Source: https://startlawyers.com/tag/dpo/
Timestamp: 2018-12-17 10:13:44+00:00
Document Index: 16284288

Matched Legal Cases: ['Articolul 29', 'Articolul 29', 'Articolul 29', 'Articolul 29', 'articolul 39', 'Articolul 29', 'Articolul 29', 'Articolul 29']

DPO Archives – Start Lawyers
DPIA – Evaluarea impactului asupra protecției datelor: Q & A
February 1, 2018 /in Companies, Data protection, persoane fizice /by Stefan
În rândurile următoare vă prezentăm răspunsurile la unele dintre cele mai întâlnite întrebări referitoare la evaluarea impactului asupra protecției datelor (DPIA).
Q: Ce este DPIA?
A: DPIA este un proces destinat să:
descrie prelucrarea de date cu caracter personal;
evalueze necesitatea și proporționalitatea prelucrării;
contribuie la gestionarea riscurilor la adresa drepturilor și libertăților persoanelor vizate (prin evaluarea riscurilor și stabilirea de măsuri pentru atenuarea lor).
Q: DPIA pentru o singură operațiune de prelucrare sau pentru toate operațiunile?
A: DPIA se poate întocmi doar pentru o singură operațiune de prelucrare sau pentru multiple operațiuni de prelucrare similare și care prezintă riscuri ridicate similare. În general, DPIA se întocmește atunci când operatorul decide să desfășoare un nou proiect sau când intervine o modificare a tehnologiilor folosite în activitatea de prelucrare.
Q: DPIA este obligatorie?
A: În principiu, da. Dacă operațiunea de prelucrare se încadrează într-o excepție arătată mai jos, DPIA este obligatorie în toate cazurile în care o operațiune de prelucrare este „susceptibilă să genereze un risc ridicat”.
Q: Care sunt excepțiile de la întocmirea DPIA?
A: DPIA nu este obligatorie atunci când:
prelucrarea nu este „susceptibilă să genereze un risc ridicat”;
există DPIA similară sau când ea a fost autorizată anterior lunii mai 2018;
există un temei legal al prelucrării.
Q: Ce se înțelege prin „ risc ridicat”
A: O operațiune de prelucrare este susceptibilă să genereze „riscuri ridicate” atunci când:
presupune o evaluare sistematică și cuprinzătoare a aspectelor personale referitoare la persoane fizice, care se bazează pe prelucrarea automată, inclusiv crearea de profiluri, și care stă la baza unor decizii care produc efecte juridice privind persoana fizică sau care o afectează în mod similar într-o măsură semnificativă;
se face o prelucrare pe scară largă a unor categorii speciale de date sau a unor date cu caracter personal privind condamnări penale și infracțiuni;
se face o monitorizare sistematică pe scară largă a unei zone accesibile publicului.
În practică, Grupul de lucru Articolul 29 recomandă ca operatorii să evalueze în mod continuu riscurile create de activităților lor de prelucrare pentru a identifica momentul în care un tip de prelucrare „ar putea duce la un risc ridicat pentru drepturile și libertățile persoanelor fizice”.
Q: Când se efectuează DPIA?
A: DPIA trebuie realizată „anterior prelucrării” întrucât este un instrument destinat să ajute la luarea deciziilor cu privire la prelucrare.
Q: Pentru operațiunile de prelucrare existente mai este necesară?
A: Doar în situația în care operațiunile de prelucrare existente pot conduce la un risc ridicat pentru drepturile și libertățile persoanelor fizice, și pentru care s-a produs o schimbare a riscurilor, luând în considerare natura, obiectivul, contextul și scopurile prelucrării.
Q: Care sunt caracteristicile minime ale DPIA?
A: DPIA trebuie să conțină informații cu privire la:
Descrierea prelucrării preconizate (tipul de operațiuni și scopul prelucrării);
Evaluarea necesității și proporționalității;
Evaluarea riscurilor pentru drepturile și libertățile persoanelor vizate;
Măsurile preconizate pentru abordarea riscurilor;
Monitorizare și revizuire.
