Хто такий співробітник із захисту даних?
Функція спеціаліста із захисту даних (DPO) регулюється статтею 37 GDPR, яка визначає обставини, за яких контролер зобов’язаний призначити особу, відповідальну за аспекти, пов’язані із захистом даних, коли:
- обробка здійснюється органом державної влади або установою, за винятком судів, що здійснюють свої судові повноваження;
- основна діяльність контролера або обробника полягає в операціях з обробки, які за своїм характером, обсягом або цілями вимагають регулярного та систематичного моніторингу суб’єктів даних у великих масштабах;
- основна діяльність контролера або обробника полягає у масштабній обробці спеціальних категорій персональних даних та персональних даних, що стосуються кримінальних вироків та правопорушень.
Незалежність Уповноваженого з захисту даних
Слід зазначити, що Служба захисту даних повинна зберігати незалежність, тобто їй заборонено видавати обов'язкові до виконання накази чи інструкції щодо виконання своїх обов'язків. Для досягнення цієї мети Служба захисту даних повинна звітувати перед найвищим керівництвом контролера або обробника. Крім того, з нею необхідно консультуватися з усіх питань та нових ініціатив, які можуть, навіть опосередковано, стосуватися обробки персональних даних.
IOD та викривачі
Одним із таких питань, до якого Служба захисту даних (СЗД) має бути певною мірою залучена, є захист викривачів. Для забезпечення належного рівня безпеки даних і, як наслідок, запобігання репресіям, СЗД вкрай важливо брати участь у процесі впровадження внутрішніх правил щодо викривачів в організації контролера. Це означає, що вони повинні переглядати відповідні політики та процедури захисту даних та пом'якшувати ризики, пов'язані з обробкою персональних даних викривачів. Крім того, вони повинні брати участь у виборі відповідних ІТ-систем для обробки повідомлень, надавати рекомендації щодо належної безпеки каналів зв'язку та реєстрів, а також розробляти інструкції щодо безпечного зберігання таких даних. На наступних етапах СЗД виступає контактною особою для вирішення будь-яких питань, пов'язаних із захистом персональних даних викривачів.
Ризик конфлікту інтересів
Роль спеціаліста з захисту даних може поєднуватися з іншими завданнями, тому спеціаліст з захисту даних потенційно також може бути залучений до процесу отримання повідомлень та проведення розслідувань. Однак важливо, щоб він не розглядав повідомлення викривачів про порушення конфіденційності та захисту персональних даних. У такому випадку спеціаліст з захисту даних стане, у певному сенсі, «суддею у власній справі.
Аспекти, пов’язані з управлінням викривачами, слід делегувати особам, які займаються комплаєнсом, щоб уникнути конфлікту інтересів з обов’язками співробітника з питань захисту даних. Тому рекомендується уникати поєднання функцій в обох відділах. Зокрема, важливо відокремити ролі співробітника з питань захисту даних від функцій співробітника з питань комплаєнсу, особи, відповідальної за забезпечення відповідності діяльності компанії внутрішньо прийнятим процедурам та політикам.
Бельгійський наглядовий орган займає аналогічну позицію та у 2020 році наклав штраф у розмірі 50 000,00 євро на організацію, яка доручила виконання функцій DPO та керівника відділу комплаєнсу одній особі.
Юридична фірма «Graś i Wspólnicy» допомагає підприємствам у впровадженні правил захисту персональних даних та процедур викриття неправомірних дій. Закликаємо вас зв’язатися з нами.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Правовий статус станом на 24 квітня 2024 року.
автор:
