2019-10-07

Inspektor Ochrony Danych – kim jest i jakie powinien mieć umiejętności?

RODO nakłada na niektórych administratorów danych osobowych obowiązek powołania Inspektora Ochrony Danych Osobowych (IOD).

IOD to osoba powołana przez administratora, lub podmiot przetwarzający w celu służenia pomocą w kwestii przestrzegania w ﬁrmie, lub organizacji przepisów o ochronie danych osobowych. To pośrednik między UODO, podmiotem przetwarzającym i osobą, której dane są przetwarzane. Osoba na tym stanowisku pomaga w ocenie ryzyka, czy skutku ochrony danych osobowych, czyli realizuje zasadę ochrony danych osobowych.

Jak wybrać IOD?

Jeżeli nie wiedzą Państwo kto może zostać Inspektorem Ochrony Danych Osobowych, w jaki sposób go wybrać, oraz jakie ta osoba powinna mieć umiejętności z pomocą przychodzi postanowienie z 20 września 2018 roku.

Francuski organ nadzorczy w rozumieniu RODO (CNIL), przyjął dwa postanowienia dotyczące certyﬁkacji inspektorów ochrony danych. W pierwszym z postanowień nich ustanowiono wymogi które muszą być spełnione przez podmioty, które chciałyby być upoważnione przez CNIL do wydawania certyﬁkatów inspektorom. Drugim dokumentem jest lista warunków, które musi spełnić kandydat na inspektora ochrony danych. Drugie postanowienie jest szczególnie ważne, ponieważ przedstawia 17 konkretnych wymogów, które określają umiejętności i posiadanie specjalistycznej wiedzy przez kandydata na inspektora ochrony danych.

Postanowienie numer 2018-318 z dnia 20 września 2018 r. w sprawie przyjęcia kryteriów certyﬁkacji kompetencji inspektora ochrony danych (IOD)

Kategoria 1. Warunki wstępne, który musi spełnić kandydat do certyﬁkacji.
Wymóg 1.1. Aby móc przystąpić do etapu oceny, kandydat wypełnia jeden z następujących warunków wstępnych:
– wykazuje swoje doświadczenie zawodowe trwające minimum 2 lata w obszarze projektu, czynności lub zadań związanych z funkcją IOD, zajmującego się ochroną danych osobowych;
lub
– wykazuje swoje doświadczenie zawodowe trwające minimum 2 lata, jak również odbycie szkolenia trwającego przynajmniej 35 godzin w obszarze ochrony danych osobowych, zapewnionego przez podmiot organizujący szkolenia.
Kategoria 2. Kompetencje oraz wiedza

Wymóg 2.1. Kandydat zna oraz rozumie zasady legalnego przetwarzania, ograniczenia celu, minimalizacji danych, poprawności danych, ograniczonego okresu przechowywania danych, integralności, poufności oraz rozliczalności.

Wymóg 2.2. Kandydat potraﬁ zidentyﬁkować podstawę prawną przetwarzania.

Wymóg 2.3. Kandydat potraﬁ określić odpowiednie środki oraz treść informacji podawanych osobom, których dane dotyczą.

Wymóg 2.4. Kandydat potraﬁ wprowadzić procedurę odbierania oraz zarządzania wnioskami osób, których dane dotyczą dotyczącymi wykonywania ich praw.

Wymóg 2.5. Kandydat zna ramy prawne dotyczące powierzenia w kontekście przetwarzania danych osobowych.

Wymóg 2.6. Kandydat jest w stanie zidentyﬁkować przekazanie danych poza Unię Europejską oraz potraﬁ zdecydować, który z prawnych instrumentów przekazania należy zastosować.

Wymóg 2.7. Kandydat potraﬁ napisać oraz wdrożyć politykę zawierającą wewnętrzne reguły w obszarze ochrony danych.

Wymóg. 2.8. Kandydat potraﬁ zorganizować oraz brać udział w audytach w obszarze ochrony danych.

Wymóg 2.9. Kandydat zna zawartość rejestru czynności przetwarzania, rejestru kategorii czynności przetwarzania oraz dokumentacji dotyczącej naruszeń ochrony danych, jak również dokumentacji koniecznej w celu wykazania zgodności z rozporządzeniem w obszarze ochrony danych.

Wymóg 2.10. Kandydat potraﬁ określić środki ochrony danych w fazie projektowania oraz domyślnej ochrony danych dostosowanych do ryzyka oraz charakteru operacji przetwarzania.

Wymóg 2.11. Kandydat ma wiedzę pozwalającą uczestniczyć w określeniu środków bezpieczeństwa dostosowanych do ryzyka oraz charakteru operacji przetwarzania.

Wymóg 2.12. Kandydat potraﬁ zidentyﬁkować naruszenia ochrony danych osobowych, wymagające zgłoszenia organowi nadzorczemu oraz poinformowania osób, których dane dotyczą.

Wymóg 2.13. Kandydat potraﬁ określić czy należy przeprowadzić ocenę skutków dla ochrony danych czy nie oraz sprawdzić jej przeprowadzenie.

