Responsabilul cu protecția datelor

Importanța responsabilului cu protecția datelor

Responsabilul cu protecția datelor este o piatră de temelie în respectarea Regulamentului. Acesta facilitează implementarea standardelor legale și contribuie la crearea unei culturi organizaționale de respect față de datele personale. Pe lângă beneficiile legale, desemnarea unui responsabil poate îmbunătăți învăcrederea publicului și a partenerilor de afaceri în organizație.

Responsabilul cu protecția datelor acționează ca un intermediar între organizație, autoritățile de supraveghere și persoanele vizate. Printre sarcinile sale principale se numără monitorizarea conformității cu Regulamentul și oferirea de consultanță internă cu privire la practicile de protecție a datelor.

Conform Regulamentului, responsabilul cu protecția datelor nu răspunde personal pentru neconformitatea organizației, această obligație revenind operatorului sau persoanei împuternicite. Totuși, responsabilul trebuie să aibă resurse adecvate, autonomie și suport intern pentru a-și îndeplini atribuțiile.

Obligația de a desemna un responsabil cu protecția datelor

Când este obligatorie desemnarea

Articolul 37 din Regulament specifică trei situații în care este necesară desemnarea unui responsabil cu protecția datelor:

1. Autoritățile și organismele publice implicate în prelucrarea datelor includ orice entități care gestionează date cu caracter personal pentru a-și îndeplini sarcinile legale sau administrative. Acestea pot fi instituții guvernamentale, agenții publice, primării, organizații de stat sau alte entități care exercită atribuții de interes public. De exemplu, sistemele de evidență a populației, administrațiile fiscale, instituțiile de învățământ public sau furnizorii de servicii de sănătate sunt incluse în această categorie. În toate aceste cazuri, responsabilul cu protecția datelor joacă un rol critic în asigurarea conformității cu cerințele legale.
2. Organizațiile care monitorizează sistematic persoane vizate la scară largă includ acele entități care desfășoară activități regulate de urmărire sau profilare a indivizilor, fie în mediul fizic, fie în cel digital. Exemple pot fi operatorii care utilizează sisteme avansate de supraveghere video pentru monitorizarea continuă a persoanelor, rețelele sociale care analizează comportamentele utilizatorilor sau organizațiile care implementează tehnologii de urmărire bazate pe GPS. Aceste activități presupun colectarea, stocarea și analizarea unor volume mari de date personale, iar responsabilul cu protecția datelor are obligația de a se asigura că aceste procese sunt conforme cu cerințele legale. Prelucrarea sistematică include crearea de profiluri comportamentale, evaluarea riscurilor individuale și alte operațiuni ce pot afecta confidențialitatea și drepturile persoanelor vizate.
3. Organizațiile care prelucrează categorii speciale de date includ entități ce gestionează informații sensibile, cum ar fi datele privind originea rasială sau etnică, opiniile politice, confesiunea religioasă, date genetice, date biometrice utilizate pentru identificarea unică a unei persoane, informații despre sănătate sau orientarea sexuală. Aceste prelucrări impun un nivel ridicat de protecție datorită riscurilor semnificative asociate, cum ar fi discriminarea sau prejudicierea drepturilor persoanelor vizate. De asemenea, includ organizațiile care gestionează date despre condamnări penale și infracțiuni, cum sunt cele din domeniul justiției sau al securității. Responsabilul cu protecția datelor trebuie să asigure că aceste categorii speciale de date sunt prelucrate cu respectarea strictă a regulamentului, utilizând evaluări de impact, mecanisme de securitate avansate și limitând accesul doar la personalul autorizat.

Documentarea deciziei privind necesitatea desemnării responsabilului cu protecția datelor este esențială pentru demonstrarea respectării principiului responsabilității.

Situații opționale

În afara situațiilor obligatorii, organizațiile pot desemna un responsabil cu protecția datelor pe bază voluntară. Această decizie poate aduce beneficii semnificative, inclusiv creșterea învăcrederii clienților și partenerilor.

Cerințe pentru desemnare

Competențe necesare

Conform articolului 37, responsabilul cu protecția datelor trebuie să aibă următoarele calități:

• Expertiză în legislația privind protecția datelor.
• Cunoștințe solide despre practicile de prelucrare a datelor.
• Integritate și etică profesională.

De asemenea, nivelul de expertiză trebuie să fie proporțional cu volumul și complexitatea datelor prelucrate în cadrul organizației.

Resurse și autonomie

Responsabilul cu protecția datelor trebuie să beneficieze de resurse suficiente pentru instruire, acces la informații și suport logistic. Independența în luarea deciziilor este crucială pentru eficiența activităților acestuia.

Atribuțiile responsabilului cu protecția datelor

Monitorizarea conformității

Printre sarcinile principale ale responsabilului cu protecția datelor se numără:

• Evaluarea impactului asupra protecției datelor.
• Implementarea și monitorizarea politicilor interne de protecție a datelor.
• Organizarea sesiunilor de formare pentru angajați.

Relația cu autoritățile

Responsabilul cu protecția datelor este punctul de contact principal pentru autoritățile de supraveghere. Acesta trebuie să faciliteze comunicarea și să colaboreze pentru soluționarea problemelor legate de prelucrarea datelor.

Publicarea informațiilor de contact

Operatorii sunt obligați să publice datele de contact ale responsabilului cu protecția datelor. Aceste informații trebuie comunicate autorităților de supraveghere și persoanelor vizate, asigurând astfel transparența și accesibilitatea.

Datele de contact pot include adresa de e-mail, numărul de telefon sau alte canale dedicate, pentru o comunicare facilă și confidențială.

Implicarea responsabilului cu protecția datelor în toate aspectele legate de protecția datelor cu caracter personal

Conform articolului 38 din RGPD, operatorul și persoana împreună cu operatorul trebuie să se asigure că responsabilul cu protecția datelor este implicat corespunzător și la timp în toate aspectele care privesc protecția datelor cu caracter personal.

Este crucial ca responsabilul cu protecția datelor sau echipa sa să participe activ încă din faza inițială a oricărei activități care implică prelucrarea datelor. Spre exemplu, RGPD specifică clar implicarea responsabilului cu protecția datelor în evaluările de impact asupra protecției datelor, subliniind obligația operatorului de a cere avizul acestuia. Informarea și consultarea responsabilului cu protecția datelor din timp facilitează conformitatea cu RGPD și sprijină implementarea unui cadru de protecție a datelor încă din faza de proiectare. Aceasta ar trebui să fie o practicare standard în guvernanța organizației.

Responsabilul cu protecția datelor trebuie considerat un partener esențial de discuții în cadrul organizației și ar trebui inclus în grupurile de lucru care se ocupă de activitățile de prelucrare a datelor. Organizarea corespunzătoare a acestui proces implică următoarele:

• Participarea responsabilului cu protecția datelor la ședințe periodice organizate la nivelul conducerii superioare și medii.
• Consultarea acestuia în toate deciziile care pot avea implicații asupra protecției datelor.
• Transmiterea tuturor informațiilor relevante în timp util pentru a permite oferirea unor recomandări adecvate.
• Respectarea avizului responsabilului cu protecția datelor; în caz de dezacord, motivele deciziei trebuie documentate ca exemplu de bună practică.
• Consultarea responsabilului cu protecția datelor imediat începând cu apariția unor incidente de securitate a datelor sau alte probleme similare.

Operatorul sau persoana împreună cu acesta poate elabora programe și politici clare care să definească situațiile în care este necesară implicarea responsabilului cu protecția datelor.

