Tak wynika z odpowiedzi, jakie otrzymał Generalny Inspektor Ochrony Danych Osobowych (GIODO) od Naczelnej Rady Adwokackiej i Krajowej Rady Radców Prawnych. GIODO wskazał, że opinia samorządów w tej sprawie jest istotną pomocą dla wszystkich podmiotów przygotowujących się obecnie do stosowania od 25 maja 2018 r. przepisów RODO i będzie odpowiedzią na wiele wątpliwości, które były sygnalizowane Generalnemu Inspektorowi.
IOD niezależny jak adwokat
Zdaniem GIODO adwokat nie może pełnić funkcji inspektora ochrony danych (IOD), gdyż wiąże się ona z podległością najwyższemu kierownictwu administratora danych lub podmiotu przetwarzającego, co kłóci się z przepisami Prawa o adwokaturze. Zgodnie z nimi adwokat w wykonywaniu swoich czynności jest niezależny i podlega tylko ustawom.
Jednak w opinii Naczelnej Rady Adwokackiej nie sposób się z tym zgodzić. Przepisy RODO gwarantują bowiem IOD niezależność, co jest również podstawą wykonywania zawodu adwokata. W przypadku inspektora ochrony danych niezależność gwarantują mu zakaz wydawania IOD instrukcji oraz zakaz zwolnienia z powodu wykonywania przez niego czynności przewidzianych przepisami. Podległość najwyższemu kierownictwu danego podmiotu ma na celu jedynie "skrócenie drogi raportowania" o kwestiach bezpieczeństwa danych, a nie zaś wykonywanie poleceń.
- Stroną zlecającą czynności jest kierownictwo jednostki, które ustawowo nie może wydawać adwokatowi pełniącemu funkcję IOD żadnych poleceń ani rozwiązać z nim umowy z powodu wykonywania przez niego czynności. Zatem sam przepis wskazuje, że IOD jest niezależny - wskazuje NRA uznając, że wykonywanie zawodu adwokata nie wyklucza jednoczesnego pełnienia funkcji IOD.
NRA dodaje, że adwokat może wykonywać czynności IOD jedynie na podstawie umowy zlecenia, ale element "podległości" w postaci raportowania o stanie sprawy (czyli realizacji ochrony danych osobowych) nie czyni z niej umowy o pracę, której adwokat zawierać nie może.
Radca narażony na konflikt interesów
Na kwestie niezależności w wykonywaniu czynności radcy prawnego zwróciła uwagę również Krajowa Rada Radców Prawnych. Jej zdaniem art. 9 ust. 1 ustawy o radcach prawnych gwarantuje im samodzielność i niezależność, a relacja podlegania wynikająca ze stosunku pracy, w ramach którego radca wykonuje swój zawód, ma charakter wyłącznie organizacyjny, nie wypływa z niej obowiązek przyjmowania stanowiska kierownika jednostki organizacyjnej w zakresie prezentowanych przez radcę poglądów prawnych.
W opinii KRRP wykonywanie zadań IOD/ABI nie może być kwalifikowane jako podkategoria pojęcia świadczenia pomocy prawnej, chociaż te obszary mają pewne wspólne zakresy. Ponieważ wykonywanie zadań IOD jest nietożsame ze świadczeniem pomocy prawnej, nie może być realizowane w ramach zawodu radcy prawnego. W szczególności w formie działalności gospodarczej jaką jest Kancelaria radcy prawnego lub spółka, o których mowa w art. 8 ust. 1 ustawy o radcach. Jednak radcowie prawni, jako profesjonaliści w zakresie świadczenia pomocy prawnej, po uzyskaniu dodatkowych kwalifikacji wymaganych dla wykonywania zadań IOD, mogą podejmować się pełnienia tej funkcji, w ramach innej niż prawnicza działalności gospodarczej.
KRRP zaznacza jednak, że rzetelne wykonywanie zadań IOD może wymagać znacznej ilości czasu. Ponadto ze względu na określone ryzyka związane z konfliktem interesów, w szczególności związane z potencjalnym naruszeniem zasad etyki zawodowej oraz rozbieżnymi charakterystykami funkcji radcy prawnego oraz IOD, rekomenduje się niełączenie wykonywania tych ról w ramach jednego podmiotu (administratora danych/klienta).
W opinii Krajowej Rady Radców Prawnych znalazło się polecenie do niepełnienia jednocześnie dwóch funkcji (świadczenie pomocy oraz IOD) wobec jednego podmiotu. Powyższe polecenie motywowane jest (całkiem słusznie) ewentualnym wzrostem ryzyka zajścia konfliktu interesów.
