Kada je imenovanje obvezno
Prema čl. 37. GDPR-a, voditelj i izvršitelj obrade imenuju službenika za zaštitu podataka:
- ako obradu provodi tijelo javne vlasti ili javno tijelo, osim sudova kad djeluju u sudbenom svojstvu
- ako se njihove osnovne djelatnosti sastoje od postupaka obrade koji zahtijevaju redovito i sustavno praćenje ispitanika u velikoj mjeri, primjerice praćenje ponašanja korisnika na internetu ili praćenje lokacije
- ako se njihove osnovne djelatnosti sastoje od opsežne obrade posebnih kategorija podataka, primjerice podataka o zdravlju, ili podataka o kaznenim osudama i kažnjivim djelima
Tvrtke koje nemaju tu obvezu mogu službenika imenovati dobrovoljno. Tada za njega vrijede ista pravila o položaju i zadaćama.
Grupa poduzetnika može imenovati jednog službenika ako je lako dostupan iz svakog poslovnog nastana. Službenik može biti zaposlenik ili vanjski pružatelj usluge na temelju ugovora.
Zadaće (čl. 38. st. 4. i čl. 39.)
- informiranje i savjetovanje voditelja ili izvršitelja obrade i zaposlenika o obvezama iz GDPR-a
- praćenje usklađenosti, uključujući raspodjelu odgovornosti, podizanje svijesti i osposobljavanje osoblja te reviziju
- savjetovanje o procjeni učinka na zaštitu podataka
- suradnja s AZOP-om i djelovanje kao kontaktna točka za AZOP
- kontaktna točka za ispitanike u vezi s obradom njihovih podataka i ostvarivanjem prava
Položaj (čl. 38.)
- službenik ne smije primati upute o izvršavanju svojih zadaća
- ne smije biti razriješen dužnosti ni kažnjen zbog izvršavanja svojih zadaća
- izravno odgovara najvišoj rukovodećoj razini
- mora imati resurse potrebne za izvršavanje zadaća i održavanje stručnog znanja
- može obavljati i druge poslove ako oni ne dovode do sukoba interesa
Službenik se imenuje na temelju stručnih kvalifikacija, osobito stručnog znanja o pravu i praksi zaštite podataka (čl. 37. st. 5.).
Obavijest AZOP-u
Voditelj ili izvršitelj obrade objavljuje kontaktne podatke službenika za zaštitu podataka i dostavlja ih AZOP-u (čl. 37. st. 7.). AZOP za to na svojoj stranici ima obrazac za imenovanje službenika za zaštitu podataka.
Primjer
Lanac privatnih poliklinika svakodnevno opsežno obrađuje podatke o zdravlju pacijenata, pa mora imenovati službenika za zaštitu podataka. Imenuje voditeljicu pravne službe, ali joj ne dodjeljuje i odlučivanje o svrhama i sredstvima obrade kako ne bi nastao sukob interesa.