Лицо, ответственное за защиту данных

Когда назначение обязательно

Оператор и лицо, действующее по поручению оператора, назначают лицо, ответственное за защиту данных, в трех случаях ст. 37 ч. (1):

• обработку осуществляет орган публичной власти или публичное учреждение, за исключением судебных инстанций при отправлении правосудия ст. 37 ч. (1) п. a);
• основная деятельность состоит из операций, которые по своему характеру, области применения или целям требуют регулярного и системного широкомасштабного мониторинга субъектов персональных данных ст. 37 ч. (1) п. b);
• основная деятельность заключается в широкомасштабной обработке особых категорий данных или данных об уголовных приговорах и преступлениях ст. 37 ч. (1) п. c).

Условия закона не связаны с размером компании: например, значение имеет то, кто обрабатывает данные и в чем состоит основная деятельность, а не число сотрудников ст. 37 ч. (1). В остальных случаях назначение добровольно, кроме ситуаций, когда его требуют нормативные акты ст. 37 ч. (4).

Кто может быть ответственным

Ответственного назначают с учетом профессиональных качеств, в частности специальных знаний законодательства и практики в области защиты данных, и способности выполнять предусмотренные законом задачи ст. 37 ч. (5). Это может быть работник или специалист по договору об оказании услуг ст. 37 ч. (6). Группа предприятий может назначить одно такое лицо при условии свободного доступа к нему из каждого места нахождения ст. 37 ч. (2). Контактные данные ответственного публикуются и сообщаются Национальному центру по защите персональных данных ст. 37 ч. (7).

Какие у него гарантии

Оператор обеспечивает надлежащее и своевременное участие ответственного во всех вопросах защиты данных ст. 38 ч. (1) и предоставляет ему ресурсы, необходимые для выполнения задач и поддержания знаний ст. 38 ч. (2).

Ответственный не получает указаний относительно выполнения своих задач, его нельзя отстранить или наказать за их выполнение, и он подчиняется непосредственно высшему уровню руководства ст. 38 ч. (3). Субъекты персональных данных могут обращаться к нему по любым вопросам, связанным с их данными и правами ст. 38 ч. (4). Он соблюдает секретность или конфиденциальность при выполнении задач ст. 38 ч. (5). Он может выполнять и другие задачи, если они не влекут конфликта интересов ст. 38 ч. (6).

Какие у него задачи

Закон устанавливает минимальный круг задач ответственного ст. 39 ч. (1):

• информировать и консультировать оператора и работников, занятых обработкой, об их обязанностях ст. 39 ч. (1) п. a);
• осуществлять мониторинг соблюдения закона и внутренней политики защиты данных ст. 39 ч. (1) п. b);
• по запросу консультировать по оценке воздействия на защиту данных ст. 39 ч. (1) п. c);
• сотрудничать с Центром ст. 39 ч. (1) п. d) и быть для него контактным лицом, в том числе при предварительной консультации ст. 39 ч. (1) п. e).

Выполняя свои задачи, ответственный учитывает риск, связанный с обработкой ст. 39 ч. (2). Однако ответственность за соблюдение закона остается на операторе, который должен быть в состоянии доказать, что обработка соответствует закону ст. 24 ч. (1).

Почему это важно

За нарушение обязанностей, связанных с лицом, ответственным за защиту данных, предусмотрены штрафы до 1 000 000 леев, а для предприятия — до 1% общего оборота за год, предшествующий наложению санкции, в зависимости от того, какая сумма больше ст. 88 ч. (1) п. a).