Obowiązek wyznaczenia inspektora ochrony danych powstaje bezwzględnie w trzech sytuacjach określonych w art. 37 ust. 1 RODO. Dotyczy to każdego organu lub podmiotu publicznego, podmiotów, których główna działalność polega na operacjach wymagających regularnego i systematycznego monitorowania osób na dużą skalę, a także organizacji przetwarzających na dużą skalę szczególne kategorie danych osobowych lub dane dotyczące wyroków skazujących i czynów zabronionych.
W pozostałych przypadkach powołanie inspektora ochrony danych pozostaje fakultatywne, choć administratorzy mogą zdecydować się na taki krok dobrowolnie, aby usprawnić realizację wymogów prawnych oraz zwiększyć bezpieczeństwo procesów operacyjnych. Poniższa analiza szczegółowo omawia wszystkie przesłanki prawne, kryteria interpretacyjne oraz specyfikę poszczególnych branż.
Podstawy prawne powołania inspektora ochrony danych w RODO
Kluczowym źródłem regulacji określającym warunki wyznaczenia inspektora jest art. 37 Ogólnego rozporządzenia o ochronie danych. Przepis ten nakłada bezpośredni obowiązek powołania osoby pełniącej tę funkcję zarówno na administratorów, jak i na podmioty przetwarzające. Wymóg ten nie zależy od formy prawnej prowadzonej działalności ani od wielkości zatrudnienia w danym przedsiębiorstwie.
Prawodawca unijny odszedł od sztywnych kryteriów ilościowych, takich jak liczba zatrudnionych pracowników, na rzecz analizy charakteru, zakresu i celów prowadzonych procesów. Istotne znaczenie interpretacyjne mają także Wytyczne Grupy Roboczej Art. 29 w sprawie inspektorów ochrony danych, które zostały formalnie przyjęte przez Europejską Radę Ochrony Danych i stanowią oficjalny punkt odniesienia dla organów nadzorczych.
- Artykuł 37 ust. 1 lit. a RODO dotyczący jednostek sektora publicznego.
- Artykuł 37 ust. 1 lit. b RODO obejmujący operacje monitorowania na dużą skalę.
- Artykuł 37 ust. 1 lit. c RODO regulujący przetwarzanie danych wrażliwych na dużą skalę.
- Przepisy krajowej ustawy z dnia 10 maja 2018 roku o ochronie danych osobowych.
Decyzja o wyznaczeniu inspektora wymaga wnikliwego zbadania całokształtu procesów przetwarzania danych pod kątem wymienionych kryteriów. Pominięcie tego obowiązku stanowi bezpośrednie naruszenie unijnego rozporządzenia i podlega administracyjnym sankcjom finansowym nakładanym przez właściwy organ nadzorczy.
Organy i podmioty publiczne zobowiązane do wyznaczenia IOD
Pierwszą obligatoryjną przesłanką wskazaną w przepisach jest status podmiotu publicznego. Każdy organ administracji rządowej, samorządowej oraz podległe im jednostki organizacyjne muszą wyznaczyć inspektora ochrony danych, niezależnie od liczby mieszkańców czy skali faktycznie realizowanych operacji na informacjach osobowych.
Pojęcie podmiotu publicznego definiowane jest w oparciu o prawo krajowe, w szczególności ustawę o finansach publicznych oraz ustawę o ochronie danych osobowych. Z obowiązku tego wyłączone zostały wyłącznie sądy w zakresie sprawowania wymiaru sprawiedliwości, co ma gwarantować pełną niezależność sędziowską podczas orzekania.
- Urzędy gmin, miast, starostwa powiatowe oraz urzędy marszałkowskie.
- Szkoły publiczne, przedszkola, uczelnie wyższe i placówki oświatowe.
- Samodzielne publiczne zakłady opieki zdrowotnej oraz szpitale kliniczne.
- Państwowe i samorządowe instytucje kultury oraz miejskie ośrodki pomocy społecznej.
Podmioty publiczne mogą wyznaczyć jednego wspólnego inspektora ochrony danych dla kilku jednostek. Rozwiązanie to jest powszechnie stosowane w ramach samorządowych centrów usług wspólnych, pod warunkiem że inspektor ma zapewnioną realną możliwość sprawnego kontaktu z każdą podległą jednostką.
