ABI

ABI (Administrator Bezpieczeństwa Informacji) — польское название роли, отвечающей за защиту персональных данных в организации. Это старое название, которое применялось до 2018 года (до введения RODO). После RODO было заменено на IOD (Inspektor Ochrony Danych — аналог GDPR’s DPO, Data Protection Officer).

ABI — исторический контекст

До 25 мая 2018 года (введение RODO):

GIODO (Generalny Inspektor Ochrony Danych Osobowych) — польский регулятор
ABI — назначаемое в фирме лицо, ответственное за защиту данных
Ustawa o ochronie danych osobowych из 1997 года — основной закон

Назначение ABI было:

Добровольным в большинстве случаев (но фактически рекомендовано)
Обязательным для некоторых обработчиков (banki, ubezpieczałnicy, некоторые telekomу)
Регистрация в базе GIODO

После RODO — IOD

С 25 мая 2018 года:

UODO (Urząd Ochrony Danych Osobowych) заменил GIODO
IOD (Inspektor Ochrony Danych) заменил ABI
Новый закон Ustawa o ochronie danych osobowych из 2018 года

Роли IOD и ABI — похожи, но IOD имеет более чёткие обязанности по RODO.

Различия ABI vs IOD

ABI:

Добровольное назначение в большинстве случаев
Регистрация в GIODO
Не имел специальной защиты
Функции больше организационные

IOD:

Обязательное назначение для некоторых обработчиков (см. RODO art. 37)
Регистрация в UODO
Независимость защищена законом — нельзя увольнять за выполнение обязанностей
Rozszerzone обязанности: обучение, аудит, контакт с DSB

Где всё ещё встречается ABI

ABI — старое понятие, но:

Старые договора — многие umowy, заключенные до 2018, упоминают ABI. Юридически всё ещё действительны, но на практике означают IOD
Nazwa stanowiska — некоторые фирмы оставили название “ABI” для внутренней роли, несмотря на юридическую эволюцию
Starsze rdokumenty — стандарты, инструкции, которые не обновили терминологию
Internal обmowno в некоторых firmaсh

Если видите “ABI” в договоре 2018-2026 — трактуйте как “IOD” в соответствии с RODO.

Kiedy potrzebny IOD (современная ситуация)

По RODO art. 37 обязательный IOD для:

Организм публичный — госорганы, самоуправления
Obserwacja на dużą skalę — массовое наблюдение (CCTV в сети магазинов, telekomunikacja)
Przetwarzanie szczególnych kategorii на большом масштабе — медицинские данные, религиозные, политические (больницы, клиники, партии)

Для остальных фирм — добровольно, но рекомендовано для:

E-commerce с большой клиентской базой
SaaS с чувствительными данными
Кредитные организации, fintech
Edukacja, если собирают данные студентов

Kwalifikacje IOD

IOD должен:

Иметь ekspertise в защите данных (RODO, ustawa o ochronie danych osobowych)
Знать специфику фирмы и её обработок
Быть независим от wpływów co do obowiązków
Может быть pracownikiem firmy или zewnętrznym (outsourcing)

Есть курсы и сертификации для IOD — CIPP/E (International Association of Privacy Professionals) — распространённая.

Obowiązki IOD

По RODO IOD должен:

Informować i doradzać администрации в вопросах защиты данных
Monitorować przestrzeganie RODO в фирме
Szkolić работников
Współpracować с UODO (регулятором)
Udzielać rady при DPIA (Data Protection Impact Assessment)
Obsługiwać żądania осób (pracа dostępu, usunięcia и т.д.) — через фирму
Kontaktem punkt для osób, których dane dotyczą

ABI/IOD vs pracodawca

Интересный момент: IOD должен быть независимым от pracodawcy в рамках своих обязанностей:

Нельзя увольнять IOD за выполнение obowiązków по RODO
Должен иметь доступ к директорам, не только middle management
Может отказаться от действий, которые нарушают RODO

Для некоторых это делает роль IOD сложной — требуется баланс между лояльностью к фирме и защитой данных.

Outsourcing IOD

Для малых и средних фирм часто выгодно externalизовать роль IOD:

Специализированные фирмы предлагают IOD as a service
Стоимость — 500-3000 zł/мес в зависимости от объёма
Внешний IOD имеет опыт с разными фирмами
Меньше conflicto в внутренней структуре

Для мелких JDG, не обрабатывающих чувствительные данные — IOD не нужен. Сам предприниматель может играть роль, с базовым соблюдением RODO.

ABI/IOD и maленkie JDG

Для микропредпринимателей:

IOD не обязателен в 99% случаев
Достаточно базового compliance RODO:
- Polityka prywatności
- Cookies banner
- Zgodya на marketing
- Реестр обработок
При вопросах — обратиться к юристу-специалисту разово

Не переплачивайте за IOD, если не обязательно. Но соблюдайте RODO — это minimum.

Штрафы за отсутствие IOD

Если обязаны были назначить IOD и не сделали:

Штраф до 10 000 000 EUR или 2% годового оборота (меньше максимум по RODO)
Практически редко применяется для “не назначили IOD” — чаще за прямые нарушения обработки
Но риск при контроле UODO

Przyszłość terminologii

Скорее всего:

“ABI” постепенно исчезнет из активного obiegu
“IOD” остаётся как польское название DPO
“DPO” — международный термин, используется в англоязычном контексте
Всё чаще говорят IOD, реже ABI

Мой совет

Если вы JDG или mała spółka:

Не переживайте сильно об IOD — скорее всего не нужен
Сосредоточьтесь на базовом RODO — polityka, cookies, zgodу
Если работаете с чувствительными данными (медицина, HR, finanse) — консультируйтесь с юристом
Для крупных проектов с обработкой масштабных данных — нанимайте IOD или outsourcuйте

В документах и договорах:

Если видите “ABI” в новом документе — это старая терминология, вероятно автор не обновил
Если в старом документе (до 2018) — применяйте современные нормы RODO
При сомнениях — консультация юриста

ABI — историческая терминология. IOD — современная. Суть одна: защита персональных данных важна в 21 веке.