Уполномоченный по защите данных (Datenschutzbeauftragter): когда он нужен вашей компании – внутренний или внешний?

Многие предприниматели задаются этим вопросом только после письма от надзорного органа, запроса клиента или платного предупреждения (Abmahnung): нужен ли нам вообще уполномоченный по защите данных (Datenschutzbeauftragter)? Ответ зависит не только от размера компании, но и от того, какие данные вы обрабатываете.

Когда уполномоченный обязателен?

В Германии для компаний действует прежде всего такое правило: уполномоченного нужно назначить, если как правило, не менее 20 человек постоянно заняты автоматизированной обработкой персональных данных (§ 38 Abs. 1 BDSG).

Важно:

• Считаются люди, а не ставки – сотрудники на неполный день, ученики и фрилансеры тоже учитываются, если регулярно работают с данными.
• «Автоматизированная обработка» на практике означает: кто работает на компьютере, ноутбуке или смартфоне с данными клиентов, электронной почтой или данными персонала, тот учитывается.

Когда обязанность действует и при меньшем числе сотрудников?

Независимо от численности персонала уполномоченный нужен, например, если

• ваша основная деятельность – масштабная обработка особо чувствительных данных, например данных о здоровье (Art. 37 Abs. 1 DSGVO),
• ваша основная деятельность требует масштабного регулярного наблюдения за людьми, например через отслеживание местоположения или трекинг,
• вы проводите обработку, для которой нужна оценка воздействия на защиту данных (Datenschutz-Folgenabschätzung), или обрабатываете данные на коммерческой основе для передачи или для исследований рынка (§ 38 Abs. 1 BDSG).

Относится ли ваш случай к таким, часто неочевидно. Короткая проверка даёт уверенность.

Кто может быть уполномоченным?

Уполномоченному нужны специальные знания в праве защиты данных и практике (Art. 37 Abs. 5 DSGVO). Кроме того, не должно быть конфликта интересов. Поэтому, как правило, не подходят:

• руководство и владельцы компании,
• руководители IT, отдела кадров или маркетинга – то есть люди, которые сами решают, как обрабатываются данные.

Уполномоченного нужно сообщить в надзорный орган и опубликовать его контактные данные, например в политике конфиденциальности (Art. 37 Abs. 7 DSGVO).

Внутренний или внешний?

Внутренний уполномоченный: функцию дополнительно берёт на себя сотрудник. Ему нужны время и регулярное обучение – и он пользуется особой защитой от увольнения, которая действует ещё год после окончания этой работы (§ 38 Abs. 2 в связи с § 6 Abs. 4 BDSG).

Внешний уполномоченный: функцию на основании договора выполняет специалист со стороны. Преимущества:

• Знания есть сразу, расходы на обучение вас не касаются.
• Нет особой защиты от увольнения, договор можно расторгнуть.
• Нет конфликта интересов в собственной команде.
• Обычно предсказуемая ежемесячная плата.

Что делает уполномоченный?

Он консультирует руководство и сотрудников, контролирует соблюдение DSGVO, проводит обучение, сопровождает оценку воздействия на защиту данных и является контактным лицом для надзорного органа и для субъектов данных (Art. 39 DSGVO). Но ответственность за защиту данных остаётся на компании.

А если он нам не нужен?

DSGVO действует и тогда в полном объёме. Вам всё равно нужны, в частности, реестр обработки данных (Verzeichnis der Verarbeitungstätigkeiten), правильная политика конфиденциальности, договоры об обработке данных по поручению с подрядчиками и план действий при запросах о предоставлении информации и утечках данных. За нарушения грозят штрафы и платные предупреждения.

Как действовать

1. Посчитайте: сколько человек регулярно работают с персональными данными на компьютере?
2. Проверьте данные: обрабатываете ли вы данные о здоровье, наблюдаете ли за людьми, является ли обработка данных вашей бизнес-моделью?
3. Решите: внутренний или внешний – сравните затраты, знания и стоимость.
4. Назначьте и сообщите: письменно назначьте уполномоченного, сообщите в надзорный орган и опубликуйте контакты.
5. Создайте основу: реестр обработки, политика конфиденциальности, договоры и порядок действий при утечках.

Статья содержит общую информацию о правовом положении и не заменяет индивидуальную юридическую консультацию. Чтобы получить оценку вашей ситуации, свяжитесь с нами.