RODO traktuje oba modele równorzędnie: inspektor ochrony danych może być członkiem personelu albo wykonywać zadania na podstawie umowy o świadczenie usług (art. 37 ust. 6). Przepis nie faworyzuje żadnego wariantu. O wyborze przesądzają trzy rzeczy: konflikt interesów, realna dostępność wiedzy fachowej i ciągłość pełnienia funkcji.

Poniżej porównujemy oba modele według kryteriów, które wynikają z przepisów, a nie z cennika - łącznie z ograniczeniem, które dotyczy kancelarii świadczących tę usługę.

Co mówi przepis

Art. 37 ust. 6 RODO stanowi wprost, że inspektor „może być członkiem personelu administratora lub podmiotu przetwarzającego lub wykonywać zadania na podstawie umowy o świadczenie usług”. Wytyczne Grupy Roboczej Art. 29 (WP 243 rew. 01), publikowane przez UODO, potwierdzają, że funkcję można powierzyć osobie fizycznej albo organizacji spoza struktury administratora.

Niezależnie od modelu obowiązuje ten sam reżim: kwalifikacje zawodowe (art. 37 ust. 5), niezależność i brak instrukcji (art. 38 ust. 3), brak konfliktu interesów (art. 38 ust. 6) oraz zadania z art. 39.

Porównanie obu modeli

Kryterium	IOD wewnętrzny	IOD zewnętrzny
Znajomość procesów w organizacji	Wysoka od pierwszego dnia	Wymaga wdrożenia i dostępu do działów
Ryzyko konfliktu interesów	Wysokie w małych strukturach - kandydaci zwykle współdecydują o przetwarzaniu	Niskie, ale nie zerowe (patrz niżej)
Utrzymanie wiedzy fachowej	Koszt szkoleń po stronie administratora (art. 38 ust. 2)	Po stronie usługodawcy, rozłożony na wielu klientów
Ciągłość przy nieobecności	Wymaga wyznaczenia zastępcy	Model zespołowy zapewnia ją z natury
Dostępność dla pracowników i klientów	Na miejscu	Zdalnie, wymaga ustalonego kanału kontaktu
Zakończenie współpracy	Chroniony przed odwołaniem za wykonywanie zadań	Też chroniony - wypowiedzenie umowy z tego powodu jest niedopuszczalne
Struktura kosztu	Wynagrodzenie, szkolenia, narzędzia, czas pracy	Ryczałt lub wynagrodzenie za zakres wskazany w umowie
Odpowiedzialność za zgodność	Zawsze po stronie administratora. Żaden model tego nie przenosi.

Konflikt interesów przesądza częściej niż koszt

To jest kryterium, które w praktyce eliminuje model wewnętrzny w mniejszych organizacjach, zanim w ogóle dojdzie do rozmowy o pieniądzach.

Inspektor może wykonywać inne zadania, ale administrator ma zapewnić, żeby nie powodowały konfliktu interesów (art. 38 ust. 6 RODO). Wytyczne WP 243 wskazują, że inspektor nie może zajmować stanowiska, które pociąga za sobą określanie celów i sposobów przetwarzania danych. Za powodujące konflikt uznaje się co do zasady stanowiska kierownicze:

• dyrektor generalny, dyrektor do spraw operacyjnych, dyrektor finansowy,
• dyrektor do spraw medycznych,
• kierownik działu marketingu, kadr oraz IT,
• a także stanowiska niższe, jeżeli biorą udział w określaniu celów i sposobów przetwarzania.

W firmie zatrudniającej kilkanaście osób ta lista potrafi objąć wszystkich kandydatów, którzy mają wystarczającą wiedzę o procesach. Zostaje wtedy albo zatrudnienie kogoś wyłącznie do tej funkcji, albo model zewnętrzny.

Dobrą praktyką według wytycznych jest wcześniejsze zidentyfikowanie stanowisk niekompatybilnych z funkcją inspektora i zapisanie tego w wewnętrznych zasadach, zamiast rozstrzygania sprawy dopiero przy kontroli.

