Dyskusja o planowanej certyfikacji osób zajmujących się ochroną danych osobowych zmierza w niepokojącym kierunku. Sprzeciw wobec przedstawionej koncepcji bywa sprowadzany do niechęci środowiska do sprawdzania jego wiedzy. Pojawiło się nawet stwierdzenie o „braku zgody na jakąkolwiek formę weryfikacji wiedzy osób pracujących w ochronie danych osobowych”.
Czytaj więcej
Nawet najlepsze wykształcenie dezaktualizuje się po kilku czy kilkunastu latach. A chyba żadna dziedzina nie rozwija się tak szybko, jak ta związan...
Nie jesteśmy przeciwni weryfikacji wiedzy ani podnoszeniu kompetencji. Wieloletnie doświadczenie nie zwalnia nikogo z aktualizowania wiedzy, zwłaszcza w dziedzinie, w której rozwój technologii, nowe regulacje, orzecznictwo i praktyka organów nadzorczych wymagają stałego doskonalenia zawodowego.
Spór nie dotyczy więc tego, czy wiedzę należy rozwijać i weryfikować. Dotyczy tego, jak, przez kogo, na jakiej podstawie, według jakich kryteriów, za ile i z jakimi skutkami należy to robić. Przedstawiona podczas spotkania konsultacyjnego koncepcja certyfikacji nie dała nam żadnych odpowiedzi. Po spotkaniu Stowarzyszenia Inspektorów Ochrony Danych Osobowych (SIODO), NASK i Urzędu Ochrony Danych Osobowych (UODO) nasze wątpliwości nie zmalały.
Nie mówimy: „nie chcemy weryfikacji”
W trakcie spotkania SIODO przedstawiło wyniki ankiety przeprowadzonej wśród 100 osób zajmujących się ochroną danych. 10 proc. respondentów uznało, że certyfikacja ma sens, natomiast 90 proc. opowiedziało się za doprecyzowaniem istniejących wymagań kwalifikacji zawodowych wynikających z RODO zamiast tworzenia nowego systemu certyfikacji. Ankieta nie była reprezentatywna i SIODO nigdy jej tak nie przedstawiało. Jest jednak istotnym sygnałem: zdecydowana większość respondentów nie odrzuciła weryfikacji kompetencji, lecz wskazała inny sposób osiągnięcia tego celu.
Czytaj więcej
– Po incydencie MyDr trzeba wyciągnąć systemowe wnioski. Należy myśleć nie tylko o kupowaniu czołgów, ale inwestować miliardy również w zabezpiecze...
Szczególnie w sektorze publicznym wybór inspektora ochrony danych (IOD) często opiera się na najniższej cenie. SIODO dysponuje przykładami postępowań, w których kompleksowa obsługa IOD kosztowała 200-300 zł brutto miesięcznie (np. w jednostkach samorządu publicznego). Problemem jest więc nie tylko poziom kwalifikacji, lecz także sposób wyboru IOD i warunki wykonywania tej funkcji. Sam odpłatny certyfikat nie zastąpi odpowiedzialnej oceny kompetencji ani warunków pozwalających wykonywać ustawowe zadania.
Certyfikacja, ale właściwie czego?
To prowadzi do podstawowego pytania: jaki konkretnie problem ma rozwiązać proponowany system certyfikacji?
Zgodnie z przedstawioną koncepcją certyfikat miałby potwierdzać wiedzę, umiejętności i kompetencje. W toku konsultacji wskazano jednak, że mechanizm koncentrowałby się przede wszystkim na zaliczeniu testu, bez oceny całokształtu wykonywania zadań przez daną osobę i bez gwarancji jakości jej pracy. Przedstawiciel UODO podkreślał również, że certyfikat nie będzie potwierdzeniem zgodności z RODO, formalnym uprawnieniem zawodowym ani warunkiem pełnienia funkcji IOD. Nie będzie też gwarantował prawidłowości działań organizacji, jakości dokumentacji ani zwalniał administratora z odpowiedzialności.
Czytaj więcej
Kradzież danych pacjentów z serwisu MyDr otwiera drogę do odszkodowań i wysokich kar finansowych. Musi się z nimi liczyć 12 tys. przychodni współpr...
Jeżeli odpowiedzią ma być jedynie „potwierdzenie wiedzy”, należałoby wykazać, dlaczego wymaga to nowego, odpłatnego i cyklicznie odnawianego systemu oraz dlaczego istniejące sposoby potwierdzania kwalifikacji są niewystarczające. Nie można zgodzić się z dr. Pawłem Litwińskim, który w artykule opublikowanym 11 sierpnia na łamach „Rzeczpospolitej” wyraził pogląd, że „z pewnością nie posiada odpowiedniej wiedzy” ten, kto ukończył studia np. w 2019 r. Może warto tę tezę oprzeć na dowodach naukowych?
