Art. 37 RODO i obowiązek powołania IOD: szkoła, gabinet, spółka komunalna

Prowadzisz niepubliczne przedszkole, gabinet stomatologiczny albo zarządzasz spółką wodociągową należącą do gminy. Słyszysz, że inspektora ochrony danych musi mieć każda placówka oświatowa, każdy gabinet albo każda firma należąca do samorządu. Czy na pewno?

Obowiązek powołania IOD (inspektora ochrony danych) wynika z art. 37 RODO i z jednej definicji w polskiej ustawie. Liczy się forma prawna Twojej jednostki i to, czym zajmujesz się na co dzień, a nie liczba pracowników ani to, że robisz coś „dla ludzi”. Z tego wpisu dowiesz się, jak to sprawdzić na przykładzie szkoły, gabinetu i spółki komunalnej oraz co musisz mieć, jeśli inspektor Cię nie dotyczy.

Kto musi powołać IOD według art. 37 RODO?

Art. 37 ust. 1 RODO wymienia trzy sytuacje, oznaczone literami a, b i c (dalej w skrócie lit. a, lit. b, lit. c). Wystarczy jedna z nich, żeby inspektor był obowiązkowy. Obowiązek dotyczy zarówno administratora danych, jak i firmy, która przetwarza dane na jego zlecenie (podmiotu przetwarzającego). Każdy z nich ocenia to osobno: firma IT obsługująca setki gabinetów może musieć mieć inspektora, choć pojedynczy gabinet nie musi.

Trzy razy „nie” oznacza, że inspektora mieć nie musisz. Prawo Unii albo ustawa krajowa mogą dołożyć inne przypadki (art. 37 ust. 4 RODO), ale przy szkole, gabinecie i spółce komunalnej rozstrzygają te trzy pytania.

Podmiot publiczny w RODO: dlaczego liczy się sektor finansów publicznych

RODO nie mówi, kto jest „podmiotem publicznym”. Wytyczne Grupy Roboczej Art. 29, czyli europejskich organów ochrony danych, o inspektorach (WP243, zatwierdzone przez Europejską Radę Ochrony Danych 25 maja 2018 r., w dniu, od którego stosuje się RODO) zostawiają to prawu krajowemu. W Polsce rozstrzyga to art. 9 ustawy o ochronie danych osobowych z 2018 r. Podmiotami publicznymi, które muszą wyznaczyć inspektora, są:

• jednostki sektora finansów publicznych,
• instytuty badawcze,
• Narodowy Bank Polski.

Kto należy do sektora finansów publicznych, mówi z kolei art. 9 ustawy o finansach publicznych. To zamknięta lista: między innymi gminy, powiaty i województwa, jednostki budżetowe, samorządowe zakłady budżetowe, samodzielne publiczne zakłady opieki zdrowotnej, uczelnie publiczne oraz państwowe i samorządowe instytucje kultury.

Jeśli Twojej jednostki nie ma na tej liście, art. 37 ust. 1 lit. a RODO Cię nie dotyczy. Nie ma znaczenia, że dostajesz dotację z gminy, realizujesz zadanie publiczne albo że właścicielem jest samorząd. Wtedy zostają tylko pytania 2 i 3.

Inspektor ochrony danych w szkole: samorządowa tak, niepubliczna zwykle nie

Szkoła prowadzona przez gminę albo powiat to zwykle jednostka budżetowa, czyli jednostka sektora finansów publicznych. Urząd Ochrony Danych Osobowych (UODO) pisze w poradniku RODO dla szkół wprost: dyrektorzy szkół publicznych będących jednostkami budżetowymi muszą wyznaczyć inspektora i zawiadomić o tym Prezesa UODO. To samo dotyczy przedszkoli, bo poradnik pod słowem „szkoła” rozumie też przedszkole.

IOD w szkole samorządowej jest więc obowiązkowy także w małej szkole, bo przy lit. a skala nie ma znaczenia. Kilka szkół tej samej gminy może mieć jednego wspólnego inspektora (art. 37 ust. 3 RODO), ale każda szkoła osobno go wyznacza i osobno zawiadamia UODO.

Inspektorem nie powinien być dyrektor szkoły, bo to on decyduje o celach i sposobach przetwarzania danych (art. 38 ust. 6 RODO). Może nim być pracownik bez takiej roli albo osoba z zewnątrz na umowie o świadczenie usług (art. 37 ust. 6).

Szkoła publiczna to nie zawsze szkoła samorządowa

Według art. 8 ust. 2 Prawa oświatowego szkołę może prowadzić jednostka samorządu terytorialnego, inna osoba prawna albo osoba fizyczna, a w przypadkach wskazanych w dalszych ustępach także minister. Szkoła publiczna prowadzona przez fundację, stowarzyszenie albo osobę fizyczną nie jest jednostką budżetową. Status szkoły publicznej i dotacja nie wpisują jej do sektora finansów publicznych.

