Conform regulamentului general privind protecţia datelor personale (GDPR), companiile care se ocupă de prelucrarea datelor personale ale persoanelor fizice au obligația de a angaja un responsabil cu protecția datelor – sau, pe scurt, un DPO. Din 25 mai 2018, de la intrarea în vigoare a normelor GDPR, tot mai multe organizații care activează în spațiul U.E. au înțeles că este necesar să se conformeze prevederilor acestui nou cadru legislativ și nu doar pentru a scăpa de sancțiuni.

De aceea, când vine vorba despre desemnarea unei persoane instruite care să ocupe postul de Data Protection Officer, trebuie să se aibă în vedere mai multe aspecte, cum ar fi:

Situațiile în care se aplică obligativitatea angajării unui DPO

Conform mențiunilor din Regulamentul de Protecție a Datelor, există trei cazuri în care se impune angajarea unui DPO, respectiv:
Dacă prelucrarea este efectuată de către o autoritate sau un organism public;

Dacă activitățile principale ale companiei sau ale persoanei împuternicite de către aceasta implică operațiuni de prelucrare ce necesită monitorizare constantă și sistematică pe scară largă a persoanelor vizate;

Dacă activitățile principale ale companiei sau ale persoanei împuternicite de operator constau în prelucrarea la scară largă a unor categorii speciale de date cu caracter personal – cum ar fi cele referitoare la infracțiuni și condamnări penale.

Cea de-a doua categorie impactează un număr mare de companii

Cel de-al treilea scenariu prezentat anterior merită o atenție deosebită în acest material, tocmai pentru că el afectează majoritatea companiilor. De exemplu, dacă vorbim despre o firmă al cărei obiect de activitate principal presupune comercializarea de produse prin intermediul unei platforme online, va fi necesară numirea unui DPO. Pe scurt, se supun obligativității angajării unui responsabil cu prelucrarea datelor în cazul magazinelor online, băncilor, spitalelor, clinicilor private, farmaciilor, dar nu numai.

DPO-ul poate fi o persoană fizică sau juridică deja angajată în firmă sau un specialist extern

Foarte important de menționat este că DPO-ul poate fi atât un salariat vechi, cât și un nou angajat. De asemenea, există posibilitatea contractării unui specialist extern, cum ar fi o companie specializată care oferă astfel de servicii de DPO externalizat.

Avantajele contractării unei echipe externe de DPO sunt multiple, graţie faptului că un DPO externalizat deţine o experienţă practică relevantă, o bună cunoaştere a practicilor din domeniu şi poate identifica cu uşurinţă riscurile. De asemenea, contractarea unei echipe externe de DPO vine însoţită de o experienţă vastă în programe de training şi în gestionarea relaţiilor cu managementul, gestionarea breşelor de securitate şi în comunicarea cu autoritatea şi persoanele avizate. Întrucât în cazul unui DPO externalizat, responsabilul cu protecţia datelor face parte dintr-o echipă multidisciplinară, alături de specialişti în IT, juridic, securitate fizică, management şi nu numai, experienţa membrilor acestei echipe va fi pusă în serviciul companiei.

Prevederile Regulamentului accentuează însă caracterul unipersonal (chiar și atunci când postul în cauză are în spate un întreg departament). Practic, postul de DPO poate fi ocupat de o singură persoană, fizică sau juridică, care va fi și cea indicată de Autoritatea Națională pentru Supravegherea Prelucrării Datelor cu Caracter Personal, în informările către persoanele vizate, dar și în studiile de impact.

DPO-ul beneficiază de un mare grad de independență în cadrul firmei

Potrivit Regulamentului european, responsabilul cu protecția datelor nu va primi instrucțiuni despre modul în care trebuie să își îndeplinească sarcinile de serviciu. În același timp, el nu poate fi sancționat sau demis, de către operator sau persoana împuternicită de operator, pentru că își desfășoară task-urile impuse de postul pe care îl ocupă. DPO-ul se subordonează direct celui mai înalt nivel al conducerii operatorului şi are numeroase obligatii si responsabilitati, printre care obligaţia de a păstra secretul sau confidenţialitatea cu privire la îndeplinirea sarcinilor sale.

Independenţa DPO-ului este esenţială, atât în cazul în care acesta este angajat al operatorului, cât şi în cazul unui DPO externalizat. Independenţa responsabilului cu protecţia datelor este garantată prin asigurarea că nu există instrucţiuni din partea operatorului cu privire la exercitarea sarcinilor şi nici conflicte de interese cu posibile alte sarcini şi atribuţii, dar şi prin imposibilitatea demiterii acestuia pe baza unor argumente legate îndeplinirea sarcinilor sale. Cu toate acestea, conducerea poate ajunge la concluzii diferite de cele ale DPO-ului şi poate decide concedierea acestuia, asumându-şi consecinţele.