Prezes pełni funkcję IOD w Twojej firmie? PUODO potwierdza – to błąd i ryzyko kary

Prezes Urzędu Ochrony Danych Osobowych (PUODO) w niedawnej decyzji nałożył karę finansową na spółkę z branży medycznej. Powód? Funkcję Inspektora Ochrony Danych (IOD) pełnił w niej… prezes zarządu. PUODO uznał to za jednoznaczne naruszenie art. 38 ust. 6 RODO, wskazując na nieunikniony konflikt interesów.

Zadaniem Inspektora Ochrony Danych jest wspieranie administratora (w tym przypadku spółki) w przestrzeganiu przepisów o ochronie danych osobowych oraz, co kluczowe, niezależne monitorowanie tej zgodności.

Prezes zarządu (lub inny członek wyższego kierownictwa) z definicji ustala cele i sposoby przetwarzania danych. To on decyduje o strategii biznesowej, działaniach marketingowych czy wdrożeniu nowych systemów IT za pośrednictwem których przetwarzane są dane osobowe.

PUODO w decyzji DKN.5131.7.2025 potwierdził to, co eksperci podnosili od dawna:

• nie można monitorować samego siebie – prezes, jako IOD, musiałby oceniać legalność i ryzyko działań, które sam zainicjował i za które biznesowo odpowiada;
• niemożliwe jest raportowanie do samego siebie – z 38 ust. 3 RODO wynika wymóg, aby IOD podlegał bezpośrednio najwyższemu kierownictwu. Jeżeli to prezes zarządu pełni funkcję IOD, ten wymóg staje się w rzeczywistości fikcją.

Argumenty, które nie przekonały Prezesa UODO

Spółka w postępowaniu podnosiła argumenty, które mogą być bliskie wielu przedsiębiorcom. PUODO uznał je jednak za niezasadne.

Nie ma pieniędzy na IOD

Spółka twierdziła, że nie ma możliwości finansowych, aby zatrudnić zewnętrznego eksperta. Jednak stanowisko PUODO w tym zakresie jest stanowcze – obowiązki prawne nie są uzależnione od sytuacji finansowej administratora.

Decyzyjność vs. Konflikt interesów

Spółka twierdziła również, iż jej prezes mając najszerszą wiedzę na temat bieżących działań firmy jest najlepszym kandydatem na pełnienie funkcji IOD. Prezes Urzędu wskazał jednak, że ta wiedza i decyzyjność to właśnie źródło konfliktu, a nie jego rozwiązanie.

Czy branża medyczna może rządzić się swoimi prawami?

Spółka przekonywała, że w sektorze medycznym ochrona danych pacjentów jest tożsama z interesem spółki, więc cele prezesa i IOD są spójne. PUODO odrzucił tę logikę, wskazując, że IOD musi mieć możliwość informowania o problemach, nawet jeśli ich rozwiązanie jest dla zarządu „trudne i wydaje się kosztowne”.

Co ciekawe, naruszenie wykryto, gdy spółka sama zgłosiła do PUODO w ramach zupełnie innego incydentu (wydanie pacjentowi dokumentacji innej osoby).

Kluczowe wnioski dla Twojej firmy:

1. Problem dotyczy nie tylko Prezesa. Ten sam konflikt interesów wystąpi w przypadku powierzenia funkcji IOD innemu członkowi wyższej kadry kierowniczej, który decyduje o celach i sposobach przetwarzania danych.
2. Naruszenie uznano za umyślne. PUODO ustalił, że spółka miała świadomość obowiązków prawnych na niej ciążących, a mimo to świadomie utrzymywała wadliwą strukturę przez prawie 6 lat. To okoliczność obciążająca przy wymiarze kary.
3. Działanie naprawcze miało znaczenie. Jedyną okolicznością łagodzącą, którą uwzględnił PUODO, był fakt, że spółka (już w trakcie postępowania) w końcu odwołała prezesa z funkcji IOD i powołała nowego, zewnętrznego inspektora .

Jeśli w Twojej organizacji IOD jest jednocześnie członkiem zarządu lub dyrektorem kluczowego działu, znajdujesz się w sytuacji permanentnego naruszenia RODO, które może zostać wykryte przy okazji dowolnej kontroli lub zgłoszenia incydentu.

Mam ten problem w firmie – co robić?

Jeżeli ta sytuacja dotyczy Twojej organizacji, należy podjąć natychmiastowe działania naprawcze:

1. Przeprowadź analizę ryzyka – zweryfikuj, czy Twój obecny IOD nie pełni jednocześnie funkcji kierowniczych lub innych, które wiążą się z ustalaniem celów i sposobów przetwarzania danych.
2. Dokonaj zmian korporacyjnych – jeżeli dochodzi do łączenia kluczowych funkcji zarządczych z pełnieniem funkcji IOD niezwłocznie odwołaj tę osobę z pełnienia tej funkcji.
3. Powołaj nowego IOD – wybierz osobę gwarantującą brak konfliktu interesów. Może to być odpowiednio przeszkolony pracownik niższego szczebla (niepodejmujący decyzji o przetwarzaniu) lub – co jest rozwiązaniem bezpieczniejszym i rekomendowanym – skorzystaj z outsourcingu funkcji IOD do wyspecjalizowanego podmiotu zewnętrznego, np. kancelarii prawnej.
4. Zgłoś zmianę do PUODO – pamiętaj, aby zawiadomić Prezesa UODO o wyznaczeniu nowego inspektora w terminie 14 dni od jego powołania.

Podjęcie tych kroków nie tylko usuwa stan naruszenia, ale, jak pokazuje omawiana decyzja, może być kluczową okolicznością łagodzącą w przypadku ewentualnej kontroli.