Статья 39 📖 GDPR. Задачи инспектора по защите персональных данных| GDPR-Text.com

Articolo 39 RGPD. Compiti del responsabile della protezione dei dati

Article 39 GDPR. Tasks of the data protection officer

1. Il responsabile della protezione dei dati è incaricato almeno dei seguenti compiti:

1. The data protection officer shall have at least the following tasks:

a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati;

(a) to inform and advise the controller or the processor and the employees who carry out processing of their obligations pursuant to this Regulation and to other Union or Member State data protection provisions;

Связанные статьи

WP29 opinion on data processing at work

Where the word “employee” is used in this Opinion, WP29 does not intend to restrict the scope of this term merely to persons with an employment contract recognized as such under applicable labour laws. Over the past decades, new business models served by different types of labour relationships, and in particular employment on a freelance basis, have become more commonplace. This Opinion is intended to cover all situations where there is an employment relationship, regardless of whether this relationship is based on an employment contract.

b) sorvegliare l’osservanza del presente regolamento, di altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;

(b) to monitor compliance with this Regulation, with other Union or Member State data protection provisions and with the policies of the controller or processor in relation to the protection of personal data, including the assignment of responsibilities, awareness-raising and training of staff involved in processing operations, and the related audits;

ISO 27701 Связанные статьи

ISO 27701

ISO/IEC 27701, принятый в 2019, добавил дополнительное руководство к ISO/IEC 27002 для контролеров персональных данных (ПИИ).

Приводим соответствующий параграф к статье 39(1)(b) GDPR:

6.4.2.2 Осведомленность, образование и обучение в сфере информационной безопасности

Должны быть приняты меры, включая информирование об инцидентах, чтобы гарантировать, что соответствующий персонал осведомлен о возможных последствиях для организации (например, правовые последствия, потеря бизнеса и ущерба для бренда или репутации), для сотрудника (например, дисциплинарные последствия) и субъекта ПИИ (например, физические, материальные и эмоциональные последствия) нарушения правил и процедур конфиденциальности или безопасности, особенно тех, которые касаются обработки ПИИ.
ПРИМЕЧАНИЕ. Такие меры могут включать использование соответствующего периодического обучения для персонала, имеющего доступ к ПИИ.

Связанные статьи

Guidelines on Data Protection Officers (‘DPOs’)

4.1. Monitoring compliance with the GDPR

As part of these duties to monitor compliance, DPOs may, in particular:

• collect information to identify processing activities

• analyse and check the compliance of processing activities

• inform, advise and issue recommendations to the controller or the processor.

Monitoring of compliance does not mean that it is the DPO who is personally responsible where there is an instance of non-compliance. The GDPR makes it clear that it is the controller, not the DPO, who is required to ‘implement appropriate technical and organisational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation’ (Article 24(1)). Data protection compliance is a corporate responsibility of the data controller, not of the DPO.

c) fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’articolo 35;

(c) to provide advice where requested as regards the data protection impact assessment and monitor its performance pursuant to Article 35;

Связанные статьи

Articolo 35 RGPD. Valutazione d'impatto sulla protezione dei dati

Article 35 GDPR. Data protection impact assessment

Guidelines on Data Protection Officers (‘DPOs’)

4.2. Role of the DPO in a data protection impact assessment

The WP29 recommends that the controller should seek the advice of the DPO, on the following issues, amongst others [35]:

_{[35] Article 39(1) mentions the tasks of the DPO and indicates that the DPO shall have ‘at least’ the following tasks. Therefore, nothing prevents the controller from assigning the DPO other tasks than those explicitly mentioned in Article 39(1), or specifying those tasks in more detail.}

• whether or not to carry out a DPIA

• what methodology to follow when carrying out a DPIA

• whether to carry out the DPIA in-house or whether to outsource it

• what safeguards (including technical and organisational measures) to apply to mitigate any risks to the rights and interests of the data subjects

• whether or not the data protection impact assessment has been correctly carried out and whether its conclusions (whether or not to go ahead with the processing and what safeguards to apply) are in compliance with the GDPR.

If the controller disagrees with the advice provided by the DPO, the DPIA documentation should specifically justify in writing why the advice has not been taken into account [36].

d) cooperare con l’autorità di controllo; e

(d) to cooperate with the supervisory authority;

e) fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.

(e) to act as the contact point for the supervisory authority on issues relating to processing, including the prior consultation referred to in Article 36, and to consult, where appropriate, with regard to any other matter.

Связанные статьи

Articolo 36 RGPD. Consultazione preventiva

Article 36 GDPR. Prior consultation

2. Nell’eseguire i propri compiti il responsabile della protezione dei dati considera debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del medesimo.

2. The data protection officer shall in the performance of his or her tasks have due regard to the risk associated with processing operations, taking into account the nature, scope, context and purposes of processing.

