Rolul DPO in organizatie

Manuela Borlovan
- Pro Management -
 Analiza a rolului DPO in organizatie

 Ce companii au nevoie de DPO

 Care este rolul DPO in organizatie
 Responsabilitati
 Ce drepturi are DPO
 Ce comporta rolul DPO
 Expertiza
 Calificari
 Bune practici la angajarea DPO
 Ce companii au nevoie de Ofiteri de Protectie ale Datelor
personale?

 GDPR propune numirea unui Ofiter de Protectie a Datelor pentru orice organizatie care
proceseaza sau stocheaza cantitați mari de date personale, fie pentru angajati, fie pentru persoane
individuale din afara organizatiei sau pentru amandoua;

 Ofiterii de Protectie a Datelor trebuie numiti pentru toate autoritatile publice, unde activitatile
principale ale controlerului sau ale procesatorului includ monitorizari regulate si sistematice ale
subiectilor ale caror date sunt procesate pe o scara larga sau unde entitatea conduce procesari de
date personale de categorii speciale pe o scară larga ca și cele care detaliaza rase, etnii sau
credințe religioase.
 Care este rolul DPO in organizatie?

 Monitorizarea respectarii GDPR, a altor dispozitii de drept referitoare la protectia datelor si a politicilor de protectie
a datelor cu caracter personal, inclusiv alocarea responsabilitatilor si actiunilor de sensibilizare şi de formare a
personalului implicat in operatiunile de procesare, precum şi evaluarile aferente – impune aptitudini manageriale

 Furnizarea de consiliere la cerere in ceea ce priveste evaluarea impactului asupra protectiei datelor si
monitorizarea functionarii acestuia - consultant

 Cooperarea cu autoritatea de supraveghere; – practic e doar o

chestiune de reprezentare, DPO acționand ca persoana de contact

 Punct de contact pentru autoritatea de supraveghere – vezi mai sus.

 Responsabilitatile Ofiterilor de Protectie a Datelor

 Definite in Articolul 39 al GDPR, responsabilitatile Ofiterilor de Protectie a Datelor includ, dar

nu sunt limitate la urmatoarele:
 Educarea companiilor si a angajatilor privind cerintele importante de conformitate;
 Pregatirea personalului implicat in procesarea datelor personale;
 Efectuarea periodica de revizii de securitate pentru a asigura conformitatea si pentru a
adresa in mod proactiv potentialele problem;
 Reprezentarea ca si punct de contact intre companii si Autoritatea de Supraveghere;
 Monitorizarea performantelor si consilierea cu privire la impactul efortului de protejare a
datelor personale;
 Consiliere si monitorizare in legatura cu mentinerea de inregistrari complete ale tuturor
activitatilor de procesare ale datelor personale efectuate de companii, incluzand scopul
tuturor activitatilor de procesare care la cerere trebuie facute publice;
 Urmarirea activitatilor de notificare catre subiectii ale caror date sunt procesate pentru a-i
informa cu privire la felul in care datele lor personale sunt folosite, la drepturile lor de a-si
avea datele personale sterse si ce masuri a luat compania pentru a-i proteja informatiile
personale.
 Ce drepturi are DPO?
DPO-ul trebuie sa beneficieze de separarea indatoririlor fata de alte departamente si este necesar sa i se
acorde independenta si autoritate pentru a-si indeplini cu succes rolul.

• Raporteaza celui mai inalt nivel ierarhic in organizatie;

• Opereaza independent si nu poate fi concediat sau penalizat in legatura cu activitatile pe care le executa;

• I se vor pune la dispozitie resursele necesare pentru a-si duce la

indeplinire sarcinile care ii revin cu privire la conformitatea organizatiei cu
GDPR;

• Aderand la codul de conduita si obtinand certificare internationala, DPO

va avea numeroase beneficii: credibilitate, expertiza, impunere;

• Ofera solutii pentru a preveni sanctiunile aplicabile organizatiei in legatura

cu securitatea si protectia datelor personale;
Ce implica rolul DPO?
• Suport activ adecvat (financiar, resurse umane si material, logistic (spatiu, echipamente, facilitati) oferit de
managementul de top si timp suficient pentru a-si indeplini functia si activitatile specifice,

• Numire oficiala (si comunicare catre toate nivelurile in organizatie) in legatura cu desemnarea DPO, informatii
referitoare la rolul, functia si responsabilitatile ce ii revin,

• Acces necesar la nivelul serviciilor si departamentelor, cum ar fi HR, Juridic, IT, Securitate, astfel incat DPO va
putea primi suportul necesar, input si informatii de interes,

• Pregatire (training) continua

 Tinand cont de marimea si structura organizatiei, se poate forma o echipa

DPO (un DPO si staff-ul sau ).

