GDPR – Adatvédelmi tisztviselő

Az Általános Adatvédelmi Rendelet (GDPR) bevezette az Adatvédelmi Tisztviselő (DPO) fogalmát Európában. A közhiedelemmel ellentétben az adatvédelmi tisztviselő kinevezésének jogi kötelezettségét nem a vállalat mérete határozza meg, hanem azok az alapvető feldolgozási tevékenységek, amelyek a vállalat céljainak eléréséhez lényegesek. Ha ezek az alapvető tevékenységek nagymértékben érzékeny személyes adatok feldolgozását jelentik, vagy olyan adatfeldolgozási formát, amely különösen nagy hatással van az érintettek jogaira, akkor a vállalatnak DPO-t kell kineveznie. A közintézményeknek viszont mindig ki kell nevezniük egy DPO-t, kivéve, ha bírói minőségükben járnak el. Továbbá, az adatvédelmi tisztviselő kinevezésének jogi normája tagállami rugalmassági klauzulával rendelkezik. Ezek szabadon dönthetnek arról, hogy egy vállalatnak szigorúbb követelmények mellett kell-e adatvédelmi tisztviselőt kineveznie (pl. a Német Szövetségi Adatvédelmi Törvény 38. szakasza). Ha ilyen kötelezettség az Általános Adatvédelmi Rendelet vagy egy konkrétabb nemzeti törvény alapján létezik, egy vállalatcsoport is kijelölhet egyetlen adatvédelmi tisztviselőt. Ha a csoport így dönt, akkor számára könnyen hozzáférhetőnek kell lennie a felügyeleti hatóságok, munkavállalók és külső érintettek számára. Ha nincs jogi kötelezettség, a vállalatok önkéntesen is kijelölhetnek DPO-t, hogy segítsenek az adatvédelmi megfelelőségben (amelyet például a francia adatvédelmi hatóság, a CNIL ajánl).

A csoportoknak és vállalatoknak két lehetőségük van a adatvédelmi tisztviselő kinevezésére irányuló kötelezettségük teljesítésére. Vagy kineveznek egy alkalmazottat belső adatvédelmi tisztviselőként, vagy kijelölnek egy külső adatvédelmi tisztviselőt. Az ilyen személy kiválasztásakor biztosítaniuk kell, hogy a belső adatvédelmi tisztviselő munkája ne ütközzön érdekkonfliktusba azáltal, hogy az IT osztályon, HR osztályon vagy felső vezetésben dolgozik, ahol önmagát kellene felügyelnie. Függetlenül attól, hogy melyik lehetőséget választják, az adatvédelmi tisztviselőnek szakképzett ismeretekkel kell rendelkeznie az adatvédelmi jog területén és az IT biztonságban, a tudás terjedelmét a vállalat mérete és az adatfeldolgozás bonyolultsága határozza meg.

Az adatvédelmi tisztviselő feladatai közé tartoznak: az összes releváns adatvédelmi törvénynek való megfelelés elősegítése, a konkrét folyamatok, mint az adatvédelmi hatásvizsgálatok, valamint az alkalmazottak adatvédelmi tudatosságának növelése és képzése figyelemmel kísérése, valamint együttműködés a felügyeleti hatóságokkal. Ezért az adatvédelmi tisztviselőként eljáró alkalmazottat nem lehet elbocsátani vagy büntetni feladatai teljesítése miatt. Annak ellenére, hogy a vállalat adatvédelmi törvényeknek való megfeleléséért maga a cég marad felelős, az adatvédelmi tisztviselőt minden, a személyes adatok védelmével kapcsolatos kérdésbe „megfelelően és időben” be kell vonni. Amikor egy adatvédelmi tisztviselőt kineveznek, a felettese köteles publikálni az elérhetőségeit, és kinevezését, valamint elérhetőségeit közölnie kell az adatvédelmi felügyeleti hatóságokkal. Ha egy vállalat önként kinevezett egy adatvédelmi tisztviselőt, szintén be kell tartania a fent leírt kritériumokat és rendelkezéseket. Továbbá vegye figyelembe, hogy az adatvédelmi tisztviselő kinevezésének szándékos vagy gondatlan elmulasztása jogi kötelezettség ellenére bírsággal sújtható jogsértésnek minősül.