Wejście w życie ogólnego rozporządzenie o ochronie danych osobowych (RODO) coraz bliżej. W związku z tym na posiedzeniu Grupy Roboczej Artykułu 29 ds. Ochrony Danych, które odbyło się w w Brukseli, przyjęto m. in. wytyczne w obszarach prawa do przenoszenia danych, inspektorów ochrony danych oraz wiodącego organu nadzorczego. Zgodnie z opublikowanymi na stronie internetowej GIODO dokumentami rola inspektora ochrony danych (aktualnie Administratora Bezpieczeństwa Informacji) nabierze jeszcze większego znaczenia.

W przypadku pozostałych organizacji mimo, że takiego nakazu nie ma, należy rozważyć czy specyfika i rozmiar podmiotu nie przemawiają za jego powołaniem. Na administratorze danych w dalszym ciągu ciąży bowiem obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych w celu właściwego zabezpieczenia przetwarzanych danych, w tym polityk, procedur i środków nadzoru.

Wracając jednak do administratorów, dla których powołanie inspektora jest obligatoryjne, warto zwrócić uwagę na rozwinięcie w wytycznych ppkt a). Wskazuje on bowiem, że oprócz organów lub podmiotów publicznych, zadania publiczne mogą być również realizowane przez inne jednostki zajmujące się m. in.  świadczeniem lub zapewnieniem wykonania usług na rzecz mieszkańców i innych podmiotów. Przykładem takiego działania jest dostarczanie mediów (prąd, woda, ogrzewanie), odbiór i utylizacja śmieci, organizacja komunikacji zbiorowej, budowa i utrzymanie dróg, oświetlenie, usługi opiekuńcze, edukacja, budowa mieszkań socjalnych itd. W przypadku tych podmiotów powołanie inspektora jest zalecane.

Dyskusyjny pozostaje ppkt b), a konkretnie zdefiniowanie pojęcia ‘przetwarzania na dużą skalę’. Wytyczne nie określają wprost jak należy je interpretować, wskazują jednak przykłady przetwarzania danych na dużą skalę:

• przetwarzanie danych pacjentów przez szpitale,
• przetwarzanie danych indywidualnych użytkowników systemu komunikacji miejskiej (np. poprzez śledzenie lokalizacji kart miejskich),
• przetwarzanie dla celów statystycznych danych geolokalizacyjnych klientów międzynarodowej sieci restauracji przez procesora wyspecjalizowanego w dostarczaniu tego typu usług,
• przetwarzanie danych klientów przez banki i towarzystwa ubezpieczeniowe,
• przetwarzanie danych dla celów reklamy behawioralnej,
• przetwarzanie danych gromadzonych przez urządzenia mobilne (lokalizacja, treści, ruch) i dostawców usług internetowych.

W odróżnieniu od aktualnie obowiązujących przepisów krajowych, RODO wskazuje wprost, że inspektor ochrony danych powinien być aktywnym uczestnikiem wszystkich procesów zachodzących w organizacji, w ramach których dochodzi do przetwarzania danych osobowych. Jednocześnie będzie również punktem kontaktowym dla wszystkich osób, których dane są przez administratora przetwarzane (dane kontaktowe inspektora ochrony danych powinny być ogólnodostępne). Jako osoba odpowiedzialna za bezpieczeństwo danych osobowych realizuje następujące zadania:

Inspektor ochrony danych może być pracownikiem administratora lub wykonywać zadania na podstawie umowy o świadczeniu usług. Powinna być to osoba o odpowiednich kwalifikacjach, doświadczeniu, znająca specyfikę organizacji i zachodzących w niej procesów. RODO nie wskazuje na konieczność posiadania specjalistycznego wykształcenia, należy jednak pamiętać, że właściwa weryfikacja i ocena posiadanych kompetencji leży w interesie administratora danych, na którym spoczywa obowiązek odpowiedniego zabezpieczenia przetwarzanych danych osobowych.