GDPR – Pooblaščenec za varstvo podatkov

Splošna uredba o varstvu podatkov (GDPR) je v Evropi vzpostavila koncept pooblaščene osebe za varstvo podatkov (DPO). V nasprotju s splošnim prepričanjem velikost podjetja ni odločilna za zakonsko obveznost imenovanja pooblaščene osebe za varstvo podatkov, temveč so to temeljne dejavnosti obdelave, ki so opredeljene kot bistvene za doseganje ciljev podjetja. Če te temeljne dejavnosti obsegajo obdelavo občutljivih osebnih podatkov v velikem obsegu ali obliko obdelave podatkov, ki je posebej daljnosežna za pravice posameznikov, na katere se nanašajo osebni podatki, mora podjetje imenovati DPO. Javne ustanove morajo vedno imenovati DPO, razen sodišč, ki delujejo v svoji sodni funkciji. Poleg tega pravna norma za imenovanje pooblaščene osebe za varstvo podatkov vsebuje klavzulo za prožnost za države članice. Te lahko same odločijo, ali mora podjetje imenovati pooblaščeno osebo za varstvo podatkov pod strožjimi zahtevami (npr. člen 38 nemškega Zveznega zakona o varstvu podatkov). Če taka obveznost obstaja po splošni uredbi o varstvu podatkov ali po bolj specifičnem nacionalnem pravu, lahko skupina podjetij imenuje tudi enotno pooblaščeno osebo za varstvo podatkov. Če se skupina za to odloči, mora biti ta oseba lahko dostopna nadzornim organom, zaposlenim in zunanjim posameznikom, na katere se nanašajo osebni podatki. Če pravna obveznost ne obstaja, lahko podjetja na prostovoljni osnovi imenujejo DPO, da pomaga pri skladnosti z varstvom podatkov (kar na primer priporoča francoski organ za varstvo podatkov CNIL).

Skupine in podjetja imajo dve možnosti za izpolnitev svoje obveznosti pri imenovanju pooblaščene osebe za varstvo podatkov. Lahko imenujejo zaposlenega kot notranjo pooblaščeno osebo za varstvo podatkov ali pa imenujejo zunanjo pooblaščeno osebo za varstvo podatkov. Pri izbiri takšne osebe morajo zagotoviti, da notranja pooblaščena oseba za varstvo podatkov ni v navzkrižju interesov zaradi svojega dela v IT-oddelku, kadrovskem oddelku ali višjem vodstvu, kjer bi morala nadzorovati samo sebe. Ne glede na to, katera možnost je izbrana, mora pooblaščena oseba za varstvo podatkov zagotavljati strokovno znanje na področju zakonodaje o varstvu podatkov in IT-varnost, obseg pa je odvisen od kompleksnosti obdelave podatkov in velikosti podjetja.

Dolžnosti pooblaščene osebe za varstvo podatkov vključujejo: delo v smeri skladnosti z vsemi ustreznimi predpisi o varstvu podatkov, nadzor specifičnih procesov, kot so presoje vplivov na varstvo podatkov ali ozaveščanje in usposabljanje zaposlenih za varstvo podatkov, ter sodelovanje z nadzornimi organi. Zato zaposleni, ki deluje kot pooblaščena oseba za varstvo podatkov, ne sme biti odpuščen ali kaznovan zaradi izpolnjevanja svojih nalog. Kljub svoji nadzorni funkciji ostaja podjetje samo odgovorno za skladnost s predpisi o varstvu podatkov. Zato mora pooblaščeno osebo za varstvo podatkov vključiti v vse zadeve, ki se nanašajo na varstvo osebnih podatkov “ustrezno in pravočasno”. Ko je imenovana pooblaščena oseba za varstvo podatkov, mora njegov nadrejeni objaviti njegove kontaktne podatke ter sporočiti njegovo imenovanje in kontaktne podatke nadzornim organom za varstvo podatkov. Če je podjetje prostovoljno imenovalo pooblaščeno osebo za varstvo podatkov, mora prav tako upoštevati zgoraj navedena merila in določbe. Prav tako je treba upoštevati, da je namerna ali malomarna opustitev imenovanja pooblaščene osebe za varstvo podatkov kljub zakonski obveznosti kršitev, ki je kazniva z globe.