Ответственное лицо (DPO)

Что это значит

Ответственное лицо - словацкое название для data protection officer по GDPR. Такое лицо следит за законностью обработки персональных данных, консультирует компанию и служит точкой контакта для субъектов данных и для Управления по защите персональных данных.

С ответственным представителем из лицензионного права у него нет ничего общего, хотя названия звучат похоже. Оно и не отвечает за нарушения: за них отвечает компания, а ответственное лицо проверяет, предупреждает и документирует.

Ответственным лицом может быть и сотрудник, и внешний подрядчик по договору, то есть эту функцию можно отдать на аутсорсинг. В обоих случаях лицо должно быть независимым: ему нельзя указывать, как выполнять задачи, его нельзя наказывать за их выполнение, и отчитывается оно непосредственно высшему руководству, а не начальнику отдела.

Как это работает на практике

Назначить его обязаны орган публичной власти и компания, основная деятельность которой состоит в масштабном регулярном наблюдении за людьми или в масштабной обработке особых категорий данных. У обычного интернет-магазина или бухгалтерской фирмы такой обязанности обычно нет.

Его контакт публикуют и сообщают в управление. Оно работает над реестром операций обработки, над оценкой влияния и над порядком действий при нарушении защиты персональных данных - то есть над тем, что регулятор спрашивает первым.

Если компания назначает ответственное лицо добровольно, хотя не обязана, к нему применяются те же правила, что и к обязательному: независимость, опубликованный контакт, уведомление регулятора и участие во всех вопросах защиты данных. Небольшой фирме мы поэтому скорее советуем поручить кому-то координацию комплаенса в этой области без такого статуса.

На что обратить внимание

Функцию поручают директору, начальнику ИТ или кадровику. Это конфликт интересов: те же люди определяют цели обработки и одновременно должны себя контролировать. На проверке управление такое назначение не признаёт, и компания оказывается там же, где была бы вовсе без ответственного лица, но ещё и со штрафом.

Фирма вводит систему учёта рабочего времени по отпечаткам пальцев, и ответственное лицо никто не спрашивает. Биометрические данные - особая категория, и для такой обработки, как правило, нужна оценка влияния. На проверке нет ни оценки, ни мнения ответственного лица, регулятор вправе запретить обработку, и вложения в систему пропадают.