sunt obligat să numesc un responsabil cu protecția datelor pentru compania mea

Pentru cele mai multe întreprinderi mici și mijlocii și persoane autorizate nu se aplică nicio obligație

Un responsabil cu protecția datelor, pe scurt RPD, nu constituie în general o obligație pentru întreprinderea mică și mijlocie obișnuită și pentru cele mai multe persoane autorizate. RGPD prevede o serie de situații specifice în care un RPD este obligatoriu, iar în afara acestora, o organizație are libertatea să desemneze singură un RPD, fără ca legea să o oblige. În practică, un RPD obligatoriu apare mai ales la organizațiile din sectorul public și la întreprinderi a căror activitate principală constă în monitorizarea la scară largă și structurată a persoanelor sau în prelucrarea la scară largă a categoriilor speciale de date cu caracter personal, cum ar fi datele de sănătate.

Un magazin online, un birou de consultanță, un antreprenor de construcții sau o persoană autorizată cu un pachet contabil și câteva instrumente SaaS se încadrează în cele mai multe cazuri în afara acestor categorii. Aceasta nu înseamnă că nu trebuie să se întreprindă nimic: chiar și fără RPD, se aplică obligația de a putea demonstra ce date cu caracter personal se prelucrează și în ce scop, de exemplu în registrul de prelucrări, iar această obligație se aplică în aceeași măsură unei întreprinderi individuale. Oricine se întreabă dacă propriile activități se încadrează sau nu în categoria "la scară largă" sau "structurată", va găsi mai mult sprijin în răspunsul la întrebarea când este necesară o evaluare a impactului asupra protecției datelor, deoarece aceeași evaluare a riscurilor apare adesea împreună cu întrebarea privind DPO.

Baza acestuia: articolele 2 și 30 din RGPD

RGPD stabilește în articolul 2 domeniul de aplicare material al regulamentului, iar articolul 30 reglementează registrul de activități de prelucrare cu excepțiile care se aplică acestuia — obligația DPO în sine se află în altă parte a regulamentului, dar amploarea și natura prelucrării care joacă un rol în aceasta se aliniază la aceleași criterii ca și pentru registru și obligația DPIA. O parte din această evaluare este de natură factuală: câți oameni sunt urmăriți, cât de sistematic și ce fel de date sunt implicate. Autoritatea de Supraveghere a Datelor cu Caracter Personal publică orientări suplimentare pentru practica din România, în timp ce întrebarea dacă este obligatorie o DPO se bazează în toată UE pe același regulament — totuși, autoritatea de supraveghere națională, în România fiind Autoritatea de Supraveghere a Datelor cu Caracter Personal și în alte state membre fiind autoritatea de supraveghere din acel stat, poate adopta propriile recomandări sau cerințe de înregistrare suplimentare în jurul desemnării unui DPO.