Inspektor Ochrony Danych to jedna z niewielu funkcji, którą RODO opisuje wprost - łącznie z tym, kiedy musisz ją obsadzić, co ta osoba ma robić i czego nie wolno jej kazać. Pytanie „etat czy outsourcing" jest wtórne wobec pierwszego: czy w ogóle masz obowiązek wyznaczenia IOD?
- Obowiązek wyznaczenia IOD dotyczy organów publicznych, podmiotów z regularnym i systematycznym monitorowaniem na dużą skalę oraz podmiotów przetwarzających na dużą skalę dane wrażliwe (art. 37 ust. 1 RODO).
- Dobrowolne wyznaczenie IOD uruchamia te same wymogi art. 37-39, co przy obowiązku ustawowym.
- Wyznaczenie IOD trzeba zgłosić Prezesowi UODO w terminie 14 dni i opublikować dane kontaktowe inspektora.
- Etat wewnętrznego IOD to realnie kilkanaście tysięcy złotych miesięcznie brutto z narzutami; zewnętrzny abonament zaczyna się od kilku tysięcy złotych miesięcznie.
- IOD nie może pełnić funkcji, w której sam wyznacza cele i sposoby przetwarzania - to wyklucza m.in. szefa IT czy szefa HR.
Kiedy wyznaczenie IOD jest obowiązkowe? (art. 37 ust. 1 RODO)
Obowiązek dotyczy trzech sytuacji:
- Organ lub podmiot publiczny - z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości. Tu dyskusji nie ma.
- Główna działalność polega na operacjach przetwarzania, które wymagają regularnego i systematycznego monitorowania osób na dużą skalę - np. platformy śledzące zachowania użytkowników, telematyka, programy lojalnościowe, adtech, scoring.
- Główna działalność polega na przetwarzaniu na dużą skalę danych szczególnych kategorii (art. 9) lub danych o wyrokach skazujących (art. 10) - np. podmioty medyczne, laboratoria, część branży ubezpieczeniowej i HR-tech.
Kluczowe pojęcia - „główna działalność", „duża skala", „regularne i systematyczne monitorowanie" - nie mają ostrych progów liczbowych. Interpretuje się je zgodnie z wytycznymi Grupy Roboczej Art. 29 (WP243, przyjętymi przez EROD). W praktyce: jeśli przetwarzanie danych jest sercem Twojego modelu biznesowego, a nie tylko obsługą kadr i faktur - załóż, że jesteś blisko obowiązku.
Dwie rzeczy, o których się zapomina:
- Jeśli nie masz obowiązku, ale wyznaczysz IOD dobrowolnie - wszystkie wymogi art. 37-39 stosują się tak samo, jakby był obowiązkowy.
- Wyznaczenie IOD trzeba zgłosić Prezesowi UODO (w Polsce w terminie 14 dni) i opublikować dane kontaktowe inspektora.
Czego RODO wymaga od tej funkcji (art. 38-39)
Niezależnie od modelu zatrudnienia:
- Niezależność - IOD nie może otrzymywać instrukcji co do wykonywania zadań, nie może być karany ani odwoływany za ich wykonywanie, raportuje do najwyższego kierownictwa.
- Brak konfliktu interesów - IOD może pełnić inne funkcje, ale nie takie, w których sam wyznacza cele i sposoby przetwarzania. W praktyce wyklucza to m.in. szefa IT, szefa HR, członka zarządu. To najczęstszy błąd przy modelu wewnętrznym. Prezes UODO egzekwuje to w praktyce: 978 000 zł kary dla Poczty Polskiej za IOD na stanowisku kierowniczym, któremu powierzono też inne zadania (decyzja z 26 stycznia 2026 r.), 261 918 zł dla Toyota Bank Polska za IOD podległego dyrektorowi zamiast zarządowi (decyzja z 20 stycznia 2025 r.) i 12 000 zł dla komornika, który przez pięć lat sam był IOD we własnej kancelarii (decyzja z 31 sierpnia 2026 r.).
- Właściwe zasoby i dostęp - do operacji przetwarzania, danych, szkoleń.
- Zadania (art. 39) - informowanie i doradzanie, monitorowanie przestrzegania RODO, wsparcie przy DPIA, współpraca z UODO, punkt kontaktowy.
Kiedy model wewnętrzny IOD ma sens?
Zalety: codzienna obecność w organizacji, głęboka znajomość procesów, natychmiastowa dostępność. Dla dużych organizacji o skomplikowanym przetwarzaniu (bank, szpital, telekom) etatowy IOD - często z zespołem - to naturalny wybór.
Koszty i ryzyka:
- Pełny koszt etatu specjalisty z kompetencjami prawno-technicznymi - realnie kilkanaście tysięcy złotych miesięcznie brutto z narzutami, plus szkolenia i zastępstwa na urlopy.
- Ryzyko konfliktu interesów przy łączeniu funkcji („nasz prawnik będzie też IOD" - zwykle da się obronić; „nasz szef IT będzie też IOD" - zwykle nie).
- Pojedynczy punkt awarii: jedna osoba, jedna perspektywa, jedno wypowiedzenie od utraty ciągłości funkcji.
Kiedy model zewnętrzny IOD ma sens?
RODO wprost dopuszcza pełnienie funkcji IOD na podstawie umowy o świadczenie usług (art. 37 ust. 6). Formalnie nic się nie zmienia: administrator wyznacza inspektora, zgłasza go do UODO, publikuje kontakt.
Zalety:
- Koszt zwykle wyraźnie niższy niż etat - abonamenty rynkowe dla MŚP zaczynają się od kilku tysięcy złotych miesięcznie.
- Dostęp do doświadczenia z wielu organizacji i branż - zewnętrzny IOD widział już Twój problem u kogoś innego.
- Naturalna niezależność - łatwiej o brak konfliktu interesów, gdy IOD nie jest wpleciony w wewnętrzne struktury.
- Ciągłość funkcji nie zależy od jednej rekrutacji.
Ograniczenia: mniejsza codzienna obecność (trzeba ją zaprojektować w umowie: SLA na odpowiedzi, cykliczne wizyty, udział w projektach) i konieczność dobrego onboardingu, żeby zewnętrzny IOD naprawdę znał organizację, a nie tylko podpisywał dokumenty.
Jak wybrać - trzy pytania kontrolne
- Skala i złożoność przetwarzania: czy potrzebujesz kogoś na pełny etat, czy na kilkanaście godzin miesięcznie? Większość MŚP - to drugie.
- Czy masz w środku osobę bez konfliktu interesów z realnymi kompetencjami prawno-technicznymi? Jeśli nie - model zewnętrzny jest bezpieczniejszy niż wyznaczanie „kogoś z łapanki".
- Budżet całkowity: porównuj koszt etatu z narzutami, szkoleniami i zastępstwami - nie samą pensję - z abonamentem zewnętrznym.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej.