Relacja SIODO po spotkaniu konsultacyjnym przedstawicieli SIODO, SPOD, NASK i Urzędu Ochrony Danych Osobowych dotyczącego planowanej certyfikacji osób zajmujących się ochroną danych osobowych
W dniu 14 lipca 2026 r. przedstawiciele Zarządu oraz członkowie Stowarzyszenia Inspektorów Ochrony Danych Osobowych – SIODO wraz z radcą prawnym SIODO, uczestniczyli w spotkaniu konsultacyjnym
z przedstawicielami NASK – Państwowego Instytutu Badawczego oraz Urzędu Ochrony Danych Osobowych. W spotkaniu uczestniczyli również reprezentanci Zarządu Stowarzyszenia Praktyków Ochrony Danych Osobowych oraz członkowie tego Stowarzyszenia, a także przedstawiciele innych organizacji skupiających osoby zawodowo zajmujące się ochroną danych.
Ze strony instytucji publicznych w spotkaniu udział wzięli m.in.:
- Krzysztof Król – Zastępca Dyrektorki Departamentu Współpracy Międzynarodowej UODO,
- Marek Roziński – specjalista ds. certyfikacji IT w NASK.
Przedmiotem rozmowy była przedstawiona przez NASK koncepcja stworzenia dobrowolnego systemu certyfikacji osób zajmujących się ochroną danych osobowych. Początkowo dyskusja miała koncentrować się na profilu roboczo określanym jako „specjalista ds. ochrony danych osobowych”, jednak w jej toku potwierdzono również, że rozważane są dalsze profile certyfikacyjne, w tym potencjalna certyfikacja samych Inspektorów Ochrony Danych.
Spotkanie wykroczyło poza kwestie techniczne związane z liczbą pytań egzaminacyjnych, progiem zdawalności czy okresem ważności certyfikatu. Dyskusja skoncentrowała się przede wszystkim na zagadnieniach prawnych, organizacyjnych i rynkowych, w szczególności dotyczących:
- Podstawy prawne inicjowania pomysłu, poza istniejącym porządkiem prawnym, nie wykazano takiego umocowania w przepisach dla podnoszonej propozycji – jaką jest „specjalista ds. ochrony danych” (brak zawodu),
- Brak zgodności prezentowanej inicjatywy z przepisami o zintegrowanym systemie kwalifikacji, rozporządzeniem w sprawie klasyfikacji zawodów i specjalności na potrzeby rynku pracy, a także ustawą Prawo o szkolnictwie wyższym i nauce – wykazano ze strony SIODO brak takich podstaw prawnych,
- Kolizja podejmowanej inicjatywy przez „grupę inicjatywną”, zmierzająca do posłużenia się sztandarem/szyldem UODO i powagi Urzędu oraz godności Prezesa UODO jako „żyranta” przedsięwzięcia o charakterze komercyjnym,
- Niebezpieczny precedens, który wprowadzi społeczny chaos semantyczny (np. w decyzjach administratorów o wyborze kandydata), uznawania „inspektorów/specjalistów z certyfikatem” za bardziej kompetentnych, od „inspektorów/specjalistów niecertyfikowanych”
- Nie określono konsekwencji rynkowych i finansowych komercyjnej inicjatywy przedstawionej przez referenta NASK jako współorganizatora odpłatnej formy certyfikacji (jak przedstawiono
w trakcie spotkania, przedstawiony przez członka grupy inicjatywnej symulowany koszt szacunkowy to kwota ok. 18 tys. zł), - Nie wykazano celu całego przedsięwzięcia, roli UODO w planowanym przedsięwzięciu, wartości certyfikatu na rynku pracy, niekontrolowanego ryzyka rozwoju rynku szkoleń przygotowawczych,
- W sposób niezgodny z prawem, przedstawiono warunki weryfikacji dotychczasowych kwalifikacji zawodowych, poprzez konieczność przedstawiania dyplomów, świadectw i potwierdzenia stażu pracy w obszarze ODO przed nieokreślonym organem, kolegium czy komisją,
- Krytycznie oceniono, prezentowany zakres programu, w którym wybiórczo przedstawiono jakie przepisy powinien znać certyfikowany „specjalista ds. ochrony danych osobowych” i dlaczego zakres obejmuje UKSC, a pomija np. DORA, mające fundamentalne znaczenie dla podmiotów sektora finansowego,
- oraz potencjalnych szkód, jakie mogłaby przynieść przyszła certyfikacja IOD.
