Відповідальна особа (DPO)

Що це означає

Відповідальна особа - словацька назва для data protection officer за GDPR. Така особа стежить за законністю обробки персональних даних, консультує компанію і є точкою контакту для суб’єктів даних та для Управління із захисту персональних даних.

З відповідальним представником із ліцензійного права вона не має нічого спільного, хоча назви звучать схоже. Вона й не відповідає за порушення: за них відповідає компанія, а відповідальна особа перевіряє, попереджає і документує.

Відповідальною особою може бути і працівник, і зовнішній підрядник за договором, тобто цю функцію можна віддати на аутсорсинг. В обох випадках особа має бути незалежною: їй не можна вказувати, як виконувати завдання, її не можна карати за їх виконання, і звітує вона безпосередньо вищому керівництву, а не начальнику відділу.

Як це працює на практиці

Призначити її зобов’язані орган публічної влади і компанія, основна діяльність якої полягає в масштабному регулярному спостереженні за людьми або в масштабній обробці особливих категорій даних. У звичайного інтернет-магазину чи бухгалтерської фірми такого обов’язку зазвичай немає.

Її контакт публікують і повідомляють управлінню. Вона працює над реєстром операцій обробки, над оцінкою впливу і над порядком дій при порушенні захисту персональних даних - тобто над тим, що регулятор запитує першим.

Якщо компанія призначає відповідальну особу добровільно, хоча не зобов’язана, до неї застосовуються ті самі правила, що й до обов’язкової: незалежність, оприлюднений контакт, повідомлення регулятора і участь в усіх питаннях захисту даних. Невеликій фірмі ми тому радше радимо доручити комусь координацію комплаєнсу в цій сфері без такого статусу.

На що звернути увагу

Функцію доручають директору, начальнику ІТ або кадровику. Це конфлікт інтересів: ті самі люди визначають цілі обробки і водночас мали б себе контролювати. На перевірці управління таке призначення не визнає, і компанія опиняється там само, де була б і зовсім без відповідальної особи, але ще й зі штрафом.

Фірма запроваджує систему обліку робочого часу за відбитками пальців, і відповідальну особу ніхто не питає. Біометричні дані - особлива категорія, і для такої обробки, як правило, потрібна оцінка впливу. На перевірці немає ні оцінки, ні думки відповідальної особи, регулятор має право заборонити обробку, і вкладення в систему пропадають.