Dacă aveți alte întrebări sau dacă aveți nevoie de lămuriri, vă rugăm să folosiți pagina noastră de contact.
https://startlawyers.com/wp-content/uploads/2018/01/qa2.jpg 289 480 Stefan http://startlawyers.com/wp-content/uploads/2016/12/logo10_startlawyers-300x300.png Stefan2018-02-01 12:00:082018-01-31 21:12:15DPIA – Evaluarea impactului asupra protecției datelor: Q & A
DPO – Independență. Conflict de interese
January 28, 2018 /in Companies, Data protection, persoane fizice /by Stefan
Am scris pe acest blog despre nivelul de expertiză și calitățile profesionale ale responsabilului cu protecția datelor. Pe lângă aceste aspecte, este foarte important de știut că responsabilul cu protecția datelor trebuie să fie independent și să nu se afle în conflict de interese.
Prevederile legale din RGPD
Astfel, în cuprinsul considerentului nr. 97 se prevede că „Acești responsabili cu protecția datelor, indiferent dacă sunt sau nu angajați ai operatorului, ar trebui să fie în măsură să își îndeplinească atribuțiile și sarcinile în mod independent.”
În ceea ce privește conflictul de interese, articolul nr. 38 alin. (6) precizează că atribuțiile responsabilului cu protecția datelor trebuie să nu genereze un conflict de interese în situația în care acesta îndeplinește și alte sarcini și atribuții în cadrul organizației.
Având în vedere aceste prevederi, se pune următoarea întrebare: cum ne putem da seama că responsabilul cu protecția datelor este independent și deci, nu se află în conflict de interese?
Lămuriri ale Grupului de lucru „Articolul 29”
Regulamentul nu oferă astfel de exemple. Pentru astfel de situații, șa cum ne-am obișnuit, Grupul de lucru „Articolul 29” ne oferă unele indicii precizând că nu sunt candidați potriviți pentru poziția de DPO persoanele cu funcții de conducere superioare, cum ar fi director executiv, director operațional, director financiar, șeful serviciului medical, șeful departamentului de marketing, șef departamentului de resurse umane sau șeful departamentului IT), dar, în același timp, și alte funcții inferioare dacă acestea conduc la posibilitatea de a stabili scopurile și mijloacelor de prelucrare.
Mai mult, se arată că un conflict de interese poate apărea de exemplu, în situația în care un DPO extern este rugat să reprezinte operatorul sau persoana împuternicită de operator în instanță, în cazurile care implică probleme de protecție a datelor.
Practica Autorității pentru Protecția Datelor din Bavaria pentru sectorul privat
Deși ne oferă unele indicii despre cum să procedăm la numirea responsabilului cu protecția datelor, opinia Grupului de lucru „Articolul 29” este orientativă, autoritățile de supraveghere putând avea o opinie mai restrictivă. De exemplu, Autoritatea pentru Protecția Datelor din Bavaria pentru sectorul privat a precizat într-un raport de activitate că membrii departamentului juridic pot, în anumite cazuri, să fie în conflict de interese care să îi descalifice să acționeze ca DPO. Conform celor menționate în raport, în cazul în care consilierul juridic poate reprezenta societatea într-o procedură legală (în special în ceea ce privește acțiunile în justiție împotriva angajaților sau a clienților, care pot include aspecte legate de protecția datelor personale), consilierul juridic este supus unui conflict de interese și, prin urmare, nu este independent.
În practică se pot întâlni o multitudine de situații care pot fi asimilate ca situații de incompatibilitate sau conflict de interese. Rămâne să vedem și punctul de vedere al ANSPDCP atunci când va fi exprimat.
https://startlawyers.com/wp-content/uploads/2017/09/artificial-intelligence-2167835_640.jpg 428 640 Stefan http://startlawyers.com/wp-content/uploads/2016/12/logo10_startlawyers-300x300.png Stefan2018-01-28 17:26:062018-01-28 17:26:06DPO - Independență. Conflict de interese
DPO – Nivelul de expertiză și calitățile profesionale
January 23, 2018 /in Data protection /by Stefan
Conform RGPD în anumite cazuri operatorii de date personale trebuie să-și numească un „responsabil cu protecția datelor personale” (Data Protection Officer – DPO). Mai multe despre acest subiect puteți găsi aici.
Din păcate, Regulamentul reglementează sumar DPO-ul, făcând astfel dificilă stabilirea condițiilor pe care trebuie să le întrunească persoana care dorește să fie DPO.
