Inspektor ochrony danych: kto musi powołać i co zrobić w 14 dni po wyznaczeniu

Trzy przesłanki z art. 37 ust. 1 RODO - w skrócie

• podmiot publiczny - urząd, szkoła, szpital publiczny, spółka komunalna;
• regularne i systematyczne monitorowanie osób na dużą skalę jako główna działalność - np. firma, która śledzi zachowania użytkowników aplikacji albo prowadzi monitoring GPS flot dla wielu klientów;
• przetwarzanie na dużą skalę danych szczególnych (zdrowie, dane genetyczne, biometryczne, poglądy) albo danych o wyrokach jako główna działalność - np. sieć przychodni, laboratorium.

Jeśli wyznaczysz IOD dobrowolnie, bo pyta o to kontrahent albo przetarg, przepisy o zgłoszeniu i statusie inspektora obowiązują Cię tak samo.

Dzień 1-14: zawiadomienie Prezesa UODO

Podmiot, który wyznaczył inspektora, zawiadamia o tym Prezesa UODO w terminie 14 dni od dnia wyznaczenia, podając imię, nazwisko oraz adres e-mail lub numer telefonu inspektora (art. 10 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych). W zawiadomieniu podajesz też dane swojej firmy: nazwę, adres i REGON, jeśli go masz. Zawiadomienie ma postać elektroniczną i podpisuje je osoba uprawniona do reprezentowania firmy kwalifikowanym podpisem elektronicznym albo profilem zaufanym (art. 10 ust. 6). Pełnomocnik może je złożyć, ale wtedy dołącza pełnomocnictwo i dowód opłaty skarbowej za nie.

Formularz jest na biznes.gov.pl: Zawiadomienie o wyznaczeniu nowego IOD (stan na październik 2026). Usługa jest bezpłatna. Ten sam termin 14 dni obowiązuje przy zmianie danych inspektora i przy jego odwołaniu (art. 10 ust. 4). Jeśli kilka spółek z jednej grupy wyznacza wspólnego inspektora, każda składa własne zawiadomienie (art. 10 ust. 5 ustawy, art. 37 ust. 2 RODO).

Dane IOD na stronie firmy - niezwłocznie po wyznaczeniu

Art. 37 ust. 7 RODO każe opublikować dane kontaktowe inspektora, a art. 11 polskiej ustawy precyzuje, gdzie: na stronie internetowej firmy, niezwłocznie po wyznaczeniu. Firma bez strony udostępnia je w sposób ogólnie dostępny w miejscu prowadzenia działalności, np. na tablicy w recepcji. Wystarczy imię, nazwisko i adres e-mail albo telefon - te same dane, które poszły do UODO.

Kto w małej firmie nie powinien być IOD: konflikt interesów

Art. 38 ust. 6 RODO pozwala inspektorowi wykonywać inne zadania, ale firma ma zapewnić, że nie powodują one konfliktu interesów. Do tego art. 38 ust. 3: IOD nie dostaje instrukcji co do wykonywania swoich zadań, nie może być za nie odwołany ani ukarany i podlega bezpośrednio najwyższemu kierownictwu.

W kilkuosobowej firmie to zwykle wszyscy. Dlatego w praktyce zostają dwie drogi: pracownik spoza tych ról, który dostanie czas i szkolenie, albo osoba z zewnątrz.

Czy IOD może być zewnętrzny

Tak. Art. 37 ust. 6 RODO mówi wprost, że inspektor może być członkiem personelu albo wykonywać zadania na podstawie umowy o świadczenie usług. Inspektora wyznacza się na podstawie kwalifikacji zawodowych, w szczególności wiedzy fachowej o prawie i praktyce ochrony danych (art. 37 ust. 5). Pamiętaj o dwóch rzeczach: w zawiadomieniu do UODO podajesz konkretną osobę z imienia i nazwiska, nie nazwę firmy usługowej, a przy zmianie tej osoby znowu biegnie 14 dni.

Checklista pierwszych 14 dni po wyznaczeniu IOD

1. Dokument wyznaczenia z datą - od niej liczysz 14 dni.
2. Zawiadomienie przez biznes.gov.pl podpisane profilem zaufanym, potwierdzenie zachowane w dokumentacji.
3. Dane IOD na stronie: polityka prywatności, zakładka kontakt, klauzule informacyjne.
4. Dostęp inspektora do dokumentacji, rejestru czynności i osób decyzyjnych (art. 38 ust. 1 i 2 RODO).

Pełny tekst przepisów: RODO na EUR-Lex oraz ustawa o ochronie danych osobowych w ISAP (stan na październik 2026).

Jeśli nie masz w zespole nikogo bez konfliktu interesów albo nie chcesz tworzyć etatu, sprawdź outsourcing IOD w kancelaria365: przejmujemy funkcję, przygotowujemy zawiadomienie, a w razie kontroli jesteśmy po Twojej stronie.

Najczęstsze pytania