Darmowy mail firmowy a RODO - czy to łamie przepisy i jak to naprawić
czytaj więcej
Jesteś dyrektorem szkoły prowadzonej przez fundację, masz gabinet fizjoterapii albo zasiadasz w zarządzie spółki, której właścicielem jest gmina. Słyszysz, że inspektor ochrony danych osobowych jest u Ciebie obowiązkowy, bo w Twojej branży mają go wszyscy. Czy na pewno?
Nie zawsze. O obowiązku nie decyduje branża ani liczba pracowników, tylko trzy sytuacje opisane w art. 37 ust. 1 RODO oraz to, jak polska ustawa rozumie „podmiot publiczny”. Dlatego szkoła gminna musi mieć inspektora, a szkoła prowadzona przez fundację przy tych samych danych uczniów zwykle nie. Poniżej znajdziesz, kto musi go wyznaczyć, kto nie musi i co zostaje po Twojej stronie bez inspektora.
Spis treści
Kiedy inspektora ochrony danych osobowych należy powołać?
Inspektor ochrony danych (w skrócie IOD) to osoba, która doradza firmie albo instytucji w sprawach danych osobowych, sprawdza, czy przestrzega przepisów, i jest punktem kontaktu dla urzędu. Art. 37 ust. 1 RODO nakazuje go wyznaczyć tylko w trzech przypadkach:
- lit. a - dane przetwarza organ lub podmiot publiczny (wyjątek: sądy, gdy orzekają);
- lit. b - Twoja główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę;
- lit. c - Twoja główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych, np. o zdrowiu, albo danych o wyrokach i przestępstwach.
Żadna z tych przesłanek nie mówi o wielkości firmy. Jednoosobowa firma może mieć obowiązek, a spółka z 300 pracownikami może go nie mieć. Kim jest „podmiot publiczny”, RODO nie definiuje. Zrobił to polski ustawodawca w art. 9 ustawy o ochronie danych osobowych: to jednostki sektora finansów publicznych, instytuty badawcze i Narodowy Bank Polski.
IOD w szkole: gminna musi, prywatna zwykle nie
Szkoła przetwarza mnóstwo danych: dane uczniów i rodziców, opinie z poradni, zwolnienia z WF, wizerunek na stronie. A jednak obowiązek zależy od tego, kto szkołę prowadzi, a nie od tego, jakie dane ma.
Prawo oświatowe (art. 8 ust. 2-6) pozwala prowadzić szkołę publiczną gminie, powiatowi albo województwu, ale też innej osobie prawnej, np. fundacji, stowarzyszeniu, oraz osobie fizycznej. Szkoła niepubliczna nigdy nie jest prowadzona przez samorząd. Teraz porównaj to z art. 9 ustawy o finansach publicznych, który wylicza jednostki sektora finansów publicznych. Są tam samorządy i jednostki budżetowe, a fundacji, stowarzyszeń ani osób fizycznych nie ma. Szkoła prowadzona przez gminę jest gminną jednostką budżetową, a szkoła ministra państwową jednostką budżetową (art. 9 pkt 3, art. 11a i art. 223 ust. 1 ustawy o finansach publicznych). Szkoła prowadzona przez fundację już nie.
| Kto prowadzi szkołę | IOD z lit. a |
|---|---|
| gmina, powiat, województwo | tak |
| minister (np. szkoła artystyczna) | tak |
| fundacja, stowarzyszenie, spółka | nie |
| osoba fizyczna | nie |
„Nie” dotyczy zarówno szkół publicznych, jak i niepublicznych. Wyjątek: jeśli szkołę prowadzi osoba prawna z sektora finansów publicznych, np. uczelnia publiczna (art. 9 pkt 11 tej ustawy), obowiązek jest.
Tak to ujął sam Urząd Ochrony Danych Osobowych (UODO) w poradniku RODO dla szkół z sierpnia 2018 r. (s. 16): obowiązek mają dyrektorzy szkół publicznych będących jednostkami budżetowymi. Hasło o inspektorze obowiązkowym w każdej szkole znajdziesz w materiałach sprzed wejścia w życie polskiej ustawy (25 maja 2018 r.), np. w tytule prezentacji ówczesnego Generalnego Inspektora Ochrony Danych Osobowych (GIODO, urzędu, który poprzedzał UODO) z kwietnia 2018 r.: „Inspektor ochrony danych (IOD) fachowy doradca i audytor obowiązkowy w każdej szkole”. Definicja z art. 9 ustawy o ochronie danych osobowych przyszła później.
Szkoła prywatna mogłaby wpaść w lit. c tylko wtedy, gdyby przetwarzanie danych o zdrowiu na dużą skalę było jej główną działalnością. Szkoła istnieje po to, żeby uczyć, a zwolnienia lekarskie i opinie z poradni są tylko skutkiem ubocznym tej pracy. Gminne placówki mogą się za to podzielić jednym inspektorem (art. 37 ust. 3 RODO), choć każda z nich wyznacza go i zgłasza Prezesowi UODO na własny rachunek (art. 10 ust. 5 ustawy o ochronie danych osobowych).
