Czy certyfikacja specjalistów ochrony danych ma sens w Polsce?

Na wstępie warto zwrócić uwagę, że żadna ze wspomnianych certyfikacji nie jest certyfikacją, o której mowa w art. 42 RODO [1]. Również polski organ nadzorczy podkreślił na swojej stronie internetowej, że projektowany przez NASK program nie stanowi certyfikacji w zakresie art. 42 RODO. We wskazanym artykule mowa jest bowiem o rozwiązaniach, które mają świadczyć o zgodności określonych procesów przetwarzania prowadzonych przez administratorów lub podmioty przetwarzające. Rozwiązania przyjmowane w różnych krajach stanowią zaś certyfikację kompetencji osoby zajmującej się ochroną danych osobowych, która w dużej mierze oparta jest o normę jakości ISO/IEC 17024. Elementem wspólnym dla różnych krajów jest również to, że certyfikacja jest co do zasady dobrowolna i nie jest warunkiem wykonywania funkcji IOD czy pracy jako specjalista w tej dziedzinie.

Zastanawiając się, czy w Polsce tego typu certyfikacja ma sens, warto prześledzić, jak wyglądają podobne rozwiązania w innych krajach. Dostrzec można, że zazwyczaj w takiej certyfikacji – w mniejszym lub większym stopniu – uczestniczy właściwy organ nadzorczy (odpowiednik Prezesa UODO w Polsce). W niektórych krajach regulator określa warunki certyfikacji, prowadzi listy osób certyfikowanych, czy wręcz przeprowadza egzaminy. Właśnie model egzaminowania różni się w zależności od kraju. Na Łotwie jest on organizowany bezpośrednio przez właściwy organ [2]. W Hiszpanii [3], Francji [4] czy też np. we Włoszech [5], jest on natomiast przeprowadzany przez akredytowane, niezależne jednostki certyfikujące.

Ciekawie również wygląda kwestia samego dopuszczenia do egzaminu. Ogólnie można powiedzieć, że wymagania w tym zakresie wiążą się z koniecznością posiadania określonego doświadczenia zawodowego w obszarze ochrony danych, czy też ukończenia odpowiednich szkoleń. Oczywiście, szczegółowe wymagania w tym zakresie różnią się w poszczególnych krajach.

Francja i Hiszpania dopuszczają możliwość przystąpienia do egzaminu bez ukończenia żadnych szkoleń, jeżeli dana osoba posiada odpowiednie doświadczenie zawodowe. We Francji wymagane jest posiadanie dwóch lat doświadczenia zawodowego związanego z realizacją zadań IOD lub ochroną danych osobowych [6]. W Hiszpanii natomiast kandydat, który nie posiada doświadczenia zawodowego, może zostać dopuszczona do  egzaminu pod warunkiem ukończenia szkolenia w wymiarze aż 180 godzin. Jeżeli osoba ta posiada doświadczenie zawodowe, progi wejścia są odpowiednio niższe. Przy dwóch latach doświadczenia zawodowego wymagane jest 100 godzin szkolenia, przy trzech latach, już tylko – 60 godzin. W przypadku osób, które legitymują się pięcioma latami doświadczenia zawodowego, ukończenie szkolenia nie jest wymagane[7]. We Francji przyjęte zostało, że w przypadku braku doświadczenia zawodowego w obszarze ochrony danych, wymagane jest posiadanie dwuletniego doświadczenia zawodowego oraz ukończenie szkolenia w wymiarze 35 godzin[6]. Co ciekawe, właśnie taki wymiar szkolenia IOD został przyjęty w Akademii IOD, tj. 5-dniowym szkoleniu dla Inspektora Ochrony Danych, które przeprowadzane jest cyklicznie przez ekspertów z Omni Modo. Wydaje się, że to nie może być przypadek, że we Francji zdecydowano się na identyczne wymagania. 

W Austrii do egzaminu może przystąpić osoba, która łącznie ukończyła co najmniej 24 godziny szkolenia oraz może pochwalić się co najmniej dwuletnim doświadczeniem zawodowym w obszarze szerokorozumianej ochronie danych osobowych i bezpieczeństwie informacji [7].

