За да се даде отговор на този въпрос, следва да се разгледат разпоредбите на РЕГЛАМЕНТ (ЕС) 2016/679 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (наричан по-долу в настоящата статия Регламент/а/ът и/или GDPR).
В чл. 37 от GDPR са изброени организациите, които са длъжни, по смисъла на Регламента, да назначат DPO. По-долу ще бъдат разгледани случаите, в които назначаването на DPO е задължително. Дори дадена организация да няма задължение да назначи DPO, назначаването на такова лице може да има само положителен ефект върху защитата на обработваните лични данни и съответно – да предотврати евентуални санкции от контролните органи.
I. КОИ ОРГАНИЗАЦИИ СА ДЛЪЖНИ ДА ОПРЕДЕЛЯТ DPO?
В настоящия раздел са изброени всички случаи, в които за една компания ще е налице задължение за назначаване на DPO. Задължението ще е налице, дори организацията да попада само в един от описаните по-долу случаи.
1.1. ОРГАНИЗАЦИИ, ЧИЯТО ОСНОВНА ДЕЙНОСТ ИЗИСКВА РЕДОВНО И СИСТЕМАТИЧНО МАЩАБНО НАБЛЮДЕНИЕ
- Какво означава „основна дейност“?
Основна е дейността, с помощта на която се постигат целите на организацията.
Например, основната цел на дружество за осъществяване на частна охранителна дейност е да сключва и изпълнява договори за охрана на различни обекти. За да извършва тази дейност, организацията наема персонал. Обработката на личните данни на персонала за целите на трудовите правоотношения между лицата и дружеството представлява спомагателен процес, а не основна дейност или основно направление на стопанска дейност.
От друга страна, осъществяването на наблюдение на търговски обекти е безспорно част от основната дейност на дружеството. При изпълнението й неизменно се извършва обработка на лични данни (биометрични и други данни) на физически лица, поради което за Дружеството ще е налице задължение за назначаване на DPO.
- Какво означава „редовно и систематично наблюдение“?
Съгласно приетото тълкуване „редовно и систематично“ означава неслучайното извършване на обработка на лични данни, което е част от основната дейност на организацията. То се случва текущо или на дадени интервали от време и чрез извършването му директно се постигат поставените икономически цели.
Например, ако дадена организация е наела дружество, което да се грижи за видеонаблюдението на обектите на организацията с цел защита на имуществото, и организацията поиска да прегледа записите от конкретен момент с цел установяване на нарушение, извършването на това наблюдение няма да представлява редовно наблюдение за тази организация и няма да доведе до изискване за нея да назначи DPO. Но дружеството, което е наето за извършване на наблюдението, извършва тази дейност по занятие, ежедневно и за постигане на икономически резултат. Ето защо, за това дружество е налице задължение за назначаване на DPO.
Друг пример за дейност, която представлява редовно и систематично наблюдение на физическите лица, е профилирането и оценяването на физическите лица, извършвано от дадена застрахователна компания, за целите на извършване на оценка на риска и изчисляване на застрахователна премия. Тази обработка се извършва при сключването на всяка застрахователна полица и е част от основната дейност на застрахователната компания. Ето защо за нея ще е налице задължение за назначаване на DPO на това основание.
- Какво означава „мащабно“?
В приложимата нормативна уредба не са дадени конкретни измерители на това кога обработката на лични данни е мащабна. Преценката за това следва да се направи самостоятелно от организацията при всеки конкретен случай на обработка на база на следните фактори:
Случаи, в които обработката на личните данни се приема за мащабна, са:[1]
А ето и някои случаи, в които НЕ става въпрос за извършване на мащабна обработка:
1.2. ОРГАНИЗАЦИИ, КОИТО МАЩАБНО ОБРАБОТВАНТ СПЕЦИАЛНИ КАТЕГОРИИ ЛИЧНИ ДАННИ И НА ЛИЧНИ ДАННИ, СВЪРЗАНИ С ПРИСЪДИ И НАРУШЕНИЯ
- Кои категории лични данни са специални?
Следва да се подчертае, че задължението за назначаване на DPO възниква както когато се извършва едновременна мащабна обработка на специални категории лични данни и на лични данни, свързани с присъди и нарушения, така и когато се извършва мащабна обработка само на една от тези две категории лични данни.
