υποχρεούμαι να διορίσω υπεύθυνο προστασίας δεδομένων για την εταιρεία μου

Για τις περισσότερες ΜΜΕ και αυτοαπασχολουμένους δεν ισχύει υποχρέωση

Ένας υπεύθυνος προστασίας δεδομένων, συντομευμένα ΥΠΔ, δεν είναι υποχρέωση για τις συνηθισμένες ΜΜΕ και τους περισσότερους αυτοαπασχολουμένους. Ο GDPR αναφέρει έναν αριθμό συγκεκριμένων περιστάσεων στις οποίες ο ΥΠΔ είναι υποχρέωση, και πέρα από αυτές, μια οργάνωση είναι ελεύθερη να διορίσει έναν δικό της, χωρίς να επιβάλλεται από το νόμο. Στην πράξη, ένας υποχρεωτικός ΥΠΔ προκύπτει κυρίως σε δημόσιες οργανώσεις και σε επιχειρήσεις των οποίων η βασική δραστηριότητα συνίσταται στη μεγάλης κλίμακας, δομημένη παρακολούθηση ατόμων ή στην επεξεργασία μεγάλης κλίμακας ευαίσθητων δεδομένων προσώπων, όπως δεδομένα υγείας.

Ένα διαδικτυακό κατάστημα, ένα γραφείο συμβουλευτικής, ένας εργολάβος ή ένας αυτοαπασχολούμενος με πακέτο λογιστικής και μερικά εργαλεία SaaS εξαιρείται στις περισσότερες περιπτώσεις από αυτές τις κατηγορίες. Αυτό δεν σημαίνει ότι δεν υπάρχει τίποτα να κάνετε: ακόμη και χωρίς ΥΠΔ, υπάρχει η υποχρέωση να μπορείτε να δείξετε ποια δεδομένα προσώπων επεξεργάζεστε και για ποιο σκοπό, για παράδειγμα σε το μητρώο των δραστηριοτήτων επεξεργασίας, και η υποχρέωση αυτή ισχύει εξίσου και για μια μονοπρόσωπη επιχείρηση. Αυτός που αμφιβάλλει εάν οι δικές του δραστηριότητες εμπίπτουν στην κατηγορία "μεγάλης κλίμακας" ή "δομημένης", θα βρει περισσότερη βοήθεια στο ερώτημα πότε απαιτείται DPIA, επειδή η ίδια εκτίμηση κινδύνου συχνά προκύπτει και με την ερώτηση για τον ΥΠΔ.

Σε τι βασίζεται αυτό: άρθρα 2 και 30 GDPR

Ο GDPR καθορίζει στο άρθρο 2 το ουσιαστικό πεδίο εφαρμογής του κανονισμού, και το άρθρο 30 ρυθμίζει το μητρώο δραστηριοτήτων επεξεργασίας με τις εξαιρέσεις που ισχύουν γι' αυτό — η ίδια η υποχρέωση ΥΠΔ βρίσκεται σε άλλο σημείο του κανονισμού, αλλά το εύρος και η φύση της επεξεργασίας που παίζουν ρόλο συμφωνούν με τα ίδια κριτήρια όπως το μητρώο και η υποχρέωση DPIA. Μέρος αυτής της εκτίμησης είναι γεγονοί: πόσα άτομα παρακολουθούνται, πόσο συστηματικά και τι είδους δεδομένα. Η Αρχή Προστασίας Δεδομένων δημοσιεύει περαιτέρω καθοδήγηση γι' αυτό για την ολλανδική πρακτική, ενώ το ερώτημα εάν ο ΥΠΔ είναι υποχρεωτικός ισχύει σε όλη την ΕΕ στον ίδιο κανονισμό — ωστόσο, η εθνική αρχή εποπτείας, στην Ολλανδία η Αρχή Προστασίας Δεδομένων και σε άλλα κράτη μέλη η αρχή εποπτείας αυτού του κράτους, μπορεί να ακολουθήσει δική της πληροφόρηση ή πρόσθετες απαιτήσεις μητρώου σχετικά με τη διορία ενός ΥΠΔ.