Кто является ответственным за защиту данных?
Функции сотрудника по защите данных (DPO) регулируются статьей 37 GDPR, которая определяет обстоятельства, при которых контролер обязан назначить лицо, ответственное за аспекты, связанные с защитой данных, в следующих случаях:
- Обработка данных осуществляется государственным органом или учреждением, за исключением судов при осуществлении ими своих судебных полномочий;
- Основная деятельность контролера или обработчика данных состоит в операциях обработки, которые по своей природе, масштабу или целям требуют регулярного и систематического мониторинга субъектов данных в больших масштабах;
- Основная деятельность контролера или обработчика данных заключается в крупномасштабной обработке особых категорий персональных данных, а также персональных данных, касающихся судимостей и правонарушений.
Независимость DPO
Следует отметить, что сотрудник по защите данных должен сохранять независимость, то есть ему запрещается издавать обязательные к исполнению приказы или инструкции относительно выполнения своих обязанностей. Для этого сотрудник по защите данных должен отчитываться перед высшим руководством контролера или обработчика данных. Кроме того, с ним необходимо консультироваться по всем вопросам и новым инициативам, которые могут, даже косвенно, быть связаны с обработкой персональных данных.
IOD и информаторы
Одним из вопросов, в который в определенной степени должен быть вовлечен сотрудник по защите данных (DPO), является защита лиц, сообщающих о нарушениях. Для обеспечения надлежащего уровня защиты данных и, следовательно, предотвращения ответных мер, крайне важно, чтобы DPO участвовал в процессе внедрения внутренних правил, касающихся лиц, сообщающих о нарушениях, в организации контролера данных. Это означает, что он должен пересматривать соответствующие политики и процедуры защиты данных и снижать риски, связанные с обработкой персональных данных лиц, сообщающих о нарушениях. Кроме того, он должен участвовать в выборе подходящих ИТ-систем для обработки сообщений, давать рекомендации по обеспечению надлежащей безопасности каналов связи и реестров, а также разрабатывать руководства по безопасному хранению таких данных. На последующих этапах DPO выступает в качестве контактного лица для решения любых вопросов, связанных с защитой персональных данных лиц, сообщающих о нарушениях.
Риск конфликта интересов
Роль сотрудника по защите данных может быть совмещена с другими задачами, поэтому он потенциально может также участвовать в процессе приема сообщений и проведения расследований. Однако важно, чтобы он не занимался сообщениями о нарушениях конфиденциальности и защиты персональных данных, поступающими от осведомителей. В таком случае сотрудник по защите данных, в некотором смысле, станет «судьей в собственном деле.
Вопросы, связанные с управлением информацией о нарушениях, следует делегировать лицам, занимающимся вопросами соблюдения нормативных требований, чтобы избежать конфликта интересов с обязанностями сотрудника по защите данных. Поэтому рекомендуется избегать объединения функций в обоих отделах. В частности, крайне важно разграничить роли сотрудника по защите данных и сотрудника по вопросам соблюдения нормативных требований, ответственного за обеспечение соответствия деятельности компании внутренним процедурам и политикам.
Бельгийский надзорный орган придерживается аналогичной позиции и в 2020 году наложил штраф в размере 50 000 евро на организацию, которая поручила одному и тому же лицу выполнять функции сотрудника по защите данных и руководителя отдела соответствия.
Юридическая фирма Graś i Wspólnicy оказывает поддержку предприятиям во внедрении нормативных актов по защите персональных данных и процедур защиты осведомителей. Мы призываем вас связаться с нами.
Данная статья носит исключительно информационный характер и не является юридической консультацией.
Правовой статус по состоянию на 24 апреля 2024 года.
автор:
