Cine are nevoie de DPO? Când este obligatoriu responsabilul cu protecția datelor

Cine are nevoie de DPO, pe scurt?

Un responsabil cu protecția datelor (DPO, din engleză Data Protection Officer) este obligatoriu în trei situații, prevăzute de art. 37 alin. (1) din GDPR:

1. lit. a) prelucrarea este efectuată de o autoritate sau un organism public, cu excepția instanțelor care acționează în exercitarea funcției lor judiciare;
2. lit. b) activitățile principale ale operatorului sau ale persoanei împuternicite constau în operațiuni care, prin natura, domeniul de aplicare sau scopurile lor, necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă;
3. lit. c) activitățile principale constau în prelucrarea pe scară largă a categoriilor speciale de date (art. 9) sau a datelor privind condamnări penale și infracțiuni (art. 10).

La acestea se adaugă, în România, art. 4 din Legea 190/2018: operatorul care prelucrează CNP-ul în temeiul interesului legitim trebuie să instituie garanții, printre care numirea unui responsabil cu protecția datelor. În afara acestor situații, desemnarea unui DPO este voluntară (art. 37 alin. 4), dar rămâne o măsură utilă pentru a demonstra responsabilitatea cerută de art. 5 alin. (2).

Obligația se aplică și persoanelor împuternicite, nu doar operatorilor. O firmă care prelucrează date în numele clienților poate avea ea însăși obligația de a desemna DPO.

Ce înseamnă art. 37 alin. (1) lit. a) pentru instituțiile publice?

Orice autoritate sau organism public trebuie să aibă DPO, indiferent de mărime sau de volumul datelor. Criteriul este natura juridică a entității, nu riscul prelucrării.

Intră aici, de exemplu: primăriile și consiliile locale, consiliile județene, agențiile și direcțiile județene, serviciile publice deconcentrate, unitățile de învățământ de stat, spitalele publice, direcțiile de asistență socială. Pentru specificul acestor entități puteți consulta paginile noastre despre GDPR în primării și GDPR în instituțiile publice.

Art. 37 alin. (3) permite ca mai multe autorități sau organisme publice să desemneze un singur DPO comun, ținând cont de structura organizatorică și de dimensiunea lor. Condiția practică este ca DPO să poată îndeplini efectiv sarcinile pentru fiecare dintre ele.

Ce înseamnă „monitorizare periodică și sistematică pe scară largă” (lit. b)?

Lit. b) se aplică atunci când monitorizarea persoanelor este chiar activitatea principală a organizației, nu o activitate auxiliară. Trebuie îndeplinite simultan trei condiții: activitate principală, monitorizare periodică și sistematică, scară largă.

• Activitate principală înseamnă operațiunile esențiale pentru atingerea obiectivelor organizației (considerentul 97). Salarizarea, suportul IT sau supravegherea video a sediului sunt activități auxiliare pentru aproape orice firmă.
• Monitorizare periodică și sistematică înseamnă urmărirea continuă sau recurentă, organizată metodic. Exemple date de Grupul de lucru Articolul 29 în ghidul privind DPO: operarea unei rețele de telecomunicații, profilarea pentru evaluarea riscului de credit sau stabilirea primelor de asigurare, programe de fidelizare, urmărirea locației prin aplicații mobile, publicitate comportamentală, monitorizarea prin dispozitive conectate.
• Scară largă nu are un prag numeric în GDPR. Se apreciază după numărul persoanelor vizate, volumul și varietatea datelor, durata prelucrării și întinderea geografică.

Ce înseamnă prelucrarea pe scară largă a datelor sensibile (lit. c)?

Lit. c) se aplică organizațiilor a căror activitate principală este prelucrarea pe scară largă a datelor de sănătate, genetice, biometrice sau a altor categorii din art. 9, ori a datelor privind condamnări penale. Un spital sau o rețea de clinici se încadrează clar aici, pentru că prelucrarea datelor medicale este inseparabilă de activitatea lor.

Considerentul 91 al GDPR precizează că prelucrarea datelor pacienților sau clienților de către un medic individual, un alt profesionist din domeniul sănătății sau un avocat nu ar trebui considerată ca fiind pe scară largă. De aceea un cabinet medical individual nu are, de regulă, obligația de a desemna DPO, deși trebuie să respecte toate celelalte reguli. Detalii în pagina despre GDPR pentru cabinete medicale.