Resursele necesare pentru funcția responsabilului cu protecția datelor

Articolul 38 alineatul (2) al RGPD impune ca organizațiile să ofere responsabilului cu protecția datelor resursele necesare pentru a-și exercita sarcinile, incluzând accesul la datele și operațiunile de prelucrare, precum și formarea continuă a acestuia. Printre aceste resurse se numără:

• Sprijin activ din partea conducerii superioare, inclusiv participarea în deciziile consiliului de administrație.
• Alocarea unui timp adecvat pentru îndeplinirea sarcinilor responsabilului cu protecția datelor, mai ales încă cazurile în care acesta lucrează cu normă redusă sau pe bază de contract extern.
• Stabilirea unui procentaj de timp dedicat exclusiv funcției, în cazul responsabililor protecția datelor care au și alte responsabilități.
• Alocarea resurselor financiare și a infrastructurii (spații de lucru, echipamente, personal) corespunzătoare.
• Comunicare oficială cu privire la existența și funcția responsabilului cu protecția datelor către întregul personal.
• Asigurarea accesului responsabilului cu protecția datelor la servicii precum resurse umane, juridic, IT sau alte departamente relevante.
• Formarea continuă, prin participarea la cursuri de pregătire, ateliere sau forumuri profesionale, astfel încât nivelul de expertiză al responsabilului cu protecția datelor să fie într-o continuă creștere.

Organizațiile cu structuri complexe pot constitui echipe dedicate pentru funcția responsabilului cu protecția datelor, stabilind clar atribuțiile fiecărui membru. În cazul prestării serviciilor externe, responsabilitatea trebuie asumată de o persoană principală desemnată să coordoneze echipa externă.

Independența în îndeplinirea atribuțiilor

Articolul 38 alineatul (3) din RGPD subliniază faptul că responsabilul cu protecția datelor trebuie să-și exercite sarcinile în mod independent. Operatorul și persoana împreună cu acesta nu pot interveni în modul în care responsabilul cu protecția datelor abordează problemele legate de protecția datelor, rezultatele obținute sau deciziile adoptate. Autonomia sa se referă la libertatea de a analiza situațiile conform legislației, dar nu implică autoritatea de a lua decizii operative.

Responsabilul cu protecția datelor trebuie să raporteze direct conducerii superioare, ceea ce asigură recunoațterea rolului său și permite susținerea propunerilor în fața decidenților principali. Raportarea poate include redactarea unui raport anual al activităților desfăȟurate.

Protecția responsabilului cu protecția datelor față de concediere sau sancțiuni

Articolul 38 alineatul (3) interzice sancționarea sau concedierea responsabilului cu protecția datelor pentru exercitarea atribuțiilor sale. Această prevedere este crucială pentru menținerea autonomiei responsabilului cu protecția datelor. Sancțiunile directe sau indirecte (precum amânarea promovării sau lipsirea de avantaje) sunt interzise dacă sunt determinate de exercitarea sarcinilor sale.

Totuși, responsabilul cu protecția datelor poate fi demis din alte motive, conform legislației muncii, cum ar fi abateri disciplinare grave. Organizațiile sunt încurajate să creeze mecanisme de protecție pentru evitarea concedierilor abuzive.

Gestionarea conflictului de interese

Conform articolului 38 alineatul (6), responsabilul cu protecția datelor poate avea alte atribuții, cu condiția să nu existe conflicte de interese. Acesta nu trebuie să ocupe funcții prin care stabilește scopurile și mijloacele de prelucrare a datelor. Printre funcțiile care pot genera conflicte de interese se număr

Sarcinile responsabilului cu protecția datelor

Monitorizarea conformității cu RGPD

Conform articolului 39 alineatul (1) litera (b) din Regulamentul General privind Protecția Datelor (RGPD), responsabilului cu protecția datelor are atribuția esențială de a monitoriza conformitatea cu RGPD. Considerentul 97 subliniază că responsabilului cu protecția datelor trebuie să ofere asistență operatorului sau persoanei împuternicite de operator pentru monitorizarea conformității în interiorul organizației.

În cadrul acestei sarcini, responsabilului cu protecția datelor poate desfăȟura următoarele activități:

• Colectarea de informații pentru identificarea activităților de prelucrare.
• Analiza și verificarea conformității activităților de prelucrare.
• Informarea, ghidarea și emiterea de recomandări către operator sau persoana împuternicită de operator.

