Внешний офицер по защите данных (DPO) в Грузии
Офицер должен быть независимым, доступным и свободным от конфликта интересов - три условия, которые трудно выполнить внутренним назначением в небольшой компании. Когда аутсорсинг работает, что он должен включать и два способа сделать его плохо.
Как только организация подпадает под обязанность назначить офицера, практический вопрос - кто займёт эту роль. В компании из пятнадцати человек часто нет никого, кто мог бы занимать её надлежащим образом: все кандидаты руководят чем-то, что офицер должен контролировать. Именно эту проблему решает внешнее назначение, и поэтому роль обычно отдают на аутсорсинг, а не заполняют изнутри.
Внешнее
Назначение допускается
Офицер не обязан быть сотрудником
Независимость
Обязательное условие
Никаких указаний о том, как выполнять задачи
Названное лицо
Человек, а не фирма
Кто-то должен быть идентифицируемым и доступным
Почему внутреннее назначение часто не работает
Офицер контролирует соблюдение требований организацией и подотчётен её высшему руководству. Это создаёт два условия, которые большинство небольших организаций не могут выполнить изнутри. Первое - независимость: офицеру нельзя указывать, как приходить к выводам. Второе - отсутствие конфликта интересов: офицер, который одновременно решает, как и зачем обрабатываются персональные данные, в итоге контролирует собственные решения.
Офицер выполняет возложенные задачи независимо и не получает указаний относительно их выполнения; офицер не может быть уволен или наказан за выполнение этих задач и может выполнять иные обязанности при условии, что они не порождают конфликта интересов.
Внутренний против внешнего
| Внутреннее назначение | Внешнее назначение | |
|---|---|---|
| Риск конфликта | Высокий в небольшой компании - кандидаты руководят обработкой | Низкий - нет операционной роли, с которой был бы конфликт |
| Независимость | Структурно трудна, когда офицер подчинён тому, кого контролирует | Встроена; договор может её закрепить |
| Доступность | Поглощается другой работой на полную ставку | Определена договором, со сроком реагирования |
| Стоимость | Зарплата или отвлечение от роли, ради которой человека наняли | Ежемесячная плата, соразмерная организации |
| Непрерывность | Заканчивается с уходом человека | Продолжается; провайдер заменяет специалиста |
Аутсорсинг перемещает работу, а не ответственность. Контролёр остаётся ответственным за соблюдение требований; офицер контролирует и консультирует. Любой провайдер, намекающий, что его назначение переносит ответственность, продаёт то, чего закон не предлагает.
Что должно включать внешнее назначение
- 1
Названное физическое лицо, идентифицируемое и доступное, а не фирма в абстракции.
- 2
Опубликованные контактные данные и уведомление о назначении, требуемое надзорным органом.
- 3
Договорную гарантию независимости: никаких указаний о том, как приходить к выводам, и никаких наказаний за неудобные выводы.
- 4
Линию подотчётности высшему руководству, реализуемую на практике, а не только на бумаге.
- 5
Определённую доступность - срок реагирования на запросы субъектов данных и на обращения надзорного органа.
- 6
Доступ: к процессам обработки, системам и людям, потому что офицер, который не видит обработку, не может её контролировать.
Руководитель IT, назначенный ради экономии зарплаты
Компания назначает своего руководителя IT офицером по защите данных. Он знает системы лучше всех, и назначение ничего не стоит.
- 1Он же выбирает системы, устанавливает сроки хранения и решает, что логируется, - то есть определяет, как и зачем обрабатываются персональные данные.
- 2Задача офицера - контролировать именно эти решения, поэтому назначение требует от него проверять самого себя.
- 3Когда приходит контакт с надзором, конфликт виден на организационной схеме раньше, чем кто-либо прочтёт политику.
- 4Теперь у компании две проблемы: исходный вопрос защиты данных и назначение, которое не выполняет того, для чего назначение существует.
Самое дешёвое назначение - то, которое с наибольшей вероятностью окажется дефектным. Конфликт интересов оценивается по тому, что человек решает, а не по тому, насколько хорошо он понимает технологии.
Иллюстративный пример. Конфликтует ли конкретная роль, оценивается по фактам того, что решает этот человек.
Офицер, которого никто не мог найти
Организация назначает внешнего офицера, подписывает договор и убирает его в папку. Контактные данные не опубликованы, надзорный орган не уведомлён, назначение не упомянуто в уведомлении о конфиденциальности.
- 1У субъекта данных, реализующего свои права, нет пути к офицеру, и он обращается вместо этого в надзорный орган.
- 2Орган запрашивает данные офицера и дату назначения, и организация предъявляет договор, о котором никто за её пределами не мог знать.
- 3Назначение существовало, а каждая функция, зависящая от доступности офицера, - нет.
- 4Исправление административное и занимает полдня; впечатление, созданное запросом, длится значительно дольше.
Офицер - это контактное лицо. Назначение, которое не опубликовано и о котором не уведомлено, даёт стоимость роли и ни одной из её целей.
Иллюстративный пример. Требования к уведомлению и публикации установлены надзорным органом; уточните актуальную форму.
Как это делает Trustlex
Мы занимаем роль как названное физическое лицо на основании ежемесячного договора: назначение и уведомление, контактное лицо для субъектов данных и для Службы государственного аудита как надзорного органа, ежегодный обзор процессов обработки и консультации по обработке повышенного риска, когда она возникает. Чего мы не делаем - не намекаем, что наше назначение делает организацию соответствующей требованиям: офицер контролирует соблюдение, а построение программы под ним - отдельная работа, которую мы честно оценим.
Next step
Назначение, которое выдержит проверку
Внешний офицер работает только тогда, когда договор, независимость и контактная точка реальны. Trustlex принимает установленную законом роль: конкретный человек, срок ответа и постоянная линия связи со Службой государственного аудита как надзорным органом.
Смотреть услугу внешнего DPOОбщая информация, а не юридическая консультация. Обязана ли ваша организация назначить офицера и что должно содержать назначение, зависит от вашей обработки и от действующих на тот момент актов надзорного органа.