BDAR – duomenų apsaugos pareigūnas

Bendrasis duomenų apsaugos reglamentas (BDAR) Europoje įtvirtino Duomenų apsaugos pareigūno (DAP) sąvoką. Priešingai populiariam įsitikinimui, teisinės pareigos skirti Duomenų apsaugos pareigūną lemiantis veiksnys yra ne įmonės dydis, o pagrindinės tvarkymo veiklos, kurios apibrėžiamos kaip esminės įmonės tikslų pasiekimui. Jei šios pagrindinės veiklos susijusios su didelio masto jautrių asmens duomenų tvarkymu arba duomenų tvarkymo forma, kuri ypatingai pasiekia duomenų subjektų teises, įmonė privalo skirti DAP. Tuo tarpu viešosios institucijos visada turi skirti DAP, išskyrus teismus, vykdančius teisminę funkciją. Be to, teisinėje normoje nustatyta galimybė valstybėms narėms lankyti paskiriant Duomenų apsaugos pareigūną. Jos gali laisvai nuspręsti, ar įmonė turi skirti Duomenų apsaugos pareigūną griežtesnėmis sąlygomis (pvz., 38 § Vokietijos federalinio duomenų apsaugos įstatymo). Jei tokia pareiga egzistuoja pagal Bendrasis duomenų apsaugos reglamentą ar konkretesnį nacionalinį teisės aktą, įmonių grupė taip pat gali skirti vieną Duomenų apsaugos pareigūną. Jei grupė nusprendžia taip padaryti, jis turi būti lengvai prieinamas priežiūros institucijoms, darbuotojams ir išoriniams duomenų subjektams. Jei nėra teisinės pareigos, įmonės gali savanoriškai skirti DAP, kad padėtų laikytis duomenų apsaugos (kas, pavyzdžiui, rekomenduoja Prancūzijos duomenų apsaugos institucija CNIL).

Grupės ir įmonės turi dvi galimybes įvykdyti savo pareigą paskirti Duomenų apsaugos pareigūną. Jos gali paskirti darbuotoją kaip vidinį Duomenų apsaugos pareigūną arba paskirti išorinį Duomenų apsaugos pareigūną. Renkantis tokį asmenį, jos turi užtikrinti, kad vidinis Duomenų apsaugos pareigūnas nebūtų susidūręs su interesų konfliktu dėl savo darbo IT skyriuje, personalo skyriuje ar vadovybėje, kur jis turėtų save prižiūrėti. Nepriklausomai nuo pasirinkto varianto, Duomenų apsaugos pareigūnas turi turėti profesionalių žinių apie duomenų apsaugos teisę ir IT saugumą, kurių mastas priklauso nuo duomenų apdorojimo sudėtingumo ir įmonės dydžio.

Duomenų apsaugos pareigūno pareigos apima: darbą siekiant laikytis visų atitinkamų duomenų apsaugos įstatymų, tam tikrų procesų, tokių kaip poveikio duomenų apsaugai vertinimai ar darbuotojų žinių didinimas ir mokymai dėl duomenų apsaugos, stebėjimą, taip pat bendradarbiavimą su priežiūros institucijomis. Todėl dirbantis kaip duomenų apsaugos pareigūnas darbuotojas neturi būti atleistas ar nubaustas dėl savo užduočių vykdymo. Nepaisant jo stebėjimo funkcijos, pati įmonė išlieka atsakinga už duomenų apsaugos įstatymų laikymąsi. Todėl būtina įtraukti duomenų apsaugos pareigūną į visas asmens duomenų apsaugai susijusias problemas „tinkamai ir laiku“. Paskyrus duomenų apsaugos pareigūną, jo vadovas turi paskelbti jo kontaktinius duomenis ir informuoti apie jo paskyrimą bei kontaktinius duomenis duomenų apsaugos priežiūros institucijoms. Jei įmonė savanoriškai paskyrė DAP, jos taip pat turi laikytis aukščiau nurodytų kriterijų ir nuostatų. Taip pat atkreipkite dėmesį, kad kaupimas ar aplaidus atsisakymas skirti duomenų apsaugos pareigūną, nepaisant teisinės pareigos, yra pažeidimas, už kurį gali būti skiriamos baudos.