Odc. 74 "Rola IOD – pozycja czy opozycja wg UODO?"

Głównie komunikował i edukował, że słuchajcie jest ktoś taki jak Yoda, to nie jest postać z Gwiezdnych Wojen, to jest taki troszeczkę implant rodowski w waszej organizacji. On informuje, monitoruje, wspiera w was. Później Mieliśmy taki etap, kiedy urząd sprawdzał, zadawał pytania. Czy ten IOD jest wyznaczony? Jeżeli tak, to dlaczego? Jeżeli nie, to dlaczego? Gdzie jest umiejscowiony? Jakie ma zadania? Słynne parę pytań, które było rozsyłane przez urząd do różnych administratorów. Kolejny etap to było takie położenie nacisku na konflikt interesów. Na tym tle też mieliśmy całkiem niedawno pierwszą karę nałożoną na Toyota Bank w związku z tym, że ten IOD rzeczywiście był umieszczony w strukturze dosyć niefortunnie, bo był podpięty pod dyrektora departamentu.

Dodajmy, że ten dyrektor był jeszcze dodatkowo jego zastępcą, więc ta pętla się zapętliła i domknęła. Natomiast teraz wyszedł poradnik dotyczący naruszeń i znowu mamy tu wskazaną kwestię IOD, jego roli w wychwytywaniu i obsłudze naruszeń, to co robić powinien i tego czego robić mu nie wolno. Tak i tutaj bardzo znamienne jest to, że Nawet podświadomie mówiąc o tym, użyłeś takiego słowa, że IOD powinien wspierać. I faktycznie w podejściu urzędu do roli IOD, tak historycznie rzecz ujmując, to było kilka takich etapów, o których też wspominamy, ale jednym z nich pojawiło się rzeczywiście słowo wspierać i ono było dominujące.

Jeszcze grupy robocze, które dotyczyły Inspektora Ochrony Danych i to były w ogóle pierwsze wytyczne już w takim etapie przygotowywania do wdrożenia RODO, czyli rola IOD była super ważna i jest. No i teraz jesteśmy na takim etapie, jesteśmy parę kroków dalej. Mamy następne wytyczne. Mamy też przede wszystkim ten poradnik, o którym wspominamy, który będzie dla nas jeszcze tematem parokrotnie. Dzięki temu poradnikowi kilka rzeczy pojawiło się ciekawych. No i w tym poradniku mamy trochę inną rolę. Ale teraz do czego dążę? Moje pytanie jest takie. To w zasadzie co ten IOD ma robić? Znaczy jak to określić?

Gdzie tu jest problem? Problem jest z konfliktem interesów? Czy problem jest taki, że IOD ma źle wyznaczoną rolę? Znaczy kim on ma być? Bo wspomniało się o Toyota Bank. Tutaj jest już trochę taki efekt tych sprawdzeń, tych pytań skierowanych 27 z tego co pamiętamy. Już mamy taki efekt, że one wróciły i są częściowo opracowane przez urząd i urząd mówi nie wolno tego, tego i tego. Ale pytanie tak z naszego punktu widzenia, zdroworozsądkowo. Kim powinien być IOD? Kim jest? Wchodziło w życie RODO i zbliżał się do nas ten wielki moloch w postaci wszystkich polityk, procedur. To chyba tych wątpliwości wielu nie było.

Było takie przekonanie, że to jest ta osoba, która ma wspierać organizację w kwestii ochrony danych osobowych. I zasadniczo taki kontur Pozostał. Natomiast teraz diabeł tkwi w szczegółach i urząd troszeczkę, jak już mówiliśmy kilkukrotnie, pewnie pod wpływem doświadczeń z sektora publicznego, gdzie byli powołani ci JODZI powiedzmy na 20, 30, 40 gmin i tam rzetelnie, zapewne telepatycznie realizowali swoje zadania, jeszcze posługując się bilokacją w wolnym czasie. Okazało się to pewnie nieefektywne, a może nawet idąc dalej iluzoryczne całkowicie. I urząd powiedział, okej, panowie i panie, panie i panowie, to nie jest tak, że wy wyznaczycie IOD kogoś tam zza płota i powiecie, jeżeli jest źle, no to wina jest IOD, źle pełnił swoje zadania, skąd mieliśmy wiedzieć, przecież wybraliśmy profesjonalistę.

