ОЗЛД – Длъжностно лице по защита на данните

Общият регламент за защита на данните (GDPR) е установил концепцията за Длъжностно лице по защита на данните (DPO) в Европа. Противно на общоприетото мнение, решаващо за правната задължение за назначаване на Длъжностно лице по защита на данните не е размерът на компанията, а основните дейности по обработка, които се определят като тези, съществени за постигане на целите на компанията. Ако тези основни дейности включват обработка на чувствителни лични данни в голям мащаб или форма на обработка на данни, която има особено далечни последствия за правата на субектите на данни, компанията трябва да назначи DPO. Публичните органи от своя страна винаги трябва да назначават DPO, с изключение на съдилищата, които действат в своето съдебно качество. Освен това, правната норма за назначаване на Длъжностно лице по защита на данните има клаузула за гъвкавост за държавите членки. Те са свободни да решават дали компания трябва да назначи Длъжностно лице по защита на данните при по-строги изисквания (напр. Член 38 от Немския федерален закон за защита на данните). Ако такава задължение съществува по Общия регламент за защита на данните или по по-специфичен национален закон, група предприятия също може да назначи едно Длъжностно лице по защита на данните. Ако групата реши да направи това, той трябва да бъде лесно достъпен за надзорните органи, служителите и външните субекти на данни. Ако няма правна задължение, компаниите могат да назначат DPO на доброволна основа, за да помагат със спазването на защитата на данните (което например се препоръчва от френския орган за защита на данните CNIL).

Групите и компаниите имат две възможности да изпълнят задължението си да назначат Длъжностно лице по защита на данните. Те могат или да посочат служител като вътрешен Длъжностно лице по защита на данните, или да назначат външно Длъжностно лице по защита на данните. При избора на такова лице трябва да се уверят, че вътрешното Длъжностно лице по защита на данните не е обект на конфликт на интереси поради работата си в отдел „ИТ“, отдел „Човешки ресурси“ или висше ръководство, където би трябвало да се самонаблюдава. Независимо от избраната възможност, Длъжностното лице по защита на данните трябва да предоставя експертни професионални знания в областта на правото за защита на данните и ИТ сигурността, като обхватът зависи от сложността на обработката на данните и размера на компанията.

Задълженията на служител по защита на данните включват: Работа по спазването на всички съответни закони за защита на данните, наблюдение на специфични процеси, като например оценки на въздействието върху защитата на данните или повишаване на осведомеността и обучението на служителите относно защитата на данните, както и сътрудничество с надзорните органи. Следователно, служителят, изпълняващ ролята на служител по защита на данните, не трябва да бъде освобождаван или наказван поради изпълнението на своите задачи. Въпреки функцията си на наблюдение, самата компания остава отговорна за спазването на законите за защита на данните. Затова тя трябва да включва служителя по защита на данните във всички въпроси, които се отнасят до защитата на лични данни „правилно и своевременно“. Когато служител по защита на данните е назначен, неговият пряк ръководител трябва да публикува контактните му данни и да съобщи за назначаването му и контактните му данни на надзорните органи по защита на данните. Ако компания доброволно е назначила служител по защита на данните, те също трябва да се придържат към критериите и разпоредбите, описани по-горе. Също така имайте предвид, че умишлено или поради небрежност неизпълнение на задължението за назначаване на служител по защита на данните въпреки правната си задълженост представлява нарушение, за което се налагат глоби.