Koncepcja certyfikacji przedstawiona przez NASK
W założeniu certyfikacja miałaby być dostępna nie tylko dla IOD, lecz również dla:
- administratorów danych, co też budzi wątpliwości co do zasadności takiej certyfikacji
i wykonalności tego założenia, - pełnomocników,
- koordynatorów ochrony danych osobowych,
- pracowników compliance,
- osób wspierających administratora w organizowaniu procesów ochrony danych,
- innych specjalistów wykonujących zadania związane z realizacją obowiązków wynikających
z RODO.
Podkreślono, że byłaby to certyfikacja konkretnej osoby, a nie organizacji, procesu czy systemu zarządzania. Na obecnym etapie projekt formalnie dotyczy profilu „specjalisty ds. ochrony danych”, a nie certyfikacji Inspektora Ochrony Danych.
Jednocześnie podczas spotkania wprost potwierdzono, że w dalszej perspektywie rozważane są również inne profile, w tym certyfikacja związana z wykonywaniem funkcji IOD.
Za nieuzasadnione uznano konieczność kolejnych obowiązkowych certyfikacji co 2 lata, co powodowałoby olbrzymie koszty w jednostkach organizacyjnych.
Przedstawiciele SIODO i SPOD jednoznacznie sprzeciwili się koncepcji wprowadzenia obowiązkowej recertyfikacji w dwuletnich cyklach, wskazując na jej nieproporcjonalne skutki organizacyjne i finansowe.
Co miałby potwierdzać certyfikat?
Według przedstawionej koncepcji certyfikat miałby potwierdzać posiadaną przez osobę wiedzę, umiejętności i kompetencje. W toku rozmowy okazało się jednak, że projektowany mechanizm ma koncentrować się przede wszystkim na sprawdzaniu wiedzy. NASK nie zamierza oceniać całokształtu wykonywania zadań przez daną osobę ani gwarantować jakości jej pracy.
Przedstawiciel UODO zaznaczył, że certyfikat:
- nie będzie certyfikatem zgodności z RODO,
- nie będzie odpowiednikiem członkostwa w kodeksie postępowania,
- nie będzie potwierdzać prawidłowości działania organizacji,
- nie zagwarantuje poprawności przygotowanego DPIA, rejestru czy analizy ryzyka,
- nie będzie formalnym uprawnieniem zawodowym,
- nie będzie warunkiem wyznaczenia IOD,
- nie będzie chronić administratora przed odpowiedzialnością.
W ocenie przedstawicieli SIODO i SPOD projekt, w obecnym kształcie, nie znajduje wystarczającego uzasadnienia do kontynuowania dalszych prac. W związku z tym wskazano na zasadność wycofania się
z przedmiotowej inicjatywy oraz poinformowania o tym w sposób analogiczny do jej dotychczasowej prezentacji na stronie internetowej UODO.
Certyfikacja jako produkt komercyjny
Jednym z najważniejszych elementów dyskusji było jednoznaczne nazwanie ekonomicznego charakteru przedsięwzięcia. Nie jest to państwowe uprawnienie zawodowe, ustawowa ścieżka kwalifikacyjna ani bezpłatna inicjatywa edukacyjna. Jest to planowany, dobrowolny, ale odpłatny produkt certyfikacyjny, który ma być oferowany przez NASK.
Przedstawiciel NASK sam wskazał, że obecny program certyfikacji osób jest prowadzony komercyjnie. Podczas spotkania przedstawiciel UODO potwierdził natomiast, że egzamin w ramach dobrowolnej certyfikacji będzie musiał być odpłatny, ponieważ opłata ma pokrywać koszty prawidłowej realizacji procesu oraz utrzymania wymagań PCA.
