Responsabilul cu protecția datelor (DPO — Data Protection Officer) este persoana care supraveghează, în mod independent, conformitatea unei organizații cu regulile GDPR. Desemnarea lui este obligatorie pentru autoritățile publice, organizațiile a căror activitate principală constă în monitorizarea pe scară largă a persoanelor și cele care prelucrează pe scară largă categorii speciale de date sau date penale. DPO trebuie declarat la ANSPDCP.
Responsabilul cu protecția datelor (DPO) este instituit de Regulamentul (UE) 2016/679 — GDPR pentru a asigura conformitatea independentă a organizațiilor cu regulile de protecție a datelor cu caracter personal.
Când este obligatorie desemnarea
Conform art. 37 GDPR, desemnarea unui DPO este obligatorie în trei situații distincte. Este suficient ca una singură să se întâmple:
-
Autoritățile și organismele publice — orice autoritate sau organism public trebuie să aibă un DPO, indiferent de tipul sau volumul datelor prelucrate. Aceasta cuprinde ministere, primării, agenții publice, instituții de învățământ și spitale publice.
-
Monitorizarea pe scară largă — organizațiile a căror activități principale constau în monitorizarea periodică și sistematică a persoanelor, la scară largă. Exemple includ retargeting prin e-mail, marketing bazat pe date, prevenirea fraudei, publicitate comportamentală și supravegherea video.
-
Prelucrarea de date sensibile la scară largă — organizațiile care prelucrează, la scară largă, categorii speciale de date (date de sănătate, biometrice, privind convingeri religioase) sau date privind condamnări penale și infracțiuni.
Rolul și independența DPO
Potrivit documentelor de numire și atribuții de DPO, DPO trebuie să posede cunoștințe de specialitate în legislația și practicile de protecție a datelor și să își exercite atribuțiile în mod independent. Organizația nu poate îi da instrucțiuni privind modul de exercitare a funcției, nici nu poate să-l demită pentru îndeplinirea responsabilităților sale. DPO raportează direct către cel mai înalt nivel de conducere și trebuie să aibă acces la datele și operațiunile necesare pentru a-și îndeplini sarcinile.
Atribuții principale
DPO are obligația să informeze și să consilieze organizația cu privire la conformitatea GDPR, să monitorizeze respectarea regulamentului și a politicilor interne, să ofere consiliere asupra evaluării de impact asupra protecției datelor (DPIA), să coopereze cu autoritatea de supraveghere și să acționeze ca punct de contact pentru aceasta.
Forme de angajare și responsabilitate
DPO poate fi angajat al organizației (DPO intern) sau prestator extern. Un grup de organizații poate numi un singur DPO comun. Importantă este precizarea că responsabilitatea conformității cu GDPR revine organizației, nu DPO — acesta informează, consiliază și monitorizează, dar nu decide și nu răspunde pentru neconformitățile organizației.
Întrebări frecvente
Orice organizație trebuie să aibă un DPO? Nu. Obligația apare doar în trei cazuri: autoritățile și organismele publice, organizațiile a căror activitate principală constă în monitorizarea pe scară largă a persoanelor și cele care prelucrează pe scară largă categorii speciale de date sau date penale. Multe IMM-uri și microîntreprinderi nu sunt obligate.
Ce se întâmplă dacă nu desemnez DPO deși sunt obligat? Pentru operatorii privați, nedesemnarea DPO când este obligatorie încalcă art. 37 GDPR și poate atrage amenzi administrative de până la 10.000.000 EUR sau 2% din cifra de afaceri anuală mondială. Pentru autoritățile publice din România, ANSPDCP aplică întâi avertisment și plan de remediere, iar amenda (10.000–100.000 lei) intervine doar dacă măsurile nu sunt luate.
Poate DPO fi angajat extern? Da. DPO poate fi angajat al organizației (DPO intern) sau prestator extern, pe bază de contract de servicii. Un grup de organizații poate numi și un singur DPO comun, cu condiția ca acesta să fie ușor accesibil din fiecare unitate.