Este important de menționat că monitorizarea conformității nu implică răspunderea personală a responsabilului cu protecția datelor în cazul unui caz de neconformitate. RGPD stipulează clar că operatorul este responsabil pentru implementarea măsurilor tehnice și organizatorice adecvate pentru a asigura conformitatea cu regulamentul [articolul 24 alineatul (1)]. Astfel, responsabilitatea corporativă privind protecția datelor revine operatorului, nu responsabilului cu protecția datelor.

Rolul responsabilului cu protecția datelor în evaluarea impactului asupra protecției datelor

Articolul 35 alineatul (1) prevede că operatorul are obligația de a realiza, dacă este cazul, o evaluare a impactului asupra protecției datelor (EIPD). Deși responsabilului cu protecția datelor nu are sarcina de a efectua direct această evaluare, rolul său este esențial în acordarea de asistență operatorului. Conform principiului protecției datelor încă din faza de proiectare, articolul 35 alineatul (2) precizează că operatorul trebuie să solicite avizul responsabilului cu protecția datelor în cadrul procesului de EIPD.

De asemenea, articolul 39 alineatul (1) litera (c) conferă responsabilului cu protecția datelor sarcina de a furniza consiliere privind evaluarea impactului asupra protecției datelor și monitorizarea implementării acesteia. Grupul de Lucru Articolul 29 (GL29) recomandă ca operatorul să solicite avizul responsabilului cu protecția datelor cu privire la următoarele aspecte:

• Necesitatea efectuării unei EIPD.
• Metodologia adecvată pentru realizarea EIPD.
• Decizia de a realiza evaluarea intern sau de a o externaliza.
• Garanțiile necesare pentru a atenua riscurile asupra drepturilor persoanelor vizate.
• Conformitatea evaluării cu prevederile RGPD.

Dacă operatorul nu este de acord cu avizul responsabilului cu protecția datelor, documentația EIPD trebuie să includă justificări clare în scris.

Este recomandat ca operatorul să stabilească în mod clar, în contractul responsabilului cu protecția datelor sau în informările adresate angajaților, sarcinile și responsabilitățile acestuia, mai ales în contextul EIPD.

Cooperarea cu autoritatea de supraveghere și rolul de punct de contact

Responsabilul cu protecția datelor are sarcina de a coopera cu autoritatea de supraveghere, conform articolului 39 alineatul (1) literele (d) și (e). Aceasta include:

• Asigurarea cooperării cu autoritatea de supraveghere.
• Asumarea rolului de punct de contact pentru autoritatea de supraveghere în chestiuni legate de prelucrarea datelor.

Responsabilul cu protecția datelor facilitează accesul autorității de supraveghere la documentele necesare pentru exercitarea atribuțiilor prevăzute de RGPD. De asemenea, acesta trebuie să respecte confidențialitatea în împrejurările în care își exercită atribuțiile, în conformitate cu articolul 38 alineatul (5).

Obligația de confidențialitate nu interzice responsabilului cu protecția datelor să contacteze și să solicite avizul autorității de supraveghere în probleme specifice, astfel cum prevede articolul 39 alineatul (1) litera (e).

Abordarea bazată pe risc

Articolul 39 alineatul (2) solicită responsabilului cu protecția datelor să ia în considerare riscurile asociate operațiunilor de prelucrare, raportându-se la natura, scopul și contextul acestora. Această abordare presupune prioritizarea activităților care prezintă un risc mai mare pentru protecția datelor.

Practic, responsabilul cu protecția datelor trebuie să ghideze operatorul în:

• Alegerea metodologiei pentru evaluarea impactului asupra protecției datelor.
• Identificarea domeniilor care necesită audituri interne sau externe.
• Stabilirea programelor de instruire pentru personalul implicat în prelucrarea datelor.
• Concentrărea resurselor pe activitățile de prelucrare cu grad ridicat de risc.

Această abordare selectivă sprijină în mod eficient conformitatea organizației cu RGPD.

Rolul responsabilului cu protecția datelor în sistemul de păstrare a evidenței

Conform articolului 30 alineatele (1) și (2), operatorul sau persoana împuternicită de operator este responsabilă de păstrarea unei evidențe a activităților de prelucrare. Totuși, în practică, responsabilul cu protecția datelor contribuie adesea la crearea și actualizarea registrelor pe baza informațiilor furnizate de departamentele relevante din organizație.