Ograniczenie zewnętrznego IOD, o którym rzadko się mówi

Model zewnętrzny też ma swój konflikt interesów i warto go postawić wprost, bo dotyczy również kancelarii prawnych świadczących tę usługę.

Wytyczne WP 243 wskazują, że konflikt interesów może powstać, gdy zewnętrzny inspektor zostanie poproszony o reprezentowanie administratora przed sądem w sprawie dotyczącej ochrony danych osobowych. Innymi słowy: ten sam podmiot nie powinien jednocześnie monitorować przestrzegania RODO w organizacji i bronić jej w sporze o to, jak RODO stosowała.

Praktyczny wniosek dla umowy: rozdzielić rolę inspektora od zastępstwa procesowego w sprawach dotyczących ochrony danych. Jeżeli oferta łączy jedno z drugim bez zastrzeżeń, warto zapytać, jak usługodawca rozwiązuje ten problem.

Model zespołowy i jedna osoba odpowiedzialna

Gdy funkcję pełni podmiot zewnętrzny, zadania może wykonywać zespół. Wytyczne stawiają temu trzy warunki:

1. Każdy członek zespołu musi spełniać wszystkie wymogi przewidziane dla inspektora, w tym unikać konfliktu interesów.
2. Każda z tych osób musi być objęta ochroną przewidzianą w RODO - dotyczy to zarówno nieuzasadnionego rozwiązania umowy o świadczenie usług, jak i niezgodnego z prawem zwolnienia członka zespołu.
3. Zalecany jest wyraźny podział zadań oraz wyznaczenie jednej wiodącej osoby kontaktowej i odpowiedzialnej za każdego klienta, najlepiej opisany w umowie.

To dobre kryterium oceny oferty: umowa, która nie wskazuje osoby odpowiedzialnej za Twoją organizację, przenosi ryzyko na Ciebie.

Ochrona przed odwołaniem działa także przy umowie

Częste założenie brzmi: model zewnętrzny jest wygodniejszy, bo umowę można wypowiedzieć w każdej chwili. To nieporozumienie.

Art. 38 ust. 3 RODO stanowi, że inspektor nie jest odwoływany ani karany za wypełnianie swoich zadań. Wytyczne rozciągają tę ochronę na model kontraktowy, wskazując wprost na niedopuszczalność nieuzasadnionego rozwiązania umowy o świadczenie usług w zakresie pełnienia funkcji inspektora.

Rozstanie z inspektorem, który zgłosił niewygodne ustalenia, jest więc ryzykowne w obu modelach. Umowę można oczywiście wypowiedzieć z przyczyn niezwiązanych z wykonywaniem funkcji - ale to administrator będzie musiał wykazać, że tak właśnie było.

Zasoby i czas: gdzie najczęściej pęka model wewnętrzny

Administrator ma zapewnić inspektorowi zasoby niezbędne do wykonania zadań oraz do utrzymania wiedzy fachowej (art. 38 ust. 2 RODO). Wytyczne rozwijają to w konkretną listę:

• wsparcie kadry kierowniczej, na poziomie zarządu,
• wymiar czasu realnie umożliwiający wykonywanie zadań - szczególnie istotny przy inspektorze wewnętrznym zatrudnionym w niepełnym wymiarze oraz przy inspektorze zewnętrznym łączącym tę funkcję z innymi zadaniami,
• wsparcie finansowe, infrastrukturalne i kadrowe,
• oficjalne zakomunikowanie pracownikom, że inspektor został wyznaczony,
• dostęp do działów kadr, prawnego, IT i ochrony,
• ciągłe szkolenie i aktualizowanie wiedzy.

Wytyczne zalecają oszacowanie i zapisanie czasu potrzebnego na obowiązki inspektora oraz stworzenie planu jego pracy. To prosty test przed decyzją: jeżeli kandydat wewnętrzny ma na tę funkcję kilka godzin miesięcznie obok pełnego etatu, model wewnętrzny jest pozorny.

