UODO przypomina o niezależności IOD: co sprawdzić w podziale ról i dokumentacji firmy?

Jeżeli w firmie wyznaczono inspektora ochrony danych, warto teraz sprawdzić jedną rzecz: czy jego zadania, miejsce w strukturze i dokumenty nie stawiają go w roli osoby kontrolującej własne decyzje. Komunikat UODO z 31 sierpnia 2026 r. nie tworzy nowego obowiązku dla każdej firmy, ale pokazuje, jak ważne jest jasne rozdzielenie ról tam, gdzie IOD został wyznaczony.

Co wynika z komunikatu UODO

Komunikat UODO z 31 sierpnia 2026 r. opisuje konkretną sprawę komornika sądowego. Przez pięć lat ta sama osoba była jednocześnie administratorem danych i IOD we własnej kancelarii. Według komunikatu UODO taki układ naruszał wymóg niezależności IOD, ponieważ łączył funkcję osoby podejmującej decyzje z funkcją osoby, która ma nadzorować ich zgodność.

Poza konfliktem ról urząd stwierdził w tej sprawie brak zawiadomienia Prezesa UODO o wyznaczeniu IOD. Komunikat przypomina również o ogólnym obowiązku publikacji danych kontaktowych wyznaczonego IOD, nie wskazuje jednak braku ich publikacji jako odrębnego naruszenia objętego opisaną karą. UODO podał łączną karę 15 500 zł. Z tej kwoty 3 500 zł dotyczyło niepoinformowania organu nadzorczego w terminie 14 dni od wyznaczenia IOD, a 12 000 zł niezapewnienia niezależności IOD. Te liczby odnoszą się do opisanej sprawy i nie są uniwersalnym cennikiem ani prognozą dla innych podmiotów.

Najważniejsza lekcja nie polega na mechanicznym kopiowaniu struktury z jednej kancelarii do każdej firmy. Warto raczej odczytać komunikat jako przypomnienie o prostym pytaniu kontrolnym: czy osoba wyznaczona do monitorowania obszaru ochrony danych może niezależnie ocenić decyzje, których sama wcześniej nie podjęła? Jeżeli odpowiedź jest niejasna, potrzebny jest uporządkowany przegląd ról, a nie szybkie dopisywanie deklaracji bez sprawdzenia, jak firma działa na co dzień.

Granica ról administratora i IOD

Według komunikatu UODO ryzyko konfliktu interesów pojawia się wtedy, gdy IOD podejmuje decyzje, które następnie ma sam monitorować. W komunikacie przytoczono stanowisko, zgodnie z którym niedopuszczalne jest powołanie na IOD osoby kierującej podmiotem mającym status administratora lub podmiotu przetwarzającego. Chodzi więc nie tylko o nazwę stanowiska, lecz przede wszystkim o rzeczywisty zakres wpływu na decyzje podlegające późniejszemu monitorowaniu.

W codziennej pracy firmy role mogą się stykać. Kierownik może przekazywać IOD informacje, sekretariat może koordynować obieg dokumentów, a osoba odpowiedzialna za administrację może pomagać w organizacji spotkań lub archiwum. Taka współpraca nie jest automatycznie konfliktem interesów. Kluczowe jest rozróżnienie między wsparciem organizacyjnym a podejmowaniem decyzji dotyczących obszaru, który IOD ma później oceniać.

Dobrze jest zapisać ten podział prostym językiem. Administrator lub osoby działające w jego imieniu podejmują decyzje operacyjne. IOD ma wykonywać swoją funkcję niezależnie, przekazywać uwagi i monitorować wskazany obszar. Jeżeli jedna osoba ma dodatkowe zadania, opis powinien pozwalać zrozumieć, czy nie otrzymuje równocześnie kompetencji decyzyjnych i kontrolnych wobec tej samej sprawy.

Nie każda łączona rola jest zatem z góry zakazana, a komunikat nie oznacza, że każda firma musi wyznaczyć IOD. Ocena konkretnej sytuacji zależy od jej rzeczywistych okoliczności i stosowanych przepisów. Ten artykuł wyjaśnia komunikat UODO i nie zastępuje indywidualnej porady prawnej ani analizy konkretnego przypadku.