Dlatego obowiązek z lit. a dotyczy szkół i przedszkoli działających jako jednostki budżetowe, czyli prowadzonych przez gminę, powiat, województwo albo ministra (np. publiczne szkoły artystyczne), a nie każdej szkoły publicznej. Jeśli szkołę prowadzi uczelnia publiczna, inspektora musi mieć uczelnia, a jego zadania obejmują także szkołę.

Czy szkoła niepubliczna musi mieć IOD?

Zwykle nie. Szkoła niepubliczna nie należy do sektora finansów publicznych, więc zostają jej lit. b i c, a w praktyce liczy się głównie lit. c. Główną działalnością szkoły jest nauczanie, a nie przetwarzanie danych o zdrowiu. Orzeczenia i opinie z poradni są w dokumentach szkoły, ale to nie one są sednem jej pracy.

Ocenę zrób dokładniej, jeśli praca z danymi o zdrowiu jest istotą placówki, np. w ośrodku dla wielu dzieci z niepełnosprawnościami. Tam dane o zdrowiu mogą należeć do głównej działalności, a wtedy decyduje skala.

Spółka komunalna a IOD: forma spółki wyłącza obowiązek z lit. a

Spółek prawa handlowego nie ma na zamkniętej liście z art. 9 ustawy o finansach publicznych, a pkt 14 wyłącza je wprost nawet z ogólnej kategorii państwowych i samorządowych osób prawnych. Spółka komunalna, czyli np. spółka z o.o. w 100% należąca do gminy, nie jest podmiotem publicznym w rozumieniu art. 9 ustawy o ochronie danych osobowych. Sam fakt, że należy do samorządu, nie nakłada na nią obowiązku powołania IOD.

Uważaj tylko na formę. Zakład gospodarki komunalnej działający jako samorządowy zakład budżetowy to już jednostka sektora finansów publicznych (art. 9 pkt 4 tej ustawy), więc inspektor jest obowiązkowy.

Kiedy spółka komunalna jednak musi mieć IOD?

Wtedy, gdy spełnia pytanie 2 albo 3. Wytyczne WP243 podają dane o podróżach pasażerów komunikacji miejskiej, np. z kart miejskich, jako przykład przetwarzania na dużą skalę. Inteligentne liczniki i monitoring wizyjny wymieniają jako działania, które mogą być regularnym i systematycznym monitorowaniem.

Lit. b wymaga jednak trzech rzeczy naraz: monitorowanie jest regularne i systematyczne, odbywa się na dużą skalę i należy do głównej działalności. Przewoźnik z imiennymi kartami, które zapisują przejazdy, albo wodociągi z licznikami odczytywanymi zdalnie i często powinny to sprawdzić dokładnie. Sam monitoring wizyjny siedziby czy zajezdni nie wystarczy, bo to działanie pomocnicze.

Te same wytyczne zalecają też, jako dobrą praktykę, inspektora w firmach, które wykonują zadania publiczne, np. w transporcie publicznym albo dostawie wody i energii. To zalecenie, a nie obowiązek.

Gabinet, przychodnia, szpital: kiedy dane o zdrowiu oznaczają obowiązek IOD

Dane o zdrowiu to dane szczególnej kategorii, więc prywatną placówkę medyczną ocenia się według lit. c. Muszą być spełnione dwa warunki naraz: przetwarzanie tych danych jest główną działalnością i odbywa się na dużą skalę.

W medycynie pierwszy warunek jest spełniony prawie zawsze. WP243 pokazuje to na przykładzie szpitala: skuteczne leczenie nie jest możliwe bez historii choroby, więc przetwarzanie danych pacjentów należy do głównej działalności. To samo rozumowanie pasuje do każdej placówki medycznej, więc o obowiązku decyduje skala.

Gabinet jednego lekarza

Motyw 91 RODO, czyli jeden z punktów wstępu, które wyjaśniają, jak czytać przepisy rozporządzenia, mówi, że przetwarzanie danych pacjentów przez pojedynczego lekarza albo innego pracownika służby zdrowia nie powinno być uznawane za przetwarzanie na dużą skalę. WP243 podaje ten sam przykład wśród przypadków, które dużą skalą nie są. Podobnie ocenia to kodeks postępowania dla małych placówek medycznych, zatwierdzony przez Prezesa UODO w 2022 r.: inspektora nie potrzebuje pojedynczy lekarz, który prowadzi własny gabinet i przetwarza dane niewielkiej grupy pacjentów. Gabinet, w którym przyjmuje jeden lekarz, stomatolog albo fizjoterapeuta, zwykle więc IOD mieć nie musi.

Jedno zastrzeżenie: motyw 91 dotyczy wprost oceny skutków dla ochrony danych, a nie inspektora, na co zwraca uwagę samo WP243. Jeśli gabinet działa w kilku miejscach albo obsługuje pacjentów z całego kraju, np. przez teleporady, oceń skalę według kryteriów z WP243. Ważna jest też liczba pacjentów: kodeks zwalnia z obowiązku tylko lekarza z niewielką grupą pacjentów, a od około 6 tys. pacjentów w bazie inspektora uważamy za konieczny także w gabinecie jednego lekarza (więcej niżej).

Szpital i publiczny ZOZ

Szpital to podręcznikowy przykład z WP243: przetwarzanie danych pacjentów przez szpital to duża skala, więc inspektor jest obowiązkowy z lit. c bez względu na formę prawną, także w szpitalu powiatowym działającym jako spółka. Samodzielny publiczny zakład opieki zdrowotnej (SP ZOZ) ma IOD obowiązkowo także z innego powodu: jest jednostką sektora finansów publicznych (art. 9 pkt 10 ustawy o finansach publicznych). Dotyczy to również małej przychodni, jeśli działa jako SP ZOZ albo jako jednostka budżetowa gminy. Przychodnia prowadzona przez gminę w formie spółki z o.o. i prywatna przychodnia z kontraktem NFZ podmiotami publicznymi nie są. Ocenia się je według lit. c, jak każdą prywatną placówkę.

Prywatna przychodnia z kilkoma lekarzami

Wspomniany kodeks dla małych placówek medycznych uznaje, że mała placówka medyczna, np. przychodnia podstawowej opieki zdrowotnej albo specjalistyczna, co do zasady powinna wyznaczyć inspektora, a jedynym wyjątkiem jest opisany wyżej gabinet jednego lekarza z niewielką grupą pacjentów.

WP243 zaleca wziąć pod uwagę liczbę pacjentów (także jako odsetek mieszkańców obszaru), zakres danych, czas ich przechowywania i obszar działania. Dokumentację medyczną przechowuje się co do zasady przez 20 lat (art. 29 ustawy o prawach pacjenta, więcej w tekście o okresie przechowywania dokumentacji medycznej), więc baza pacjentów rośnie z roku na rok. Przepisy ani wytyczne nie podają liczby pacjentów. W Kancelarii KZ od około 6 tys. pacjentów w bazie, także w gabinecie jednego lekarza, inspektora uważamy za konieczność, bo trudno wtedy przekonująco wykazać, że skala jest mała.

Gdy IOD nie jest obowiązkowy: jakie dokumenty RODO firma i tak musi mieć

Brak inspektora nie zwalnia Cię z RODO. Za zgodność z przepisami odpowiadasz Ty jako administrator (art. 24 RODO), z inspektorem albo bez niego. Szkoła niepubliczna, gabinet i spółka komunalna bez IOD potrzebują w praktyce tego samego zestawu:

Rejestru czynności nie ominie też mała firma. Zwolnienie dla firm zatrudniających mniej niż 250 osób z art. 30 ust. 5 RODO nie działa, gdy przetwarzanie nie jest sporadyczne. Stałe prowadzenie kadr albo bazy uczniów czy pacjentów sporadyczne nie jest. Więcej o podpisach pracowników znajdziesz we wpisie Upoważnienie do przetwarzania danych osobowych: co podpisać i kiedy, a o umowie powierzenia z dostawcą poczty w tekście Dlaczego darmowy mail @gmail.com jest niezgodny z RODO?.

W gabinecie z tej listy wynika też pytanie, co pacjent ma podpisać w rejestracji: zgodę, klauzulę czy nic. Odpowiadamy na nie we wpisie Zgoda pacjenta RODO: co pacjent podpisuje, a czego nie musi.

Zapisz, dlaczego inspektor Cię nie dotyczy

WP243 zaleca, żeby administrator, który nie musi mieć IOD, udokumentował, jak do tego doszedł. Wystarczy krótka notatka: który punkt art. 37 sprawdziłeś, dlaczego „nie” i kiedy wrócisz do oceny, np. gdy otworzysz drugą placówkę. Przy kontroli UODO łatwiej pokazać kartkę niż odtwarzać rozumowanie z pamięci.

Uważaj na nazwę. Jeśli wyznaczysz IOD dobrowolnie, obowiązują Cię te same zasady co przy obowiązkowym: niezależność, zgłoszenie do UODO, dane kontaktowe na stronie. Osoba, która tylko pomaga Ci w sprawach RODO, nie powinna więc nazywać się „inspektorem ochrony danych”. Gotowy zestaw dokumentów dla firmy bez inspektora przygotujemy w ramach usługi Dokumentacja RODO.

Najczęstsze pytania o obowiązek powołania IOD

Nie wiesz, czy Twoja szkoła, gabinet albo spółka mieści się w art. 37 RODO? Napisz albo zadzwoń. Sprawdzimy to razem, a jeśli inspektora mieć nie musisz, powiemy Ci to wprost. Jeśli musisz, tę funkcję może przejąć Inspektor Ochrony Danych z Kancelarii KZ.