Główna działalność administratora lub podmiotu przetwarzającego
Pojęcie głównej działalności odnosi się do operacji nierozerwalnie związanych z realizacją podstawowych celów statutowych bądź biznesowych organizacji. Nie należy ograniczać tego pojęcia wyłącznie do dominującego przedmiotu działalności według rejestrów gospodarczych, lecz uwzględnić faktyczny model funkcjonowania danej jednostki.
Główna działalność obejmuje procesy stanowiące integralny element świadczenia usług lub wytwarzania produktów. Przykładowo, dla szpitala przetwarzanie danych o stanie zdrowia pacjentów stanowi działalność główną, ponieważ bez tych informacji realizacja opieki medycznej byłaby niemożliwa. Z kolei przetwarzanie danych płacowych personelu stanowi działalność pomocniczą.
- Podstawowe procesy operacyjne generujące główny przychód lub cel statutowy.
- Czynności nierozerwalnie złączone z oferowanymi na rynku usługami.
- Działania pomocnicze, takie jak rekrutacja i księgowość, niemające charakteru głównego.
Właściwa identyfikacja głównej działalności pozwala precyzyjnie ocenić, czy kolejne przesłanki z art. 37 RODO, dotyczące skali i charakteru danych, znajdują zastosowanie w konkretnym przypadku. Wszelkie operacje poboczne, niewpływające bezpośrednio na rdzeń usług, nie determinują automatycznie tego obowiązku.
Regularne i systematyczne monitorowanie osób na dużą skalę
Druga przesłanka obligująca do powołania inspektora dotyczy sytuacji, w których główna działalność polega na regularnym i systematycznym monitorowaniu osób, których dane dotyczą, na dużą skalę. Obejmuje to zarówno środowisko cyfrowe, jak i przestrzeń fizyczną, w tym lokalizację użytkowników.
Monitorowanie regularne oznacza proces ciągły, powtarzalny w określonych odstępach czasu lub odbywający się stale przez pewien z góry zaplanowany okres. Monitorowanie systematyczne ma charakter zorganizowany, metodyczny, metodycznie zaplanowany i realizowany w ramach wcześniej przyjętego systemu bądź strategii biznesowej.
- Profilowanie zachowań użytkowników serwisów internetowych oraz targetowanie behawioralne.
- Śledzenie lokalizacji pojazdów lub pracowników za pomocą systemów telemetrycznych i GPS.
- Prowadzenie rozległego monitoringu wizyjnego przestrzeni publicznych lub centrów handlowych.
- Analiza aktywności użytkowników aplikacji mobilnych, urządzeń ubieralnych i programów lojalnościowych.
Jeśli organizacja wdraża technologie monitorujące w sposób incydentalny lub w bardzo wąskim zakresie, przesłanka systematyczności i skali nie zostaje spełniona. Kluczowe jest łączne wystąpienie regularności, systematyczności oraz odpowiedniego zasięgu prowadzonych operacji.
Przetwarzanie szczególnych kategorii danych na dużą skalę
Trzecia przesłanka dotyczy przetwarzania danych wrażliwych, wymienionych szczegółowo w art. 9 RODO, jeśli odbywa się ono na dużą skalę w ramach głównej działalności podmiotu. Do kategorii tej zalicza się dane o stanie zdrowia, dane genetyczne, biometryczne, a także ujawniające poglądy polityczne lub przekonania religijne.
Samo przetwarzanie danych wrażliwych nie skutkuje automatycznym obowiązkiem powołania IOD, jeżeli operacje te nie osiągają progu dużej skali. Pojedynczy lekarz prowadzący indywidualną praktykę przetwarza dane pacjentów, jednak nie robi tego na dużą skalę, przez co nie musi powoływać inspektora.
- Dane medyczne i historia leczenia przetwarzane przez sieci laboratoriów diagnostycznych.
- Informacje o pochodzeniu rasowym, etnicznym lub przynależności do związków zawodowych.
- Przetwarzanie danych biometrycznych w celu unikalnej identyfikacji osób na masową skalę.
- Informacje dotyczące życia seksualnego lub orientacji seksualnej użytkowników aplikacji.
Przedsiębiorcy przetwarzający dane wrażliwe pracowników wyłącznie na potrzeby spełnienia podstawowych obowiązków z zakresu prawa pracy, takich jak zwolnienia lekarskie, nie realizują tym samym przesłanki głównej działalności, co zwalnia ich z obligatoryjnego wyznaczenia IOD na tej podstawie.