Wątpliwości pogłębia fakt, że NASK już publicznie prezentuje „Inspektora Ochrony Danych” jako przyszłą ścieżkę certyfikacji. W profilu znalazły się m.in. „ocenianie ryzyka i naruszeń ochrony danych” oraz „prowadzenie rejestru czynności przetwarzania danych osobowych” (RCP). To sformułowania merytorycznie problematyczne: art. 30 RODO przypisuje prowadzenie RCP administratorowi lub podmiotowi przetwarzającemu, a rola IOD ma charakter przede wszystkim doradczy i monitorujący. Skoro profil, według którego ma być weryfikowana wiedza IOD, sam zaciera podstawowy podział ról i jest na pierwszy rzut oka wadliwy, zasadne jest pytanie: co właściwie jeszcze konsultujemy i kto merytorycznie zweryfikował ten standard?
Dobrowolna certyfikacja tylko na papierze
Jednym z argumentów przemawiających za projektowanym rozwiązaniem ma być jego dobrowolność. Tyle że formalna dobrowolność nie rozwiązuje problemu faktycznych skutków rynkowych. Wyobraźmy sobie dwie osoby. Pierwsza od kilkunastu lat pracuje w ochronie danych, ma kierunkowe wykształcenie, szkolenia, doświadczenie sektorowe i praktykę, ale nie przystąpiła do nowego systemu. Druga ma krótsze doświadczenie, lecz zaliczyła egzamin i posiada certyfikat.
Czytaj więcej:
Małe i średnie firmy powinny oceniać wykorzystanie sztucznej inteligencji jeszcze przed zakupem lub uruchomieniem narzędzia od zewnętrznego dostawc...
Pro
Czy administrator, pracodawca albo zamawiający przeanalizuje rzeczywiste kompetencje, doświadczenie i praktykę, czy wybierze prostsze kryterium: „certyfikowany – niecertyfikowany”? Certyfikat może pozostać dobrowolny, a jednocześnie w praktyce stać się oczekiwanym kryterium przy rekrutacji, wyborze IOD, ocenie ofert czy zamówieniach publicznych. Właśnie w tym znaczeniu mówimy o ryzyku deprecjonowania dotychczasowego doświadczenia.
Nie twierdzimy, że osoba pracująca 10 czy 15 lat w ochronie danych nie musi aktualizować wiedzy. Twierdzimy natomiast, że wieloletniej praktyki, specjalizacji sektorowej i rzeczywistych kompetencji nie powinien przesłaniać fakt posiadania lub nieposiadania jednego certyfikatu. SIODO wskazywało na ryzyko sztucznego podziału IOD na „certyfikowanych” i „niecertyfikowanych”, a w konsekwencji zastępowania indywidualnej oceny kwalifikacji prostym kryterium formalnym.
Jeden egzamin dla wszystkich
Po ponad ośmiu latach stosowania RODO naturalnie wykształciły się specjalizacje. Innych kompetencji wymaga obsługa banku, innych szpitala, innych jednostki samorządu terytorialnego, a jeszcze innych przedsiębiorstwa technologicznego działającego na wielu rynkach. Trudno więc przyjąć, że jeden jednolity egzamin będzie w stanie rzetelnie zweryfikować kompetencje wszystkich tych osób.
Prawo ochrony danych nie jest też dziedziną, w której na każde pytanie jest jedna bezdyskusyjna odpowiedź A, B lub C. Występują rozbieżności interpretacyjne, ewoluuje orzecznictwo, a wynik często zależy od szczegółów stanu faktycznego. Egzamin testowy może więc sprawdzać znajomość przyjętego klucza odpowiedzi, ale niekoniecznie zdolność rozwiązania problemu prawnego i organizacyjnego. Przy zagadnieniach otwartych pojawia się z kolei pytanie, kto będzie ustalał kryteria oceny i jak zostanie zapewniona ich obiektywność? Projekt nie wyjaśnił, w jaki sposób egzamin miałby uwzględniać specjalizację sektorową osób zajmujących się ochroną danych.
Cykliczność i koszty
Poważne zastrzeżenia wzbudza koncepcja recertyfikacji co dwa lata, połączonej z ponownym sprawdzianem wiedzy. Oznacza to zarówno czas potrzebny na przygotowanie i egzamin, jak i koszty. Nie mówimy o bezpłatnym systemie podnoszenia kwalifikacji, lecz o mechanizmie odpłatnym, przedstawianym jako przedsięwzięcie komercyjne.
Podczas konsultacji nie przedstawiono wiarygodnej kalkulacji kosztów. Jako punkt odniesienia przywołano rozwiązanie francuskie: ok. 720 euro za egzamin oraz szacunki kosztu szkolenia przygotowującego. Łącznie może to oznaczać koszty ok. 19-20 tys. zł.
Podkreślmy wyraźnie: SIODO nie twierdzi, że właśnie tyle będzie kosztował projektowany polski system. Problem polega na tym, że nie przedstawiono dotychczas jasnego modelu kosztowego. Jeżeli certyfikat miałby być odnawiany co dwa lata, ekonomiczny wymiar projektu nabiera szczególnego znaczenia. Dotyczy to również sektora publicznego. Jeżeli certyfikat zacznie być postrzegany jako oczekiwany standard, koszty szkoleń, egzaminów i recertyfikacji mogą być finansowane także ze środków publicznych. Dotychczas nie przedstawiono analizy wpływu ekonomicznego planowanego systemu na sektor finansów publicznych.