 In aceste cazuri, structura interna, sarcinile si responsabilitatile fiecarui

membru din echipa, trebuiesc foarte clar stabilite.

 Similar, cand functia de DPO este exercitata de catre o entitate

externa, o echipa sau un consultant extern care exercita aceasta
functie, organizatia va desemna o persoana din interior.
 DPO trebuie sa aiba cunostinte temeinice de
legislatie interna si europeana, sa aiba un bun
spirit managerial, sa fie capabil sa faca o
Ce expertiza are DPO? analiza de risc si sa fie un bun comunicator.

Grupul WP29 sugereaza ca nivelul de expertiza al unui DPO trebuie sa fie adecvat complexitații datelor personale
prelucrate și a masurilor de protectie necesare:

- experienta in legislatia si practicile de protectie a datelor la nivel national si european;

- nivelul de cunostinte in domeniul protectiei datelor in legatura cu

operatiunile de procesare si de nivelul de protectie necesar;

- sa inteleaga operatiunile de prelucrare efectuate, precum si sistemele

de informatii si cerintele de securitate si protectie a datelor prelucrate
de operator;

- cunostinte privind reglementarile legale din domeniul public, în cazul unei

autoritati sau institutii publice.
 Calificari necesare?

• Ideal, are experienta in rolul de management al riscului / conformitate;

• Cunostinte solide in domeniul IT si Securitate;

• Experienta in Managementul de Proiect;

• Abilitatea de a implementa schimbari in timp scurt;

• Abilitatea de a conduce, controla si organiza oameni si resurse din cadrul tuturor zonelor de business;

• Abilitatea de a lucra cu termeni limita si de a lucra dupa un plan, flexibilitate pentru rezolvarea problemelor;

• Orientat pe rezultate ;

• Calificare in administrarea afacerilor sau studii juridice;

• O intelegere excelenta a legislatiei si a implicatiilor aduse de noua legislatie;

 Calificari pentru DPO

 Conform Articolului 37, se cere ca DPO sa aiba cunostinte despre legile si practicile de protectie
a datelor. Regulamentul specifica faptul ca, expertiza necesara DPO se va alinia cu operatiunile
de procesare a datelor care se efectueaza in companie si cu nivelul de protectie a datelor;

 DPO poate fi membru al echipei procesatorului sau a controlerului si este posibil ca cele doua
companii sa foloseasca acelasi DPO, atata timp cat este posibil ca activitatile DPO sa fie
effectuate de acelasi individ si ca acesta este usor accesibil de catre companiile respective;

 DPO poate fi numit din exteriorul companiei, conform unui contract de colaborare pentru servicii
de consultant;

 Datele de contact ale DPO vor fi facute publice si vor fi oferite spre cunostinta autoritatii de
supraveghere.
 Bune practici la angajarea DPO

 Se previzioneaza ca in jur de 100.000 DPO vor fi necesari la nivelul Uniunii Europene si in jur de
10.000 DPO la nivelul tarii noastre;
 DPO trebuie sa fie numiti inainte de 25 mai 2018, pentru ca sa se poate garanta angajarea
persoanelor cu calificarile potrivite si necesare;
 Pentru a angaja DPO-ul potrivit, trebuie sa te asiguri ca are expertiza necesara in domeniul
protectiei datelor personale, o intelegere completa a infrastructurii IT, a tehnologiilor necesare, a
structurii organizatorice si a celei tehnice;
 Poti numi un angajat existent sau poti angaja un DPO extern;
 Companiile si organizatiile trebuie sa caute candidatii care sa poata administra activitatile pentru
conformitatea cu GDPR si cele in legatura cu protectia datelor si totodata sa raporteze
conformitatea catre autoritatea de supraveghere;
 Ideal, DPO trebuie sa aiba abilitati manageriale excelente, abilitatea de a comunica cu angajatii
si totodata cu autoritatile;
 Sa fie capabil sa alerteze autoritatea atunci cand se identifica un caz de neconformitate;
 Sa informeze compania despre penalitatile in legatura cu neconformitatea cu GDPR.