Ogłoszona niedawno propozycja NASK, aby wprowadzić system certyfikacji osób zawodowo zajmujących się ochroną danych, w tym specjalistów ds. ochrony danych i zgodności, pełnomocników administratora danych, a w przyszłości także inspektorów ochrony danych (IOD), wywołała prawdziwą burzę w środowisku osób zawodowo zajmujących się tą tematyką. Na internetowych grupach dyskusyjnych skupiających osoby zajmujące się ochroną danych osobowych ten temat to absolutny top w ostatnim czasie, pojawiły się już też bardziej formalne głosy (stanowisko Stowarzyszenia Inspektorów Ochrony Danych Osobowych z 22 lipca wprost wzywające do wycofania się z tej inicjatywy). Spróbujmy więc, stojąc nieco z boku, przyjrzeć się tej inicjatywie.
Czytaj więcej
Najnowsze orzecznictwo TSUE stawia tamę próbom wykorzystywania przepisów o ochronie danych osobowych do zbierania informacji, które mogłyby pomóc p...
Rozbieżność w ocenach
Zacznijmy od małego eksperymentu: na grupie dyskusyjnej dla IOD zamieściłem krótką ankietę dotyczącą tego, jak inspektorzy podnoszą swoją wiedzę, z prośbą o szczere odpowiedzi – 87 proc. uczestników wybrało odpowiedź „dokształcam się regularnie”. Analogiczną ankietę, ale z pytaniem o to, czy wg osoby odpowiadającej IOD, z którym współpracuje, dokształca się regularnie, zamieściłem na pewnym portalu poświęconym karierze – tutaj odpowiedź „dokształca się regularnie” wybrało 51 proc. osób.
Czytaj więcej
Choć w dobie nowoczesnych form weryfikacji tożsamości domaganie się przesłania mailem skanu dowodu osobistego budzi zdziwienie i obawy konsumentów,...
Czego dowodzi ta zabawa, bo oczywiście to żadne badania naukowe? Dowodzi tego, że inspektorzy ochrony danych mają dość powszechne przekonanie o tym, że regularnie podnoszą poziom swojej wiedzy, podczas gdy ich otoczenie tego poglądu nie podziela. I oczywiście może to wynikać z wielu przyczyn, ale niewątpliwie nie należy odrzucać i tej, że jednak nie zawsze wiedza osób zajmujących się ochroną danych osobowych odpowiada oczekiwaniom, jakie stawia przed nimi rynek. Bo wiedza z zakresu ochrony danych osobowych to nie tylko znajomość przepisów (choć RODO do krótkich aktów prawnych nie należy). To również znajomość orzecznictwa sądowego, stanowisk organów nadzorczych, literatury itd.
Inspektor nie musi mieć certyfikatu
Na gruncie RODO wyznaczenie inspektora ochrony danych nie jest obowiązkowe: są podmioty, które to zrobić muszą, są takie, które nie muszą, a są też i takie, które zatrudniają osoby na stanowiskach w rodzaju „specjalista ds. ochrony danych”, które inspektorami nie są, ale wykonują analogiczne czynności (w praktyce nawet w szerszym zakresie, w którym to inspektor – z uwagi na ograniczenia związane z ciążącymi na nim zadaniami i koniecznością unikania konfliktu interesów – nie może). Stąd warto docenić, że inicjatywa certyfikacji ma być skierowana do wszystkich tych osób. Warto też od razu w tym miejscu podkreślić, że nie ma takiej możliwości, by polskimi przepisami doprecyzować wymagania, jakie dla inspektorów ochrony danych ustanawiają przepisy RODO – w tym zakresie w samym RODO musiałaby istnieć norma uprawniająca prawodawcę krajowego do przyjęcia takich przepisów, a skoro jej nie ma, to taki zbieg nie jest możliwy. Dlatego fakt certyfikowania określonej osoby zajmującej się ochroną danych osobowych nie będzie powodował automatycznie, że ta osoba zostanie uznana za posiadającą odpowiednie kwalifikacje, np. do pełnienia funkcji IOD (analogicznie, brak certyfikatu nie będzie skutkował tym, że osoba nie będzie mogła zajmować się ochroną danych osobowych, podobnie jak dzisiaj nie przesądza o tym np. nieukończenie studiów podyplomowych).
Czytaj więcej
Przepisy dotyczące blokowania nielegalnych treści w ustawie wdrażającej DSA to nie cenzura, tylko chęć skończenia ze swoistym eksterytorialnym stat...
