zasoby do utrzymania jego wiedzy fachowej.
3. Uczelnia nie wdrożyła też do 9 października 2023 r. rozwiązań gwarantujących, że w związku z wykonywaniem zadań IOD nie będzie otrzymywał instrukcji dotyczących wykonywania tych zadań.
4. Natomiast do 3 kwietnia 2023 r. uczelnia nie wdrożyła rozwiązań zapewniających, by inne zadania i obowiązki wykonywane przez IOD nie powodowały konfliktu interesów. Dopiero nowelizacja przepisów polityki ochrony danych osobowych, a następnie wdrożenie przepisów dodatkowego regulaminu, ten stan pozytywnie zmieniły.
5. Uczelnia nie wdrożyła przed 9 października 2023 r. rozwiązań organizacyjnych lub innych, służących zapewnieniu kontroli prawidłowego wykonywania całokształtu zadań przez IOD, np. regulacji dotyczących planu pracy IOD (w tym planu audytów) lub innego rozwiązania, na którego podstawie taka kontrola mogłaby być realizowana. Kwestię tę uwzględniono dopiero we wspomnianym już regulaminie.

Oznacza to, że Uczelnia Łazarskiego jako administrator danych nie spełniła wymogów wskazanych w przepisach RODO (w art. 38 ust. 1, 2, 3 i 6 oraz art. 39 ust. 1), i z tego względu otrzymała upomnienie od Prezesa UODO.

DKN.5110.14.2022