Wydaje się, że najbardziej rygorystyczne wymagania dotyczące dopuszczenia do egzaminu zostały określone we Włoszech. Oprócz wymogów dotyczących doświadczenia zawodowego oraz odbycia szkoleń, przewidziano tam również wymagania odnoszące się do poziomu wykształcenia. Na przykład, w przypadku ukończenia studiów pierwszego stopnia wymagane jest posiadanie sześciu lat doświadczenia zawodowego, w tym czterech lat na stanowisku kierowniczym. Odpowiednio inne wymagania są stawiane dla osób, które ukończyły inne poziomy kształcenia (np. dla osób, które ukończyły szkołę średnią albo studia magisterskie).

Wymóg dotyczący godzinowego wymiaru szkoleń jest jednak jednolity i wynosi 80 godzin. Należy również zauważyć, że  model certyfikacji przyjęty we Włoszech przewiduje wymóg przedstawienia trzech opracowań dokumentujących najistotniejsze doświadczenia zawodowe kandydata.  Tego typu wymagań nie ma w innych modelach certyfikacji [8].

W modelu włoskim przewidziano również odrębne certyfikacje, w zależności od tego, jaką rolę będzie pełnić dana osoba. Certyfikacja będzie się zatem różnić w zależności od tego, czy kandydat pełni rolę IOD (Data Protection Officer), Menadżera ds. ochrony danych osobowych (Data Protection Manager), Specjalisty ds. ochrony danych (Data Protection Specialist), osoby odpowiedzialnej za bezpieczeństwo danych (Data Protection Engineer), czy też audytora ds. ochrony danych (Data Protection Auditor) [5].

W większości krajów egzamin przeprowadzany jest w formie pisemnej. Wyjątkiem są ponownie Włochy, gdzie oprócz obowiązkowej części pisemnej przewidziano również część ustną, w trakcie której wykonywane jest zadanie praktyczne i jedno z opracowań przedstawionych przez kandydata [8].

Część pisemna egzaminu w większości krajów składa się z pytań testowych. Hiszpański model przewiduje 150 pytań testowych z trzech obszarów wiedzy (50%, 30%, 20%), przy czym 20% pytań opiera się na przypadkach praktycznych. Czas trwania egzaminu wynosi cztery godziny [9].

Rozwiązania francuskie przewidują 100 pytań testowych wielokrotnego wyboru, które również obejmują trzy bloki tematyczne, jednak udział pytań opartych na sytuacjach praktycznych jest większy i wynosi 30% [6].

Model austriacki przewiduje 60 pytań testowych wielokrotnego wyboru obejmujących pięć bloków tematycznych: RODO, relację między prawem unijnym i krajowym, bezpieczeństwo informacji, zadania i odpowiedzialność IOD oraz praktykę przetwarzania danych. Egzamin trwa 70 minut [7].

Na Łotwie oprócz 60 pytań testowych obejmujących trzy bloki tematyczne, kandydat musi rozwiązać również zadania praktyczne. Na każdą z części przeznacza się maksymalnie 2 godziny [2].

We Włoszech część pisemna obejmuje 40 pytań testowych, na których rozwiązanie egzaminowany ma 80 minut. Do tego dochodzi 30 minut na opracowanie zadań praktycznych [8].

Wymagania co do poziomu poprawnych odpowiedzi, aby egzamin zakończył się sukcesem, są mniej więcej zbliżone. W Austrii – 60%, we Włoszech – 70%, w Hiszpanii i Francji – 75%, a na Łotwie – 80%.

Co ważne, we wszystkich analizowanych rozwiązaniach krajowych, certyfikat jest wydawany na określony czas. W Hiszpanii, Francji i w Austrii okres ważności certyfikatu wynosi trzy lata. Po tym czasie, w Hiszpanii i Austrii nie jest wymagane ponowne podejście do egzaminu. Dla przedłużenia certyfikatu potrzebne jest odbycie odpowiedniej ilości godzin szkolenia (w Hiszpanii 60 godzin, a w Austrii 24).