Wiedza się dezaktualizuje
Czemu ma zatem służyć certyfikacja specjalistów ds. ochrony danych osobowych? Jak wskano na stronie Urzędu Ochrony Danych Osobowych, „[c]elem projektu jest stworzenie krajowego, niezależnego procesu dobrowolnego potwierdzania wiedzy w zakresie cyberbezpieczeństwa i bezpieczeństwa danych”. Powiedzmy to wprost: celem inicjatywy ma być zwiększenie wiedzy i merytorycznych kompetencji osób zajmujących się ochroną danych osobowych. A że chyba żadna dziedzina wiedzy i gospodarki nie rozwija się tak szybko, jak ta związana z ochroną danych, naturalnym jest, iż zakłada się odnawianie certyfikacji w cyklicznych odstępach czasu, w oparciu o egzamin – bo ten, kto ukończył np. w 2019 r. nawet najlepsze studia podyplomowe z zakresu ochrony danych osobowych i od tego czasu regularnie nie podnosił swojej wiedzy i kompetencji, ten w 2026 r. z pewnością nie posiada odpowiedniej wiedzy, by ochroną danych osobowych się zajmować.
Czytaj więcej:
Funkcji prezesa zarządu spółki medycznej nie można łączyć z pełnieniem w niej funkcji Inspektora Ochrony Danych (IOD) - tak uznał Prezes Urzędu Och...
Pro
Kompetencje trzeba podwyższać
Cykliczne podnoszenie i weryfikacja wiedzy i kompetencji są w naturalny sposób wpisane w każdy zawód wymagający wiedzy fachowej: adwokaci i radcowie prawni mają korporacyjny obowiązek podnoszenia kwalifikacji, lekarze i lekarze dentyści mają ustawowy obowiązek doskonalenia zawodowego, odnowieniu podlega certyfikacja ISO… Nic na wieczność, można by powiedzieć, co dotyczy również (a może w tym przypadku przede wszystkim) wiedzy i umiejętności – bo zmienia się otoczenie, w którym funkcjonujemy, zmienia się technologia, którą stosujemy i zmieniają się zagrożenia, którym musimy przeciwdziałać. Całkowicie niezrozumiałe jest więc dla mnie, gdy czytam w stanowisku SIODO, że „[m]asywnej krytyce [w czasie spotkania dotyczącego projektu certyfikacji] został poddany pomysł obowiązku odnawiania certyfikatów w cyklach 2-letnich z zastrzeżeniem, że odnowienie certyfikatu musi być powiązane z realnym sprawdzianem wiedzy”. To znaczy rozumiem tylko wtedy, gdy inicjatywę certyfikacji – jak napisano w jednej z wypowiedzi na grupie dyskusyjnej IOD – uznamy za „deprecjonowanie dotychczasowego doświadczenia, które każdy z [IOD] zdobywał przez dekadę”. Tyle że idąc tym tokiem myślenia, lekarz, który ukończył studia medyczne 40 lat temu, dzisiaj nie uznawałby istnienia np. szczepionki przeciwko wirusowemu zapaleniu wątroby typu B opracowanej w 1986 r., bo przecież konieczność dokształcenia się oznaczałaby kwestionowanie jego wiedzy. To ślepy zaułek i błędna (wydaje się) logika.
UODO upowszechnia wiedzę
Z mojej perspektywy – prawnika, który ukończył studia magisterskie w 2002 r. i zajmuje się prawem na styku z technologią – konieczność stałego dokształcania się jest tak oczywista, jak to, że dwa i dwa to cztery. Na rynku dostępne jest mnóstwo produktów i usług, głównie szkoleniowych, które oferują możliwość podnoszenia kwalifikacji przez osoby zajmujące się ochroną danych osobowych – zresztą, propozycja NASK nie wyklucza istnienia w przyszłości innych tego rodzaju inicjatyw. Nie bójmy się też napisać tego wprost: szkolenie szkoleniu nie jest równe, a programy szkoleniowe różnią się od siebie, przez co trudno jest porównywać efekty kształcenia różnych produktów. W moim przekonaniu jednolity, krajowy system certyfikacji osób zawodowo zajmujących się ochroną danych może temu zaradzić, a element stałego uzupełniania i weryfikowania wiedzy jest wartością samą w sobie. A że jednocześnie jednym z zadań Prezesa UODO jest upowszechnianie wiedzy z zakresu ochrony danych osobowych, to mnie osobiście niezwykle cieszy, że Urząd bierze udział w inicjatywie certyfikacji: dobrowolnej, zapewniającej cykliczną weryfikację wiedzy i obejmującej potencjalnie wszystkie zainteresowane osoby.
Autor jest doktorem nauk prawnych, adwokatem, partnerem w Barta Litwiński Kancelaria Radców Prawnych i Adwokatów sp.p.
