Kdo je to pověřenec pro ochranu osobních údajů, tzv. Data Protection Officer (DPO)? Zjistěte více o této nové roli vyžadované regulací GDPR.

Definice role Data Protection Officer

Pověřenec pro ochranu osobních údajů – Data Protection Officer (DPO) je výkonná role v bezpečnostní struktuře organizace vyžadovaná regulací General Data Protection Regulation (GDPR). DPO je odpovědný za strategii ochrany osobních údajů a implementaci opatření k zajištění souladu s požadavky GDPR.

Které organizace potřebují roli DPO?

Evropský parlament, Evropská rada a Evropská komise vyžadují v regulaci GDPR ve vztahu k posílení a zefektivnění ochrany údajů pro občany Evropské unie povinné jmenování pověřence pro ochranu osobních údajů (DPO) pro každou organizaci, která zpracovává nebo ukládá velké množství osobních údajů vlastních zaměstnanců a/nebo osob mimo organizaci.

Odpovědnosti a požadavky kladené na DPO

V okamžiku nabytí účinnosti regulace GDPR, tedy 28. 5. 2018, se role DPO stane povinnou rolí podle článku 37 pro všechny organizace, které shromažďují nebo zpracovávají osobní údaje občanů Evropské unie. Pověřenci pro ochranu osobních údajů budou odpovědni za proškolení společností a jejich zaměstnanců stran požadavků na shodu s požadavky GDPR, proškolení personálu v oblasti zpracování dat a v oblasti výkonu bezpečnostních kontrolních auditů. DPO rovněž zastává roli kontaktního bodu mezi organizací a dohledovými orgány dohlížejícími na dodržování regulace GDPR.

Jak je uvedeno v článku 30, povinnosti pověřence pro ochranu osobních údajů zahrnují, avšak nejsou na ně omezeny, následující povinnosti:

• Proškolení organizace a jejích zaměstnanců stran důležitých požadavků na soulad s regulací.

• Proškolení zaměstnanců organizace zpracovávajících osobní data.

• Provádění auditů k ověření plnění požadavků regulace a náprava případně zjištěných nedostatků.

• Kontaktní bod mezi danou organizací a kontrolními orgány dohlížejícími na plnění požadavků GDPR.

• Sledování míry naplnění jednotlivých opatření v souladu s normou a poradenství uvnitř organizace směřující k udržení ochranných opatření.

• Vedení úplných záznamů o všech činnostech zpracovávání osobních dat včetně účelu všech činností prováděných během zpracování osobních údajů. Tyto záznamy musí být schopen na vyžádání poskytnout kontrolnímu orgánu.

• Komunikace se subjekty osobních údajů za účelem poskytnutí informace, jak je s jejich osobními údaji nakládáno, včetně práva na výmaz osobních údajů a poskytnutí údajů, jaká opatření organizace přijala k ochraně osobních údajů.

Kvalifikace pro výkon role DPO

Samotná regulace GDPR nestanovuje specifický seznam požadavků na kvalifikaci pro roli DPO, nicméně článek 37 vyžaduje, aby role pověřence na ochranu osobních údajů měla odborné znalosti v oblasti právních předpisů na ochranu osobních údajů. Norma dále doporučuje, aby role DPO byla schopna zohlednit požadavky normy vůči postupům a procesům zpracovávajícím data v kontextu dané organizace a nastavit úroveň ochrany osobních údajů zpracovávaných a ukládaných v rámci dané organizace.

Doporučení pro výběr DPO

Do podřízenosti regulace GDPR spadají i organizace, které nemají své sídlo v Evropské unii, ale zpracovávají či uchovávají osobní údaje občanů Evropské unie. Dle odhadů některých studií bude v okamžiku nabytí účinnosti normy GDPR potřeba odhadem 28 000 pověřenců pro ochranu osobních údajů (DPO), aby tak povinné organizace naplnili požadavek GDPR na ustanovení této role. Jednotlivé společnosti a organizace by tuto roli měly definovat a ustanovit s předstihem před datem 28. 5. 2017, a proto je rozumné s výběrem vhodných kandidátů začít co možná nejdříve. Lze předpokládat, že s postupujícím časem bude vhodných kandidátů na roli DPO spíše ubývat nežli naopak.

Nežli organizace ustanoví nebo nově zaměstná do role pověřence pro ochranu osobních údajů vybraného profesionála, bude se muset přesvědčit, že daný kandidát má dostatečné odborné znalosti v oblasti právních předpisů týkajících se ochrany osobních údajů, má úplné znalosti o fungování dané organizace, její IT infrastruktuře, je seznámen s používanými technologiemi, zná organizační strukturu organizace atd.

V ideálním případě by osoba v roli DPO měla disponovat schopnostmi výkonného manažera, který bude komunikovat s interními zaměstnanci organizace a jejím vedením vůči státem určeným autoritám. Kvalitní DPO musí být schopen zajistit jak interní soulad s požadavky normy GDPR, tak v případě incidentu reportovat určeným autoritám s vědomím, že nesoulad s normou může být zásadním způsobem pokutován.