Kdo je DPO?

DPO (Data Protection Officer, někdy i Data Privacy Officer), v češtině pověřenec ochrany osobních údajů, je Nařízením nově zavedená funkce v institucích zpracovávající osobní údaje. DPO bude plnit funkci pomocníka či koordinátora ochrany osobních údajů příslušného správce nebo zpracovatele a zároveň funkci jakéhosi styčného důstojníka pro jeho komunikaci s dozorovým úřadem (ÚOOÚ). Hlavním úkolem DPO bude monitorování souladu zpracování osobních údajů s povinnostmi vyplývajícími z Nařízení, analyzovat a kontrolovat soulad činností zpracování, školení pracovníků a celkové řízení agendy interní ochrany dat.

Pověřencem ochrany osobních údajů se může stát osoba s odbornými znalostmi v oblasti právních předpisů a postupů týkajících se ochrany údajů, která je schopna plnit své povinnosti a úkoly nezávislým způsobem, a to ať už jako interní zaměstnanec, nebo jako externí konzultant nebo organizace, kteří plní své úkoly na základě smlouvy o poskytování služeb. Nařízení přímo nepožaduje právnické vzdělání, je však výhodné si pro funkci pověřence právníka najmout. Pověřenec by měl znát organizační strukturu správce a orientovat se v podmínkách zpracování osobních údajů.

Pověřenec musí být jmenován správcem ve třech případech.

1. zpracování provádí orgán veřejné moci či veřejný subjekt (s výjimkou soudů),
2. hlavní činnosti správce nebo zpracovatele spočívají v operacích zpracování, které vyžadují rozsáhlé pravidelné a systematické monitorování občanů,
3. hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů nebo osobních údajů týkajících se rozsudků v trestních věcech a trestných činů.

Za hlavní činnost správce mají být považovány ty činnosti, které souvisejí s jeho základními obchodními a provozními činnostmi. Správce nemusí jmenovat pověřence v případě, že zpracování osobních údajů provádí pouze jako pomocná činnost k dosažení základních cílů činnosti správce.

Pověřenci nenesou osobní odpovědnost za nedodržování GDPR. Nařízení jasně stanoví, že jsou to správci nebo zpracovatelé, kteří musí zajistit a být schopni doložit, že zpracování je prováděno v souladu s GDPR. Právní soulad v oblasti ochrany dat je odpovědností správce nebo zpracovatele.