Ciągłość: zastępca inspektora

Polska ustawa pozwala wyznaczyć osobę zastępującą inspektora w czasie jego nieobecności, z uwzględnieniem tych samych kryteriów kwalifikacyjnych (art. 11a ustawy o ochronie danych osobowych). Do zastępcy stosuje się odpowiednio przepisy o inspektorze, a jego wyznaczenie także zgłasza się do UODO i publikuje.

Przy modelu wewnętrznym to zwykle konieczność, bo jedna osoba idzie na urlop i zwolnienie. Przy modelu zespołowym ciągłość wynika z samej konstrukcji usługi - pod warunkiem, że umowa wskazuje, kto zastępuje osobę odpowiedzialną.

Dostępność i język kontaktu

Osoby, których dane dotyczą, mogą kontaktować się z inspektorem we wszystkich sprawach związanych z przetwarzaniem ich danych (art. 38 ust. 4 RODO). Wytyczne podkreślają, że dostępność - osobiście w tym samym miejscu co pracownicy albo przez infolinię lub inny bezpieczny kanał - jest fundamentalna, a komunikacja musi odbywać się w języku używanym przez organ nadzorczy i osoby, których dane dotyczą.

Przy modelu zewnętrznym to kwestia do rozstrzygnięcia w umowie: kanał, czas reakcji i to, kto odbiera zgłoszenia od pracowników.

Czego nie zmienia żaden z modeli

• Odpowiedzialność za zgodność z RODO zostaje po stronie administratora. Inspektor doradza i monitoruje, nie przejmuje odpowiedzialności.
• Inspektor nie otrzymuje instrukcji co do wykonywania zadań i podlega bezpośrednio najwyższemu kierownictwu (art. 38 ust. 3).
• Zmianę inspektora zgłasza się do UODO w terminie 14 dni, tak samo jak jego wyznaczenie i odwołanie (art. 10 ust. 4 ustawy). Zmiana modelu to również zmiana danych.
• Dane inspektora publikuje się niezwłocznie na stronie internetowej (art. 11 ustawy).

Pięć pytań przed decyzją

1. Czy którykolwiek kandydat wewnętrzny nie współdecyduje o celach i sposobach przetwarzania?
2. Ile godzin miesięcznie realnie wymaga ta funkcja w naszej organizacji i czy ktoś je ma?
3. Kto pełni funkcję, gdy inspektor jest nieobecny przez trzy tygodnie?
4. Jakim kanałem pracownik i klient kontaktują się z inspektorem i w jakim czasie dostają odpowiedź?
5. Czy umowa albo zakres obowiązków wskazuje imiennie osobę odpowiedzialną?

Jeżeli nie masz jeszcze pewności, czy obowiązek w ogóle Cię dotyczy, zacznij od tekstu kiedy trzeba powołać inspektora ochrony danych. Stan dokumentacji sprawdza się natomiast w ramach audytu ochrony danych osobowych.

Rozważasz powierzenie funkcji na zewnątrz? Prowadzimy stałą obsługę prawną przedsiębiorców w Gliwicach i okolicy. Skontaktuj się z kancelarią - ocenimy, czy w Twojej strukturze model wewnętrzny jest w ogóle możliwy, i wskażemy, jak rozdzielić funkcję inspektora od zastępstwa procesowego.

Stan prawny: wrzesień 2026 r. Podstawa: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 37-39, oraz ustawa z 10 maja 2018 r. o ochronie danych osobowych (tekst jednolity Dz.U. z 2019 r. poz. 1781, ze zm.). Wskazówki interpretacyjne za wytycznymi Grupy Roboczej Art. 29 dotyczącymi inspektorów ochrony danych (WP 243 rew. 01, przyjęte 13 grudnia 2016 r., zmienione 5 kwietnia 2017 r.), publikowanymi przez Urząd Ochrony Danych Osobowych. Artykuł ma charakter informacyjny i nie zastępuje porady prawnej w indywidualnej sprawie.