Am observat o \u00een\u021belegere neunitar\u0103, a pozi\u021biei de DPO la nivelul societ\u0103\u021bilor comerciale . Risc\u00e2nd s\u0103 scriu \u00a0cel mai controversat articol p\u00e2n\u0103 \u00een prezent, voi prezenta rolul DPO-ului nu numai prin Regulamentul 679\/2016, dar \u0219i prin aspectele practice pe care autoritatea le-a luat \u00een calcul \u00een cadrul controalelor efectuate la societ\u0103\u021bile comerciale.<\/p>\n
\u00a0<\/strong><\/p>\n Conform Regulamentului 679\/2016 privind Protec\u021bia Datelor cu Caracter Personal, sunt operatorii toate autorit\u0103\u021bile sau organismele publice, \u0219i toate societ\u0103\u021bile private care au ca activitate principal\u0103 sau prelucreaz\u0103 \u201epe scar\u0103 larg\u0103\u201d <\/em>datele cu caracter personal.<\/strong><\/p>\n Dac\u0103 este lesne de \u00een\u021beles c\u0103 intr\u0103 \u00een prima categorie toate institu\u021biile publice, \u00een ceea ce prive\u0219te domeniul privat exist\u0103 o \u00een\u021belegere neunitar\u0103 a societ\u0103\u021bilor comerciale privind obliga\u021bia de a angaja sau colabora cu un DPO.<\/p>\n \u00cen ceea ce prive\u0219te activitatea principal\u0103 toate b\u0103ncile, spitalele, agen\u021biile de turism, societ\u0103\u021bile care furnizeaz\u0103 gaz, energie electric\u0103, ap\u0103, firmele care prelucreaz\u0103 \u00een mod curent datele persoanelor fizice s-au sesizat \u0219i au angajat sau au semnat colabor\u0103ri instant cu un DPO. \u00a0Nu acela\u0219i lucru s-a \u00eent\u00e2mplat cu firmele care nu intr\u0103 \u00een prima categorie, dar prelucreaz\u0103 pe scar\u0103 larg\u0103 datele cu caracter personal.<\/p>\n Regulamentul neexplic\u00e2nd sintagma \u201escar\u0103 larg\u0103\u201d, interpret\u0103rile au fost c\u00e2t se poate de personale. Autoritatea de supraveghere a venit cu o clarificare, spun\u00e2nd c\u0103 sunt excepta\u021bi cabinetele de avocat sau cabinetele medicale, unde datele cu caracter personal sunt la c\u00e2teva sute de persoane, aceste organiza\u021bii av\u00e2nd oricum \u0219i prin statut obliga\u021bia de a p\u0103stra confiden\u021bialitatea datelor personale (https:\/\/www.dataprotection.ro\/?page=Responsabilul_cu_protectia_datelor<\/a>).<\/p>\n Prin urmare, \u00a0\u00een cazul \u00een care o societate comercial\u0103, chiar de dimensiunea mic\u0103, cu c\u00e2\u021biva angaja\u021bi, prelucreaz\u0103 datele cu caracter personal al c\u00e2torva mii de persoane fizice este obligat s\u0103 aib\u0103 un DPO. \u00cen aceast\u0103 categorie intr\u0103 toate societ\u0103\u021bile \u00een domeniul produselor cosmetice, firmele de accesorii sau de \u00eembr\u0103c\u0103minte, toate firmele care presteaz\u0103 activit\u0103\u021bi de dezvoltare personal\u0103, etc., dac\u0103 au o baz\u0103 de date de mii de persoane.<\/p>\n \u00a0<\/strong><\/p>\n Comitetul European pentru Protec\u021bia Datelor (CEPD- \u00a0https:\/\/edpb.europa.eu\/about-edpb\/about-edpb_ro<\/a> ) a adoptat un ghid prin care a \u00eencercat s\u0103 clarifice ce obliga\u021bii au operatorii, respectiv ce obliga\u021bii au persoanele \u00eemputernicite de operatori, care prelucreaz\u0103 datele pentru operatori.<\/p>\n Aceste persoane juridice, de multe ori, prest\u00e2nd \u00a0servicii externalizate, \u00a0chiar dac\u0103 nu prelucreaz\u0103 pentru ei, \u0219i per se nu ar \u00eentruni obliga\u021bia de a contracta sau angaja un DPO, ei sunt obliga\u021bi s\u0103 urmeze linia trasat\u0103 de operatori privind politica GDPR, \u0219i acest aspect este valabil \u0219i privind similitudinea \u00een ceea ce prive\u0219te rolul de DPO.