Tylko urząd mówi, słuchajcie, finalnie za system ochrony danych osobowych odpowiada organizacja, zarząd firmy, Burmistrz, etc. Natomiast IOD ma go wspierać swoją fachową wiedzą i mówić, należy robić to, tamto, siamto. No i oczywiście tutaj troszeczkę, jak mówił pewien mój profesor logiki, wybitna postać, profesor Nieznański, że ludzie są świetni w abstraktach, a gorsi w konkretach. Czyli wszyscy wiedzą, jak być powinno dobrze, a gorzej, jak mają zacząć to robić. Każdy wie, że powinien być miły dla sąsiada. W związku z tym teraz urząd troszeczkę przesuwa ten języczek uwagi. Mówi, no słuchajcie, czytajcie artykuł 38 RODO.

Czytajcie dokładnie zadania IOD i Stosujcie się do tych obostrzeń, które mówią on doradza, monitoruje, instruuje, ale on sam nie może robić rzeczy, które powinien później kontrolować. Tutaj chyba jest największy spór o to na rynku, ponieważ wydaje mi się, że chyba nie powinniśmy przesunąć tego za bardzo. To znaczy nie powinniśmy pójść w tę stronę taką tylko pokazywania samego palcem. I też przecież tutaj Związek Firmy Ochrony Danych Osobowych w swoim stanowisku wskazywał, że jednak postrzegamy tą rolę IOD też jako osobę z pewną inicjatywą, która może proponować pewne rozwiązania, które finalnie zatwierdzać będzie później administrator.

Tak, my mówimy o IOD i to są takie rzeczy, o których wspominamy, które zostały już częściowo przepracowane przez rynek i też przez tą, ta trauma została przepracowana, którą to też wywołało, więc te rzeczy nie są tak bardzo nowe. Ale teraz, dlaczego wróciliśmy do tego tematu w tym momencie? Mamy tak naprawdę wskazówki ze strony organu w postaci poradnika, w którym powiedziane jest wyraźnie czego nie może robić IOD. W kontekście naruszeń. W kontekście naruszeń. I teraz czego nie może robić IOD. Nie może zgłaszać naruszeń. To są bardzo konkretne zakazy. To się przekuło już na praktykę, czyli już odchodzimy od takiej sytuacji, że IOD powinien towarzyszyć, pomagać, informować, być taką bazą wiedzy.

Są sytuacje takie, których rzeczywiście IOD części rzeczy zrobić nie może. Nie może zgłosić naruszeń, czyli musi to zrobić ktoś inny, ale IOD Ma jakąś wiedzę, powinien mieć jakąś wiedzę na ten temat. Zaraz też na temat tej wiedzy będziemy mówić więcej, wrócimy do tematu, bo to też jest jeden z zamysłów, dlaczego akurat jest tak ustawiona rola IOD. Nie może zawiadamiać, nie może być pełnomocnikiem, nie może dokumentować naruszeń, nie może podejmować takich zobowiązań, które dotyczą bezpieczeństwa, czyli nie może Podejmować decyzje, to jest jasne, on nie jest administratorem, ale tych konkretnych czynności robić nie może. I teraz stanowisko urzędu, taki racjolegizm, zakładając logiczne, ze strony urzędu jest takie, że jeżeli odciążymy inspektora od tych obowiązków takich bardzo konkretnych, bo ich nie może robić, nawet gdybyśmy to odsunęli od konfliktu interesów takiego klasycznego, to ten IOD musi mieć, albo inaczej, dzięki temu,

To jest taki, że IOD się po prostu Usuwa z organizacji, ja bym powiedział, że to jest taki czwarty model albo podmodel modelu pierwszego i chyba tego byśmy nie chcieli. To jest taki trochę efekt uboczny tego uderzenia, które otrzymał IOD. Jest model następny, że dostosowują się do tego, co mówi urząd, czyli mówimy OK, to w takim razie rzeczywiście wyłączamy tego IOD i on będzie taką osobą, która będzie towarzyszyć. Pomagać, ale nie do końca. Czyli będzie pomagać, ale nie wykonywać. Jest taki model, który wydaje się być nie taki prosty. Dlatego, że pozostaje IOD i ma zespół do wykonania tych rzeczy, których on nie może wykonać, ale on jest tym podmiotem, który to nie kontroluje, bo nie może kontrolować.

Towarzyszy przy wykonywaniu tych wszystkich czynności. No i teraz pytanie, w którą stronę to pójdzie. Ja szczerze powiem, nie wiem, bo to jakby rynek ukształtuje. Natomiast bardzo się boję tego podmodelu pierwszego, czyli mówiąc krótko, rezygnowania z usług IOD. To jest słabe. Tak, dlatego, że też pojawiły się takie opinie na rynku, że to nie jest przecież duży problem. Wystarczy powołać kolejną osobę, która się zajmuje ochroną danych osobowych, a inspektor będzie go wspierał. I w tym momencie organizacja mówi ok, ale skoro mamy mieć osobę, która ma to robić, a IOD ma ją wspierać, to może po prostu weźmiemy osobę, która się zna i ona to będzie robiła. A ten etap i etat wspierający będzie nam kompletnie zbędny.