Przetwarzanie danych dotyczących wyroków skazujących i naruszeń prawa
Artykuł 37 ust. 1 lit. c RODO odnosi się również bezpośrednio do danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych, o których mowa w art. 10 RODO. Podmioty przetwarzające takie informacje na dużą skalę w ramach swojej podstawowej działalności muszą wyznaczyć inspektora.
Sytuacja ta dotyczy przede wszystkim podmiotów komercyjnych prowadzących bazy danych o dłużnikach, rejestry nadużyć finansowych czy systemy weryfikacji przeszłości kryminalnej kandydatów, o ile przepisy prawa powszechnego dopuszczają takie przetwarzanie. Dostęp do tego typu danych podlega szczególnym ograniczeniom prawnym.
- Firmy windykacyjne przetwarzające dane o zobowiązaniach wynikających z przestępstw.
- Instytucje weryfikujące bazy danych pod kątem przeciwdziałania praniu pieniędzy na dużą skalę.
- Podmioty prowadzące rejestry oszustw ubezpieczeniowych w sektorze komercyjnym.
Większość typowych przedsiębiorców przetwarza zaświadczenia o niekaralności jedynie incydentalnie w odniesieniu do wyznaczonych grup pracowników, na przykład na stanowiskach związanych z ochroną mienia. Taki zakres nie spełnia wymogu dużej skali, eliminując obowiązek wyznaczenia inspektora.
Kryteria definiowania dużej skali przetwarzania danych
Rozporządzenie RODO nie definiuje precyzyjnej, liczbowej granicy określającej dużą skalę przetwarzania. Europejska Rada Ochrony Danych wskazuje, że ocenę należy opierać na wieloaspektowej analizie uwzględniającej specyfikę działalności administratora oraz zasięg terytorialny prowadzonych operacji.
Aby ustalić, czy przetwarzanie ma charakter wielkoskalowy, należy zbadać cztery podstawowe czynniki składowe. Dopiero ich całościowa ewaluacja pozwala stwierdzić z całą pewnością, czy organizacja przekracza dopuszczalny próg i ma bezwzględny obowiązek wyznaczenia inspektora ochrony danych.
- Liczba osób, których dane dotyczą, lub ich odsetek w określonej populacji.
- Wolumen przetwarzanych danych oraz zakres poszczególnych pozycji informacyjnych.
- Czas trwania lub stałość prowadzonych czynności przetwarzania informacji.
- Geograficzny zasięg operacji przetwarzania danych na poziomie regionalnym, krajowym lub międzynarodowym.
Praktyka organów nadzorczych pokazuje, że przetwarzanie obejmujące tysiące użytkowników na poziomie całego kraju z reguły kwalifikuje się jako duża skala. Z kolei przetwarzanie lokalne, obejmujące niewielką społeczność, zazwyczaj pozostaje poniżej tego progu.
Sektor prywatny a obowiązek powołania inspektora ochrony danych
Podmioty prywatne, takie jak spółki prawa handlowego, fundacje czy stowarzyszenia, podlegają obowiązkowi wyznaczenia IOD wyłącznie wtedy, gdy wypełniają przesłanki z art. 37 ust. 1 lit. b lub lit. c RODO. Sama forma prawna czy wysoki obrót finansowy nie decydują o statusie prawnym w tym zakresie.
Przedsiębiorstwa produkcyjne lub dystrybucyjne, które przetwarzają głównie dane swoich pracowników oraz kontrahentów biznesowych, w przeważającej większości nie muszą powoływać inspektora. Ich główna działalność koncentruje się na wytwarzaniu dóbr materialnych, a przetwarzanie danych ma charakter wyłącznie pomocniczy.
- Duże zakłady przemysłowe i przedsiębiorstwa budowlane bez rozbudowanych systemów śledzenia.
- Hurtownie towarów operujące w modelu B2B na standardowych umowach handlowych.
- Tradycyjne biura architektoniczne, kancelarie doradztwa gospodarczego i agencje kreatywne.
Wątpliwości pojawiają się w firmach wdrażających nowoczesne technologie, automatyzację procesów i zaawansowane narzędzia analityczne. W takich okolicznościach zarząd powinien przeprowadzić formalną analizę ryzyka i udokumentować powody odstąpienia od powołania inspektora ochrony danych.
