Nawigacja
RODO > Artyku艂 38. Status inspektora ochrony danych
Pobierz jako plik PDF

Artyku艂 38 RODO. Status inspektora ochrony danych

Article 38 GDPR. Position of the data protection officer

1. Administrator oraz podmiot przetwarzaj膮cy zapewniaj膮, by inspektor ochrony danych by艂 w艂a艣ciwie i niezw艂ocznie w艂膮czany we wszystkie sprawy dotycz膮ce ochrony danych osobowych.

1. The controller and the processor shall ensure that the data protection officer is involved, properly and in a timely manner, in all issues which relate to the protection of personal data.

2. Administrator oraz podmiot przetwarzaj膮cy wspieraj膮 inspektora ochrony danych w wype艂nianiu przez niego zada艅, o kt贸rych mowa w art. 39, zapewniaj膮c mu zasoby niezb臋dne do wykonania tych zada艅 oraz dost臋p do danych osobowych i operacji przetwarzania, a tak偶e zasoby niezb臋dne do utrzymania jego wiedzy fachowej.

2. The controller and processor shall support the data protection officer in performing the tasks referred to in Article聽39 by providing resources necessary to carry out those tasks and access to personal data and processing operations, and to maintain his or her expert knowledge.

Powi膮zane teksty

3. Administrator oraz podmiot przetwarzaj膮cy zapewniaj膮, by inspektor ochrony danych nie otrzymywa艂 instrukcji dotycz膮cych wykonywania tych zada艅. Nie jest on odwo艂ywany ani karany przez administratora ani podmiot przetwarzaj膮cy za wype艂nianie swoich zada艅. Inspektor ochrony danych bezpo艣rednio podlega najwy偶szemu kierownictwu administratora lub podmiotu przetwarzaj膮cego.

3. The controller and processor shall ensure that the data protection officer does not receive any instructions regarding the exercise of those tasks. He or she shall not be dismissed or penalised by the controller or the processor for performing his tasks. The data protection officer shall directly report to the highest management level of the controller or the processor.

Powi膮zane teksty

4. Osoby, kt贸rych dane dotycz膮, mog膮 kontaktowa膰 si臋 z inspektorem ochrony danych we wszystkich sprawach zwi膮zanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przys艂uguj膮cych im na mocy niniejszego rozporz膮dzenia.

4. Data subjects may contact the data protection officer with regard to all issues related to processing of their personal data and to the exercise of their rights under this Regulation.

5. Inspektor ochrony danych jest zobowi膮zany do zachowania tajemnicy lub poufno艣ci co do wykonywania swoich zada艅 鈥 zgodnie z prawem Unii lub prawem pa艅stwa cz艂onkowskiego.

5. The data protection officer shall be bound by secrecy or confidentiality concerning the performance of his or her tasks, in accordance with Union or Member聽State law.

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 13.2.4.

Here is the relevant paragraph to article 5(1)(f) GDPR:

6.10.2.4 Confidentiality or non-disclosure agreements

Implementation guidance

The organization should ensure that individuals operating under its control with access to PII are subject to a confidentiality obligation. The confidentiality agreement, whether part of a contract or separate, should specify the length of time the obligations should be adhered to.

 


aby uzyska膰 dost臋p do pe艂nego tekstu

6. Inspektor ochrony danych mo偶e wykonywa膰 inne zadania i obowi膮zki. Administrator lub podmiot przetwarzaj膮cy zapewniaj膮, by takie zadania i obowi膮zki nie powodowa艂y konfliktu interes贸w.

6. The data protection officer may fulfil other tasks and duties. The controller or processor shall ensure that any such tasks and duties do not result in a conflict of interests.

