Ofițer pentru Protecția Datelor – GDPR

Regulamentul general privind protecția datelor (GDPR) a stabilit conceptul de responsabil cu protecția datelor (DPO) în Europa. Contrar opiniei generale, decisivă pentru obligația legală de a desemna un responsabil cu protecția datelor nu este dimensiunea companiei, ci activitățile principale de prelucrare, care sunt definite ca fiind esențiale pentru atingerea obiectivelor companiei. Dacă aceste activități principale constau în prelucrarea de date personale sensibile la scară largă sau o formă de prelucrare a datelor care este deosebit de extinsă pentru drepturile persoanelor vizate, compania trebuie să desemneze un DPO. Organismele publice, pe de altă parte, trebuie întotdeauna să numească un DPO, cu excepția instanțelor care acționează în capacitatea lor judiciară. În plus, norma legală pentru desemnarea unui responsabil cu protecția datelor are o clauză de flexibilitate pentru statele membre, care sunt libere să decidă dacă o companie trebuie să numească un responsabil cu protecția datelor sub cerințe mai stricte (de exemplu, Secțiunea 38 din Legea federală germană pentru protecția datelor). Dacă o astfel de obligație există în conformitate cu Regulamentul general privind protecția datelor sau o lege națională mai specifică, un grup de întreprinderi poate desemna și un singur responsabil cu protecția datelor. Dacă grupul decide să facă acest lucru, acesta trebuie să fie ușor accesibil pentru autoritățile de supraveghere, angajați și persoanele vizate externe. Dacă nu există o obligație legală, companiile pot desemna un DPO pe bază voluntară pentru a ajuta la conformitatea protecției datelor (ceea ce este, de exemplu, recomandat de către autoritatea franceză de protecție a datelor CNIL).

Grupurile și companiile au două posibilități pentru a-și îndeplini obligația de a desemna un Responsabil cu Protecția Datelor. Fie numesc un angajat ca Responsabil intern cu Protecția Datelor, fie desemnează un Responsabil extern cu Protecția Datelor. La selectarea unei astfel de persoane, trebuie să se asigure că un Responsabil intern cu Protecția Datelor nu este supus unui conflict de interese din cauza muncii sale în Departamentul IT, Departamentul de Resurse Umane sau în conducerea superioară, unde ar trebui să se supravegheze pe sine. Indiferent de opțiunea aleasă, un Responsabil cu Protecția Datelor trebuie să ofere cunoștințe profesionale de specialitate în legislația privind protecția datelor și securitatea IT, domeniul de competență depinzând de complexitatea prelucrării datelor și de dimensiunea companiei.

Atribuțiile unui responsabil cu protecția datelor includ: Asigurarea conformității cu toate legile relevante privind protecția datelor, monitorizarea unor procese specifice, cum ar fi evaluările impactului protecției datelor sau sensibilizarea și instruirea angajaților pentru protecția datelor, precum și colaborarea cu autoritățile de supraveghere. Prin urmare, angajatul care îndeplinește funcția de responsabil cu protecția datelor nu poate fi concediat sau sancționat din cauza îndeplinirii sarcinilor sale. În ciuda funcției sale de monitorizare, compania în sine rămâne responsabilă pentru respectarea legilor privind protecția datelor. Prin urmare, trebuie să implice responsabilul cu protecția datelor în toate problemele care se referă la protecția datelor personale „corespunzător și în timp util”. Când este numit un responsabil cu protecția datelor, superiorul acestuia trebuie să-i publice datele de contact și să comunice numirea și datele de contact autorităților de supraveghere a protecției datelor. Dacă o companie a numit voluntar un responsabil cu protecția datelor, trebuie, de asemenea, să respecte criteriile și prevederile menționate mai sus. De asemenea, rețineți că omisiunea intenționată sau din neglijență de a numi un responsabil cu protecția datelor, în ciuda unei obligații legale, reprezintă o încălcare supusă amenzilor.