Nie ustalono jeszcze ceny. NASK przyznał, że na tym etapie nie przeprowadzono nawet szczegółowej rozmowy o tym, ile certyfikacja miałaby kosztować. To istotna okoliczność: środowisko zostało zaproszone do konsultowania koncepcji produktu, którego koszt nie jest znany, choć jednocześnie wiadomo, że będzie to produkt odpłatny i wymagający cyklicznej recertyfikacji.
Podczas spotkania pojawiła się obawa, że może dojść do sytuacji, w której komercyjny produkt zostanie pośrednio „szyldowany” autorytetem UODO.
Przywołano wypowiedź Łukasza Zegarka zamieszczoną w dyskusji na LinkedIn, w której jako punkt odniesienia wskazywano francuski model certyfikacji. Według przytoczonych informacji sam egzamin miałby tam kosztować 720 euro, czyli w przeliczeniu około 3 tys. zł.
Jednocześnie wskazano, że szkolenie przygotowujące prowadzone przez akredytowaną jednostkę mogłoby kosztować około pięciokrotność ceny egzaminu, czyli około 16 tys. zł, co razem dawałoby kwotę zbliżoną do 19–20 tys. zł.
Jakie znaczenie certyfikat miałby w postępowaniach prowadzonych przez UODO?
Jednym z najważniejszych pytań było to, czy korzystanie z usług osoby certyfikowanej będzie wartością dodaną podczas kontroli lub postępowania prowadzonego przez Prezesa UODO.
Przedstawiciel UODO wskazał, że fakt korzystania z osoby posiadającej potwierdzoną wiedzę może zostać dostrzeżony jako element działań administratora. Nie oznacza to jednak automatycznego uznania jego postępowania za prawidłowe ani ochrony przed karą.
Certyfikat nie będzie:
- domniemaniem zgodności,
- gwarancją poprawności dokumentacji,
- potwierdzeniem należytej staranności w każdym przypadku,
- zabezpieczeniem przed zakwestionowaniem konkretnej decyzji.
UODO zachowa możliwość pełnej oceny faktycznych działań administratora, IOD i osób wspierających organizację. W praktyce certyfikat może być jednym z wielu elementów wykazywania, że administrator korzystał z odpowiednio przygotowanego wsparcia. Nie wiadomo jednak, jak duże znaczenie będzie mu przypisywane i czy brak takiego certyfikatu nie zacznie pośrednio działać na niekorzyść osób oraz administratorów.
Rola UODO – zasadnicze źródło ryzyka
Najwięcej wątpliwości wywołał zakres udziału UODO w przedsięwzięciu.
Publiczne zaangażowanie organu nadzorczego może zostać odebrane jako:
- zatwierdzenie programu,
- patronat nad certyfikacją,
- rekomendacja certyfikatu,
- potwierdzenie prawidłowości pytań i odpowiedzi,
- sygnał, że osoba certyfikowana jest bardziej wiarygodna,
- wskazówka dla zamawiających i pracodawców.
Powstaje przy tym konflikt wizerunkowy i funkcjonalny: organ uczestniczy w konsultowaniu kryteriów certyfikacji, a następnie ocenia działania administratorów korzystających z usług osób, które przeszły taki proces.
Przedstawiciele SIODO wskazali, że udział UODO musi zostać bardzo precyzyjnie ograniczony
i jednoznacznie komunikowany. Organ nie powinien występować w roli właściciela programu, współtwórcy produktu komercyjnego ani instytucji, której autorytet może być wykorzystywany do budowania jego wartości rynkowej.
Przedstawiciel UODO zapewnił, że:
- Urząd nie będzie wydawał certyfikatów,
- przedstawiciele UODO nie będą ich podpisywać,
- UODO nie ma podstaw prawnych do certyfikowania osób,
- Urząd nie będzie właścicielem programu,
- nie będzie czerpał z niego korzyści finansowych,
- jego udział ma dotyczyć konsultacji merytorycznych i promowania konsultacji.