Branża medyczna i farmaceutyczna a wyznaczenie IOD
Sektor ochrony zdrowia przetwarza dane szczególnych kategorii ze względu na ich bezpośredni związek ze zdrowiem fizycznym i psychicznym pacjentów. Obowiązek wyznaczenia IOD w tej branży zależy wprost od struktury organizacyjnej placówki oraz wielkości bazy obsługiwanych pacjentów.
Szpitale, duże centra medyczne, sieci przychodni oraz laboratoria analityczne muszą bezwzględnie wyznaczyć inspektora ochrony danych. Ich podstawowym zadaniem jest udzielanie świadczeń zdrowotnych, a wolumen przetwarzanych dokumentacji medycznych w sposób oczywisty spełnia definicję dużej skali.
- Szpitale wielospecjalistyczne, kliniki prywatne oraz sieciowe centra diagnostyczne.
- Firmy prowadzące badania kliniczne nad nowymi preparatami farmaceutycznymi.
- Hurtownie farmaceutyczne w zakresie programów lekowych i monitorowania działań niepożądanych.
Wyjątek stanowią indywidualne praktyki lekarskie, stomatologiczne lub fizjoterapeutyczne prowadzone przez pojedynczych specjalistów. Zgodnie z motywem 91 RODO przetwarzanie danych przez pojedynczego lekarza nie stanowi dużej skali, co zwalnia go z obowiązku ustanawiania IOD.
Branża finansowa, ubezpieczeniowa i telekomunikacyjna
Instytucje finansowe, zakłady ubezpieczeń oraz operatorzy telekomunikacyjni należą do grupy podmiotów niemal bezwzględnie objętych obowiązkiem powołania IOD. Wynika to z faktu, że ich podstawowa działalność opiera się na ciągłym przetwarzaniu danych milionów klientów oraz zaawansowanym profilowaniu ryzyka.
Banki stale monitorują transakcje płatnicze pod kątem przeciwdziałania oszustwom i praniu brudnych pieniędzy, co wyczerpuje znamiona systematycznego monitorowania. Ubezpieczyciele przetwarzają z kolei dane medyczne w celu kalkulacji składek i likwidacji szkód osobowych na masową skalę.
- Banki komercyjne, spółdzielcze oraz instytucje płatnicze i emitenci pieniądza elektronicznego.
- Zakłady ubezpieczeń na życie oraz majątkowych przetwarzające dane o szkodach i stanie zdrowia.
- Operatorzy sieci komórkowych i dostawcy internetu przetwarzający dane transmisyjne i lokalizacyjne.
- Biura informacji gospodarczej oraz instytucje pożyczkowe korzystające ze scoringu behawioralnego.
Wymienione podmioty tworzą profile klientów w czasie rzeczywistym i podejmują zautomatyzowane decyzje finansowe. Taki charakter operacji sprawia, że obecność wykwalifikowanego inspektora jest fundamentalnym wymogiem zapewnienia zgodności prawnej całego systemu.
Platformy internetowe, e-commerce i marketing behawioralny
Przedsiębiorstwa działające w branży cyfrowej, w tym sklepy internetowe oraz portale społecznościowe, opierają swój model biznesowy na monetyzacji danych o zachowaniach użytkowników. W ich przypadku główną działalnością staje się analityka, targetowanie reklam oraz personalizacja treści.
Sklep internetowy o zasięgu ogólnokrajowym, który śledzi historię zakupów, porzucone koszyki i aktywność klientów za pomocą plików cookie i pikseli śledzących, spełnia przesłankę systematycznego monitorowania na dużą skalę. Podmioty te muszą dokonać powołania inspektora ochrony danych.
- Platformy handlowe (marketplace) gromadzące dane transakcyjne setek tysięcy konsumentów.
- Sieci afiliacyjne i domy mediowe realizujące zaawansowane kampanie marketingu behawioralnego.
- Portale społecznościowe, fora dyskusyjne oraz aplikacje randkowe operujące na dużej bazie profili.
- Dostawcy rozwiązań SaaS analizujący aktywność użytkowników w ramach dostarczanego oprogramowania.
W przypadku małych, lokalnych sklepów internetowych o ograniczonej liczbie zamówień, które nie stosują zaawansowanego śledzenia i profilowania, obowiązek ten nie zachodzi. Decydujące znaczenie ma stopień inwazyjności stosowanych technologii analitycznych oraz wolumen obsługiwanych kont.
Dobrowolne wyznaczenie inspektora ochrony danych i jego korzyści
Organizacje, które nie mają formalnego obowiązku wynikającego z przepisów RODO, mogą wyznaczyć inspektora ochrony danych dobrowolnie. Taka decyzja jest w pełni prawnie wiążąca i oznacza, że powołany IOD korzysta ze wszystkich uprawnień i gwarancji niezależności przewidzianych w rozporządzeniu.
Dobrowolne powołanie inspektora stanowi silny sygnał rynkowy świadczący o wysokiej dojrzałości organizacyjnej oraz dbałości o bezpieczeństwo informacji. Może to stanowić istotny atut w relacjach biznesowych B2B, zwłaszcza przy ubieganiu się o kontrakty z międzynarodowymi korporacjami.
- Zapewnienie stałego, profesjonalnego nadzoru nad legalnością procesów przetwarzania.
- Zmniejszenie ryzyka wystąpienia incydentów bezpieczeństwa oraz dotkliwych kar finansowych.
- Ułatwienie audytów prowadzonych przez kontrahentów i partnerów biznesowych.
- Budowanie pozytywnego wizerunku firmy odpowiedzialnej społecznie i dbającej o prywatność.
Należy pamiętać, że po formalnym zgłoszeniu dobrowolnego IOD do urzędu, podmiot musi respektować wszystkie zasady jego funkcjonowania, w tym zakaz wydawania mu poleceń co do sposobu wykonywania powierzonych zadań merytorycznych.
Status i kwalifikacje zawodowe inspektora ochrony danych
Inspektor ochrony danych może być członkiem personelu administratora lub wykonywać swoje zadania na podstawie umowy cywilnoprawnej o świadczenie usług w modelu outsourcingu. Wybór formy zatrudnienia zależy od preferencji organizacji oraz dostępności odpowiednich zasobów wewnętrznych.
Zgodnie z art. 37 ust. 5 RODO inspektor musi być wyznaczany na podstawie kwalifikacji zawodowych, w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełniania powierzonych zadań. Nie musi posiadać formalnego wykształcenia prawniczego, lecz wiedza ta jest w praktyce niezbędna.
- Doskonała znajomość krajowych i unijnych przepisów o ochronie danych osobowych.
- Zrozumienie procesów biznesowych, technologii informatycznych i cyberbezpieczeństwa.
- Umiejętność przeprowadzania audytów zgodności oraz szacowania ryzyka i skutków dla ochrony danych.
- Zdolności komunikacyjne i dydaktyczne niezbędne do prowadzenia szkoleń dla pracowników.
Administrator ma obowiązek włączać inspektora we wszystkie sprawy dotyczące ochrony danych osobowych na jak najwcześniejszym etapie. Brak odpowiednich zasobów lub uniemożliwianie wykonywania obowiązków stanowi bezpośrednie naruszenie prawa przez kierownictwo jednostki.
Unikanie konfliktu interesów na stanowisku IOD
Inspektor ochrony danych może wykonywać inne zadania i obowiązki w ramach organizacji, jednak administrator musi zapewnić, że nie powodują one konfliktu interesów. Oznacza to, że IOD nie może zajmować stanowiska, na którym określa sposoby i cele przetwarzania danych osobowych.
Pojęcie konfliktu interesów jest rygorystycznie interpretowane przez organy nadzorcze oraz Trybunał Sprawiedliwości Unii Europejskiej. Połączenie funkcji inspektora z rolą decyzyjną prowadzi do sytuacji, w której ta sama osoba musiałaby kontrolować prawidłowość własnych decyzji zarządczych.
- Stanowiska w zarządzie, radzie nadzorczej lub funkcje dyrektorów zarządzających.
- Kierownicy działów marketingu, sprzedaży, kadr i płac oraz zasobów ludzkich.
- Dyrektorzy i kierownicy departamentów IT odpowiedzialni za infrastrukturę techniczną.
- Główni księgowi oraz radcy prawni reprezentujący firmę w sporach sądowych.
W celu wyeliminowania ryzyka konfliktu funkcja IOD powinna być powierzana niezależnym ekspertom zewnętrznym lub pracownikom umocowanym bezpośrednio przy zarządzie, bez kompetencji do kształtowania celów przetwarzania danych w poszczególnych działach.
