Адвокат Анна КушнірКоротко про головне
- Як правило, компанії потрібен уповноважений із захисту даних, якщо щонайменше 20 осіб постійно зайняті автоматизованою обробкою персональних даних (§ 38 BDSG).
- Незалежно від кількості працівників обов’язок діє, наприклад, якщо основна діяльність – обробка особливо чутливих даних або масштабне спостереження за людьми (Art. 37 DSGVO).
- Директор, власник або керівник IT, як правило, не підходять через конфлікт інтересів.
- Зовнішній уповноважений має спеціальні знання, не користується особливим захистом від звільнення і часто обходиться дешевше за внутрішнього.
- Навіть без обов’язку призначати уповноваженого всі компанії повинні дотримуватися DSGVO. За порушення загрожують штрафи.
Багато підприємців ставлять собі це питання лише після листа від наглядового органу, запиту клієнта чи платного попередження (Abmahnung): чи потрібен нам узагалі уповноважений із захисту даних (Datenschutzbeauftragter)? Відповідь залежить не лише від розміру компанії, а й від того, які дані ви обробляєте.
Коли уповноважений обов’язковий?
У Німеччині для компаній діє насамперед таке правило: уповноваженого потрібно призначити, якщо як правило, щонайменше 20 осіб постійно зайняті автоматизованою обробкою персональних даних (§ 38 Abs. 1 BDSG).
Важливо:
- Рахують людей, а не ставки – працівники на неповний робочий день, учні та фрилансери теж ураховуються, якщо регулярно працюють із даними.
- «Автоматизована обробка» на практиці означає: хто працює на комп’ютері, ноутбуці або смартфоні з даними клієнтів, електронною поштою чи даними персоналу, той ураховується.
Коли обов’язок діє й за меншої кількості працівників?
Незалежно від кількості персоналу уповноважений потрібен, наприклад, якщо
- ваша основна діяльність – масштабна обробка особливо чутливих даних, наприклад даних про здоров’я (Art. 37 Abs. 1 DSGVO),
- ваша основна діяльність вимагає масштабного регулярного спостереження за людьми, наприклад через відстеження місцезнаходження або трекінг,
- ви здійснюєте обробку, для якої потрібна оцінка впливу на захист даних (Datenschutz-Folgenabschätzung), або обробляєте дані на комерційній основі з метою передачі чи для досліджень ринку та громадської думки (§ 38 Abs. 1 BDSG).
Чи належить ваш випадок до таких, часто неочевидно. Коротка перевірка дає впевненість.
Хто може бути уповноваженим?
Уповноваженому потрібні спеціальні знання у праві захисту даних і практиці (Art. 37 Abs. 5 DSGVO). Крім того, не повинно бути конфлікту інтересів. Тому, як правило, не підходять:
- керівництво та власники компанії,
- керівники IT, відділу кадрів чи маркетингу – тобто люди, які самі вирішують, як обробляються дані.
Про уповноваженого потрібно повідомити наглядовий орган і опублікувати його контактні дані, наприклад у політиці конфіденційності (Art. 37 Abs. 7 DSGVO).
Внутрішній чи зовнішній?
Внутрішній уповноважений: функцію додатково бере на себе працівник. Йому потрібні час і регулярне навчання – і він користується особливим захистом від звільнення, який діє ще рік після завершення цієї роботи (§ 38 Abs. 2 у зв’язку з § 6 Abs. 4 BDSG).
Зовнішній уповноважений: функцію на підставі договору виконує сторонній фахівець. Переваги:
- Знання є одразу, витрати на навчання вас не стосуються.
- Немає особливого захисту від звільнення, договір можна розірвати.
- Немає конфлікту інтересів у власній команді.
- Зазвичай передбачувана щомісячна плата.
Що робить уповноважений?
Він консультує керівництво та працівників, контролює дотримання DSGVO, проводить навчання, супроводжує оцінку впливу на захист даних і є контактною особою для наглядового органу та для суб’єктів даних (Art. 39 DSGVO). Але відповідальність за захист даних залишається на компанії.
А якщо він нам не потрібен?
DSGVO діє й тоді в повному обсязі. Вам усе одно потрібні, зокрема, реєстр операцій з обробки даних (Verzeichnis der Verarbeitungstätigkeiten), правильна політика конфіденційності, договори про обробку даних за дорученням із підрядниками та план дій щодо запитів на надання інформації і витоків даних. За порушення загрожують штрафи та платні попередження.
Як діяти
- Порахуйте: скільки осіб регулярно працюють із персональними даними на комп’ютері?
- Перевірте дані: чи обробляєте ви дані про здоров’я, чи спостерігаєте за людьми, чи є обробка даних вашою бізнес-моделлю?
- Вирішіть: внутрішній чи зовнішній – порівняйте затрати, знання та вартість.
- Призначте й повідомте: письмово призначте уповноваженого, повідомте наглядовий орган і опублікуйте контакти.
- Створіть основу: реєстр операцій з обробки, політика конфіденційності, договори та порядок дій у разі витоків.
Правові підстави та джерела
Стаття містить загальну інформацію про правове становище і не замінює індивідуальної юридичної консультації. Щоб отримати оцінку вашої ситуації, зв’яжіться з нами.