Связанные статьи

Guidelines 4/2019 on Article 25 Data Protection by Design and by Default Version 2.0.

2.1.3.3 «nature, scope, context and purpose of processing»

28. In short, the concept of nature can be understood as the inherent[11] characteristics of the processing. The scope refers to the size and range of the processing. The context relates to the circumstances of the processing, which may influence the expectations of the data subject, while the purpose pertains to the aims of the processing.

_{[11] Examples are special categories personal data, automatic decision-making, skewed power relations, unpredictable processing, difficulties for the data subject to exercise the rights, etc.}

General Data Protection Regulation (EU GDPR)

The latest consolidated version of the Regulation with corrections by Corrigendum, OJ L 127, 23.5.2018, p. 2 ((EU) 2016/679). Source: EUR-lex.

Комментарий эксперта ISO 27701 Руководство и прецедентное право Оставить комментарий

Комментарий эксперта

Статья 39 перечисляет список основных (но не всех) задач, которые входят в спектр обязанностей инспектора по защите данных (DPO). Среди них можно выделить три главных функции (хотя компетенции DPO не обязательно ограничиваются только ими):

Консультирование (39.1a, c),
Контроль / мониторинг (39.1b),
Связь с надзорным органом (39.1d, e).

1. Функция консультирование заключается в том, что DPO предоставляет информацию и пояснения о GDPR и его соблюдении контролеру и процессору, а также сотрудникам контролера и процессора, которые вовлечены в обработку персональных данных. В частности, роль DPO важна при проведении оценки воздействия на защиту персональных данных (DPIA), так как DPO консультирует и контролирует ее осуществление в соответствии со Статьей 35 GDPR. WP29 рекомендует контроллеру обращаться за консультацией к DPO, например, по следующим вопросам:

проводить или не проводить DPIA;
какой методологией следует руководствоваться при проведении DPIA;
проводить DPIA собственными силами или передавать его на внешний подряд;
какие гарантии (включая технические и организационные меры) следует применять для смягчения любых последствий;
риски для прав и интересов субъектов персональных данных;
была ли проведена оценка воздействия на защиту данных правильно и соответствуют ли ее выводы GDPR (следует ли продолжать обработку и какие меры предосторожности следует применять).

2. Что касается контролирующей (мониторинговой) функции DPO, то здесь имеется ввиду контроль соблюдения законодательства о защите данных и внутренних нормативных актов по защите персональных данных, а также повышение осведомленности по вопросам защиты данных, обучение персонала и проведение внутреннего аудита. В рамках этих обязанностей по контролю за соблюдением требований DPO могут, в частности, делать следующее:

собирать информацию для выявления деятельности по обработке персональных данных;
анализировать и проверять соответствия этой деятельности;
информирование, консультирование и выдача рекомендаций контроллеру или процессору по конкретным процессам и обработкам и т.п.

Следует также уточнить, что наличие мониторинговой функции у DPO не означает, что именно DPO несет личную ответственность в случаях несоблюдения. В GDPR четко указано, что именно контролер обязан «принимать надлежащие технические и организационные меры для обеспечения и демонстрации того, что обработка осуществляется в соответствии с настоящим регламентом» (Статья 24(1)). Соблюдение требований по защите данных является корпоративной ответственностью владельца данных, а не DPO.

3. Кроме того, DPO также сотрудничает с надзорным органом и является первым контактным лицом для контролирующих органов и для лиц, чьи данные обрабатываются. Можно сказать, что у DPO роль координатора или фасилитатора, о чем надзорные органы говорят в некоторых своих руководствах (Guidelines). Например, DPO выступает в качестве контактного пункта, чтобы облегчить надзорному органу доступ к документам и информации для выполнения задач, упомянутых в Статье 57, а также для осуществления своих следственных, корректирующих, разрешающих и консультационных полномочий, упомянутых в Статье 58. Как известно из Статьи 38, DPO обязан соблюдать профессиональную тайну при выполнении своих обязанностей. Однако обязанность соблюдать тайну/конфиденциальность не запрещает DPO связываться с надзорным органом и обращаться за советом к нему.

…

Войти
для доступа к полному тексту

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 6.1.1.

Here is the relevant paragraph to article 39 GDPR:

6.3.1.1 Information security roles and responsibilities

Implementation guidance

The organization should designate a point of contact for use by the customer regarding the processing of PII. When the organization is a PII controller, designate a point of contact for PII principals regarding the processing of their PII (see 7.3.2).

…

Войти
для доступа к полному тексту

Руководство и прецедентное право

(EN)

Document

Article 29 Working Party, Guidelines on Data Protection Officers (DPOs) (2017).

Оставить комментарий

[js-disqus]

Статья 38. Должность инспектора по защите персональных данных

Статья 40. Кодексы поведения