Ce organizații sunt obligate să aibă DPO? Tabel orientativ

Tabelul de mai jos este orientativ. Încadrarea finală depinde de activitățile concrete ale organizației și trebuie documentată.

O precizare pentru IMM-uri: prelucrarea CNP-ului angajaților pentru salarizare și declarații fiscale se face în temeiul unei obligații legale (art. 6 alin. 1 lit. c), nu al interesului legitim, deci nu declanșează singură obligația din Legea 190/2018. Dacă însă colectați copii ale actelor de identitate ale clienților sau vizitatorilor fără o obligație legală, situația trebuie analizată. Pentru firme, vedeți și pagina despre GDPR pentru firme și IMM-uri.

Ce condiții trebuie să îndeplinească DPO?

DPO se desemnează pe baza calităților profesionale și, în special, a cunoștințelor de specialitate în legislația și practicile din domeniul protecției datelor, precum și a capacității de a îndeplini sarcinile de la art. 39 (art. 37 alin. 5). Nivelul de expertiză necesar depinde de complexitatea și de sensibilitatea prelucrărilor.

Alte reguli din art. 37:

• alin. (2) un grup de întreprinderi poate numi un singur DPO, cu condiția ca acesta să fie ușor accesibil din fiecare sediu;
• alin. (6) DPO poate fi membru al personalului sau își poate îndeplini sarcinile pe baza unui contract de servicii, adică extern;
• alin. (7) operatorul publică datele de contact ale DPO și le comunică autorității de supraveghere. ANSPDCP pune la dispoziție pe dataprotection.ro modalitatea de comunicare a acestor date.

Ce garanții de independență are DPO?

Art. 38 din GDPR cere ca DPO să lucreze independent și fără conflict de interese. Concret:

• este implicat corespunzător și în timp util în toate aspectele legate de protecția datelor (alin. 1);
• primește resursele necesare, acces la date și la operațiunile de prelucrare (alin. 2);
• nu primește instrucțiuni privind modul de îndeplinire a sarcinilor, nu poate fi demis sau sancționat pentru îndeplinirea lor și raportează direct celui mai înalt nivel al conducerii (alin. 3);
• persoanele vizate îl pot contacta direct pentru orice problemă legată de datele lor (alin. 4);
• are obligația de secret sau de confidențialitate (alin. 5);
• poate avea și alte sarcini, dar operatorul se asigură că acestea nu generează conflict de interese (alin. 6).

Conflictul de interese apare atunci când persoana ar ajunge să stabilească ea însăși scopurile și mijloacele prelucrării. Ghidul Grupului de lucru Articolul 29 dă ca exemple funcțiile de conducere: director general, director financiar, șef de resurse umane, șef IT, șef de marketing. Din acest motiv, în multe instituții mici un DPO extern rezolvă mai simplu problema independenței.

Ce sarcini are DPO?

Art. 39 alin. (1) enumeră cel puțin următoarele sarcini:

1. informează și consiliază operatorul și angajații cu privire la obligațiile lor;
2. monitorizează respectarea GDPR și a politicilor interne, inclusiv alocarea responsabilităților, acțiunile de sensibilizare, instruirea personalului și auditurile;
3. oferă consiliere privind evaluarea impactului asupra protecției datelor (DPIA) și monitorizează realizarea acesteia (art. 35);
4. cooperează cu autoritatea de supraveghere;
5. este punct de contact pentru autoritatea de supraveghere.

O nuanță importantă: DPO nu răspunde personal pentru conformitate. Răspunderea rămâne a operatorului sau a persoanei împuternicite (art. 24). DPO este consilierul și controlorul intern, nu cel care semnează în locul conducerii.

DPO intern sau DPO extern?

Ambele variante sunt legale. Alegerea ține de resurse, de volumul prelucrărilor și de riscul de conflict de interese.

Cum vă putem ajuta

KRASP DPO S.R.L. preia rolul de responsabil cu protecția datelor extern pentru primării, agenții județene și firme private, din 2018. Pentru organizațiile sub 40 de angajați, abonamentul este de 1.500 lei pe trimestru. Detaliile sunt pe pagina de prețuri. Dacă nu sunteți sigur că aveți obligația de a desemna DPO, putem face o analiză a situației prin consultanță GDPR. După desemnare, verificați și lista documentelor GDPR obligatorii. Ne puteți contacta la 0735 77 66 73.