Externalizare DPO

GDPR impune organizaților care procesează date cu caracter personal să numească o persoană dedicată pentru administrarea și protecția datelor cu caracter personal, rol numit Data Protection Officer (DPO). Acesta persoana poate fi internă sau cel mai sigur, externalizarea serviciului către o companie specializată - DPO as a Service (DaaS). 

• DPO va fi responsabil cu monitorizarea respectării normelor GDPR, oferindu-vă consultanță în ceea ce privește obligațiile dvs. cu privire la protecția datelor personale, la momentul și modul în care trebuie efectuată o analiză de impact pentru procesările dumneavoastră și va fi persoana de contact pentru orice solicitări din partea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal - ANSPDCP și a persoanelor vizate.

• Serviciu externalizat DPO vă asigură o conformitate completă și garantează că eventualele amenzi sunt reduse sau atenuate la cel mai mic nivel posibil.

• Răspunderea contractuală.

• Inexistența costurilor de calificare și certificare.

• Confidențialitatea informațiilor.

• Gestionarea breșelor de securitate.

• Implicarea proactivă și obiectivă în procesele operaționale implicate.

• Per ansamblu, costuri reduse semnificativ.

• numele și datele de contact ale operatorului și, după caz, ale operatorului asociat, ale reprezentantului operatorului și ale responsabilului cu protecția datelor.

• scopurile prelucrării.

• descrierea categoriilor de persoane vizate si a categoriilor de date cu caracter personal.

• categoriile de destinatari cărora le-au fost sau le vor fi divulgate datele cu caracter personal, inclusiv destinatarii din țări terțe sau organizații internaționale.

• dacă este cazul, transferurile de date cu caracter personal către o țară terță sau o organizație internațională, inclusiv identificarea țării terțe sau a organizației internaționale respective și, în cazul transferurilor menționate la articolul 49 alineatul (1) al doilea paragraf, documentația care dovedește existența unor garanții adecvate.

• acolo unde este posibil, termenele-limită preconizate pentru ștergerea diferitelor categorii de date.

• acolo unde este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate.

• EIVP (evaluarea impactului asupra vieții private);

• Confidențialitatea prin design (luând în considerare impactul asupra vieții private de la concepție)

GDPR impune organizaților care procesează date cu caracter personal să numească o persoană dedicată pentru administrarea și protecția datelor cu caracter personal, rol numit Data Protection Officer (DPO). Acesta persoana poate fi internă sau cel mai sigur, externalizarea serviciului către o companie specializată - DPO as a Service (DaaS).

Avantajele utilizării serviciilor DaaS:

ANSPDCP sau persoanele vizate vor putea contacta DPO la adresa de email: dpo@ync-safety.eu cu privire la toate chestiunile legate de prelucrarea datelor în cadrul organizației şi la exercitarea drepturilor lor în temeiul prezentului Regulament.

Atribuțiile DPO sunt cele prevăzute în art. 39 din Regulamentul 679/2016, iar organizația va sprijini DPO în îndeplinirea sarcinilor menționate la articolul 39, asigurându-i resursele necesare pentru executarea acestor sarcini.

Responsabilul pentru protecția datelor cu caracter personal are următoarele atribuții:

1) informează și consiliază personalul instituției / autorității / societății din cadrul sectorului / structurilor din subordinea conducătorului instituției/societății, pe care îl/le reprezintă, cu privire la politicile și procedurile interne care implică prelucrarea de date sau impactul oricăror produse sau servicii noi din perspectiva prelucrării de date cu caracter personal;

2) monitorizează respectarea prevederilor Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), denumit în continuare Regulamentul G.D.P.R., de către personalul instituției/autorității/societății, inclusiv alocarea responsabilităților și acțiunile de conștientizare și de formare a personalului instituției/autorității/societății implicat în operațiunile de prelucrare, precum și auditurile aferente;

3) consiliază personalul instituției/autorității în ceea ce privește evaluarea impactului asupra protecției datelor, în domeniile de interes ale solicitantului;

4) participă la elaborarea normelor de implementare a Regulamentului G.D.P.R. la nivelul instituției/autorității;

5) monitorizează procesul de armonizare, la nivelul sectorului/structurilor din subordinea conducătorului instituției, pe care îl/le reprezintă, a prevederilor legislației specifice aplicabile în domeniul de competență al instituției/autorității cu prevederile legale privind protecția datelor cu caracter personal;

6) monitorizează procesul de elaborare a procedurilor interne privind activitățile specifice de la nivelul sectorului/structurilor din subordinea conducătorului instituției, pe care îl/le reprezintă, conform prevederilor legale privind protecția datelor cu caracter personal;

7) participă la elaborarea politicii de protecție a datelor cu caracter personal în cadrul instituției/autorității;

