DPO не може да контролира решения, които самият той взима
Берлинският комисар по защита на данните и свобода на информацията (BlnBDI) наложи глоба от 525 000 евро на дъщерното дружество на берлинска група за търговия на дребно поради конфликт на интереси на длъжностното лице по защита на данните (DPO) на компанията.
Компанията е назначила длъжностно лице по защита на данните, за да наблюдава решенията, които самото то взима.
Служителите по защита на данните на компанията имат важна задача: те съветват компанията относно задълженията за защита на данните и следят за спазването на разпоредбите за защита на данните, отбелязва BlnBDI.
Съгласно член 38, параграф 6, изречение 2 от Общия регламент относно защита на данните (GDPR), тази функция може да се изпълнява само от лица, които не са обект на конфликт на интереси поради други задачи. Такъв би бил случаят например с хора с ръководни позиции в компанията, които сами вземат важни решения относно обработката на лични данни в компанията. Следователно задачата не трябва да се изпълнява от лица, които биха се самоконтролирали.
Според BlnBDI такъв конфликт на интереси е съществувал в случай на служител по защита на данните на дъщерно дружество на група за електронна търговия в Берлин. Лицето е било и управляващ директор на две фирми за услуги, които са обработвали лични данни от името на същата компания, за която той е работил като длъжностно лице по защита на данните. Тези компании също са част от групата – обслужват клиенти и изпълняват поръчки.
Следователно длъжностното лице по защита на данните трябва да следи за спазването на закона за защита на данните от дружества, действащи в контекста на обработката на поръчки, които самият той управлява като управляващ директор. В този случай BlnBDI намира конфликт на интереси и следователно нарушение на GDPR.
Поради това надзорният орган първоначално издава предупреждение срещу компанията през 2021 г. След като друга проверка тази година показва, че нарушението продължава въпреки предупреждението, BlnBDI налага глобата, която все още не е влязла в сила.
Фолкер Брозио, изпълняващ длъжността ръководител на BlnBDI: „Тази глоба подчертава важната роля на служителите по защита на данните в компаниите. Длъжностното лице по защита на данните не може от една страна да наблюдава спазването на закона за защита на данните и от друга страна да има думата. Подобно саморегулиране противоречи на функцията на длъжностното лице по защита на данните, което се предполага, че е независим орган, който работи за спазване на защитата на данните в компанията.“
При определяне на глобата BlnBDI взима предвид оборота на групата за електронна търговия през предходната финансова година и важната роля на длъжностното лице по защита на данните като лице за контакт с големия брой служители и клиенти. Взето е предвид и умишленото преназначаване на длъжностното лице по защита на данните за близо година въпреки вече отправеното предупреждение. Наред с други неща, класифицира, че компанията е работила интензивно с BlnBDI и е прекратила нарушението по време на текущото производство за глоба.
„За да избегнат нарушения на защитата на данните, компаниите трябва да проверяват за конфликти на интереси във всяка двойна роля на длъжностното лице по защита на данните на компанията в структурите на групата“, казва Брозио. „Това важи по-специално, когато има обработка на поръчки или съвместни отговорности между компаниите от групата.“