Art. 37 ust. 7 RODO nakazuje administratorom lub podmiotom przetwarzającym publikowanie danych kontaktowych IOD oraz zawiadamianie o nich organu nadzorczego. Nie wskazano tu jednak obowiązku podawania imienia i nazwiska wyznaczonego inspektora. Zgoła odmiennie uregulowano tę kwestię w art. 33 ust. 3 lit. b) RODO, odnoszącym się do obowiązku zgłaszania naruszeń ochrony danych osobowych organowi nadzorczemu. W tym przypadku ustawodawca unijny jasno nakazuje, że zgłoszenie o naruszeniu musi, m.in., zawierać co najmniej: imię i nazwisko oraz dane kontaktowe inspektora ochrony danych. Po zestawieniu art. 13 i 14 RODO oraz art. 33 RODO, mając na uwadze racjonalność działań legislatora, uznać należy, że w odniesieniu do obowiązku informacyjnego realizowanego poprzez bezpośrednie przekazywanie klauzul informacyjnych podmiotom danych, nie ma konieczności podawania w tekście imienia
i nazwiska IOD.
Grupa Robocza art. 29, której następcą prawnym jest Europejska Rada Ochrony Danych,
w wytycznych odnoszących się do IOD (WP 243) także informuje, że ujawnianie imienia i nazwiska inspektora w związku z jego wyznaczeniem przez podmiot uznać należy za dobrą praktykę, a nie obowiązek prawny. Wskazuje dalej, że decyzja co do niezbędności poinformowania osób, których dane dotyczą o imieniu i nazwisku IOD należy każdorazowo do administratora lub podmiotu przetwarzającego i IOD. Inspektor, jako osoba profesjonalna i pełniąca funkcję doradczą w stosunku do administratora lub podmiotu przetwarzającego ma prawo wyrazić swoją opinię co do konieczności upublicznienia jego imienia i nazwiska.
Doprecyzowania zakresu publikowanych danych IOD przed administratora lub podmiot przetwarzający dokonano także na gruncie polskiej Ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 z zm.) (dalej: u.o.d.o.2018), gdzie w art. 10 ust. 1 czytamy: podmiot, który wyznaczył inspektora, zawiadamia Prezesa Urzędu Ochrony Danych o jego wyznaczeniu w terminie 14 dni od dnia wyznaczenia, wskazując jego imię, nazwisko oraz adres poczty elektronicznej lub numer telefonu inspektora. Natomiast art. 11 u.o.d.o.2018, który reguluje sposób udostępniania danych IOD, wprost nakazuje: podmiot, który wyznaczył inspektora, udostępnia dane inspektora, o których mowa w art. 10 ust. 1, niezwłocznie po jego wyznaczeniu, na swojej stronie internetowej, a jeżeli nie prowadzi własnej strony internetowej, w sposób ogólnie dostępny w miejscu prowadzenia działalności.
Bezsprzecznym pozostaje zatem fakt, że podmiot, który wyznaczył IOD powinien opublikować także jego imię i nazwisko na swojej stronie internetowej lub jeśli takowej nie posiada w miejscu prowadzenia działalności, przy czym nie jest powiedziane, że miejscem publikacji powinna być klauzula informacyjna. Zdaniem autora obowiązek ten można zrealizować poprzez zamieszczenie danych kontaktowych łącznie z imieniem i nazwiskiem IOD w zakładce kontakt strony internetowej.
Mając jednak na uwadze art. 12 RODO i nakaz informowania w jasno dostępnej formie, warto klauzule informacyjne uzupełnić o imię i nazwisko IOD, a dodatkowo opublikować je w zakładce Kontakt. Nie zapominając jednak o publikowaniu tych danych w formie i miejscu zwyczajowo przyjętym w podmiocie, jeżeli nie posiada on swojej strony internetowej.
Jacek Skalski
Ekspert Ochrony Danych Osobowych
Audytor RODO
Współpracuje z firmą ABI AUDYT