Gabinet lekarza, fizjoterapeuty, psychologa: kiedy skala danych o zdrowiu przesądza o obowiązku
Dane o zdrowiu to dane szczególne (art. 9 ust. 1 RODO), a RODO zalicza do nich także informacje o zdrowiu psychicznym (art. 4 pkt 15). Notatki psychologa z sesji, karta pacjenta u fizjoterapeuty i dokumentacja w gabinecie lekarskim to więc dane szczególne, o których mówi lit. c. Ale lit. c wymaga jeszcze, żeby ich przetwarzanie było główną działalnością i odbywało się na dużą skalę.
Pojedynczy lekarz albo inny pracownik służby zdrowia nie przetwarza danych na dużą skalę. Tak mówi wprost motyw 91 RODO (motywy to wstęp rozporządzenia, który wyjaśnia, jak rozumieć przepisy): przetwarzanie danych pacjentów lub klientów przez pojedynczego lekarza, innego pracownika służby zdrowia lub prawnika nie powinno być uznawane za przetwarzanie na dużą skalę. Wytyczne Grupy Roboczej Art. 29 (zespołu unijnych urzędów ochrony danych działającego przed RODO) o inspektorach ochrony danych (WP243 rev.01, przyjęte potem przez Europejską Radę Ochrony Danych) podają dwa przykłady z przeciwnych końców: pojedynczy lekarz nie przetwarza danych na dużą skalę, a szpital tak, więc szpitale muszą mieć inspektora. Psychologa ani fizjoterapeuty te źródła nie wymieniają z nazwy, ale gabinet jednej osoby najrozsądniej oceniać tą samą miarą.
Między gabinetem jednej osoby a szpitalem jest szara strefa: przychodnia z kilkoma lekarzami, sieć gabinetów rehabilitacji, centrum psychoterapii z kilkunastoma terapeutami. Progu liczbowego nie ma. UODO dostał pytanie o niepubliczny zakład opieki zdrowotnej z ok. 2000 pacjentów i w odpowiedzi ze stycznia 2019 r. (biuletyn UODO, s. 22-23) nie podał żadnej liczby. Wskazał, że ocenę ma zrobić sam administrator, zapisać ją i powtarzać, bo mała przychodnia z czasem może urosnąć.
WP243 zaleca przy tej ocenie wziąć pod uwagę liczbę osób, ilość i zakres danych, to, jak długo je przetwarzasz, oraz zasięg geograficzny. Przychodnia, która obsługuje tysiące pacjentów z całego regionu, jest bliżej szpitala niż gabinetu jednej fizjoterapeutki.
Przychodnia działająca jako SP ZOZ to inna sprawa
Samodzielny publiczny zakład opieki zdrowotnej (SP ZOZ) jest na liście z art. 9 pkt 10 ustawy o finansach publicznych. Musi więc mieć inspektora z lit. a, nawet jeśli to mała wiejska przychodnia z jednym lekarzem. Skala danych nie ma tu znaczenia, bo liczy się to, kim jest administrator. Jeśli gminna przychodnia działa jako spółka z o.o., obowiązuje ją to, co niżej piszemy o spółkach komunalnych.
Spółka komunalna i inne spółki z udziałem gminy: dlaczego obowiązek nie jest automatyczny
Spółka komunalna to zwykła spółka z o.o. albo spółka akcyjna, której udziały ma gmina. Wykonuje zadania publiczne: dostarcza wodę, wywozi odpady, wozi pasażerów. Do sektora finansów publicznych jednak nie należy. Art. 9 pkt 14 ustawy o finansach publicznych, gdy mówi o innych państwowych i samorządowych osobach prawnych, wprost wyłącza z sektora spółki prawa handlowego. A skoro spółka nie jest w sektorze, nie jest też podmiotem publicznym w rozumieniu art. 9 ustawy o ochronie danych osobowych.
Spółka gminy może mieć obowiązek z innego powodu, czyli z lit. b albo c:
- spółka, która prowadzi szpital - przetwarzanie danych pacjentów należy do jej głównej działalności, a WP243 mówi, że szpitale muszą mieć inspektora;
- spółka komunikacji miejskiej z imiennymi biletami elektronicznymi - WP243 podaje przetwarzanie danych o podróżach osób w miejskim transporcie, np. śledzenie przez bilety elektroniczne, jako przykład przetwarzania na dużą skalę. Taka spółka powinna sprawdzić lit. b;
- spółka wodociągowa, ciepłownicza albo mieszkaniowa - zwykle żadna przesłanka nie pasuje, ale WP243 zaleca organizacjom prywatnym, które wykonują zadania w interesie publicznym (wymienia m.in. wodę, energię, transport publiczny i mieszkalnictwo publiczne), wyznaczenie inspektora jako dobrą praktykę.
Jeśli wodociągi albo gospodarka komunalna działają jako samorządowy zakład budżetowy, a nie spółka, inspektor jest obowiązkowy (art. 9 pkt 4 ustawy o finansach publicznych).
