GDPR – Zodpovedná osoba pre ochranu údajov

Všeobecné nariadenie o ochrane údajov (GDPR) stanovilo koncept zodpovedného zástupcu pre ochranu údajov (DPO) v Európe. Na rozdiel od všeobecného presvedčenia nie je rozhodujúca veľkosť spoločnosti, ale kľúčové spracovateľské činnosti, ktoré sú definované ako tie, ktoré sú nevyhnutné na dosiahnutie cieľov spoločnosti. Ak tieto kľúčové činnosti spočívajú v spracovaní citlivých osobných údajov vo veľkom rozsahu alebo forme spracovania údajov, ktorá má mimoriadny dosah na práva dotknutých osôb, spoločnosť musí vymenovať DPO. Verejné orgány na druhej strane musia vždy vymenovať DPO, s výnimkou súdov, ktoré konajú v rámci svojej súdnej právomoci. Okrem toho má právna norma ustanovujúca vymenovanie zodpovedného zástupcu pre ochranu údajov flexibilnú klauzulu pre členské štáty. Tie môžu voľne rozhodovať, či spoločnosť musí vymenovať zodpovedného zástupcu pre ochranu údajov na základe prísnejších požiadaviek (napr. § 38 nemeckého federálneho zákona o ochrane údajov). Ak taká povinnosť existuje na základe všeobecného nariadenia o ochrane údajov alebo špecifického národného práva, skupina podnikov môže vymenovať jedného zodpovedného zástupcu pre ochranu údajov. Ak sa skupina rozhodne takýto krok vykonať, musí byť pre dozorné orgány, zamestnancov a externé dotknuté osoby ľahko dostupný. Ak neexistuje právna povinnosť, spoločnosti môžu vymenovať DPO na dobrovoľnom základe na pomoc s dodržiavaním ochrany údajov (čo je napríklad odporúčané francúzskym úradom pre ochranu osobných údajov CNIL).

Skupiny a spoločnosti majú dve možnosti, ako splniť svoju povinnosť menovať zodpovednú osobu pre ochranu údajov. Buď vymenujú zamestnanca ako internú zodpovednú osobu pre ochranu údajov, alebo vymenujú externú zodpovednú osobu pre ochranu údajov. Pri výbere tejto osoby musia zabezpečiť, aby interná zodpovedná osoba pre ochranu údajov nemala konflikt záujmov kvôli svojej práci v IT oddelení, oddelení ľudských zdrojov alebo vyššom manažmente, kde by musela dozerať sama na seba. Bez ohľadu na to, ktorá možnosť je zvolená, zodpovedná osoba pre ochranu údajov musí mať odborné znalosti v oblasti práva o ochrane údajov a IT bezpečnosti, pričom rozsah závisí od zložitosti spracovania údajov a veľkosti spoločnosti.

Povinnosti úradníka na ochranu údajov zahŕňajú: Prácu na súlade so všetkými príslušnými zákonmi na ochranu údajov, monitorovanie konkrétnych procesov, ako sú posudzovania vplyvu na ochranu údajov alebo zvyšovanie povedomia a školenie zamestnancov o ochrane údajov, ako aj spoluprácu s dozornými orgánmi. Preto zamestnanec, ktorý pôsobí ako úradník na ochranu údajov, nesmie byť prepustený ani penalizovaný kvôli plneniu svojich úloh. Napriek jeho monitorovacej funkcii ostáva spoločnosť sama zodpovedná za dodržiavanie zákonov o ochrane údajov. Preto musí úradníka na ochranu údajov zahrnúť do všetkých otázok týkajúcich sa ochrany osobných údajov „riadne a včasne“. Keď je vymenovaný úradník na ochranu údajov, jeho nadriadený musí zverejniť jeho kontaktné údaje a oznámiť jeho vymenovanie a kontaktné údaje orgánom dozoru na ochranu údajov. Ak spoločnosť dobrovoľne vymenovala úradníka na ochranu údajov, tiež musí dodržiavať vyššie uvedené kritériá a ustanovenia. Tiež si všimnite, že úmyselné alebo nedbanlivosťou spôsobené nevymenovanie úradníka na ochranu údajov napriek právnej povinnosti je porušením, ktoré podlieha pokutám.