Intrarea în vigoare a Regulamentului (UE) 2016/679 privind protecția datelor cu caracter personal (GDPR) a adus obligații importante pentru toate organizațiile care prelucrează date personale. Una dintre aceste obligații este desemnarea unui Responsabil cu Protecția Datelor (Data Protection Officer – DPO).
Totuși, nu toate companiile sunt obligate să desemneze un DPO. În practică, una dintre cele mai frecvente întrebări este: „Firma mea are nevoie de un DPO?”
I. Când este obligatorie desemnarea unui DPO?
Articolul 37 din GDPR stabilește trei situații în care desemnarea unui DPO este obligatorie.
1. Autorități și organisme publice
Toate autoritățile și instituțiile publice trebuie să desemneze un DPO, cu excepția instanțelor care acționează în exercitarea funcției judiciare.
- Exemple: primării, consilii județene, instituții publice, universități de stat, spitale publice.
2. Organizații care monitorizează persoane în mod regulat și sistematic, la scară largă
Obligația apare atunci când activitatea principală presupune monitorizarea comportamentului persoanelor.
- Exemple: companii de telecomunicații, platforme online, furnizori de servicii de marketing comportamental, operatori de sisteme CCTV extinse, firme care utilizează monitorizare GPS pentru un număr mare de persoane, operatori de aplicații mobile care urmăresc comportamentul utilizatorilor.
3. Organizații care prelucrează la scară largă categorii speciale de date sau date privind condamnările penale
Sunt vizate entitățile care prelucrează în mod constant volume importante de date sensibile, precum: date privind sănătatea, date biometrice, date genetice, date privind orientarea religioasă sau apartenența sindicală, date privind condamnările penale.
Exemple: spitale private, clinici medicale, laboratoare de analize, societăți de asigurări medicale, anumite companii din domeniul farmaceutic.
4. Organizații care prelucrează un număr de identificare naţional (CNP) în temeiul interesului legitim
În România, pe lângă situațiile prevăzute de art. 37 din GDPR, desemnarea unui DPO este obligatorie și în ipoteza reglementată de art. 4 alin. (2) lit. b) din Legea nr. 190/2018, respectiv atunci când un operator prelucrează un număr de identificare național în temeiul interesului legitim (art. 6 alin. (1) lit. f) GDPR).
II. Dacă nu sunt obligat, mai are rost să desemnez un DPO?
Da. În multe situații, desemnarea voluntară a unui DPO reprezintă o măsură de bună guvernanță și de reducere a riscurilor juridice.
Din ce în ce mai multe companii aleg să desemneze un DPO chiar dacă legislația nu le obligă.
Avantajele desemnării unui DPO
1. Reducerea riscului de amenzi
Amenzile aplicate pentru încălcarea GDPR pot ajunge până la:
- 10 milioane euro sau 2% din cifra de afaceri anuală mondială;
- respectiv 20 milioane euro sau 4% din cifra de afaceri anuală mondială, în funcție de gravitatea încălcării.
Un DPO ajută organizația să identifice din timp riscurile și să implementeze măsuri de conformitate.
2. Consultanță permanentă privind GDPR
Un DPO oferă sprijin în:
- redactarea politicilor interne;
- evaluarea noilor proiecte;
- analizarea riscurilor privind protecția datelor;
- implementarea principiilor GDPR.
Astfel, conformitatea nu devine o preocupare doar atunci când apare un control.
3. Gestionarea incidentelor de securitate
În cazul unui incident de securitate (data breach), timpul este esențial.
DPO-ul coordonează:
- analiza incidentului;
- documentarea acestuia;
- notificarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), dacă este necesar;
- comunicarea către persoanele vizate, atunci când legea o impune.
4. Relația cu ANSPDCP
Un DPO reprezintă principalul punct de contact între organizație și autoritatea de supraveghere.
Acest lucru facilitează:
- răspunsurile la solicitările autorității;
- gestionarea controalelor;
- demonstrarea conformității cu GDPR.
5. Instruirea angajaților
Majoritatea incidentelor privind protecția datelor au la bază erori umane.
DPO-ul poate organiza periodic:
- sesiuni de instruire;
- ghiduri interne;
- proceduri clare privind prelucrarea datelor.
6. Creșterea încrederii clienților și partenerilor
Tot mai multe companii solicită partenerilor dovezi privind conformitatea cu GDPR.
Existența unui DPO transmite că organizația tratează cu seriozitate protecția datelor și gestionează responsabil informațiile personale.
7. Un avantaj competitiv
Pentru companiile care participă la licitații publice, colaborează cu societăți multinaționale sau prelucrează volume importante de date, existența unui DPO poate constitui un avantaj în procesul de selecție și negociere.
III. Pot fi sancționat dacă nu am desemnat un DPO?
Da. Nedesemnarea unui DPO atunci când legea impune această obligație poate atrage amenzi de până la 10 milioane de euro sau 2% din cifra de afaceri anuală mondială, precum și măsuri corective dispuse de autoritatea de supraveghere. Totuși, sancțiunea se aplică numai organizațiilor care aveau obligația legală de a desemna un DPO, iar cuantumul acesteia este stabilit în funcție de gravitatea și circumstanțele concrete ale încălcării.
IV. Poate fi externalizat serviciul de DPO?
Da. GDPR permite desemnarea unui DPO extern, printr-un contract de prestări servicii.
Pentru multe IMM-uri, această soluție este mai eficientă decât desemnarea unui angajat intern, deoarece oferă:
- acces la expertiză specializată;
- costuri predictibile;
- independență în exercitarea atribuțiilor;
- actualizarea permanentă în funcție de modificările legislative și practica autorităților.
V. Concluzie
Desemnarea unui DPO nu este doar o obligație legală pentru anumite organizații, ci și o investiție în siguranța juridică și reputația companiei.
Chiar și atunci când legea nu impune desemnarea unui Responsabil cu Protecția Datelor, existența unui specialist care monitorizează conformitatea, consiliază managementul și gestionează riscurile asociate prelucrării datelor poate preveni amenzi, litigii și pierderi de imagine.
Într-un mediu de afaceri în care protecția datelor este din ce în ce mai importantă, un DPO reprezintă un partener strategic pentru dezvoltarea responsabilă și sustenabilă a oricărei organizații.
Aveți nevoie de un DPO sau doriți să verificați dacă organizația dumneavoastră respectă cerințele GDPR? Cabinetul de avocat „Stan Elisabeta-Florina” vă oferă servicii de consultanță și DPO externalizat, prin intermediul unui avocat specializat în protecția datelor cu caracter personal, certificat ca Responsabil cu protecția datelor (DPO). Beneficiați de asistență juridică specializată, soluții adaptate activității dumneavoastră și sprijin permanent în relația cu ANSPDCP și în implementarea cerințelor GDPR.