IOD według RODO, powołują obowiązkowo:
- urzędy, szkoły, szpitale oraz inne podmioty publiczne
- zatrudniające powyżej 250 pracowników (np. przedsiębiorstwa produkcyjne)
- przetwarzające dane na dużą skalę (np. dostawcy aplikacji)
- przetwarzający dane szczególnej kategorii (np. jednostki medyczne publiczne i prywatne.)
Jakiego IOD (tzw. JODY) powinny szukać urzędy i przedsiębiorcy?
W obliczu wielu wyzwań związanych z ochroną danych według kryteriów francuskiego urzędu, IOD powinien posiadać 2 lata doświadczenia zawodowego w zakresie ochrony danych osobowych i ukończyć szkolenia w wymiarze minimum 35 h. Francuski urząd wskazał, że Certyfikowanym IOD może być wyłącznie podmiot, który:
-
zna i stosuje zasady przetwarzania danych osobowych,
-
respektuje i wprowadza procedury realizacji praw osób, których dane dotyczą,
-
prowadzi dokumentację, w tym rejestr czynności przetwarzania,
-
zna wymogi bezpieczeństwa przetwarzania,
-
wprowadza procedury zgłaszania naruszeń,
-
rozpoznaje powierzenie od udostępnienia danych osobowych,
-
odpowiada na wszelkie pytania w toku kontroli urzędu,
-
wie jak i kiedy wypełniać obowiązek informacyjny,
-
jest punktem kontaktowym dla pracowników,
-
organizuje i prowadzi cykliczne szkolenia z ochrony danych osobowych,
-
przeprowadza audyt i wdrożenie przepisów i procedur z zakresu ochrony danych,
-
na bieżąco monitoruje przepisy oraz nowe przypadki incydentów związanych z naruszeniem ochrony danych osobowych, w tym wydane decyzje o karach,
-
opracowuje analizę ryzyka,
-
analizuje w jaki sposób bezpiecznie przetwarzać dane osobowe w systemach IT.
Ponadto osoba pracująca jako IOD powinien być specjalistą, który posiada umiejętności analityczne i organizacyjne. Inspektorzy we własnym zakresie muszą proponować rozwiązania związane z budowaniem systemów ochrony danych. Dla bezpieczeństwa danych oraz pracodawców, ogromne znaczenie ma też ciągłe pogłębianie wiedzy przez IOD na specjalistycznych szkoleniach.
IOD ma odgrywać kluczową rolę w zakresie wspierania rozwoju ochrony danych osobowych oraz pomagać we wprowadzeniu optymalnych rozwiązań organizacyjnych w ramach obowiązujących przepisów dot. ochrony danych osobowych. Kryteria oceny kompetencji IOD powinny pomóc pracodawcom w znalezieniu kandydata/firmy zewnętrznej, jak również doborze odpowiednich materiałów i szkoleń specjalistycznych.
Magda Judejko
www.pharos.pl