GDPR U PRAKSI
IMENUJMO BILO KOGA ZA DPO-A …
ILI NE BAŠ ?
Problemi na koje smo naišli prilikom imenovanja kvalificiranog službenika za zaštitu podataka (Data Protection Officer)
.
1. MISAO: Treba nam DPO!
Znali smo da će određeni voditelji i izvršitelji obrade podataka morati imenovati kvalificiranog službenika za zaštitu podataka (DPO – Data Protection Officer) koji će paziti na to posluju li u skladu s Uredbom.
2. MISAO: Ups, imamo problem!
Mi smo za DPO-a htjeli imenovati voditelja razvoja poslovanja, ali on obrađuje osobne podatke. Nakon toga smo izabrali analitičara, no ni to nije dolazilo u obzir, direktor marketinga i uredništva također… Sigurno i vi imate isti problem!
3. MISAO: Rješenje je …
Nitko iz tvrtke ne može biti DPO, jer voditelji odjela određuju svrhu i sredstva obrade podataka, dok drugi zaposleni nisu dovoljno kvalificirani za ovu poziciju. Jedina mogućnost je imenovanje vanjskog DPO-a!
ŠTO SVE MORA ZNATI DPO?
Zašto nitko od nas nije bio primjeran za ovu poziciju?
Razlozi zbog kojih voditelji odjela ne mogu preuzeti ovu funkciju
DPO mora biti neovisan i ne smije dobivati upute od voditelja podataka. Mora učinkovito komunicirati s pojedincima čiji se osobni podaci obrađuju, te sudjelovati s nadzornim organima. Ne smije zauzimati položaj na kojem može određivati svrhu i sredstva obrade podataka (ne samo vodeće položaje).
Razlozi zbog kojih se drugi zaposlenici nisu kvalificirali
Službenik će zastupati tvrtku ukoliko dođe do kontrole nadzornih organa, te dodatno obučavati zaposlene o zaštiti podataka. Najvažnije je bilo pronaći osobu koja poznaje zahtjeve GDPR-a, ali i hrvatsko zakonodavstvo.
- obavještavanje i savjetovanje,
- edukacija svih zaposlenika koji obrađuju osobne podatke,
- nadziranje poštivanja Uredbe i ostale regulative vezane uz zaštitu osobnih podataka,
- dodjela odgovornosti za zaštitu osobnih podataka zaposlenicima i svim vanjskim suradnicima koji su uključeni u prikupljanje i obradu osobnih podataka,
- ugrađivanje zaštite privatnosti u revizijske procese,
- savjetovanje kod provedbe procjena učinka na zaštitu podataka, suradnja s nadzornim tijelima,
- nadziranje procesa upravljanja rizikom u obradama osobnih podataka.
Idealni službenik mora imati širok raspon znanja i iskustava, jer upravo on štiti od rigoroznih kazni.
NISTE SIGURNI MORATE LI IMENOVATI SLUŽBENIKA?
Morate ako provodite redovito i sustavno praćenje pojedinaca (npr. praćenje korisnika web stranice, izrada profila na internetu, oglašavanje na osnovi aktivnosti korisnika) ili ste web trgovac.
Pri određenju pojma REDOVITO praćenje potrebno je uzeti u obzir sljedeće čimbenike:
- praćenje koje je trajno ili se provodi u određenim intervalima u određenom razdoblju,
- praćenje koje se opetovano provodi ili ponavlja u točno određeno vrijeme,
- praćenje koje se provodi stalno ili periodično.
Pri određenju pojma SUSTAVNO redovito praćenje potrebno je uzeti u obzir sljedeće čimbenike:
- praćenje koje se provodi u skladu s određenim sustavom,
- praćenje koje je prethodno dogovoreno, organizirano ili metodično,
- praćenje koje je dio općeg plana za prikupljanje podataka,
- praćenje koje se provodi kao dio strategije
POZOR! Isto vrijedi i ako podatke obrađujete u svrhu ciljnog oglašavanja preko tražilica na podlozi ponašanja ljudi na internetu.
Morate ako je vaša osnovna djelatnost obrada osobnih podataka te provodite opsežnu obradu osobnih podataka.
Pri određenju opsežne obrade potrebno je uzeti u obzir sljedeće čimbenike:
- broj predmetnih pojedinaca, odnosno njihov udio u relevantnom stanovništvu,
- obujam podataka i/ili opseg različitih podatkovnih stavki koje se obrađuju,
- trajanje aktivnosti obrade podataka,
- zemljopisni razmjer aktivnosti obrade.
TREBA LI VAM POMOĆ OKO IMENOVANJA DPO ILI UREDBE GDPR?
Na svojem smo primjeru naučili mnogo toga, te otkrili koliko je teško naći pravu osobu za mjesto kvalificiranog službenika za zaštitu podataka.
Ako niste sigurni jeste li imenovali pravu osobu za kvalificiranog službenika za zaštitu podataka ili trebate li ga uopće, pomoći ćemo vam besplatnim savjetom.