Responsabilul cu protecția datelor

Când desemnarea este obligatorie

Operatorul și persoana împuternicită de operator desemnează un responsabil cu protecția datelor în trei cazuri art. 37 alin. (1):

• prelucrarea este efectuată de o autoritate sau instituție publică, cu excepția instanțelor judecătorești în activitatea de înfăptuire a justiției art. 37 alin. (1) lit. a);
• activitățile principale constau în operațiuni care, prin natura, domeniul de aplicare sau scopurile lor, necesită o monitorizare periodică și sistematică, pe scară largă, a persoanelor vizate art. 37 alin. (1) lit. b);
• activitățile principale constau în prelucrarea pe scară largă a categoriilor speciale de date sau a datelor privind condamnări penale și infracțiuni art. 37 alin. (1) lit. c).

Condițiile din lege nu fac referire la mărimea companiei: de exemplu, contează cine prelucrează datele și în ce constau activitățile principale, nu numărul de angajați art. 37 alin. (1). În celelalte cazuri, desemnarea este voluntară, cu excepția situațiilor în care actele normative o impun art. 37 alin. (4).

Cine poate fi responsabil

Responsabilul este desemnat pe baza calităților profesionale, în special a cunoștințelor de specialitate în legislația și practica protecției datelor, și a capacității de a îndeplini sarcinile prevăzute de lege art. 37 alin. (5). El poate fi un angajat sau poate lucra în baza unui contract de prestări servicii art. 37 alin. (6). Un grup de întreprinderi poate desemna un singur responsabil, cu condiția să fie ușor accesibil din fiecare sediu art. 37 alin. (2). Datele de contact ale responsabilului se publică și se comunică Centrului Național pentru Protecția Datelor cu Caracter Personal art. 37 alin. (7).

Ce garanții are

Operatorul implică responsabilul, în mod corespunzător și în timp util, în toate aspectele legate de protecția datelor art. 38 alin. (1) și îi asigură resursele necesare pentru îndeplinirea sarcinilor și pentru menținerea cunoștințelor art. 38 alin. (2).

Responsabilul nu primește instrucțiuni privind îndeplinirea sarcinilor sale, nu poate fi demis sau sancționat pentru îndeplinirea lor și răspunde direct în fața celui mai înalt nivel al conducerii art. 38 alin. (3). Persoanele vizate îl pot contacta pentru orice chestiune legată de datele lor și de drepturile lor art. 38 alin. (4). El respectă secretul sau confidențialitatea în îndeplinirea sarcinilor art. 38 alin. (5). Poate avea și alte sarcini, dacă acestea nu generează un conflict de interese art. 38 alin. (6).

Ce sarcini are

Legea stabilește sarcinile minime ale responsabilului art. 39 alin. (1):

• informează și consiliază operatorul și angajații care prelucrează date cu privire la obligațiile lor art. 39 alin. (1) lit. a);
• monitorizează respectarea legii și a politicilor interne de protecție a datelor art. 39 alin. (1) lit. b);
• oferă, la cerere, consiliere privind evaluarea impactului asupra protecției datelor art. 39 alin. (1) lit. c);
• cooperează cu Centrul art. 39 alin. (1) lit. d) și este punctul de contact al acestuia, inclusiv pentru consultarea prealabilă art. 39 alin. (1) lit. e).

În îndeplinirea sarcinilor, responsabilul ține cont de riscul asociat prelucrării art. 39 alin. (2). Răspunderea pentru conformitate rămâne însă a operatorului, care trebuie să poată demonstra că prelucrarea respectă legea art. 24 alin. (1).

De ce contează

Încălcarea obligațiilor privind responsabilul cu protecția datelor este sancționabilă cu amenzi de până la 1 000 000 de lei sau, pentru o întreprindere, de până la 1% din cifra totală de afaceri realizată în anul anterior sancționării, luându-se în calcul cea mai mare valoare art. 88 alin. (1) lit. a).