Obie instytucje opublikowały "Zasady współpracy audytora wewnętrznego i IOD". Przypominają w tym dokumencie, że działający w jednostkach sektora finansów publicznych inspektor ochrony danych (IOD) i audytor wewnętrzny to dwie ważne osoby wspierające kierownictwo jednostki w zgodnej z prawem realizacji jej celów i zadań. - Obie są niezależne w wykonywaniu swoich obowiązków, które niekiedy są zbieżne. Dlatego tak ważne jest, by właściwie rozumieć ich rolę i odpowiednio ułożyć wzajemne relacje - czytamy w dokumencie.
Jego autorzy przypominają, że obowiązkiem każdej jednostki sektora publicznego jako administratora danych jest czuwanie nad zgodnym z prawem przetwarzaniem danych osobowych i właściwą organizacją bezpieczeństwa informacji. W osiągnięciu tego celu jednostka powinna korzystać zarówno z pomocy audytorów, jak i inspektorów ochrony danych. Jak można przeczytać w "Zasadach", biorąc pod uwagę charakter zadań realizowanych w jednostce przez IOD i audytora wewnętrznego oraz w celu zapewnienia ich niezależności, Ministerstwo Finansów i Prezes UODO wypracowali zasady współpracy dotyczące audytu wewnętrznego w obszarze ochrony danych osobowych.
Inspektor i audytor działają komplementarnie
Dokument stwierdza, że zarówno IOD, jak i audytor wewnętrzny wspierają kierownika jednostki sektora finansów publicznych w realizacji jej celów i zadań. Do zadań IOD należy m.in. monitorowanie zgodności przetwarzania danych osobowych z obowiązującymi przepisami prawa. Natomiast zadaniami audytora wewnętrznego są m.in. ocena zgodności działalności jednostki z przepisami prawa (a zatem również przepisami prawa o ochronie danych osobowych) oraz procedurami wewnętrznymi, a także skuteczności i efektywności działania, ochrony zasobów oraz zarządzania ryzykiem. - W związku z tym działania audytorów wewnętrznych i inspektorów ochrony danych powinny być komplementarne - czytamy w dokumencie.
Wymiana informacji i poszanowanie niezależności
MF i UODO podkreślają, że w celu wsparcia prawidłowego funkcjonowania jednostki powinni oni wymieniać informacje i dokumenty niezbędne dla prawidłowej realizacji swoich zadań. Zarówno inspektorzy ochrony danych, jak i audytorzy podlegają bezpośrednio kierownikowi jednostki. Ich praca może podlegać jego kontroli, w tym tej zleconej podmiotom wewnętrznym lub zewnętrznym.- Zarówno w przypadku audytora wewnętrznego, jak i inspektora ochrony danych kluczową rolę odgrywa niezależność w realizowaniu zadań. Stąd audytorzy i inspektorzy muszą w swojej pracy uwzględniać wzajemną niezależność i nie wpływać na jej ograniczanie - napisano w opracowaniu.
Ostateczna decyzja należy do kierownika jednostki
Sposób przeprowadzania audytu wewnętrznego został określony w przepisach rozporządzenia Ministra Finansów z dnia 4 września 2015 r. w sprawie audytu wewnętrznego oraz informacji o pracy i wynikach tego audytu. W przypadku gdy audyt obejmuje zadania realizowane przez IOD, audytor wewnętrzny powinien odnosić się do badanego obszaru, nie formułując wniosków dotyczących bezpośrednich działań IOD. W tym zakresie ostateczne decyzje podejmuje kierownik jednostki. Jeżeli IOD nie zgadza się ze stanowiskiem kierownika jednostki sektora finansów publicznych, powinien mieć możliwość przedstawienia swojego stanowiska, które powinno zostać uzasadnione i udokumentowane. Materiał ten może być przydatny w celach dowodowych w przypadkach oceny prawidłowości wykonywania funkcji IOD w kontekście jego odpowiedzialności na gruncie przepisów prawa pracy lub Kodeksu cywilnego (odpowiedzialności kontraktowej) przez właściwe organy.
Autorzy opracowania podkreślają, że inspektor ochrony danych i audytor wewnętrzny posiadają gwarancje niezależności kształtujące ich status. Każdy z nich działa też w celu zapewnienia zgodności działań jednostki sektora finansów publicznych z prawem. - Dlatego w osiągnięciu tego celu potrzebna jest ich efektywna współpraca oraz wzajemne wspieranie się w tym zakresie wiedzą i doświadczeniem - czytamy w podsumowaniu "Zasad współpracy audytora wewnętrznego i IOD".
Więcej: https://uodo.gov.pl/pl/138/445