Czy szkoła publiczna może nie mieć zawartej umowy na świadczenie usług IOD powołując się na \”zatrudnienie IOD w innej placówce dla potrzeb wszystkich szkół, których organem prowadzącym jest miasto\”?

Każda szkoła publiczna zgodnie z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, podlega obowiązkowi wyznaczenia inspektora ochrony danych. Szkoła publiczna, jako administrator powinna mieć realny wpływ na działania wyznaczonego inspektora ochrony danych, tym samym powinna być stroną umowy, która zostaje zawarta z inspektorem ochrony danych. Umowa może być podpisana indywidualnie bądź wspólnie z innymi administratorami.

Uzasadnienie:

Zgodnie z art. 37 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO), każdy podmiot publiczny ma obowiązek wyznaczenia inspektora ochrony danych, przy czym zapisy art. 37 ust 3 RODO wskazują, że jeśli administrator lub podmiot przetwarzający są organami lub podmiotami publicznymi, dla kilku takich organów lub podmiotów można wyznaczyć, z uwzględnieniem ich struktury organizacyjnej i wielkości, jednego inspektora ochrony danych. Przepisy RODO nie wskazują jednak, który z podmiotów miałby dokonać takiego wyznaczenia, nie ma również określonego sposobu, jak podmioty między sobą miałyby ustalić właściwości w tym zakresie. Przy wyznaczeniu jednego inspektora ochrony danych należy pamiętać, by inspektor ochrony danych miał realny wpływ na nadzorowanie systemu ochrony danych u każdego administratora danych osobowych. Niezbędna jest w tym celu wstępna analiza możliwości faktycznego działania inspektora ochrony danych u wszystkich administratorów, a zakres obowiązków powinien być ujęty w umowie z inspektorem ochrony danych.