Po prostu zrezygnujmy z tego. Jest też taki model, który ja nazywam modelem takim quasi formalnym. To znaczy IOD dalej robi. Dalej w zasadzie proponuje, inicjuje, ale organizacja mówi ok, skoro mamy ten etap wspierania, doradzenia itd., a czynności powiedzmy władczych już nie może sam IOD podejmować, tylko robi to administrator, to słuchajcie, teraz część tego będzie np. robił dział administracji, a część będzie robił departament prawne. No i tak obserwuję, że departamenty troszeczkę krzywo się patrzą na takie rozwiązanie, bo też właśnie argumentują, że po to, Mamy osobę jedną, która powinna akumulować te kompetencje, a jednocześnie, jeżeli płacisz komuś za kompetencje i pewne rozwiązania, to też często przypisuje się mu za to jakąś odpowiedzialność w organizacji.

A tak to oni są odpowiedzialni, a IOD tylko proponuje i w razie czego mówi, no słuchajcie, to była propozycja przecież. Jeżeli była niezgodna z prawem, to dlatego jesteście departamentem prawnym, żeby to przeanalizować. Więc ja czasami widzę też opór przed tego typu rozwiązaniami, które się pojawiają na rynku. Z naszego punktu widzenia temat jest niezwykle ciekawy, bo sami pełnimy funkcję IOD i to jest ważna część naszej działalności. Zastanawiamy się, w jakim kierunku to pójdzie. Trudno już powiedzieć, bo to rynek tak naprawdę pokaże i tak zwane życie pokaże. Jak to będzie rozwiązane? Natomiast na pewno byśmy przestrzegali przed tym modelem 1a, bo to jest bardzo niebezpieczny model, czyli z jednej strony nie przyniesie żadnych rozwiązań, jeśli chodzi o multi-JD, który pełni funkcję w 100 szkołach czy 50 przedszkolach i 15-150 gminach przy okazji i ma tę umiejętność bilokacji.

Co jest rzeczywiście przełomem w naszej branży, natomiast z drugiej strony bardzo działa źle na tych, którzy robią to profesjonalnie, dlatego że jeżeli oni mają do tego Podejść tak, żeby zapewnić tą zgodność z przepisami i bezpieczeństwo administratora, no to faktycznie mamy problem, bo tutaj mamy kolfik interesów. Jeżeli w niektórych sytuacjach, jeżeli chodzi o zgłaszanie pełnomocnictwa, to te sytuacje akurat są w miarę jasne i logiczne, natomiast żeby to nie doprowadziło do takiej sytuacji, że wylejemy dziecko z kąpielą. Ja też zastanawiam się dlatego, że to czego teraz wymaga urząd, wydaje się to sensowne. Jest to też wzmacnianie roli IOD. Ja bym powiedział, że troszeczkę tak jak z komunizmem. Komunizm jest to ustrój idealny.

Każdemu według potrzeb, każdemu według możliwości. Ustrój idealny dla aniołów. I my tutaj też operujemy wydaje mi się na bardzo wysokim poziomie zgodności z RODO. Podczas, że Tomaszu mamy spotkania regularne z firmami o dość wysokich pozycjach na rynku, obrotach i wydawałoby się kulturze organizacyjnej, którzy jeżeli chodzi o ochronę danych osobowych są ciągle gdzieś na etapie rok 2016, ustawa o ochronie danych osobowych z 1997 roku, rozporządzenie z 2004 co bywa dla nas pewnym szokiem poznawczym. I nagle przeskakujemy na bardzo abstrakcyjny poziom, że nie tylko mamy wszystkie procedury, polityki, analizę ryzyka, ale jeszcze bardzo subtelnie rozmieszczonego w organizacji IOD.

Mówi się o tym, że te wytyczne zaktualizowane mają się ukazać w przyszłym roku. Czyli to mamy takie na dziesięciolecie, będziemy mieć nowe wytyczne i być może jest czas, żeby rzeczywiście się pojawiły, a póki co musimy patrzeć na to, jak jest teraz i po prostu obserwować. Nie powiem, którą opcję wybrać, bo to rynek wybiera, a nie my. Przypominam, że my jako IOD nie decydujemy, tylko administratorzy, więc my tylko towarzyszymy, pomagamy. Natomiast na pewno będą kolejne stanowiska urzędu, na pewno będą kolejne decyzje, nie chcę powiedzieć kary, chociaż pewnie też się zdarzą, o których będziemy państwa informować. W międzyczasie życzymy jak zawsze spokojnego przetwarzania.

I pełnienia funkcji IOD. Dziękujemy.