Jedno od češćih pitanja koja se postavljaju kad se spomene GDPR, jest pitanje potrebe imenovanja službenika za zaštitu osobnih podataka. Odgovor na to pitanje nije jednostavan, jer zavisi od nekoliko faktora.
Tko ili što je DPO?
Ali započnimo od početka, tj od pitanja tko je DPO. Prema AZOP-u u sustavu zaštite osobnih podataka u Republici Hrvatskoj brigu o zaštiti osobnih podataka dužan je voditi službenik za zaštitu osobnih podataka kojeg imenuje voditelj ili izvršitelj obrade. Službenik za zaštitu podataka imenuje se na temelju stručnih kvalifikacija, a osobito stručnog znanja o pravu i praksama u području zaštite podataka te sposobnosti izvršavanja zadaća iz članka 39. Službenik za zaštitu podataka može biti član osoblja voditelja obrade ili izvršitelja obrade ili obavljati zadaće na temelju ugovora o djelu.
Službenik za zaštitu podataka može ispunjavati i druge zadaće i dužnosti. Voditelj obrade ili izvršitelj obrade osigurava da takve zadaće i dužnosti ne dovedu do sukoba interesa. Službenik za zaštitu osobnih podataka ne može biti osoba protiv koje se vodi postupak zbog povrede službene dužnosti, kao niti osoba kojoj je izrečena mjera povrede normi etičkog kodeksa i drugih pravila ponašanja donesenih od strane poslodavca.
Odgovornosti
Dakle DPO je osoba koja će se brinuti o osobnim podacima kojima raspolažete u svojoj tvrtki. Odgovorni su za informiranje i savjetovanje voditelja odnosno izvršitelja obrade i njihovih zaposlenika o dobroj praksi i implementaciji propisa iz GDPR-a. DPO-i će također nadzirati procjene rizika i obradu podataka ovisno o njihovoj povjerljivosti, te moraju vršiti konstantan nadzor kako bi na vrijeme uočili eventualne propuste ili slabosti u postupcima obrade. Pri tome smiju vršiti revizije, edukacije osoblja i razne druge aktivnosti podizanja svijesti o zaštiti podataka.
Trebate li ga?
Trebate li ga ili ne, ovisi kao prvo od toga koliko se osobnih podataka obrađuje. Tvrtke, tj. društva kojima je osnovna djelatnost obrada osobnih podataka (primarna djelatnost – znači obrada osobnih podataka nije dodatna djelatnost) te koje provode opsežnu obradu osobnih podataka bi ga trebale. Isto vrijedi i za društva koja provode redovito i sustavno praćenje ispitanika – čime su obuhvaćeni svi oblici praćenja i izrade profila na internetu i šire, pa i za svrhe bihevioralnog oglašavanja.
Nije svejedno kakve podatke obrađujete, postoje posebne kategorije podataka, kao što su rasa, spol, zdravstveni podaci, biometrijski podaci itd., koji se posebno štite, pa stoga ako obrađujete veće količine takvih podataka, trebate službenika za zaštitu podataka.
Zaključak
Što se tiče izbora tko može obnašati tu dužnost, imate dvije opcije. S jedne strane možete imenovati kao službenika nekog od svojih zaposlenika, u kojem slučaju će ta osoba morati paziti na to da njie u sukobu interesa i odvojiti dio svojeg radnog vremena za obavljanje posla kojim se bavi službenik za zaštitu podataka. Druga opcija je da pronađete neku konzultantsku kuću koja pruža usluge DPO-a i da vam oni odrađuju taj posao za vas. I jedno i drugo ima svoje prednosti, a samo na vama je da odlučite što vam je od toga povoljnije ili jednostavnije.
