Inspektor ochrony danych bywa w organizacjach traktowany bardzo różnie. Czasem jako realny doradca, czasem jako adres e-mail w stopce polityki prywatności, a czasem jako osoba, do której trafiają wszystkie pytania z napisem „RODO”, niezależnie od tego, czy mają z RODO cokolwiek wspólnego. Umowa z IOD powinna uporządkować tę relację. Inspektor nie jest dekoracją. Ma określone zadania, uprawnienia i granice odpowiedzialności.
Dobrze napisana umowa z IOD powinna wskazywać, czy współpraca ma charakter zewnętrzny, jaki jest zakres obsługiwanych procesów, jak wygląda dostęp do dokumentów, komu IOD raportuje, jak zachowana jest jego niezależność i w jakich sytuacjach organizacja musi włączyć go w działania. Bez takich zasad współpraca szybko staje się serią przypadkowych konsultacji.
Zakres zadań IOD
W umowie warto wskazać zadania inspektora: informowanie administratora o obowiązkach, monitorowanie przestrzegania przepisów, doradzanie przy ocenie skutków dla ochrony danych, współpraca z organem nadzorczym i pełnienie punktu kontaktowego. Można też doprecyzować, czy IOD bierze udział w szkoleniach, audytach, opiniowaniu umów powierzenia, analizie incydentów albo przeglądzie rejestrów czynności.
Trzeba przy tym uważać, aby nie zrobić z IOD osoby odpowiedzialnej za wszystko. Inspektor doradza i monitoruje, ale administrator nadal odpowiada za zgodność procesów z prawem. Umowa powinna rozdzielać role. W przeciwnym razie przy pierwszym incydencie wszyscy patrzą na IOD, jakby miał magiczną pieczątkę do cofania czasu.
Niezależność i dostęp do informacji
IOD powinien mieć zapewniony dostęp do informacji, dokumentów, osób i procesów potrzebnych do wykonywania zadań. Jeżeli organizacja nie informuje go o nowych projektach, narzędziach, kampaniach albo naruszeniach, jego rola staje się pozorna. Umowa może wskazywać, kiedy IOD ma być włączany w sprawę i kto po stronie organizacji odpowiada za kontakt.
Ważna jest także niezależność. IOD nie powinien otrzymywać instrukcji co do wyniku swoich ocen. Może oczywiście pracować w ramach ustalonego harmonogramu i zasad komunikacji, ale jego opinie nie powinny być zamawiane jak tekst pod z góry ustaloną tezę. Dobra umowa chroni w tym miejscu obie strony: organizację przed pozornością, a IOD przed rolą figuranta.
Poufność, dokumentacja i odpowiedzialność
Inspektor ma dostęp do informacji o procesach, danych, incydentach, klientach, pracownikach i dostawcach. Umowa powinna regulować poufność, bezpieczeństwo komunikacji, przechowywanie dokumentów i zasady zakończenia współpracy. Warto też określić, jak dokumentowane są rekomendacje IOD i kto decyduje o ich wdrożeniu.
Przy korzystaniu z wzoru umowy z inspektorem ochrony danych dobrze dopasować dokument do skali organizacji. Mała firma, gabinet, sklep internetowy i większa spółka mogą potrzebować innego rytmu współpracy. Wspólne jest jedno: IOD powinien mieć warunki, żeby wykonywać swoją funkcję naprawdę, a nie tylko widnieć w dokumentach z powagą urzędowej pieczątki.
IOD a obsługa naruszeń
Umowa powinna opisywać rolę IOD przy naruszeniach ochrony danych. W praktyce ważne jest, kiedy organizacja informuje inspektora o incydencie, jakie informacje mu przekazuje i w jakim czasie oczekuje opinii. Naruszenia mają własny rytm, zwykle szybszy niż zwykła korespondencja. Dlatego procedura kontaktu z IOD powinna być ustalona zanim pojawi się problem.
Inspektor może pomóc ocenić ryzyko, przygotować rekomendacje, uporządkować dokumentację i wskazać, czy konieczne jest zawiadomienie organu albo osób, których dane dotyczą. Decyzja pozostaje po stronie administratora, ale bez sprawnego udziału IOD łatwo stracić cenny czas na zbieranie informacji, które powinny być dostępne od początku.
Wynagrodzenie i dostępność
W umowie warto określić wynagrodzenie i dostępność IOD. Czy obejmuje stały abonament, określoną liczbę godzin, audyty, szkolenia, udział w incydentach, opiniowanie umów i konsultacje projektowe? Jeżeli część prac jest dodatkowo płatna, dobrze wskazać sposób ich zlecania. To zabezpiecza obie strony przed sytuacją, w której jedna oczekuje pełnej dyspozycyjności, a druga zakładała tylko podstawowy nadzór.
Warto też ustalić, jak szybko IOD odpowiada na zgłoszenia zwykłe i pilne. Inaczej wygląda pytanie o drobną korektę klauzuli informacyjnej, a inaczej informacja o możliwym naruszeniu danych. Umowa powinna odróżniać te sytuacje, bo nie każda wiadomość z tematem „RODO” pali się takim samym ogniem.
Tekst ma charakter informacyjny i nie zastępuje porady prawnej udzielonej po analizie konkretnej umowy, dokumentów oraz sytuacji stron.