Kontrola RODO budzi duże obawy, ponieważ uchybienia związane z przetwarzaniem danych mogą skutkować nałożeniem wysokiej kary administracyjnej. W związku z tym warto mieć świadomość, na czym polega taka procedura, kto ją przeprowadza i jak przebiega. W tym artykule omawiamy najważniejsze kwestie związane z przeprowadzeniem kontroli RODO.
Kto przeprowadza kontrolę RODO?
W Polsce organem nadzorczym odpowiadającym za monitorowanie przestrzegania przepisów RODO jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Prezes UODO udziela pracownikowi urzędu upoważnienia do przeprowadzenia postępowania kontrolnego u administratora danych lub podmiotu przetwarzającego. W przypadku spraw dotyczących więcej niż jednego państwa członkowskiego UE kontrolę może przeprowadzić członek lub personel organu nadzorczego innego państwa członkowskiego (wspólne operacje przeprowadza się zgodnie z art. 62 RODO). W praktyce kontrole RODO najczęściej przeprowadzane są przez zespoły trzyosobowe.
Kontroler ma obowiązek okazania legitymacji służbowej oraz upoważnienia zawierającego między innymi:
imię i nazwisko kontrolującego;
stanowisko służbowe kontrolującego;
oznaczenie organu nadzorczego;
podstawę prawną kontroli;
zakres kontroli;
datę rozpoczęcia i przewidywanego zakończenia kontroli;
numer legitymacji służbowej;
pouczenie kontrolowanego o jego prawach i obowiązkach;
podpis Prezesa UODO.
Warto mieć na uwadze, że kontrola RODO to nie to samo co audyt RODO. Audyt zgodności z RODO można zlecić własnemu pracownikowi lub podmiotowi zewnętrznemu, który specjalizuje się w ochronie danych osobowych.
Czy organ nadzorczy musi zapowiedzieć kontrolę RODO?
Aktualnie nie przewiduje się obowiązku zawiadomienia o terminie kontroli RODO, bez znaczenia jakiego podmiotu kontrola ma dotyczyć. Przepisy wskazują jedynie, że kontrolę prowadzi się nie dłużej niż 30 dni od dnia okazania kontrolowanemu lub innej osobie wskazanej w przepisach imiennego upoważnienia do przeprowadzenia kontroli oraz legitymacji służbowej lub innego dokumentu potwierdzającego tożsamość. Do terminu nie wlicza się terminów przewidzianych na zgłoszenie zastrzeżeń do protokołu kontroli lub podpisanie i doręczenie protokołu kontroli przez kontrolowanego.
Kiedy przeprowadza się kontrolę RODO?
Kontrole RODO przeprowadzane są w sposób planowy w sektorach wyznaczonych przez UODO na dany rok. Prezes UODO wszczyna kontrolę również w odpowiedzi na skargę na administratora lub podmiot przetwarzający dane. Skargę może złożyć osoba, której dane są przetwarzane przez organizację. Ponadto organ nadzorczy może przeprowadzać kontrole wyrywkowo ze względu na obowiązek monitorowania przestrzegania przepisów o ochronie danych przez organizacje. Kontrole RODO przeprowadza się także po zgłoszeniu przez administratora danych incydentu niezgodnego z przepisami o ochronie danych.
Przebieg kontroli RODO
Zgodnie z prawem zespół kontrolny może pojawić się w organizacji w godzinach od 6:00 do 22:00, jednak zazwyczaj kontrola odbywa się w normalnych godzinach pracy. Przed przystąpieniem do czynności kontrolerzy powinni okazać imienne upoważnienia i legitymacje służbowe. Co ważne, kontrolerzy mogą wykonywać czynności w asyście policji, jeżeli uznają, że jest to niezbędne dla zachowania bezpieczeństwa, porządku lub dostępu do miejsca podlegającego kontroli. Czynności kontrolne mogą być nagrywane za pomocą urządzeń rejestrujących obraz i dźwięk.
W trakcie czynności kontrolujący ma prawo:
wglądu do dokumentów i informacji objętych zakresem kontroli;
sprawdzania miejsc, przedmiotów, urządzeń, nośników i systemów informatycznych lub teleinformatycznych;
żądać pisemnych lub ustnych wyjaśnień;
przesłuchiwać świadków (np. pracowników);
zlecać sporządzenie ekspertyzy i opinii.
W tym czasie kontrolowany musi nie tylko umożliwić kontrolerowi przeprowadzenie zaplanowanych czynności w siedzibie organizacji, ale również zapewnić odpowiednie ku temu warunki i środki. Oznacza to między innymi konieczność przekazania dokumentacji oraz danych znajdujących się na urządzeniach i nośnikach. Ponadto należy we własnym zakresie przygotować kopie i wydruki, a następnie potwierdzić je za zgodność z oryginałem. W przypadku dokumentacji w języku obcym kontrolowany musi na własny koszt przygotować tłumaczenie.
Po zakończeniu procedury kontrolowany otrzymuje protokół w formie pisemnej lub elektronicznej. Następnie ma 7 dni na podpisanie protokołu lub złożenie pisemnych zastrzeżeń. Jeżeli kontrolujący nie otrzyma odpowiedzi w tym czasie, wówczas zostanie to potraktowane jako odmowa podpisania protokołu, co zostanie odnotowane w tym dokumencie.
Jak przygotować się do kontroli RODO?
Kontrola RODO może zakończyć się wszczęciem postępowania w sprawie naruszenia ochrony danych, co może skutkować nałożeniem kary administracyjnej na organizację. Wsparciem dla firm oczekujących kontroli jest Inspektor Ochrony Danych. Funkcję tę może pełnić pracownik organizacji lub zewnętrzny specjalista. Inspektor Ochrony Danych odpowiada m.in. za monitorowanie zgodności z przepisami, szkolenia pracowników, bieżące doradztwo oraz współpracę z Prezesem UODO. Jeżeli administrator nie korzysta z pomocy Inspektora Ochrony Danych na co dzień, może zlecić audyt RODO przed spodziewaną kontrolą. Audyt pozwala na zidentyfikowanie uchybień i naruszeń przepisów o ochronie danych, a także pomaga wdrożyć środki bezpieczeństwa i działania naprawcze, które mogą mieć korzystny wpływ na wynik kontroli.
Artykuł został sprawdzony pod kątem merytorycznym przez Kancelarię Prawa Gospodarczego i Oświatowego – ekspertów RODO w placówkach oświatowych i biznesie.