DPO – reglementarea din RGPD
La art. 37 alin. (5) din RGPD se arată că „Responsabilul cu protecția datelor este desemnat pe baza calităților profesionale și, în special, a cunoștințelor de specialitate în dreptul și practicile din domeniul protecției datelor, precum și pe baza capacității de a îndeplini sarcinile prevăzute la articolul 39.”
Aceasta înseamnă că responsabilul cu protecția datelor personale trebuie să cunoască cel puțin legislația privind datele personale și procedurile aferente acestui domeniu (guvernanța informațiilor și securitate cibernetică). Mai mult, ținând cont de atribuțiile sale (informare și consiliere a operatorului), responsabilul cu protecția datelor personale trebuie să aibă acces la nivelul de top management.
Prin urmare, un DPO trebuie să aibă competențele și experiența combinată a unor roluri tipice separate, cum ar fi un manager, avocat și specialist IT.
Recomandarea Grupului de lucru „Articolul 29”
Conform Ghidului Grupului de lucru „Articolul 29” aptitudinile și expertiza relevante includ:
experiență în legislația și practicile de protecție a datelor la nivel național și european;
o înțelegere complexă a RGPD;
înțelegerea operațiunilor de prelucrare efectuate;
înțelegerea tehnologiilor de informații și de securitate a datelor;
cunoașterea sectorului de afaceri și a organizației;
abilitatea de a promova protecția datelor în cadrul organizației.
Totodată, Grupul de lucru „Articolul 29” recomandă ca autoritățile de supraveghere să promoveze o formă adecvată și regulată pentru DPO. În consecință vom aștepta punctul de vedere al A.N.S.P.D.C.P.
Menționăm, de asemenea, că la acest moment autoritatea națională din România nu oferă traininguri pentru DPO și deși această ocupație a fost introdusă de curând în Clasificarea Ocupațiilor din România, nu au fost emise norme care să prevadă calificările minime necesare pentru ca o persoană să poată ocupa această funcție.
În același timp, atragem atenția că nicio entitate care susține că oferă traininguri de calificare a unui DPO nu emite certificări sau diplome recunoscute de autoritatea națională în domeniu.
https://startlawyers.com/wp-content/uploads/2018/01/dpo.jpg 388 466 Stefan http://startlawyers.com/wp-content/uploads/2016/12/logo10_startlawyers-300x300.png Stefan2018-01-23 20:08:072018-01-23 20:08:07DPO - Nivelul de expertiză și calitățile profesionale
https://startlawyers.com/wp-content/uploads/2017/09/artificial-intelligence-2167835_640.jpg 428 640 Stefan http://startlawyers.com/wp-content/uploads/2016/12/logo10_startlawyers-300x300.png Stefan2017-12-03 23:21:392018-01-28 17:36:42RGPD - Cine trebuie să desemneze un responsabil cu protecția datelor? (II - Activitățile principale)
https://startlawyers.com/wp-content/uploads/2017/10/matrix-2883623_640.jpg 426 640 Roxana http://startlawyers.com/wp-content/uploads/2016/12/logo10_startlawyers-300x300.png Roxana2017-11-28 00:03:472017-11-28 00:12:24RGPD - Cine trebuie să desemneze un responsabil cu protecția datelor? (I)
https://startlawyers.com/wp-content/uploads/2017/09/artificial-intelligence-2167835_640.jpg 428 640 Stefan http://startlawyers.com/wp-content/uploads/2016/12/logo10_startlawyers-300x300.png Stefan2017-10-26 21:12:002018-01-28 17:38:39RGPD – Domeniul teritorial de aplicare
https://startlawyers.com/wp-content/uploads/2017/09/artificial-intelligence-2167835_640.jpg 428 640 Stefan http://startlawyers.com/wp-content/uploads/2016/12/logo10_startlawyers-300x300.png Stefan2017-10-17 17:20:102018-01-28 17:40:04RGPD – Domeniul material de aplicare a Regulamentului privind prelucrarea datelor personale
https://startlawyers.com/wp-content/uploads/2017/09/artificial-intelligence-2167835_640.jpg 428 640 Stefan http://startlawyers.com/wp-content/uploads/2016/12/logo10_startlawyers-300x300.png Stefan2017-10-02 11:27:172018-01-28 17:41:04RGPD – Datele cu caracter personal