Навигация
GDPR > Статья 38. Должность инспектора по защите персональных данных
Скачать в PDF

Статья 38 GDPR. Должность инспектора по защите персональных данных

1. Контролёр и процессор гарантируют, что инспектор по защите персональных данных принимает надлежащее и оперативное участие во всех вопросах, связанных с защитой персональных данных.

2. Контролёр и процессор должны оказывать поддержку инспектору по защите персональных данных в выполнении его/ее задач, упомянутых в Статье 39, посредством предоставления ресурсов, необходимых для осуществления указанных задач, и доступа к персональным данным и процессу обработки, а также ресурсов, необходимых для поддержания его/ее экспертных знаний.

Связанные статьи

3. Контролёр и процессор гарантируют, что инспектор по защите персональных данных не получает никаких инструкций при выполнении своих задач. Он/она не может быть уволен или наказан контролёром или процессором за выполнение своих обязанностей. Инспектор по защите персональных данных отчитывается непосредственно перед высшим руководством контролёра или процессора.

Связанные статьи

4. Субъекты данных могут обращаться к инспектору по защите персональных данных относительно всех вопросов, связанных с обработкой их персональных данных и осуществлением их прав согласно настоящему Регламенту.

5. Инспектор по защите персональных данных при выполнении своих задач обязан соблюдать тайну или конфиденциальность в соответствии с правом Союза или государства-члена.

ISO 27701

ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).

Приводим соответствующий параграф к статье 38(5) GDPR:

6.10.2.4 Соглашения о конфиденциальности или неразглашении

Руководство по внедрению

Организация должна обеспечить, чтобы лица, работающие под ее контролем и имеющие доступ к ПИИ, были обязаны соблюдать конфиденциальность.


для доступа к полному тексту

6. Инспектор по защите персональных данных может выполнять и другие задачи и обязанности. Контролёр или процессор гарантируют, что выполнение таких задач не приводит к конфликту интересов.

Связанные статьи
Комментарий эксперта ISO 27701 Преамбулы Руководство и прецедентное право Оставить комментарий
Комментарий эксперта

В статье 38 описывается особенность должности DPO (инспектора по защите персональных данных). В частности, делается упор на том, что DPO самостоятельно выполняет свою работу, притом ответственность за ее своевременное и качественное выполнение отчасти лежит на самой компании (контролере или процессоре). Поэтому текст подчеркивает, что компания предоставляет DPO необходимые ресурсы и доступ  с одной стороны, а также несет ответственность за независимость DPO, не имея права давать ему/ ей какие-либо инструкции — с другой. 

Для того, чтобы обеспечить DPO поддержкой, компании рекомендуется убедиться в следующем: 

  • DPO принимает активное и своевременное участие во всех вопросах защиты данных; DPO приглашается к регулярному участию в совещаниях руководителей старшего и среднего звена, когда принимаются решения, имеющие последствия для защиты данных; 
  • DPO отчитывается перед высшим руководством вашей организации, т.е. перед советом директоров;
  • DPO действует независимо и не увольняется и не наказывается за выполнение своих обязанностей;
  • мнению DPO всегда придаётся должное значение. В случае разногласий рекомендуется в качестве надлежащей практики документировать причины невыполнения рекомендаций DPO;
  • DPO предоставляются достаточные ресурсы (достаточное время, финансовые средства, инфраструктуру и, при необходимости, персонал), чтобы ДПО мог(-ла) выполнять свои обязательства по GDPR и поддерживать экспертный уровень знаний;
  • DPO предоставляется соответствующий своевременный доступ к персональным данным и процессам обработки, чтобы дать ему (ей) возможность дать адекватную консультацию;
  • DPO предоставляется соответствующий доступ к другим услугам в вашей организации, чтобы он(-а) могла получить необходимую поддержку, помощь или информацию;
  • вы обращаетесь за советом к своему DPO при проведении Оценки воздействия на защиту персональных данных (DPIA), а также незамедлительно консультируетесь в случае утечки данных или другого инцидента;
  • вы вносите данные о вашем DPO в ваш реестр деятельности по обработке (статья 30 GDPR).

Сам(-а) же DPO также имеет бремя профессиональной тайны (можно сравнить с  проф.тайной врача или адвоката), из-за потенциально чувствительной природы информации, с которой он(-а) работает. Например, DPO не имеет права разглашать информацию о потенциальных нарушениях (за исключением случаев, когда нарушение подтвержденное и требует огласки). 


для доступа к полному тексту

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 6.1.1.

Here is the relevant paragraph to article 38 GDPR:

6.3.1.1 Information security roles and responsibilities

Implementation guidance

The organization should designate a point of contact for use by the customer regarding the processing of PII. When the organization is a PII controller, designate a point of contact for PII principals regarding the processing of their PII (see 7.3.2).


для доступа к полному тексту

Преамбулы

(97) В случае, когда обработка осуществляется государственным органом, за исключением судов или независимых судебных органов, действующих в рамках своей судейской дееспособности, если в частном секторе обработка осуществляется контролёром, центральная деятельность которого состоит в обработке, требующей регулярного и систематического мониторинга субъектов данных в большом объеме, либо когда центральная деятельность контролёра или процессора состоит в масштабной обработке специальных категорий персональных данных (чувствительных данных) и данных, связанных с судимостями и правонарушениями, лицо, обладающее экспертными знаниями в области законодательства в сфере защиты персональных данных и практики его применения, должно содействовать контролёру или процессору в осуществлении внутреннего мониторинга соблюдения настоящего Регламента. В частном секторе центральная деятельность контролёра относится к его основному виду деятельности и не относится к обработке персональных данных как вспомогательного вида деятельности. Необходимый уровень экспертных знаний должен определяться, в том числе, в соответствии с выполняемыми операциями по обработке и защитой, которая требуется для обрабатываемых контролёром или процессором персональных данных. Такие инспекторы по защите персональных данных, независимо от того, являются ли они работниками контролёра или нет, должны быть в состоянии исполнять свои обязанности и задачи независимо.

Руководство и прецедентное право Оставить комментарий
[js-disqus]