Aceste evidențe reprezintă instrumente importante pentru:

• Monitorizarea conformității activităților de prelucrare.
• Informarea operatorului și a autorității de supraveghere despre toate activitățile de prelucrare.
• Asigurarea transparenței și asumarea responsabilității pentru prelucrarea datelor.

Operatorii pot atribui responsabilului cu protecția datelor responsabilități suplimentare, precum păstrarea unei evidențe detaliate și actualizate a operațiunilor de prelucrare. Aceasta reprezintă o condiție prealabilă pentru conformitate și demonstrează transparența organizației în fața autorității de supraveghere.

Răzvan Petrea – avocat Timișoara

Întrebări frecvente

Ce organizații trebuie să numească un responsabil al protecția datelor?

Conform Regulamentului General privind Protecția Datelor (RGPD), desemnarea responsabilului cu protecția datelor este obligatorie în anumite situații specifice. Acestea includ:

• Atunci când prelucrarea este realizată de o autoritate sau un organism public, indiferent de natura datelor prelucrate.
• Dacă activitățile principale ale operatorului sau ale persoanei împuternicite constau în operațiuni care implică monitorizarea periodică și sistematică a persoanelor vizate la scară largă.
• În cazul prelucrării pe scară largă a unor categorii speciale de date sau a datelor privind condamnările penale și infracțiunile.

Pe lângă aceste obligații, legislația Uniunii sau cea națională poate impune numirea unui responsabil cu protecția datelor și în alte situații. De asemenea, organizațiile pot decide, în mod voluntar, să numească un responsabil cu protecția datelor, chiar și atunci când nu există o cerință legală explicită. Această inițiativă este încurajată de Grupul de Lucru pentru Protecția Datelor conform articolului 29 (GL29). În astfel de cazuri, cerințele aplicabile unui responsabil cu protecția datelor desemnat obligatoriu vor fi aceleași.

Ce înseamnă activități principale?

Noțiunea de „activități principale” se referă la operațiunile esențiale ale unui operator sau ale unei persoane împuternicite. Acestea reprezintă activitățile fundamentale prin care organizația își atinge scopurile. Dacă prelucrarea datelor constituie o parte integrantă a acestor activități, aceasta trebuie considerată activitate principală. De exemplu, gestionarea dosarelor medicale ale pacienților este o activitate principală pentru un spital, ceea ce obligă unitatea să numească un responsabil cu protecția datelor.

În schimb, activitățile de sprijin, cum ar fi salarizarea angajaților sau asistența IT, sunt considerate funcții auxiliare. Acestea nu constituie activități principale, chiar dacă sunt esențiale pentru funcționarea organizației.

Ce înseamnă prelucrarea pe scară largă?

Deși RGPD nu definește explicit conceptul de prelucrare pe scară largă, GL29 oferă orientări clare. Factorii ce trebuie luați în considerare includ:

• Numărul persoanelor vizate, fie ca număr absolut, fie proporțional cu populația relevantă.
• Volumul și diversitatea datelor prelucrate.
• Durata sau caracterul continuu al activității de prelucrare.
• Întinderea geografică a operațiunilor de prelucrare.

Exemple de prelucrare pe scară largă includ:

• Gestionarea datelor pacienților într-un spital.
• Urmărirea călătoriilor utilizatorilor transportului public urban.
• Prelucrarea datelor de geolocalizare în timp real pentru clienții unui lanț de restaurante fast-food.
• Publicitatea comportamentală efectuată de motoarele de căutare.

În contrast, prelucrarea datelor de către un medic la nivel individual sau de către un avocat care gestionează cazuri izolate nu constituie prelucrare pe scară largă.

Ce înseamnă monitorizarea periodică și sistematică?

RGPD nu definește explicit noțiunea de monitorizare periodică și sistematică, însă aceasta include orice formă de urmărire și profilare, atât online, cât și offline. Exemplele relevante includ:

• Urmărirea locației prin aplicații mobile.
• Crearea de profiluri în scopuri de evaluare a riscurilor, prevenirea fraudelor sau stabilirea bonității.
• Publicitatea comportamentală și monitorizarea sănătății prin dispozitive portabile.