1.3. ОБРАБОТВАНЕ НА ЛИЧНИ ДАННИ ОТ ПУБЛИЧЕН ОРГАН ИЛИ СТРУКТУРА
GDPR не дава определение на понятието „публичен орган или структура“, поради което то следва да се определи съгласно националното право. По смисъла на § 1, т. 17 от Допълнителните разпоредби на Закона за защита на личните данни „публичен орган“ е държавен или местен орган, както и структура, чиято основна дейност е свързана с разходване на публични средства.
В Република България такива са:
- Държавните органи: всички структури, които осъществяват публичната власт и имат изрично уредени със закон или друг нормативен акт правомощия. Без значение в каква сфера се осъществява тяхната дейност, ако се налага извършване на действия по обработване на лични данни, те трябва задължително да определят длъжностно лице по защита на данните.
- Органите на местното самоуправление: общинският съвет, кметът на общината и областният управител. Общинският съвет е орган на местното самоуправление в общината, кметът е орган на изпълнителната власт в общината, а областният управител осъществява управлението в областта и в такъв смисъл той действа като местен представител на централната държавна власт.
- Други публичноправни субекти, създадени по силата на нормативен акт за осъществяване на публични функции – публичноправен е субект, който е създаден да задоволява нужди от обществен интерес, които нямат промишлен или търговски характер и който е финансиран с повече от 50 на сто от държавни, териториални или местни органи или от други публичноправни организации, или е обект на управленски контрол от страна на тези органи; или има управителен или надзорен орган, повечето от половината от членовете на който са назначени от държавен орган или орган на местното самоуправление.[2]
II. АДМИНИСТРАТОР ИЛИ ОБРАБОТВАЩ Е ВАШАТА ОРГАНИЗАЦИЯ?
GDPR дава различно качество на организациите с оглед извършваната от тях обработка на лични данни.
Администратор на лични данни означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни;
Обработващ лични данни означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратор на лични данни.
Критериите за назначаване на DPO се прилагат еднакво и за двата вида организации. Това означава, че всяка организация следва самостоятелно, с оглед вътрешните процеси и без да взима предвид взаимоотношенията си с други организации, да определи дали има задължение за назначаване на DPO.
Назначаването на DPO се възприема като добра практика дори, когато организацията няма задължение да го направи.
III. КАКВИ СА ЗАДЪЛЖЕНИЯТА НА DPO?
Длъжностното лице по защита на личните данни има най-малко следните задължения:
- да информира и съветва организацията и служителите, които извършват обработване на лични данни, за техните задължения по силата както на GDPR, така и на други приложими разпоредби във вътрешното законодателство;
- да следи за спазването на правилата за обработка на лични данни, заложени в приложимото законодателство и във вътрешните документи на организацията;
- да възлага отговорности, да повишава осведомеността и да обучава персонала, участващ в операциите по обработване;
- да одитира процесите по обработка на лични данни вътре в организацията;
- да дава професионално мнение и съвети във връзка с извършването на оценка на въздействието на обработката на данните върху тяхната защита и да го наблюдава;
- да си сътрудничи с КЗЛД и да функционира като точка за контакт между Комисията и представляваната от него организация по въпроси, свързани с извършваната от последната обработка на лични данни;
- DPO може да търси предварителни консултации с КЗЛД във връзка с предстояща обработка на лични данни, както и във връзка с възникващи текущо в дейността на организацията казуси.
От гореизложеното може да се направи обоснован извод, че преценката дали дадена организация следва да определи DPO, както и изборът на експерт или организация, която да изпълнява функциите на длъжностно лице по защита на личните данни, е изключително важен и отговорен процес за всеки отделен бизнес.
Изборът на такава фигура в една организация, независимо дали е налице задължение за това, или не, безспорно представлява добра практика и би се възприело положително от контролните органи в лицето на Комисия за защита на личните данни, а така също и от партньорите и клиентите на организацията. Това е така, от една страна, защото по този начин се осигурява разбирането и правилното прилагане на създадените в организацията вътрешния правила и политики по обработка на лични данни от добре обучени за целта служители. От друга страна се улеснява комуникацията с Комисията за защита на лични данни и с физически лица, чиито данни се обработват.
Всичко това неизменно води до намаляване на риска за организацията от налагане на санкции от страна на контролните органи, както и допълнително гарантира на физическите лица, които имат взаимоотношения с организацията, че личните им данни се обработват законосъобразно и с необходимото ниво на защита.
[1] Примерите са заимствани от „Насоки за длъжностните лица по защита на данните („ДЛЗД“)“ на Работна група за защита за личните данни по член 29
[2] § 43 от Допълнителните разпоредби на Закона за обществените поръчки.