Adatvédelmi tisztviselő (DPO)

1. Mikor van szüksége egy szervezetnek adatvédelmi tisztviselőre?

A GDPR kifejezetten előírhatja adatvédelmi tisztviselő kijelölését, de a szervezetek önkéntes alapon is jelölhetnek ki adatvédelmi tisztviselőt amennyiben úgy érzik, annak speciális szaktudása szükséges az adatvédelmi és adatbiztonsági követelmények teljesítéséhez.

A GDPR három kötelező esetet nevesít: a) azt, amikor az adatkezelést közhatalmi szervek vagy egyéb, közfeladatot ellátó szervek végzik, b) amikor az adatkezelő vagy az adatfeldolgozó fő tevékenységei olyan adatkezelési műveleteket foglalnak magukban, amelyek az érintettek rendszeres és szisztematikus, nagymértékű megfigyelését teszik szükségessé, vagy c) ha az adatkezelő vagy az adatfeldolgozó fő tevékenységei a személyes adatok különleges kategóriáinak vagy a büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó adatok nagy számban történő kezelését foglalják magukban.

A GDPR alapján a személyes adatok különleges kategóriája a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok.

A szervezetnek közzé kell tennie az adatvédelmi tisztviselő elérhetőségét és a felügyeleti hatósággal is tudatnia kell az adatvédelmi tisztviselő elérhetőségét.

2. Mi a feladata az adatvédelmi tisztviselőnek?

Az adatvédelmi tisztviselő kulcsszerepet játszik a szervezetben a GDPR alapelveinek megfelelő adatvédelmi kultúra meghonosításában és fenntartásában, valamint elősegíti – többek között –

1. az adatok kezelésére vonatkozó elvekre,
2. az adatkezelésben érintettek jogaira,
3. a beépített és alapértelmezett adatvédelemre,
4. az adatkezelési tevékenységek nyilvántartására,
5. az adatkezelés biztonságára valamint
6. az adatvédelmi incidens bejelentésére és arról való tájékoztatásra vonatkozó rendelkezések betartását.

Az adatvédelmi tisztviselő feladatkörében eljárva

1. információt gyűjt az adatkezelési tevékenységek meghatározása érdekében,
2. elemzi és ellenőrzi az adatkezelési tevékenységek megfelelőségét,
3. tájékoztatást és szakmai tanácsadást nyújt valamint ajánlásokat bocsát ki a szervezet részére,
4. közreműködik az adatvédelmi hatásvizsgálat elvégzésében,
5. együttműködik és – szükség esetén – konzultál a felügyeleti hatósággal,
6. a szervezet döntése alapján nyilvántartást vezet a cég nevében végzett adatkezelési tevékenységek minden kategóriájáról.

Adatvédelmi tisztviselő lehet a szervezet alkalmazottja, illetve külsős magánszeméllyel vagy vállalkozással kötött szolgáltatási szerződés keretében is megbízható, ám feladatkörében eljárva egyik esetben sem utasítható.

Az adatvédelmi tisztviselőt maximális titoktartási kötelezettség köti és összeférhetetlenségi szabályokat is tartalmaz személyével kapcsolatban a jogszabály.