Prezes firmy nie może być jednocześnie Inspektorem Ochrony Danych

Sprawa zaczęła się od zgłoszenia incydentu z danymi osobowymi: pacjentowi wydano dokumenty innej osoby. Ze zgłoszenia wynikało, że w spółce funkcję Inspektora Danych Osobowych (IOD) pełni prezes zarządu. Tymczasem z art. 38 ust. 6 RODO wynika, że osoba sprawująca taką funkcję musi być niezależna od władz spółki, by móc raportować o zagrożeniach.

Okazało się, że firma miała tego świadomość. Uznała jednak, że pełnienie tej funkcji przez samego prezesa zarządu tej niezależności nie zagraża. Firma argumentowała, że skoro prowadzi działalność objętą tajemnicą lekarską, to nie można mówić o konflikcie interesów między zarządem a IOD. Bowiem ochrona dokumentacji medycznej pacjentów i ochrona ich danych są po prostu jedną z najważniejszych obowiązków spółki, a realizuje je prezes.