Samo przetwarzanie danych osobowych nie oznacza jeszcze obowiązku wyznaczenia IOD. Nie ma też jednej liczby pracowników, po przekroczeniu której każda firma musi mieć inspektora.
Ocena zależy od rodzaju organizacji i sposobu przetwarzania danych.
W tym poradniku:
Jakie sytuacje wskazuje RODO
Artykuł 37 RODO przewiduje obowiązek m.in. dla organów i podmiotów publicznych, z wyjątkiem sądów w zakresie sprawowania wymiaru sprawiedliwości.
W sektorze prywatnym istotne jest, czy główna działalność wymaga regularnego i systematycznego monitorowania osób na dużą skalę albo polega na przetwarzaniu na dużą skalę szczególnych kategorii danych lub danych dotyczących wyroków skazujących i czynów zabronionych. Trzeba uwzględnić również przepisy szczególne.
Dlaczego potrzebny jest opis procesów
Do oceny warto przygotować informacje o tym, jakie dane organizacja przetwarza, ilu osób dotyczą, w jakim celu i przez jaki czas. Znaczenie mają rzeczywiste działania, a nie wyłącznie nazwa branży.
Nie należy utożsamiać „dużej skali” tylko z liczbą zatrudnionych. Niewielki zespół może obsługiwać rozbudowany proces dotyczący wielu osób. Z kolei sama duża liczba pracowników nie zastępuje analizy przesłanek.
Co zrobić, jeśli obowiązku nie ma
Brak obowiązku wyznaczenia IOD nie znosi obowiązków ochrony danych. Nadal trzeba organizować procesy, zabezpieczać informacje i reagować na zgłoszenia.
Można korzystać z doradztwa. Można także dobrowolnie wyznaczyć IOD, ale wtedy trzeba respektować zasady dotyczące tej funkcji. Nie warto używać nazwy „IOD” jedynie jako ogólnego określenia osoby pomagającej z dokumentami.
Jak uporządkować decyzję
Warto udokumentować przeprowadzoną ocenę i wracać do niej po istotnych zmianach, np. uruchomieniu nowej usługi lub zwiększeniu zakresu przetwarzania.
Zapisz, jakie informacje przeanalizowano, jakie przyjęto założenia i kto przygotował ocenę. Dzięki temu łatwiej ustalić, czy późniejsza zmiana działalności wpływa na wcześniejszy wniosek.
Podstawa: art. 37–39 RODO — tekst skonsolidowany wskazany przez UODO.
ResData pomaga ocenić potrzebę wyznaczenia inspektora i dobrać formę wsparcia.
Autor: ResData — ochrona danych osobowych i bezpieczeństwo informacji.
Weryfikacja merytoryczna: Karol Franus, prawnik. Data weryfikacji: 2 października 2026 r.