Co praktycznie skontrolować w firmie

Najbezpieczniej zacząć od krótkiego przeglądu faktów, nie od zmiany nazw stanowisk. W małej firmie można przeprowadzić go podczas jednego spotkania właściciela, osoby prowadzącej administrację i IOD, jeżeli został wyznaczony. Celem jest ustalenie, jak naprawdę przebiega podejmowanie decyzji oraz czy dokumenty przedstawiają ten stan jasno i spójnie.

Przygotuj prostą checklistę:

• Ustal, czy IOD został wyznaczony i kto faktycznie pełni tę funkcję.
• Wypisz dodatkowe obowiązki tej osoby, zwłaszcza zadania kierownicze i zadania związane z podejmowaniem decyzji.
• Wskaż osoby podejmujące decyzje w obszarach, które mogą podlegać monitorowaniu przez IOD.
• Porównaj opis funkcji z praktyką: sprawdź, kto zatwierdza rozwiązania, wydaje polecenia i podpisuje ustalenia.
• Sprawdź, czy dane kontaktowe IOD są opublikowane, jeżeli IOD został wyznaczony.
• Sprawdź zawiadomienie Prezesa UODO o wyznaczeniu IOD, w tym zachowanie informacji pozwalających potwierdzić dochowanie terminu 14 dni.

Lista nie ma służyć tworzeniu dodatkowych wymogów. Ma pomóc znaleźć rozbieżność między formalnym opisem a rzeczywistą organizacją pracy. Przykładowo w dokumentach można wskazać osobę jako IOD, lecz w praktyce może ona samodzielnie podejmować decyzje, których skutki potem ma oceniać. Taka rozbieżność jest ważniejsza niż elegancka nazwa pliku czy rozbudowany schemat organizacyjny.

Warto też sprawdzić, czy w razie pytania pracownik wie, do kogo się zwrócić. Dane kontaktowe IOD nie powinny być ukryte w nieaktualnym regulaminie albo w skrzynce mailowej, do której nikt nie zagląda. Chodzi o czytelne wskazanie kanału kontaktu, zgodne z tym, co firma rzeczywiście udostępnia. Nie trzeba przy tym tworzyć rozbudowanej procedury tylko po to, aby wyglądała formalnie; ważna jest możliwość wykazania spójności działań i informacji.

Dokumentacja i obieg cyfrowo-papierowy

Po przeglądzie ról warto uporządkować dokumentację tak, aby nie zależała wyłącznie od pamięci jednej osoby. Przydatna bywa aktualna lista ról: kto działa jako administrator, kto pełni funkcję IOD, kto realizuje zadania pomocnicze oraz kto podejmuje decyzje wymagające późniejszego monitorowania. Taki zapis nie rozstrzyga samodzielnie konfliktu interesów, ale ułatwia zauważenie niespójności i rozmowę o jej usunięciu.

Praktyczny zestaw dokumentów może obejmować opisy funkcji, zakresy obowiązków, upoważnienia, ustalenia dotyczące kontaktu z IOD oraz historię istotnych zmian. Warto zachować wersje, daty i osoby odpowiedzialne za wprowadzenie zmian. Kontrola wersji nie musi oznaczać rozbudowanego systemu informatycznego. W małym biurze może to być uporządkowany folder z jasnym nazewnictwem oraz rejestr aktualnych dokumentów; ważne, aby było wiadomo, która wersja obowiązuje. To praktyczna wskazówka organizacyjna redakcji, a nie nowy obowiązek prawny wynikający z komunikatu UODO.

Cyfrowy i papierowy obieg dokumentów mogą się uzupełniać. Elektroniczne repozytorium ułatwia kontrolę dostępu, wyszukiwanie i zachowanie kolejnych wersji. Papierowe dokumenty, podpisane egzemplarze, wydruki robocze i materiały archiwalne nadal mogą mieć swoje uzasadnione miejsce w pracy biura. Powinny być przechowywane w bezpiecznym, uporządkowanym archiwum, z możliwością ustalenia, czego dotyczą i czy nie zostały zastąpione nowszym dokumentem.

Dobrym zwyczajem jest także rozdzielenie trzech rodzajów materiałów. Pierwsze to dokumenty opisujące role i odpowiedzialność. Drugie to decyzje lub ustalenia operacyjne. Trzecie to notatki z przeglądów, pytania i uwagi IOD. Takie rozróżnienie pomaga nie mieszać osoby, która podejmuje decyzję, z osobą, która przedstawia niezależne stanowisko. Nie jest to nowa sankcja ani gotowy wzór dla wszystkich organizacji, lecz sposób na czytelniejszy porządek.

Jeżeli firma zmienia strukturę, zakres obowiązków albo osobę pełniącą funkcję IOD, nie warto ograniczać się do zmiany jednego dokumentu. Warto przejrzeć powiązane opisy, listy kontaktowe i obieg informacji, aby stare dane nie pozostały w papierowym segregatorze, folderze współdzielonym czy wewnętrznej instrukcji. Właśnie takie drobne rozjazdy często utrudniają później pokazanie, jak role były rzeczywiście podzielone.

Czego nie zakładać po lekturze komunikatu

Opisane stanowisko UODO nie prowadzi do prostego wniosku, że każda firma musi powołać IOD. Komunikat dotyczy niezależności funkcji w sytuacji, w której IOD został wyznaczony, oraz konkretnej sprawy opisanej przez urząd. Nie należy więc zastępować analizy swojej sytuacji ogólnym hasłem – wszyscy muszą mieć IOD.

Nie należy też zakładać, że każde dodatkowe zadanie IOD automatycznie oznacza zakaz łączenia ról. Według komunikatu IOD może wykonywać inne zadania, o ile nie prowadzą one do konfliktu interesów. Ocenie podlega przede wszystkim to, czy dana osoba podejmuje decyzje, które ma potem monitorować. Sama pomoc administracyjna, techniczna lub organizacyjna nie odpowiada jeszcze na to pytanie.

Wreszcie nie warto traktować kwoty 15 500 zł jako prostej miary dla innych podmiotów. UODO podał tę kwotę w odniesieniu do opisanej sprawy, w której stwierdzono dwa naruszenia. W komunikacie wskazano konkretnie 3 500 zł za niepoinformowanie organu nadzorczego w terminie 14 dni oraz 12 000 zł za niezapewnienie niezależności IOD. Z tekstu nie wynika uniwersalna tabela sankcji ani podstawa do przewidywania wyniku indywidualnej sprawy.

Błędy organizacyjne

Możliwym błędem jest patrzenie wyłącznie na nazwę stanowiska. Firma może mieć dokument, w którym osoba jest wpisana jako IOD, ale nie sprawdzać, jakie decyzje podejmuje ona w rzeczywistości. Jeżeli podział ról istnieje tylko na papierze, przegląd nie spełnia swojej praktycznej funkcji.

• Łączenie funkcji bez analizy zadań. Sam wpis w zakresie obowiązków nie wyjaśnia, czy osoba ma monitorować własne decyzje.
• Brak aktualizacji po zmianie organizacyjnej. Zmiana osoby, stanowiska albo sposobu podejmowania decyzji może pozostawić nieaktualne dane w dokumentach i listach kontaktowych.
• Traktowanie kontaktu do IOD jako szczegółu technicznego. Komunikat UODO przypomina, że dane kontaktowe wyznaczonego IOD powinny zostać opublikowane.
• Brak porządku w zawiadomieniach. W opisanej sprawie stwierdzono brak zawiadomienia Prezesa UODO o wyznaczeniu IOD w terminie 14 dni.
• Mieszanie wersji dokumentów. Stare wydruki, nieopisane pliki i brak dat utrudniają ustalenie, który podział ról był aktualny.
• Reakcja wyłącznie pod presją. Lepiej zaplanować spokojny przegląd niż dopiero później odtwarzać decyzje z wiadomości i luźnych notatek.