Zgłoszenie i formalności związane z powołaniem IOD do UODO
Wyznaczenie inspektora wymaga dopełnienia ścisłych formalności prawnych określonych w art. 37 ust. 7 RODO oraz polskiej ustawie o ochronie danych osobowych. Administrator musi opublikować dane kontaktowe inspektora oraz zawiadomić o jego powołaniu Prezesa Urzędu Ochrony Danych Osobowych.
Zgłoszenie do organu nadzorczego musi nastąpić w terminie 14 dni od dnia wyznaczenia inspektora. Czynność ta realizowana jest wyłącznie drogą elektroniczną za pośrednictwem dedykowanego formularza dostępnego na platformie biznes.gov.pl lub ePUAP, opatrzonego kwalifikowanym podpisem elektronicznym lub profilem zaufanym.
- Zawiadomienie o wyznaczeniu IOD zawierające imię, nazwisko, adres e-mail i numer telefonu.
- Opublikowanie danych kontaktowych inspektora na stronie internetowej administratora.
- Zgłaszanie wszelkich zmian danych inspektora w terminie 14 dni od ich zaistnienia.
- Zawiadomienie o odwołaniu IOD w przypadku rezygnacji lub rozwiązania umowy.
Brak terminowego zgłoszenia wyznaczonego inspektora do UODO uniemożliwia organowi sprawną komunikację z administratorem i jest traktowany podczas kontroli jako istotne uchybienie formalne podlegające procedurze naprawczej.
Konsekwencje prawne i finansowe braku wyznaczenia IOD
Zaniechanie obowiązku powołania inspektora ochrony danych w sytuacji, gdy wymagały tego przepisy, stanowi jedno z poważniejszych naruszeń unijnego rozporządzenia. Zgodnie z art. 83 ust. 4 lit. a RODO uchybienie to podlega administracyjnym karom pieniężnym.
Organ nadzorczy może nałożyć na przedsiębiorstwo karę finansową w wysokości do 10 000 000 euro lub do 2 procent jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. W przypadku podmiotów publicznych w Polsce maksymalna wysokość kary regulowana jest ustawowo i wynosi do 100 000 złotych.
- Nałożenie dotkliwych kar finansowych przez Prezesa UODO lub organy europejskie.
- Wydanie oficjalnego upomnienia lub nakazu dostosowania operacji do przepisów prawa.
- Ryzyko wstrzymania procesów przetwarzania danych do czasu usunięcia uchybień.
- Utrata zaufania klientów, partnerów handlowych oraz szkody wizerunkowe na rynku.
Wysokość ewentualnej kary zależy od stopnia zawinienia, czasu trwania naruszenia, liczby poszkodowanych osób oraz otwartości administratora na współpracę z organem podczas prowadzonego postępowania wyjaśniającego.
Audyt wewnętrzny i dokumentacja decyzji o niewyznaczaniu IOD
Zgodnie z fundamentalną zasadą rozliczalności wynikającą z art. 5 ust. 2 RODO, administrator danych musi być w stanie w każdym momencie wykazać, że przestrzega przepisów prawa. Dotyczy to również sytuacji, w której po analizie uznano, że powołanie inspektora nie jest wymagane.
Organizacja powinna przeprowadzić formalną analizę prawną i przygotować wewnętrzny dokument wyjaśniający motywy niepowoływania IOD. Dokument ten powinien szczegółowo opisywać charakter działalności, brak wielkoskalowości oraz niestosowanie systematycznego monitorowania osób w ramach procesów operacyjnych.
- Przeprowadzenie inwentaryzacji wszystkich zbiorów danych i realizowanych procesów.
- Zbadanie stosunku danych wrażliwych do ogółu przetwarzanych zasobów informacyjnych.
- Sporządzenie pisemnej oceny prawnej potwierdzającej brak przesłanek z art. 37 ust. 1 RODO.
- Okresowy przegląd dokumentacji w przypadku wdrażania nowych usług lub systemów IT.
W razie kontroli ze strony Prezesa Urzędu Ochrony Danych Osobowych przedstawienie rzetelnej dokumentacji audytowej stanowi kluczowy dowód należytej staranności zarządu, chroniąc organizację przed zarzutem bezprawnego ignorowania wymogów rozporządzenia.