Трябва ли да назначам длъжностно лице по защита на данни в моята компания?

За повечето МКБ компании и самостоятелни лица няма задължение

Длъжностно лице по защита на данните, съкратено ДЛЗ, обикновено не е задължение за обикновените МКБ компании и повечето самостоятелни лица. GDPR посочва редица специфични ситуации, при които ДЛЗ е задължително, и вън от тези ситуации организацията е свободна да назначи такова лице по собствена преценка, без да е принудена от закона. На практика задължителното ДЛЗ се среща главно при органи на публичната администрация и при компании, чиято основна дейност се състои в мащабно, системно наблюдение на хора или в мащабна обработка на специални категории персонални данни, като например здравни данни.

Онлайн магазин, консултантско бюро, строителен подрядчик или самостоятелно лице с счетоводен пакет и няколко SaaS инструмента обикновено не попадат в тези категории. Това не означава, че няма нищо за правене: дори без ДЛЗ остава задължението да можете да докажете кои персонални данни се обработват и с каква цел, например в регистъра на дейностите по обработка на данни, и това задължение важи еднакво и за еднолично предприятие. Тези, които се съмняват дали техните дейности попадат в категориите "широкомащабна" или "систематична", могат да намерят повече насоки в отговора на въпроса кога е необходима оценка на въздействието върху защитата на данни, защото същата оценка на риска често се появява заедно с въпроса за DPO.

На какво се основава това: членове 2 и 30 на GDPR

GDPR определя в член 2 материалния обхват на Регламента, а член 30 регулира регистъра на дейностите по обработка с изключенията, които се прилагат — самото задължение на DPO е регулирано другаде в Регламента, но обхватът и естеството на обработката, която играе роля, са в съответствие със същите критерии като регистъра и задължението за DPIA. Част от тази оценка е фактическа: колко хора се наблюдават, колко систематично и за какви данни става дума. Органът за защита на данните публикува допълнително указание за холандската практика, докато въпросът дали DPO е задължителен се основава на същия Регламент във всичката ЕС — все пак национальният надзорен орган, в Нидерландия Органът за защита на данните, а в други държави членки надзорния орган на дадена държава, могат да прилагат собствено консултиране или допълнителни изисквания за регистрация по отношение на назначаването на DPO.