Administratora bezpieczeństwa informacji (ABI) w firmach i organizacjach „zastąpi” inspektor ochrony danych (IOD). Tak zdecydowała Unia Europejska przyjmując w maju 2016 r. nowe rozporządzenie dotyczące ochrony danych osobowych. IOD będzie pełnił jeszcze ważniejszą rolę w systemie ochrony danych niż ABI – wskazuje ekspert ODO 24 adw. Marcin Zadrożny. Żadne regulacje nie przewidują jednak procedury zmiany ABI w Inspektora.
ABI jest obecnie „organem doradczym” powoływanym fakultatywnie przez organizacje czyli administratorów danych osobowych (ADO), którzy odpowiadają za ochronę danych. Na gruncie nowych przepisów wyznaczanie IOD będzie obowiązkowe w określonych sytuacjach nie tylko dla ADO, ale także dla podmiotów, które przetwarzają dane w imieniu administratora (procesorów). Jest to duża zmiana w kontekście rozwiązań kadrowych. Inspektor Ochrony Danych nie tylko będzie musiał cechować się odpowiednią wiedzą teoretyczną, ale również praktyczną. Funkcję tę będzie mogła pełnić zarówno osoba z personelu administratora, jak też zewnętrzna firma wykonująca zadania na podstawie umowy o świadczenie usług. Szczególnie małe i średnie podmioty powinny rozważyć outsourcing Inspektora. Rozporządzenie nakłada na „nowego ABI” wiele dodatkowych obowiązków. Tym bardziej przedsiębiorcy powinni zastanowić się nad skorzystaniem z wyspecjalizowanego podmiotu, który zapewni profesjonalne wsparcie z zakresu ochrony danych osobowych i wdrożenia odpowiedniego systemu – mówi adw. Marcin Zadrożny, specjalista ds. ochrony danych w ODO 24.
Inspektor, tak jak obecnie ABI, podlegać będzie bezpośrednio najwyższemu kierownictwu administratora oraz za prawidłowe wypełnianie swoich zadań nie będzie mógł być przez niego karany ani odwołany. Warto zauważyć, że administrator zobowiązany będzie do włączania IOD we wszystkie bieżące sprawy dotyczące ochrony danych osobowych. Nowością przewidzianą w rozporządzeniu jest możliwość wyznaczenia jednego inspektora danych przez grupę przedsiębiorców oraz przez organy lub podmioty publiczne. A także to, że IOD będzie punktem kontaktowym dla osób, których dane przetwarza administrator oraz organu nadzorczego czyli GIODO.
Nowe unijne regulacje dotyczące ochrony danych osobowych wejdą w życie za około półtora roku. W rozporządzeniu nie zostało zawarte, w jaki sposób przedsiębiorcy powinni przekazać funkcję ABI Inspektorowi Ochrony Danych. Zasadnym byłoby zobowiązanie przez polskiego ustawodawcę administratorów danych, w których obecnie powołany jest ABI, aby złożyli oświadczenie w określonym terminie dotyczące tego, że w podmiocie od 25 maja 2018 roku nie będzie IOD, a brak oświadczenia będzie implikował automatyczną zmianę statusu ABI w IOD. Uchroni to Biuro GIODO przed prawdopodobnym paraliżem, który spowodowany byłby napływem tysięcy wniosków dot. powołania IOD po 25 maja 2018 roku – proponuje adw. Marcin Zadrożny z ODO 24.