We Francji wymagane są natomiast co najmniej rok odpowiedniego doświadczenia zawodowego i ponowne zdanie egzaminu pisemnego odpowiadającego aktualnemu zakresowi certyfikacji [6].

W modelu łotewskim, do utrzymania certyfikatu wymagane jest, aby w trzyletnim okresie wykazać co najmniej 36 godzin doskonalenia zawodowego. We Włoszech certyfikacja podlega odnowieniu co cztery lata. W tym czasie osoba certyfikowana musi corocznie wykazywać dalszą działalność zawodową i aktualizację wiedzy (co najmniej 16 godzin odpowiedniego szkolenia albo inne dopuszczone formy rozwoju: wykłady lub publikacje) [2].

Oprócz analizowanych powyżej krajów, rozwiązania zbliżone do certyfikacji przyjęte są również w Holandii. Rozwiązania te nie opierają się jednak na normie jakości ISO/IEC 17024, zaś przewidują coś na kształt dobrowolnego krajowego rejestru jakości dla IOD [10]. Prace nad modelem certyfikacji prowadzone są również w Niemczech, ale aktualnie znajdują się one na etapie projektu [11]. W niektórych innych krajach EU, organy nadzorcze nie uczestniczą w podobnych rozwiązaniach z zakresu certyfikacji, zaś niejednokrotnie podkreślają (np. czeski regulator), że przepisy RODO nie przewidują certyfikacji jako warunku wykonywania funkcji IOD.

W kolejnym materiale przyjrzymy się propozycji certyfikacji w Polsce, przygotowanej przez NASK przy wsparciu Prezesa UODO.

Na drugą część artykułu zapraszamy w najbliższy poniedziałek – 10 sierpnia.

Źródła:

1. Wytyczne 1/2018 w sprawie certyfikacji i określenia kryteriów certyfikacji zgodnie z art. 42 i 43 rozporządzenia od 4 czerwca 2019 r. URL: https://www.edpb.europa.eu/documents/guideline/guidelines-12018-on-certification-and-identifying-certification-criteria-in_pl
2. Regulations Regarding the Qualification of a Data Protection Officer. Adopted 6 October 2020. URL: https://likumi.lv/ta/en/en/id/317827
3. Agencia Española de Protección de Datos. Certificación de Delegado de protección de datos. URL: https://www.aepd.es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/delegado-de-proteccion-de-datos/certificacion
4. Commission Nationale de l’Informatique et des Libertés. La certification des compétences du délégué à la protection des données. URL: https://www.cnil.fr/fr/le-delegue-la-protection-des-donnees-dpo/certification-des-competences-du-dpo
5. Le nuove certificazioni per la protezione dei dati: come adeguarsi. URL: https://www.accredia.it/comunicazione/notizie/le-nuove-certificazioni-per-la-protezione-dei-dati-come-adeguarsi/
6. La certification des compétences du délégué à la protection des données. URL: https://www.cnil.fr/fr/la-certification-des-competences-du-delegue-la-protection-des-donnees
7. Zertifizierungsprogramm P Datenschutzbeauftragte:r gem. DSGVO Art.39. URL: https://cdn.austrian-standards.at/asset/reb_dokumente/Produkte-Leistungen/Zertifizierung/Personenzertifizierungen/Zertifizierung%20P43-Zertprogramm_Datenschutzbeauftragte_2025-05-12.pdf
8. Regolamento di certificazione del professionista operante nell’ambito del trattamento e della protezione dei dati personali. Profilo: responsabile della protezione dei dati personali.URL: https://www.kiwa.com/globalassets/italy/nuovi-regolamenti-2025/persone/rg-01-prs-prv-dpo_protezione-dati-personali.pdf
9. Esquema de certificación de delegados de protección de datos (esquema AEPD-DPD). URL: https://www.aepd.es/documento/esquema-aepd-dpd.pdf
10. Het onafhankelijke register voor FG’s. URL: https://www.nrfg.nl/nl/toelatingseisen-en-gedragscode
11. Zertifizierung von Datenschutzbeauftragten. URL: https://stiftungdatenschutz.org/praxisthemen/dsb-zertifizierung