<\/p>\n \u00a0<\/strong><\/p>\n Av\u00e2nd \u00een vedere c\u0103 Regulamentul prevede cunoa\u0219terea la nivel avansat al legisla\u021biei privind protec\u021bia datelor \u0219i a legisla\u021biei europene, unele societ\u0103\u021bi au mers pe regul\u0103 \u0219i au angajat juri\u0219ti sau avoca\u021bi \u00een rolul de DPO ( \u0219i aici doar subliniem exemplele pozitive ale b\u0103ncilor OTPhttps:\/\/www.otpbank.ro\/hu<\/a>, Alphabank https:\/\/www.alphabank.ro\/<\/a>, sau societatea comercial\u0103 Krukhttps:\/\/ro.kruk.eu\/clienti-cu-datorii<\/a>, de care avem informa\u021bia cert\u0103) al\u021bii au considerat, c\u0103 o simpl\u0103 lecturare, sau cuno\u0219tin\u021be legislative sunt suficiente \u00een a \u00eendeplini \u0219i exercita acest rol.<\/p>\n F\u0103r\u0103 a subestima cuno\u0219tin\u021bele acestor persoane, care pot dep\u0103\u0219i c\u00e2teodat\u0103 cel al juri\u0219tilor sau avoca\u021bilor, trebuie pus\u0103 \u00eentrebarea cum ap\u0103r\u0103 aceste persoane pozi\u021bia societ\u0103\u021bii privind aplicarea Regulamentului, \u0219i dac\u0103 pot consilia societatea, prin implementarea altor legisla\u021bii la nivel de UE, cum este Directiva NIS, sau Regulamentul 2018\/1725. Dac\u0103 r\u0103spunsul este pozitiv chiar este recomandabil colaborarea continu\u0103, \u00eens\u0103 dac\u0103 prevederile nu sunt tocmai \u00eendeplinite avem o situa\u021bie \u00een care societatea este pasibil\u0103 de o amend\u0103 deloc neglijabil\u0103 (care poate ajunge la c\u00e2teva zeci sau sute de mii de euro sau chiar s\u0103-i fie restric\u021bionat prelucrarea).<\/p>\n \u00cen ceea ce prive\u0219te persoana unui DPO, art. 38(3) din GDPR stabile\u0219te anumite garan\u021bii de baz\u0103 pentru a se asigura c\u0103 DPO este \u00een m\u0103sur\u0103 s\u0103-\u0219i \u00eendeplineasc\u0103 sarcinile cu un grad suficient de autonomie \u00een cadrul organiza\u021biei.<\/p>\n \u00cen special, operatorii\/persoanele \u00eemputernicite de operator, trebuie s\u0103 se asigure c\u0103 DPO \u201enu prime\u0219te niciun fel de<\/em> instruc\u021biuni \u00een ceea ce prive\u0219te \u00eendeplinirea sarcinilor sale\u201d. La <\/em>considerentul 97 se adaug\u0103 faptul c\u0103 DPO \u201eindiferent dac\u0103 este sau nu angajat al operatorului, ar trebui s\u0103 fie \u00een m\u0103sur\u0103 s\u0103 \u00ee\u0219i \u00eendeplineasc\u0103 atribu\u021biile \u0219i sarcinile \u00een mod independent\u201d.<\/em> De asemenea art. 38(3) impune ca DPO s\u0103 nu \u201efie demis sau sanc\u021bionat de operator sau persoana \u00eemputernicit\u0103 de operator pentru \u00eendeplinirea sarcinilor sale\u201d.<\/em><\/p>\n Prevederile determin\u0103 o autonomie, a DPO-ului, care trebuie p\u0103strat\u0103 pentru a \u00eendeplini rolul de observator, \u00een cadrul prelucr\u0103rii datelor, doar \u00een acest fel DPO-ul poate s\u0103 intervin\u0103 cu sfaturi permanente privind \u00eembun\u0103t\u0103\u021birea procesului prelucr\u0103rii.<\/p>\n De asemenea , Regulamentul prevede, c\u0103 nimic nu \u00eempiedic\u0103 DPO-ul, s\u0103 aib\u0103 \u0219i alte roluri sau func\u021bii \u00een cadrul societ\u0103\u021bii (Art. 38(6)), av\u00e2nd \u00een vedere \u0219i volumul redus de activitate care trebuie efectuat\u0103 lunar.