Inspektor ochrony danych osobowych to osoba, która w danej organizacji ma zajmować się doradzaniem w sprawie zasad ochrony danych osobowych oraz monitorowaniem działań administratora danych osobowych w tym zakresie.
Zgodnie z art. 37 ust. 5 RODO inspektor ochrony danych (IOD) jest wyznaczany na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań, o których mowa w art. 39 RODO. Poziom wiedzy inspektora powinien być ustalany w kontekście konkretnych potrzeb administratora danych i procesora (motyw 97 RODO).
Kwalifikacje zawodowe i wiedza fachowa wymagana od inspektora obejmują:
- znajomość organizacji i sektora, w którym działa,
- zdolność do promowania kultury ochrony danych wewnątrz organizacji;
- znajomość krajowych i europejskich przepisów i praktyk w zakresie ochrony danych, w tym pogłębiona znajomość RODO,
- zrozumienie prowadzonych operacji przetwarzania, technologii informatycznych i bezpieczeństwa danych
Zakres zadań inspektora ochrony danych zawiera art. 39 ust. 1 RODO. W Wytycznych Grupy Roboczej art. 29 dotyczących inspektorów danych osobowych do zadań IOD zaliczono również prowadzenie rejestru czynności i kategorii czynności, o których mowa wskazanych w art. 30 RODO.
Inspektora ochrony danych – jego zadania obejmować będą:
- Informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach spoczywających na nich na mocy niniejszego rozporządzenia oraz innych przepisów Unii lub państw członkowskich o ochronie danych i doradzanie im w tej sprawie;
- monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych. W tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty;
- udzielanie na żądanie zaleceń co do oceny skutków dla ochrony danych oraz monitorowanie jej wykonania zgodnie z art. 35;
- współpraca z organem nadzorczym
- pełnienie funkcji punktu kontaktowego dla organu nadzorczego w kwestiach związanych z przetwarzaniem, w tym z uprzednimi konsultacjami, o których mowa w art. 36, oraz w stosownych przypadkach prowadzenie konsultacji we wszelkich innych sprawach;
- pełnienie roli punktu kontaktowego dla osób, których dane dotyczą, we wszystkich sprawach związanych z przetwarzaniem ich danych osobowych oraz z wykonywaniem praw przysługujących im na mocy niniejszego rozporządzenia.
- prowadzenie rejestru czynności lub rejestru kategorii czynności.