8) participă la elaborarea de studii și analize privind impactul prevederilor legale privind protecția datelor cu caracter personal asupra activității sectorului/structurilor din subordinea conducătorului structurilor din subordinea prim-vicepreședintelui, după caz, pe care îl/le reprezintă;

9) prezintă conducătorului instituției/autorității, ori de câte ori îi este solicitat, situații periodice privind implementarea și respectarea prevederilor legale privind protecția datelor cu caracter personal în cadrul structurilor din subordinea conducătorului instituției/autorității, pe care îl/le reprezintă;

10) avertizează personalul instituției/autorității din cadrul sectorului/structurilor din subordinea conducătorului instituției/societății, pe care îl/le reprezintă cu privire la riscurile de gestionare defectuoasă a prevederilor Regulamentului G.D.P.R;

11) semnalează conducătorului instituției/autorității cazurile de nerespectare a prevederilor legale privind protecția datelor cu caracter personal în cadrul sectorului/structurilor din subordinea conducătorului instituției/societății, pe care îl/le reprezintă;

12) analizează și investighează modul de implementare și respectare a prevederilor legale privind protecția datelor cu caracter personal la nivelul sectorului/structurilor din subordinea conducătorului instituției/autorității, pe care îl/le reprezintă;

13) investighează, conform împuternicirii conducătorului instituției/autorității, incidentele la adresa datelor cu caracter personal gestionate în cadrul instituției/autorității/societății

14) în procesul, denumit si cartografiere, potrivit art. 30 (1) și (2) din Regulamentul UE, operatorul sau persoana împuternicită de operator, și nu DPO, are obligația de a "păstra o evidență a operațiunilor de prelucrare desfășurate sub resbonsabilitatea sa" sau de "păstra o evidență a tuturor categoriilor de operațiuni de prelucrare efectuate în numele operatorului după cum urmează:

Există obligația de a continua activitatea de completare a registrului de procesări, conform art. 30 din Regulament.

15) Evidența prelucrării datelor cu caracter personal se va păstra în scris, inclusiv în format electronic. La cerere, operatorul sau persoana împuternicită de acesta, precum si, după caz, reprezentantul operatorului sau al persoanei împuternicite de operator vor pune evidențele la dispoziția autorității de supraveghere.

16) Medierea cu persoanele în cauză

Responsabilul cu protecția datelor primește plângerile persoanelor vizate de tratamentele pentru care a fost numit și asigură respectarea drepturilor persoanelor fizice. El tratează aceste afirmații și reclamații în mod imparțial sau aplică proceduri pentru a asigura tratamentul adecvat.

17) Analiza, investigarea, auditul, controlul

Responsabilul cu protecția datelor conduce sau gestionează, într-o manieră controlată și independentă, orice măsură de a judeca gradul de conformitate al organizației, pentru a evidenția eventualele neconformități (gravitatea, posibilele efecte pentru persoanele vizate, originea, responsabilitatea etc.), pentru a verifica respectarea cadrului juridic sau aplicarea corectă a procedurilor, metodelor sau orientărilor privind protecția datelor cu caracter personal.

18) Să prezinte un raport lunar operatorului său, cu privire la activitățile desfășurate

19) Responsabilul cu protecția datelor este implicat îndeaproape în următoarele subiecte :

Confidențialitatea prin design este o abordare a proiectelor care promovează respectarea vieții private și protecția datelor încă de la început, de la proiectarea bazelor de date și a sistemelor de calcul.

20) Respectarea obiectivelor de confidențialitate prin design - asigurarea protecției vieții private și obținerea controlului personal asupra informațiilor proprii și, pentru organizații, obținerea unui avantaj competitiv durabil - care pot fi realizate prin respectarea celor 7 Principii Fundamentale:

(1). Proactiv nu Reactiv - Adică prevenire, nu remediu. Abordarea privind confidențialitatea prin design se caracterizează prin măsuri proactive mai degrabă decât reactive. Ea anticipează și împiedică evenimentele invazive de confidențialitate, înainte ca acestea să se întâmple. Confidențialitatea prin design nu așteaptă să se materializeze riscurile de confidențialitate și nici nu oferă remedii pentru soluționarea încălcărilor vieții private după ce acestea au avut loc. Are ca scop prevenirea apariției acestora. Pe scurt, confidențialitatea prin design vine înainte de fapte, nu după;

(2). Confidențialitatea ca setare implicită - Singurele care ne pot face să putem fi siguri de un lucru sunt regulile implicite! Confidențialitatea prin design urmărește să asigure un nivel maxim de confidențialitate, asigurând protecția automată a datelor cu caracter personal în orice sistem IT sau practică de afaceri. Dacă un individ nu face nimic, intimitatea lui rămâne în continuare intactă.