<\/p>\n Vom analiza \u00een cele ce urmeaz\u0103 sarcinile expres prev\u0103zute de Regulament al unui DPO, at\u00e2t \u00een ceea ce prive\u0219te prevederile legale, c\u00e2t \u0219i aplicabilitatea practic\u0103, av\u00e2nd \u00een vedere controalele numeroase ale autorit\u0103\u021bii de supraveghere \u00een domeniul protec\u021biei datelor cu caracter personal, ANSPCD.<\/p>\n a). Monitorizarea respect\u0103rii GDPR <\/strong><\/p>\n Art. 39(1) b) \u00eencredin\u021beaz\u0103 DPO, obliga\u021bia de a monitoriza respectarea GDPR-ului. \u00cen acest sens, DPO are obliga\u021bia de a colecta informa\u021bii pentru a identifica opera\u021biunilor de prelucrare, de a analiza conformitatea opera\u021biunilor prelucrare, \u0219i de a emite recomand\u0103ri operatorului sau persoanei \u00eemputernicite de operator.<\/p>\n b). Evaluarea impactului opera\u021biunilor de prelucrare <\/strong><\/p>\n \u00cen ceea ce prive\u0219te o evaluare a impactului opera\u021biunilor de prelucrare (\u201eDPIA\u201d) art. 35(1) GDPR , operatorul \u00eel face, chiar \u0219i cu un ter\u021b, dar DPO poate avea un rol foarte important \u0219i util \u00een asistarea operatorului. Art. 35(2) prevede \u00een mod expres ca operatorul \u201es\u0103 solicite avizul\u201d <\/em>DPO la realizarea DPIA. La r\u00e2ndul s\u0103u, art. 39(1) c) prevede ca \u0219i sarcin\u0103 pentru DPO \u201es\u0103 ofere consiliere la cerere \u00een ceea ce prive\u0219te DPIA \u0219i s\u0103 monitorizeze func\u021bionarea acesteia\u201d.<\/em><\/p>\n c). Cooperarea cu autoritatea de supraveghere \u0219i asumarea rolului de punct de contact <\/strong><\/p>\n Art. 39(1)d) \u0219i c),din GDPR prevede rolul DPO, care ac\u021bioneaz\u0103 ca punct de contact \u00eentre autoritate \u0219i societate, pentru a facilita accesul autorit\u0103\u021bii de supraveghere la documente \u0219i informa\u021bii pentru \u00eendeplinirea atribu\u021biilor acestuia de exercitare a competen\u021belor de investigarea, corectare, autorizare \u0219i consultare.<\/p>\n d). Abordarea bazat\u0103 pe risc <\/strong><\/p>\n Art. 39(2) din GDPR impune ca DPO \u201es\u0103 \u021bin\u0103 seam\u0103 \u00een mod corespunz\u0103tor de riscul asociat opera\u021biunilor de prelucrare, lu\u00e2nd \u00een considerare natura, domeniul de aplicare, contextul \u0219i scopurile prelucr\u0103rii\u201d.<\/em><\/p>\n Articolul subliniaz\u0103 personalizarea opera\u021biunilor (fa\u021b\u0103 de abordarile generaliste ce le reg\u0103sim \u00een kit-uri sau cursuri) c\u00e2t \u0219i concentrarea efortului pentru DPO, \u00een zonele majore de risc.<\/p>\n e). Rolul DPO \u00een p\u0103strarea eviden\u021bei <\/strong><\/p>\n Art. 30(1) \u0219i (2) prevede obliga\u021bia operatorului sau persoanei \u00eemputernicit\u0103 de operator, \u0219i nu DPO, are obliga\u021bia de a \u201ep\u0103stra o eviden\u021b\u0103 a opera\u021biunilor de prelucrare desf\u0103\u0219urate sub responsabilitatea sa\u201d <\/em>\u00eens\u0103 \u00ee<\/em>n practic\u0103, DPO de\u021bine un registru al opera\u021biunilor de prelucrare pe baza informa\u021biilor furnizate de diferitele departamente din cadrul organiza\u021biei responsabile cu prelucrarea datelor cu caracter personal.<\/p>\n \u00cen speran\u021ba c\u0103 am reu\u0219it s\u0103 clarific, rolul pozi\u021biei v\u0103 stau la dispozi\u021bie pentru orice \u00eentrebare privind regulamentul, aplicabilitatea acesteia, conexiunea cu directiva NIS, sau alte aspecte \u00een conexiune cu acesta.<\/p>\n\n
\n
\n
\n