Fontos iránymutatás az adatvédelmi tisztviselők feladatairól, felelősségéről – Bírsággal járhat, ha a cég nem ismeri a szabályokat

Megosztás Tetszik

A GDPR számos vállalkozás számára kötelezővé teszi adatvédelmi tisztviselő (Data Protection Officer: DPO) kijelölését. Milliós adatvédelmi bírságot eredményezhet, ha senkit nem neveznek ki a posztra, vagy összeférhetetlen személyt jelölnek ki. Érdemes így megvizsgálni, hogy milyen személy alkalmas erre a feladatra, mik a feladatai, illetve milyen egyéb szempontokra kell figyelni. Segítséget nyújt ebben egy kifejezetten gyakorlati szempontokat vizsgáló francia iránymutatás, amelynek az adatvédelmi terület uniós esetjogi alapja miatt Magyarországon is közvetlen jelentősége van.

A francia adatvédelmi hatóság, a CNIL, gyakorlati útmutatója átfogó képet ad az adatvédelmi tisztviselő, vagyis a DPO (Data Protection Officer) szerepéről, kijelöléséről, függetlenségéről és működésének szervezeti feltételeiről. A dokumentum alapvető célja kettős: egyrészt segítséget kíván nyújtani a szervezeteknek a DPO-funkció megfelelő kialakításához, másrészt magukat a DPO-kat kívánja támogatni feladataik ellátásában.

A CNIL megközelítésében a DPO nem egyszerűen adatvédelmi szakértő vagy jogi tanácsadó, hanem a szervezet adatvédelmi megfelelőségének egyik központi szereplője. A hatóság szemléletesen a személyes adatok kezelésének „karmestereként” írja le: megfelelő szervezeti pozícióval, erőforrással és közvetlen kapcsolatokkal kell rendelkeznie ahhoz, hogy valóban képes legyen a megfelelőség irányítására és ellenőrzésére. Mivel az adatvédelmi tisztviseletre vonatkozó uniós iránymutatások elenyészők, így érdemes a tagállami gyakorlatra figyelni.

CIKKÜNK FOLYTATÁSÁBAN részletesen kifejtjük,

• mikor kötelező DPO-t kijelölni,
• mik az adatvédelmi tisztviselő feladatai, tartozik-e felelősséggel, van-e ellenőrzési jogköre,
• ki lehet DPO, és mikor áll fenn összeférhetetlenség,
• mi történik, ha távozik a DPO, hogyan biztosítható a működés folytonossága?