Czy zastępca IOD powinien być wyznaczony na stałe?

Jak należy rozumieć słowo „wyznaczyć” użyte w art. 11a ustawy o ochronie danych osobowych? Zgodnie z tym przepisem administrator, który wyznaczył IOD, może wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności. W związku z tym w niektórych komentarzach do przepisów o ochronie danych osobowych wskazuje się, że osoba zastępująca inspektora ochrony danych nie powinna być wyznaczana na stałe, a jedynie na czas jego nieobecności. Jednak czy właściwe rozumienie przepisu nie powinno być inne? Czy nie powinno się ustanowić w strukturze organizacyjnej stanowiska zastępcy? Czy zatrudnienie na stanowisku zastępcy nie powinno być stałe, choćby dlatego, że taka osoba musi posiadać stosowne kwalifikacje zawodowe? Za takim podejściem przemawiałoby ponadto to, że nieobecność IOD może być planowa, ale częściej jest nieplanowa, i trudno sobie wyobrazić każdorazowe zawiadamianie Prezesa UODO o tych faktach (wyznaczony, odwołany). Taka praktyka wprowadza dużo zamieszania, podważa znaczenie inspektorów i jest krytycznie odbierana przez pracowników.

RODO nakłada na administratora konkretne obowiązki wobec funkcjonującego w jego organizacji inspektora ochrony danych, a sposób ich realizacji zależy od specyfiki danego administratora (m.in. jego wielkości, struktury, rodzaju działalności) i prowadzonego przez niego przetwarzania danych (m.in. charakteru, zakresu, kontekstu i celów przetwarzania). W zależności od tych czynników administrator musi zapewnić IOD właściwe warunki funkcjonowania, które umożliwią mu skuteczne i prawidłowe wykonywanie zadań.

Udzielanie IOD wsparcia w wypełnianiu przez niego zadań, w tym zapewnianie mu niezbędnych do tego zasobów, to jeden z obowiązków administratora, wyrażony wprost w 38 ust. 2 RODO. Jak wyjaśnia Grupa Robocza Art. 29 w swoich Wytycznych dotyczących inspektora ochrony danych, w zależności od rozmiaru i struktury organizacji przydatne może być powołanie zespołu inspektora ochrony danych (IOD i jego pracowników).

W skład zespołu IOD wchodzić może osoba (osoby) zastępujące inspektora w czasie jego nieobecności. Możliwość powołania takiej osoby stwarza administratorowi art. 11a ust. 1 ustawy o ochronie danych osobowych. Przepis ten odczytywany literalnie wskazuje, że administrator może w każdym czasie wyznaczyć zastępcę IOD, który będzie pełnił tę funkcję podczas nieobecności IOD. W gestii administratora jest zatem decyzja, czy wyznaczyć stałego zastępcę (bez konieczności wyznaczania i odwoływania podczas poszczególnych nieobecności IOD), czy będzie wyznaczał zastępcę doraźnie jedynie na czas faktycznej nieobecności inspektora.

Niemniej kolejne ustępy tego artykułu wskazują, że osoba zastępująca inspektora musi spełniać kryteria kwalifikacyjne wynikające z art. 37 ust. 5 i 6 RODO, czyli analogiczne jak IOD. W związku z wykonywaniem obowiązków inspektora w czasie jego nieobecności do osoby go zastępującej stosuje się odpowiednio przepisy dotyczące inspektora (art. 11a ust. 2). Ponadto zgodnie z art. 11a ust. 3 ustawy o ochronie danych osobowych, do wyznaczenia osoby zastępującej inspektora stosuje się art. 10 i art. 11 tej ustawy. Oznacza to, że administrator lub podmiot przetwarzający, który zdecyduje się na wyznaczenie zastępcy IOD, zobowiązany jest zawiadomić Prezesa UODO o jego wyznaczeniu oraz dokonywać innych zawiadomień dotyczących zmiany danych lub odwołania zastępcy, a także zobowiązany jest do publikowania jego imienia, nazwiska oraz adresu poczty elektronicznej lub numeru telefonu na swojej stronie internetowej (a jeżeli nie prowadzi własnej strony internetowej, w sposób ogólnie dostępny w miejscu prowadzenia działalności).

Rozwiązanie polegające na wyznaczeniu stałego zastępcy IOD nie tylko pozwala zapewnić ciągłość wykonywania zadań IOD, ale też  - ze względu na to, że osoba taka musi mieć odpowiednie, takie jak IOD przygotowanie merytoryczne (zgodnie z art. 11a ust. 1 ustawy o ochronie danych osobowych) - może stanowić realne i ciągłe wsparcie administratora (i obsługującego go IOD). W tym zakresie słuszne są przedstawione w przytoczonym pytaniu IOD zapatrywanie i argumentacja, że warto zmierzać do rozwiązań o stałym, długookresowym charakterze. Wskazują na to nie tylko potrzeba przyjmowania efektywnych rozwiązań w celu rzetelnego przestrzegania zasad ochrony danych osobowych, ale też względy pragmatyczne związane ze sposobem ukształtowania przez polskiego ustawodawcę przepisów dotyczących osoby zastępującej IOD, w tym z obowiązkiem zawiadamiania Prezes UODO o osobie wyznaczonej do zastępowania IOD.

Powołanie na stałe „zastępcy” posiadającego odpowiednią wiedzę i przygotowanie służyłoby zapewnieniu ciągłości działania IOD podczas jego nagłej lub planowanej nieobecności (np. choroba, urlop). W czasie obecności IOD „osoba zastępująca” mogłaby np. na bieżąco współpracować z inspektorem ochrony danych w celu omówienia istotnych spraw, dzięki czemu znałaby specyfikę aktualnych działań administratora i inspektora.

Warto nadmienić, że w opinii UODO dopuszczalne jest, by administrator wyznaczył dwie osoby zastępujące inspektora ochrony danych. Jedna realizowałaby zadania IOD podczas jego nieobecności, a druga wówczas, gdyby w pracy nie było zarówno IOD, jak i tej pierwszej, zastępującej go osoby (więcej informacji w tym zakresie znajduje się w wydaniu 10 newslettera UODO dla IOD (październik 2020) str. 2).