Jednocześnie sama dyskusja pokazała, że dotychczasowy sposób komunikowania inicjatywy wywołał
w środowisku wrażenie, że certyfikacja może być w pewnym stopniu objęta pieczą UODO. Przedstawiciele SIODO wskazali, że dla zachowania zaufania do organu nadzorczego konieczne jest jednoznaczne rozdzielenie roli NASK jako organizatora programu certyfikacyjnego od konsultacyjnego udziału UODO, tak aby nie powstało przekonanie, że certyfikat jest rekomendowany lub gwarantowany przez organ nadzorczy.
Wyniki ankiety przedstawionej podczas spotkania
Podczas spotkania przedstawiono wyniki krótkiej ankiety przeprowadzonej w środowisku osób zajmujących się ochroną danych osobowych.
W ankiecie wzięło udział 50 osób. Respondenci mieli do wyboru dwa stanowiska:
- certyfikacja ma sens,
- RODO już wymaga odpowiednich kwalifikacji zawodowych i należy te wymagania doprecyzować zamiast tworzyć nowy system certyfikacji.
Wynik był jednoznaczny:
- 14% respondentów opowiedziało się za certyfikacją,
- 86% uznało, że należy doprecyzować istniejące wymagania zamiast tworzyć nowy system.
Ankieta była prezentowana przede wszystkim w kontekście pojawiających się informacji o możliwej certyfikacji IOD.
Przedstawione wyniki nie mają charakteru badania reprezentatywnego, jednak stanowią istotny sygnał dotyczący nastrojów w środowisku osób zawodowo zajmujących się ochroną danych osobowych.
Certyfikacja IOD może przynieść więcej szkód niż korzyści
Szczególne zaniepokojenie SIODO budzi potwierdzenie, że oprócz certyfikacji specjalisty ochrony danych rozważana jest również przyszła certyfikacja Inspektorów Ochrony Danych.
W ocenie SIODO wchodzenie obecnie w certyfikację IOD jest nie tylko pozbawione jasno określonego celu i spójnej koncepcji. Może również przynieść realne szkody dla całego systemu ochrony danych.
RODO już dziś określa podstawowe wymagania wobec osób wyznaczanych na funkcję Inspektora Ochrony Danych, wskazując na konieczność posiadania odpowiednich kwalifikacji zawodowych, wiedzy fachowej
z zakresu prawa i praktyki ochrony danych oraz umiejętności wykonywania zadań określonych w art. 39 RODO. Zdaniem przedstawicieli środowiska problem nie polega więc na braku regulacji, lecz na ich niejednolitym stosowaniu oraz braku doprecyzowania oczekiwań wobec osób pełniących tę funkcję.
Jednocześnie podkreślano, że planowana certyfikacja nie rozwiązuje najważniejszych problemów praktycznych związanych z wykonywaniem funkcji IOD, takich jak brak niezależności, konflikty interesów, niewystarczające zasoby organizacyjne czy przerzucanie odpowiedzialności administratora na inspektora.
Podział na „lepszych” i „gorszych” IOD
Certyfikacja może stworzyć sztuczny podział na IOD certyfikowanych i niecertyfikowanych. Administratorzy mogą zacząć traktować certyfikat jako prosty substytut rzeczywistej oceny kwalifikacji. Zamiast sprawdzać doświadczenie, wiedzę branżową, niezależność, referencje i praktykę, mogą ograniczyć się do pytania: „Czy ma Pan/Pani certyfikat NASK?”. W ten sposób osoba z krótkim doświadczeniem
i zdanym testem może zostać uznana za bardziej kompetentną niż wieloletni praktyk bez certyfikatu.
W ocenie uczestników spotkania byłoby to odejście od indywidualnej oceny kwalifikacji zawodowych na rzecz prostego kryterium formalnego, które nie musi odzwierciedlać rzeczywistych kompetencji osoby wykonującej obowiązki IOD.
Deprecjonowanie dotychczasowego doświadczenia
Certyfikacja może obniżyć rynkową wartość:
- studiów podyplomowych,
- wykształcenia prawniczego,
- kwalifikacji audytorskich,
- wieloletniej praktyki,
- doświadczenia sektorowego,
- dotychczasowego dorobku zawodowego.