Nu este necesară nicio acțiune din partea individului pentru a-și proteja confidențialitatea - aceasta este implicit protejată de sistem;

(3). Confidențialitatea încorporată în design - Astfel confidențialitatea este încorporată în designul și arhitectura sistemelor informatice și a practicilor de afaceri. Nu este poziționată ca un add-on. Doar așa confidențialitatea devine o componentă esențială a funcțiilor de bază furnizate. Confidențialitatea este parte integrantă a sistemului, fără a diminua funcționalitatea;

(4). Funcționalitatea completă - Se urmărește o adaptare a tuturor intereselor și obiectivelor legitime într-o manieră profitabilă de tip "sumă pozitivă", nu printr-o abordare de tip "rezultat cumulat zero", în cazul în care sunt adoptate compromisuri inutile. Confidențialitatea prin design evită pretenția unor dihotomii false, cum ar fi confidențialitatea vs. securitatea - demonstrând că este posibil să obținem.

(5). Securitatea end-to-end - protecția completă, pe toată durata ciclului de viață. Confidențialitatea prin proiect, care a fost încorporată în sistem înainte de primirea primului element de informație, se extinde în mod sigur pe întreaga durată de viață a datelor implicate - garantând intimitate, de la început până la sfârșit. Acest lucru ne asigură că toate datele sunt păstrate în siguranță și apoi distruse în siguranță la sfârșitul procesului, în timp util.

(6). Vizibilitate și transparență - Confidențialitatea prin design urmărește să asigure toate părțile interesate că, indiferent de practica comercială sau tehnologia implicată, funcționează în conformitate cu promisiunile și obiectivele menționate, supuse verificării independente. Componentele și operațiunile sale rămân vizibile și transparente, atât pentru utilizatori, cât și pentru furnizori. Cu alte cuvinte "Crede și ține minte, dar nu uita să și verifici..."

(7). Respectarea confidențialității utilizatorilor - Mai presus de toate, confidențialitatea prin proiectare cere arhitecților și operatorilor să protejeze interesele individului, oferind astfel de măsuri care susțin implicațiile puternice de confidențialitate, recomandă notificarea corespunzătoare și respectarea opțiunilor cele mai prietenoase pentru utilizator. Țineți-l pe utilizator de partea voastră.

21) Pentru îndeplinirea sarcinilor sale, responsabilul cu protecția datelor este informat de către controlorul de date cu privire la toate informațiile necesare și dispune de mijloacele corespunzătoare și se asigură că persoanele vizate sunt informate cu privire la operațiunile de prelucrare care implică datele lor personale, precum și drepturile lor.

22) DPO informează sau alertează, dacă este necesar, pe controlorul său.

23) Interacționează cu autoritatea de supraveghere

Art. 39(1)e) din Regulamentul UE nr. 679/2016 prevede că DPO poate consulta autoritatea de supraveghere cu privire la orice altă chestiune, după caz.

Responsabilul cu protecția datelor este punctul de contact privilegiat pentru autoritatea de supraveghere, cu care comunică în deplină independență cu privire la aspectele legate de procesarea efectuată de organismul care l-a numit, inclusiv prin consultare. menționate la articolul 36 din GDPR și să se consulte, după caz, cu privire la orice alt subiect.

24) Realizează pregătirea și instruirea personalului cu privire la sarcinile si atribuțiile ce îi revin în domeniul protecției datelor cu caracter personal și a respectării prevederilor regulamentului și a legislației subsecvente în domeniul protecției datelor în format electronic.

25) Contribuie la întocmirea politicilor și procedurilor în domeniul sistemului de management al securității informațiilor, inclusiv al datelor cu caracter personal și urmărește aducerea acestora la cunoștința întregului personal, pe baza de semnătură.

26) Garanțiile ce-i permit responsabilului cu protecția datelor personale (DPO) să acționeze/îndeplinească sarcinile profesionale în mod independent:

Art. 39(1)e) din Regulamentul UE nr. 679/2016 prevede că DPO poate consulta autoritatea de supraveghere cu privire la orice altă chestiune, după caz.

Responsabilul cu protecția datelor este punctul de contact privilegiat pentru autoritatea de supraveghere, cu care comunică în deplină independență cu privire la aspectele legate de procesarea efectuată de organismul care l-a numit, inclusiv prin consultare. menționate la articolul 36 din GDPR și să se consulte, după caz, cu privire la orice alt subiect.

- nu primește instrucțiuni de la operator sau persoana împuternicită de operator în ceea ce privește îndeplinirea sarcinilor sale;

- nu este demis sau sancționat de operator pentru îndeplinirea sarcinilor sale;

- nu există conflict de interese cu alte posibile sarcini sau atribuții.