trebam li odrediti zaštitnika podataka za moje poduzeće

Za većinu malih i srednjih poduzeća i samozaposlenih osoba nema obveze

Službenika za zaštitu podataka, skraćeno SZPD, za običan mali i srednje veliko poduzeće i većinu samozaposlenih osoba u pravilu nije obavezno. GDPR navodi nekoliko specifičnih situacija u kojima je SZPD obavezan, a izvan njih svaka organizacija ima slobodu da ga sama postavi, bez da zakon to nameće. U praksi je obavezni SZPD prije svega prisutan u organizacijama javnog sektora te u poduzećima čija glavna aktivnost sastoji se od širokopojasnog, sustavnog nadzora osoba ili od obrade na velikoj skali posebnih kategorija podataka, kao što su zdravstveni podaci.

Mrežna trgovina, savjetodavno poduzeće, izvođač radova ili samozaposlena osoba s računovodstvenim paketom i nekoliko SaaS-alata u većini slučajeva ne spada u te kategorije. To ne znači da nema ničega što treba učiniti: čak i bez SZPD-a vrijedi obveza da se može pokazati koji se osobni podaci obrađuju i u koju svrhu, primjerice u register obrada, i ta obveza vrijedi podjednako za samostalnog poduzetnika. Tko sumnja da li vlastite aktivnosti spadaju u kategoriju "širokopojasne" ili "sustavne", više jasnoće pronalazi kod pitanja kada je DPIA potrebna, jer se ista procjena rizika često pojavljuje zajedno s pitanjem SZPD-a.

Na čemu se temelji: članak 2 i 30 GDPR-a

GDPR u članku 2 određuje materijalno područje primjene uredbe, a članak 30 regulira evidenciju obrada s izuzecima koji se za nju primjenjuju — sama obveza SZPD-a nalazi se drugdje u uredbi, ali opseg i priroda obrade koja tu igraju ulogu u skladu su s istim kriterijima kao pri registru i obavezi DPIA-e. Dio ove procjene je činjenična: koliko se osoba prati, koliko sustavno i kakvi su to podaci. Autoritet za zaštitu podataka objavljuje dodatne napomene za hrvatsku praksu, dok pitanje je li SZPD obavezan svugdje u EU-u temeljeno na istoj uredbi — međutim, nacionalno nadzorno tijelo, u Hrvatskoj Autoritet za zaštitu podataka a u drugim državama članicama nadzorno tijelo te zemlje, može primijeniti vlastite upute ili dodatne zahtjeve za registraciju vezane uz postavljanje SZPD-a.