Uwaga na to, kto jest administratorem danych. Urząd gminy, który decyduje o opłatach za odpady, ma własny obowiązek i własnego inspektora. Spółka, która tylko odbiera odpady na zlecenie gminy, ocenia swoją sytuację osobno.
Bez IOD, ale z RODO: obowiązki, które zostają
Brak obowiązku wyznaczenia inspektora nie zwalnia Cię z żadnego innego obowiązku z RODO. Zmienia tylko to, że nie musisz mieć osoby, która pilnuje ich w Twoim imieniu. Zostają m.in. te obowiązki (pierwszy punkt to zalecenie WP243, a nie przepis):
zapisana ocena, dlaczego inspektor nie jest obowiązkowy rejestr czynności przetwarzania klauzule informacyjne dla pacjentów, uczniów, klientów i pracowników umowy powierzenia z dostawcami, np. programu do dokumentacji medycznej albo dziennika elektronicznego upoważnienia dla osób z dostępem do danych procedura i rejestr naruszeń
Pierwszy punkt najłatwiej pominąć, bo żaden przepis nie nazywa go wprost. WP243 zaleca zapisać analizę, czy musisz wyznaczyć inspektora, bo to element zasady rozliczalności, czyli obowiązku wykazania, że przestrzegasz RODO (art. 5 ust. 2), i urząd może o nią poprosić. Zapisz w kilku zdaniach, kto prowadzi Twoją szkołę, gabinet albo spółkę, jaka jest Twoja główna działalność, ile osób obsługujesz i dlaczego żadna z trzech przesłanek nie pasuje. Gdy przyjdzie pismo z urzędu, pokażesz gotową ocenę. Jak na takie pismo odpowiedzieć, opisujemy we wpisie Kontrola UODO i pismo z urzędu - jak odpowiedzieć krok po kroku.
Rejestr czynności przetwarzania gabinetu, szkoły czy spółki zwykle trzeba prowadzić, bo zwolnienie dla firm poniżej 250 osób nie działa, gdy przetwarzanie nie jest sporadyczne, może powodować ryzyko dla osób albo obejmuje dane o zdrowiu (art. 30 ust. 5 RODO). Jak go prowadzić, pokazuje wpis Rejestr czynności przetwarzania - jak prowadzić RCPD. Pełną listę dokumentów znajdziesz we wpisie Polityka prywatności to nie jest całe RODO - co jeszcze musi mieć Twoja firma.
Możesz też wyznaczyć inspektora dobrowolnie. Wtedy obowiązują Cię wszystkie zasady z art. 37-39 RODO, tak jakby wyznaczenie było obowiązkowe: zawiadamiasz Prezesa UODO w ciągu 14 dni (art. 10 ustawy o ochronie danych osobowych) i publikujesz imię, nazwisko i dane kontaktowe inspektora ochrony danych na swojej stronie (art. 11 tej ustawy, art. 37 ust. 7 RODO).
Najczęstsze pytania o inspektora ochrony danych w szkole, gabinecie i firmie
Czy inspektor danych osobowych w firmie zależy od liczby pracowników?+
Nie. Art. 37 RODO nie mówi nic o liczbie pracowników. Liczy się, czy jesteś podmiotem publicznym i na czym polega Twoja główna działalność.
Czy każda szkoła gminy musi mieć osobnego inspektora?+
Nie musi. Szkoły i przedszkola jednej gminy mogą mieć jednego wspólnego inspektora, biorąc pod uwagę ich strukturę i wielkość (art. 37 ust. 3 RODO). Każdy dyrektor wyznacza go jednak u siebie i każda placówka zgłasza go Prezesowi UODO osobno (art. 10 ust. 5 ustawy o ochronie danych osobowych).
Czy przychodnia z kilkoma lekarzami musi mieć IOD?+
To zależy od skali. Motyw 91 RODO wyłącza tylko pojedynczego lekarza. Przy kilku lekarzach oceniasz liczbę pacjentów, zakres danych, czas ich przechowywania i zasięg działalności, a wynik zapisujesz.
Jaka kara grozi za brak obowiązkowego inspektora?+
Firmie do 10 mln euro albo do 2% rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa (art. 83 ust. 4 lit. a RODO). Szkole gminnej i innej jednostce sektora finansów publicznych do 100 000 zł (art. 102 ust. 1 ustawy o ochronie danych osobowych), a państwowej lub samorządowej instytucji kultury do 10 000 zł (art. 102 ust. 2).
Pamiętaj: najpierw sprawdź, kto prowadzi Twoją szkołę, gabinet czy spółkę, a potem, na czym polega Twoja główna działalność. Dopiero te dwie odpowiedzi mówią, czy inspektor ochrony danych osobowych jest u Ciebie obowiązkowy, a wynik zapisz, nawet jeśli brzmi „nie”.
Nie chcesz oceniać tego sam? Przy Inspektorze Ochrony Danych w abonamencie pierwsza rozmowa zaczyna się od sprawdzenia, czy inspektor jest u Ciebie obowiązkowy. Gdy nie jest, a chcesz mieć porządek w papierach, zajrzyj do dokumentacji RODO dla firmy.