Powi膮zane teksty
Komentarz eksperta ISO 27701 Motywy Wytyczne & Case Law zostaw komentarz
Komentarz eksperta

(EN) Article 38 describes the specifics of the position of the Data Protection Officer (DPO). In particular, the emphasis is on the fact that DPO performs its work independently, while the responsibility for their timely and quality performance lies partly with the company itself (the controller or processor). Therefore, the text emphasizes that the company provides DPO with the necessary resources and access on the one hand, and is responsible for the independence of the DPO, not having the right to give them any instructions on the other.

In order to provide DPO with support, the company is recommended to ensure the following:

  • DPO is actively and timely involved in all data protection issues; DPO is invited to participate regularly in senior and middle management meetings when decisions with data protection implications are being made


aby uzyska膰 dost臋p do pe艂nego tekstu

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 6.1.1.

Here is the relevant paragraph to article 38 GDPR:

6.3.1.1 Information security roles and responsibilities

Implementation guidance

The organization should designate a point of contact for use by the customer regarding the processing of PII. When the organization is a PII controller, designate a point of contact for PII principals regarding the processing of their PII (see 7.3.2).


aby uzyska膰 dost臋p do pe艂nego tekstu

Motywy

(97) Je偶eli przetwarzania dokonuje organ publiczny z wyj膮tkiem s膮d贸w lub niezale偶nych organ贸w wymiaru sprawiedliwo艣ci w ramach sprawowania wymiaru sprawiedliwo艣ci lub je偶eli w sektorze prywatnym przetwarzania dokonuje administrator, kt贸rego g艂贸wna dzia艂alno艣膰 polega na operacjach przetwarzania wymagaj膮cych regularnego i systematycznego monitorowania os贸b, kt贸rych dane dotycz膮, na du偶膮 skal臋 lub je偶eli g艂贸wna dzia艂alno艣膰 administratora lub podmiotu przetwarzaj膮cego polega na przetwarzaniu na du偶膮 skal臋 szczeg贸lnych kategorii danych osobowych oraz danych osobowych dotycz膮cych wyrok贸w skazuj膮cych i narusze艅 prawa, to w monitorowaniu wewn臋trznego przestrzegania niniejszego rozporz膮dzenia administrator lub podmiot przetwarzaj膮cy powinni by膰 wspomagani przez osob臋 dysponuj膮c膮 wiedz膮 fachow膮 na temat prawa i praktyk w dziedzinie ochrony danych. W sektorze prywatnym przetwarzanie danych osobowych jest g艂贸wn膮 dzia艂alno艣ci膮 administratora, je偶eli oznacza jego zasadnicze, a nie poboczne czynno艣ci. Niezb臋dny poziom wiedzy fachowej nale偶y ustali膰 w szczeg贸lno艣ci w 艣wietle prowadzonych operacji przetwarzania danych oraz ochrony, kt贸rej wymagaj膮 dane osobowe przetwarzane przez administratora lub podmiot przetwarzaj膮cy. Tacy inspektorzy ochrony danych 鈥 bez wzgl臋du na to, czy s膮 pracownikami administratora 鈥 powinni by膰 w stanie wykonywa膰 swoje obowi膮zki i zadania w spos贸b niezale偶ny.

(97) Where the processing is carried out by a public authority, except for courts or independent judicial authorities when acting in their judicial capacity, where, in the private sector, processing is carried out by a controller whose core activities consist of processing operations that require regular and systematic monitoring of the data subjects on a large scale, or where the core activities of the controller or the processor consist of processing on a large scale of special categories of personal data and data relating to criminal convictions and offences, a person with expert knowledge of data protection law and practices should assist the controller or processor to monitor internal compliance with this Regulation. In the private sector, the core activities of a controller relate to its primary activities and do not relate to the processing of personal data as ancillary activities. The necessary level of expert knowledge should be determined in particular according to the data processing operations carried out and the protection required for the personal data processed by the controller or the processor. Such data protection officers, whether or not they are an employee of the controller, should be in a position to perform their duties and tasks in an independent manner.

Wytyczne & Case Law zostaw komentarz
[js-disqus]