czy jestem zobowiązany do powołania inspektora ochrony danych w mojej firmie

Dla większości małych i średnich przedsiębiorstw oraz samozatrudnionych osób nie obowiązuje wymóg

Oficer ochrony danych, w skrócie OOD, zwykle nie jest wymagany prawnie dla zwykłych małych i średnich przedsiębiorstw ani dla większości osób samozatrudnionych. Rozporządzenie o ochronie danych osobowych wymienia kilka konkretnych sytuacji, w których OOD jest wymagany, a poza nimi organizacja może swobodnie zdecydować się na zatrudnienie takiego oficera bez prawnego obowiązku. W praktyce obowiązkowy OOD dotyczy przede wszystkim organizacji sektora publicznego oraz przedsiębiorstw, których główna działalność polega na rozległym, systematycznym monitorowaniu osób lub przetwarzaniu na dużą skalę danych wrażliwych, takich jak dane dotyczące zdrowia.

Sklep internetowy, biuro doradcze, wykonawca czy osoba samozatrudniona z pakietem księgowości i kilkoma narzędziami SaaS w większości przypadków nie wpadają w te kategorie. To nie oznacza jednak, że nie trzeba nic robić: nawet bez OOD obowiązuje wymóg wykazania, które dane osobowe są przetwarzane i w jakim celu, na przykład w rejestru przetwarzania, a obowiązek ten dotyczy również jednoosobowej działalności gospodarczej. Jeśli zastanawiasz się, czy Twoja działalność rzeczywiście mieści się w kategorii "rozległa" lub "systematyczna", więcej wskazówek znajdziesz w pytaniu kiedy wymagana jest DPIA, ponieważ ta sama ocena ryzyka często pojawia się razem z pytaniem o OOD.

Na czym to się opiera: artykuł 2 i 30 RODO

Rozporządzenie o ochronie danych osobowych określa w artykule 2 zakres przedmiotowy zastosowania rozporządzenia, a artykuł 30 reguluje rejestr przetwarzania z mającymi dla niego zastosowanie wyjątkami — sam obowiązek zatrudnienia OOD znajduje się w innym miejscu rozporządzenia, ale zakres i charakter przetwarzania, które odgrywają tu rolę, są zgodne z tymi samymi kryteriami co rejestr i obowiązek przeprowadzenia DPIA. Część tej oceny ma charakter faktyczny: ilu ludzi jest monitorowanych, jak systematycznie i jakie dane są przedmiotem przetwarzania. Krajowy organ nadzoru opublikowuje dodatkowe wytyczne na temat praktyki krajowej, podczas gdy pytanie, czy OOD jest obowiązkowy, opiera się na tym samym rozporządzeniu na całym terenie UE — jednak krajowy organ nadzoru, w Polsce prezes Urzędu Ochrony Danych Osobowych, w innych krajach zaś organ nadzoru danego kraju członkowskiego, może stosować własne wytyczne lub dodatkowe wymogi rejestracyjne dotyczące zatrudnienia OOD.