Wymóg 2.14. Kandydat potraﬁ udzielać rad w obszarze oceny skutków dla ochrony danych (w szczególności w odniesieniu do metodologii, ewentualnego powierzenia przetwarzania, środków organizacyjnych oraz technicznych, które należy przyjąć).

Wymóg 2.15. Kandydat potraﬁ zarządzać stosunkami z organami kontrolnymi w ramach udzielania odpowiedzi na ich pytania oraz ułatwiania ich działań (w szczególności rozpatrywanie skarg oraz kontrola).

Wymóg 2.16. Kandydat potraﬁ przygotować, wprowadzić oraz jest w stanie przeprowadzać program szkoleń oraz uczulania pracowników oraz kierownictwa na kwestie związane z ochroną danych.

Wymóg 2.16. Kandydat potraﬁ zapewnić możliwość prześledzenia swoich działań, w szczególności za pomocą narzędzi temu służących lub zestawień rocznych.

Przewodnicząca: I. Falque-Pierrotin

W związku z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób ﬁzycznych dotyczących przetwarzania danych osobowych i w aspekcie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE opublikowanie tych postanowień znacznie ułatwi przygotowanie pracowników do objęcia stanowiska IOD.

Od 13 października nowe obowiązki dla osób uprawnionych do reprezentacji spółki

Od 13 października 2019 Minister Finansów będzie prowadził Centralny Rejestr Beneﬁcjentów Rzeczywistych (dalej: CRBR), który będzie służyć weryﬁkacji struktury właścicielskiej spółek. Co się za tym kryje?

Za sprawą utworzenia Centralnego Rejestru Beneﬁcjentów Rzeczywistych, spółki muszą wskazać swojego beneﬁcjenta rzeczywistego, a następnie elektronicznie zgłosić go do CRBR (zgłoszenie będzie opatrywane kwaliﬁkowanym podpisem elektronicznym lub podpisem potwierdzonym proﬁlem zaufanym ePUAP).

Kim jest beneﬁcjent rzeczywisty?

Deﬁnicja beneﬁcjenta rzeczywistego jest rozbudowana. Beneﬁcjentem jest osoba ﬁzyczna, która sprawuje bezpośrednio lub pośrednio kontrolę nad daną spółką. Tak naprawdę, poprawne wskazanie beneﬁcjenta rzeczywistego może być jednak utrudnione w momencie rozbudowanej struktury właścicielskiej (np. rozproszony akcjonariat).

Samo zgłoszenie to nie wszystko – w razie jakiejkolwiek zmiany beneﬁcjenta rzeczywistego, w terminie 7 dni od jej wystąpienia trzeba będzie dokonać elektronicznej aktualizacji w samym rejestrze.

Rejestr będzie publiczny, a dostęp do niego bezpłatny i będzie obejmował takie dane beneﬁcjenta rzeczywistego jak:

imię i nazwisko,
obywatelstwo,
państwo zamieszkania,
numer PESEL albo datę urodzenia,
informację o wielkości i charakterze udziału lub przysługujących mu uprawnieniach.

Kogo dotyczy obowiązek?

Obowiązek zgłoszenia do rejestru będzie dotyczył znacznej większości spółek, tj. obejmie:

spółki jawne
spółki komandytow
spółki komandytowo-akcyjne
spółki z ograniczoną odpowiedzialnością
spółki akcyjne (z wyjątkiem spółek publicznych)

Samego zgłoszenia będzie dokonywała osoba uprawniona do reprezentacji Spółki pod rygorem odpowiedzialności osobistej.

Kogo spotkają sankcje?

Niezgłoszenie, ale i zgłoszenie nieprawdziwych danych beneﬁcjenta rzeczywistego do CRBR będzie wiązało się z sankcjami. Ustawa o przeciwdziałaniu praniu pieniędzy oraz ﬁnansowaniu terroryzmu określa, że za niedopełnienie obowiązków ponosić będą:

osoby reprezentujące spółki – za złożenie fałszywego oświadczenia o prawdziwości informacji zgłaszanych do Rejestru (odpowiedzialność karna) oraz za szkodę wyrządzoną niezgłoszeniem w terminie / zgłoszeniem nieprawdziwych danych (odpowiedzialność odszkodowawcza)
spółki – za niezgłoszenie informacji w wymaganym terminie (odpowiedzialność ﬁnansowa do 1 mln złotych)

Czasu coraz mniej!

Stworzone spółki po 13.10.2019 r. będą miały tylko 7 dni na zgłoszenie beneﬁcjenta rzeczywistego do CRBR. Spółki wpisane już do Krajowego Rejestru Sądowego przed 13.10.2019 r. będą miały 6 miesięcy, tj. do dnia 13.04.2020 r. na dokonanie zgłoszenia do CRBR.

W momencie, gdy obowiązek ustalenia beneﬁcjenta rzeczywistego będzie dotyczył spółek z rozbudowaną strukturą właścicielską, może wiązać się to ze złożoną weryﬁkacją osób, które sprawują kontrolę nad spółką. Sądzimy, że już dziś warto przygotowywać się do wpisu, który będzie zamieszczony w Centralnym Rejestrze Beneﬁcjentów Rzeczywistych.