kötelezően kell-e adatvédelmi tisztségviselőt kineveznem a vállalkozásomhoz

A legtöbb KKV-vállalat és egyéni vállalkozó számára nincs kötelezettség

Az adatvédelmi tisztviselő, röviden AV, a szokásos KKV-k és a legtöbb egyéni vállalkozó számára általában nem kötelező. Az GDPR számos konkrét helyzetet sorol fel, amelyekben az AV kötelező, és ezen kívül szervezetek szabadon dönthetnek saját AV kinevezéséről, anélkül hogy ezt a törvény megkövetelné. A gyakorlatban a kötelező AV főleg közintézményekre és olyan vállalatokra vonatkozik, amelyek alapvető tevékenysége az emberek nagyléptékű, strukturált megfigyelésée vagy a különleges kategóriájú személyes adatok, például egészségügyi adatok nagyméretű feldolgozása.

Egy webáruház, egy tanácsadó iroda, egy építési vállalkozó vagy egy zzp egyéni vállalkozó könyvelési szoftverrel és néhány SaaS-eszközzel a legtöbb esetben kívül esik ezeken a kategóriákon. Ez nem jelenti azt, hogy nincs teendő: AV nélkül is kötelezettség, hogy bebizonyítható legyen, mely személyes adatokat és milyen céllal dolgoznak fel, például a adatkezelési nyilvántartáshoz, és ez a kötelezettség egyforma mértékben vonatkozik egy egyéni vállalkozóra is. Aki bizonytalan abban, hogy saját tevékenységei vajon az "nagyléptékű" vagy "strukturált" kategóriába tartoznak-e, több támpontot talál a kérdésben mikor szükséges egy DPIA, mivel ugyanez a kockázatértékelés gyakran együtt jelenik meg az AV-kérdéssel.

Ez ezen alapul: a GDPR 2. és 30. cikk

A GDPR 2. cikke a rendelet anyagi alkalmazási körét határozza meg, és a 30. cikk szabályozza a feldolgozási nyilvántartást a rá vonatkozó kivételekkel — maga az AV-kötelezettség a rendelet másutt található, de a feldolgozás terjedelme és jellegzetessége, amely szerepet játszik, ugyanazokhoz a kritériumokhoz igazodik, mint a nyilvántartás és az AV-kötelezettség. Ennek az értékelésnek egy része ténybeli: hányan vannak nyomon követve, mennyire szisztematikusan, és milyen adatokról van szó. Az Autoriteit Persoonsgegevens erről további útmutatást tesz közzé a holland gyakorlat számára, míg az AV-kötelezettség kérdése az egész EU-ban ugyanazon a rendeleten alapul — az azonban előfordulhat, hogy a nemzeti felügyeleti hatóság, Hollandiában az Autoriteit Persoonsgegevens, más tagállamokban pedig az adott ország felügyeleti hatósága, saját tájékoztatást vagy kiegészítő nyilvántartási követelményeket alkalmaz az AV kinevezése körül.