GL29 clarifică sensurile termenilor „periodic” și „sistematic”:

• „Periodic” implică activități recurente, constante sau desfășurate pe durate definite.
• „Sistematic” se referă la activități realizate metodic, organizat, conform unui plan prestabilit.

Cum poate fi numit un responsabil cu protecția datelor comun?

Un grup de întreprinderi poate desemna un singur responsabil cu protecția datelor, cu condiția ca acesta să fie ușor accesibil din fiecare locație. Accesibilitatea presupune comunicarea eficientă cu persoanele vizate, autoritățile de supraveghere și angajații interni. Responsabilul cu protecția datelor trebuie să fie disponibil prin mijloace sigure de comunicare și în limbile utilizate de autorități și persoanele vizate.

Pentru mai multe autorități publice, un singur responsabil cu protecția datelor poate fi desemnat, însă operatorul trebuie să se asigure că acesta poate îndeplini sarcinile în mod eficient, inclusiv cu sprijinul unei echipe dacă este necesar.

Unde trebuie să fie localizat responsabilul cu protecția datelor?

GL29 recomandă ca responsabilul cu protecția datelor să fie situat pe teritoriul Uniunii Europene, chiar dacă operatorul nu este stabilit în UE. În anumite cazuri, activitatea poate fi desfășurată eficient și din afara Uniunii, însă această decizie trebuie analizată cu atenție.

Poate fi numit un responsabil cu protecția datelor extern?

Un responsabil cu protecția datelor poate fi intern (angajat al operatorului) sau extern, prin contract de servicii. În cazul unui responsabil cu protecția datelor extern, funcția poate fi îndeplinită de o echipă, cu o persoană de contact principală desemnată. Contractul trebuie să prevadă clar atribuțiile fiecărui membru al echipei pentru a evita conflictele de interese.

Ce calități profesionale trebuie să aibă responsabilul cu protecția datelor?

Responsabilul cu protecția datelor trebuie să fie desemnat pe baza calificărilor profesionale, incluzând cunoștințe solide în legislația privind protecția datelor și capacitatea de a îndeplini sarcinile prevăzute de RGPD. Nivelul de expertiză necesar depinde de complexitatea activităților de prelucrare și de volumul datelor sensibile implicate. Printre competențele esențiale se numără:

• Expertiză în legislația națională și europeană privind protecția datelor.
• Înțelegerea operațiunilor de prelucrare desfășurate.
• Cunoștințe tehnice privind securitatea informațiilor.
• Capacitatea de a promova o cultură a protecției datelor în organizație.

Ce resurse sunt necesare pentru responsabilul cu protecția datelor?

Pentru a-și îndeplini atribuțiile, responsabilul cu protecția datelor trebuie să beneficieze de:

• Sprijin din partea conducerii de nivel superior.
• Resurse financiare, infrastructură adecvată și personal specializat.
• Timp suficient pentru a-și desfășura activitatea.
• Acces la informații relevante din cadrul organizației.
• Programe de formare continuă.

Ce garanții asigură independența responsabilului cu protecția datelor?

Pentru a asigura independența responsabilului cu protecția datelor, RGPD prevede următoarele:

• Lipsa instrucțiunilor privind îndeplinirea sarcinilor.
• Protecția împotriva concedierii sau sancțiunilor legate de îndeplinirea atribuțiilor.
• Evitarea conflictelor de interese, responsabilul cu protecția datelor neputând ocupa funcții care stabilesc scopurile și mijloacele prelucrării datelor.

Care este rolul responsabilului cu protecția datelor în evaluarea impactului și evidența prelucrărilor?

Responsabilul cu protecția datelor oferă consultanță operatorului în ceea ce privește evaluările de impact asupra protecției datelor. De asemenea, poate ajuta la păstrarea evidenței activităților de prelucrare, un instrument esențial pentru monitorizarea conformității.