Dobrym testem jest poproszenie osoby spoza danego procesu o odczytanie listy ról i dokumentów. Powinna umieć odpowiedzieć, kto podejmuje decyzje, kto pełni funkcję IOD, jak można się z nim skontaktować oraz gdzie znajduje się aktualna wersja dokumentacji. Jeżeli odpowiedź wymaga kilku sprzecznych wyjaśnień, to znak, że warto uporządkować informacje.

FAQ

Czy każda firma musi wyznaczyć IOD?

Nie wynika to z opisanego komunikatu. Komunikat dotyczy niezależności IOD w sytuacji, w której funkcja została wyznaczona. To, czy IOD powinien być wyznaczony w konkretnym podmiocie, wymaga oceny jego sytuacji i stosowanych przepisów.

Czy IOD może mieć dodatkowe obowiązki?

Według komunikatu UODO tak, jeżeli dodatkowe zadania nie powodują konfliktu interesów. Ryzyko pojawia się wtedy, gdy osoba podejmuje decyzje, które następnie ma monitorować jako IOD.

Czy administrator może jednocześnie być IOD?

W komunikacie UODO przytoczono stanowisko, zgodnie z którym niedopuszczalne jest powołanie na IOD osoby kierującej podmiotem mającym status administratora lub podmiotu przetwarzającego. Opisana sprawa dotyczyła komornika sądowego, który przez pięć lat był jednocześnie administratorem i IOD w swojej kancelarii; UODO uznał to za naruszenie niezależności IOD.

Co należy sprawdzić w danych kontaktowych IOD?

Jeżeli IOD został wyznaczony, warto sprawdzić, czy jego dane kontaktowe są opublikowane i aktualne. Komunikat UODO przypomina o obowiązku publikacji tych danych, niezależnie od ustalenia dotyczącego braku zawiadomienia organu nadzorczego w opisanej sprawie.

Dlaczego kontrola wersji dokumentów ma znaczenie?

Pomaga ustalić, jaki podział ról był aktualny oraz kto i kiedy wprowadził zmianę. Uporządkowane wersje cyfrowe i bezpiecznie przechowywane dokumenty papierowe ułatwiają zachowanie spójności bez sugerowania, że jeden rodzaj obiegu zastępuje drugi.

Plan działania dla małej firmy lub sekretariatu

Mała firma albo sekretariat nie potrzebują rozbudowanego projektu, aby zacząć porządkować ten obszar. Dobrym pierwszym krokiem jest wyznaczenie jednej osoby do zebrania aktualnych dokumentów oraz przygotowania krótkiej listy ról. Następnie właściciel lub osoba zarządzająca, administracja i IOD — jeżeli został wyznaczony — mogą wspólnie porównać opis z codzienną praktyką.

1. Potwierdź, kto pełni funkcję IOD i jakie ma dodatkowe zadania.
2. Wypisz, kto podejmuje decyzje w obszarach podlegających monitorowaniu.
3. Sprawdź, czy nie dochodzi do sytuacji, w której IOD miałby monitorować własne decyzje.
4. Zweryfikuj publikację danych kontaktowych IOD oraz dokumenty dotyczące zawiadomienia Prezesa UODO w terminie 14 dni, jeśli funkcja została wyznaczona.
5. Uporządkuj aktualne wersje opisów ról, upoważnień i ustaleń w cyfrowym repozytorium oraz bezpiecznym archiwum papierowym.
6. Ustal prostą zasadę aktualizacji po zmianie stanowisk, zadań lub osób.

Jeżeli w trakcie przeglądu pojawi się wątpliwość co do konkretnego układu ról, nie należy rozstrzygać jej na podstawie samego komunikatu ani tego artykułu. Należy zebrać fakty i rozważyć analizę dostosowaną do sytuacji firmy. Na poziomie organizacyjnym decyzja na dziś jest jednak prosta: sprawdzić rzeczywisty podział zadań, udokumentować go w czytelny sposób i utrzymywać zgodność między dokumentami cyfrowymi, papierowymi oraz codzienną praktyką.