Powstanie presja, aby wszyscy, niezależnie od tego, czy pracują w zawodzie rok, czy piętnaście lat, przystąpili do tego samego egzaminu i cyklicznie go odnawiali.
Zdaniem przedstawicieli SIODO może to doprowadzić do sytuacji, w której wieloletni praktycy zostaną zmuszeni do ponoszenia kolejnych kosztów wyłącznie po to, aby utrzymać swoją konkurencyjność na rynku, mimo że ich kwalifikacje zostały potwierdzone wieloletnim doświadczeniem zawodowym.
Stanowisko SIODO
Spotkanie z 14 lipca 2026 r. stanowiło ważny etap rozpoczętych konsultacji dotyczących planowanego systemu certyfikacji osób zajmujących się ochroną danych osobowych. SIODO pozytywnie ocenia sam fakt podjęcia dialogu przez NASK i UODO oraz gotowość do wysłuchania opinii środowiska praktyków. Ochrona danych osobowych jest obszarem wymagającym ciągłego rozwoju kompetencji, dlatego każda inicjatywa zmierzająca do podnoszenia jakości wykonywania zadań powinna być poprzedzona szerokimi konsultacjami i uwzględniać doświadczenia osób, które na co dzień wykonują tę pracę.
Jednocześnie, w ocenie SIODO, przedstawiona podczas spotkania koncepcja wymaga dalszych, pogłębionych prac. Na obecnym etapie nie wykazano w sposób przekonujący celu planowanej certyfikacji ani problemu, który miałaby ona rozwiązać. Nie przedstawiono również wystarczających argumentów uzasadniających tworzenie nowego systemu potwierdzania kwalifikacji zamiast doprecyzowania
i wzmocnienia istniejących wymagań wynikających z przepisów RODO.
Szczególne zastrzeżenia SIODO budzi możliwość rozszerzenia projektu na certyfikację Inspektorów Ochrony Danych. Funkcja IOD została uregulowana w RODO, które określa wymagania dotyczące kwalifikacji zawodowych, wiedzy fachowej oraz umiejętności wykonywania zadań. Zdaniem SIODO rzeczywistym wyzwaniem pozostaje dziś zapewnienie właściwego stosowania tych przepisów oraz wzmacnianie niezależności inspektorów, a nie tworzenie kolejnych mechanizmów certyfikacyjnych, które mogą prowadzić do niezamierzonych skutków dla całego środowiska zawodowego.
SIODO stoi na stanowisku, że ewentualny system certyfikacji powinien mieć jasno określony cel, opierać się na przejrzystych podstawach prawnych i przynosić realną wartość dodaną zarówno dla administratorów danych, jak i osób wykonujących zadania z zakresu ochrony danych. Równie istotne jest zachowanie pełnej przejrzystości co do komercyjnego charakteru przedsięwzięcia oraz jednoznaczne oddzielenie programu certyfikacji od działalności i autorytetu organu nadzorczego.
W ocenie SIODO priorytetem powinny być działania zmierzające do doprecyzowania kwalifikacji zawodowych osób wykonujących funkcję Inspektora Ochrony Danych, wzmocnienia ich niezależności oraz uporządkowania praktycznych aspektów wykonywania tej funkcji. Dopiero po przeprowadzeniu takich prac możliwa będzie rzetelna ocena, czy tworzenie dodatkowego systemu certyfikacji jest rzeczywiście potrzebne i czy przyniesie korzyści dla systemu ochrony danych osobowych.
SIODO deklaruje gotowość do dalszego udziału w konsultacjach oraz przedstawiania propozycji rozwiązań, które będą wspierały rozwój kompetencji osób zajmujących się ochroną danych osobowych
z poszanowaniem obowiązujących przepisów prawa, zasad niezależności Inspektora Ochrony Danych oraz realiów wykonywania tej funkcji w praktyce.
Zbieżne stanowisko zostanie przekazane również do Urzędu Ochrony Danych Osobowych oraz innych właściwych podmiotów uczestniczących w pracach nad planowaną certyfikacją osób zajmujących się ochroną danych osobowych.
Zarząd
Stowarzyszenia Inspektorów Ochrony Danych Osobowych (SIODO)