Niejasna rola UODO
Odpłatny czy komercyjny charakter przedsięwzięcia nie jest jednak naszym najpoważniejszym zastrzeżeniem. Kluczowe jest połączenie komercyjnego produktu z autorytetem niezależnego organu nadzorczego. UODO nie jest stowarzyszeniem branżowym ani firmą szkoleniową, lecz niezależnym organem państwa wyposażonym w kompetencje wynikające z prawa. Dlatego jego obecność przy projekcie ma inny ciężar.
Problem nie jest wyłącznie hipotetyczny. Informacja o projekcie została opublikowana na stronie UODO, co mogło tworzyć przekonanie o instytucjonalnym związku Urzędu z inicjatywą. Dla administratora udział UODO może być odczytany jako zatwierdzenie programu, patronat, rekomendacja certyfikatu albo sygnał, że osoba certyfikowana jest bardziej wiarygodna. Powstaje też problem funkcjonalny. Organ konsultujący kryteria systemu będzie oceniał działania administratorów korzystających z usług osób, które ten proces przeszły. Nawet jeśli certyfikat formalnie niczego nie gwarantuje, związek z autorytetem organu może mieć realne znaczenie rynkowe.
Dlatego potrzebne jest jednoznaczne oddzielenie komercyjnego przedsięwzięcia od autorytetu UODO. Nie chodzi o zakaz dialogu Urzędu ze środowiskiem, lecz o to, by niezależny organ nadzorczy nie wprowadzał przekonania, że odpłatny certyfikat określonego podmiotu posiada szczególną urzędową legitymizację.
Nieznana podstawa prawna
Problem ma również wymiar prawny. Art. 57 ust. 1 lit. n RODO przewiduje zadania organu nadzorczego związane z zachęcaniem do ustanawiania mechanizmów certyfikacji przewidzianych w art. 42 RODO oraz zatwierdzaniem kryteriów takich mechanizmów. Tymczasem podczas konsultacji wskazano, że projektowany certyfikat osób nie będzie certyfikatem zgodności z RODO.
Na jakiej więc podstawie prawnej organ nadzorczy angażuje swój autorytet w projekt komercyjnej certyfikacji osób pozostający poza mechanizmem przewidzianym w art. 42 RODO? W przypadku organu władzy publicznej nie jest to detal, lecz kwestia fundamentalna związana z zasadą legalizmu i działaniem w granicach przyznanych kompetencji.
Dlaczego nie jak we Francji?
Warto polemizować z tezą dr. Litwińskiego, że brak wyraźnej podstawy w RODO uniemożliwia krajowemu ustawodawcy doprecyzowanie wymagań wobec inspektorów ochrony danych. Przykład Francji pokazuje, że możliwe jest stworzenie krajowego systemu certyfikacji kompetencji IOD. Na podstawie znowelizowanej ustawy tamtejszy organ CNIL otrzymał kompetencje do określania kryteriów certyfikacji potwierdzających wiedzę i doświadczenie oraz akredytowania podmiotów prowadzących egzaminy.
Model francuski pokazuje, że udział organu nadzorczego w certyfikacji może być transparentnie osadzony w prawie krajowym. Podobne rozwiązanie w Polsce powinno zostać poprzedzone pełnym procesem legislacyjnym, z udziałem zainteresowanych środowisk i jasnym określeniem kompetencji uczestników systemu.
Zdecydowane „tak” dla profesjonalizacji
Sprzeciw SIODO wobec przedstawionej koncepcji nie może być sprowadzany do obawy środowiska przed sprawdzaniem wiedzy. To fałszywa alternatywa: albo popierasz certyfikację, albo boisz się weryfikacji. Zdecydowanie opowiadamy się za wysokimi wymaganiami wobec IOD, stałym doskonaleniem zawodowym, aktualizacją wiedzy i rzetelną oceną kompetencji, a jednocześnie sprzeciwiamy się konkretnemu modelowi komercyjnej certyfikacji, jeśli nie wyjaśniono przekonująco jego celu, podstaw prawnych, kryteriów, kosztów i konsekwencji.
Zanim stworzymy kolejny certyfikat, warto najpierw wzmocnić i praktycznie doprecyzować wymagania, które RODO już stawia osobom wykonującym funkcję IOD. Właśnie dlatego nie powinno zaczynać się od certyfikatu, lecz od transparentnej i przejrzystej formy stałego podnoszenia kompetencji inspektorów przy wsparciu UODO. Tak aby chronić powagę Urzędu i godność funkcji prezesa UODO. Wówczas można uczciwie ocenić, czy nowy system jest potrzebny – i komu ma służyć.
Dawid Czerw jest dyplomowanym IOD, sekretarzem Stowarzyszenia Inspektorów Ochrony Danych Osobowych, a Jarosław Feliński – doktorem nauk o zarządzaniu i jakości, wykładowcą AGH w Krakowie i prezesem SIODO
