Įmonės, įstaigos ir organizacijos kreipiasi į Allaw, norėdamos perduoti duomenų apsaugos pareigūno funkcijas išorei. Tačiau poreikių aptarimų metu kai kuriais atvejais paaiškėja, kad joms reikalingas ne tik duomenų apsaugos pareigūnas, bet ir duomenų apsaugos koordinatorius. Kyla būtinybė nustatyti, kas iš tikrųjų yra duomenų apsaugos koordinatorius ir kokios jo funkcijos? Kuo skiriasi duomenų apsaugos pareigūnas ir duomenų apsaugos koordinatorius? Duomenų apsaugos pareigūnas ar koordinatorius gali būti reikalingas Jūsų organizacijai? Į šiuos ir kitus klausimus siekiame paaiškinti šiame tinklaraščio įraše.
Kas yra duomenų apsaugos koordinatorius
Duomenų apsaugos koordinatorius yra svarbi didesnių organizacijų informacijos valdymo struktūros dalis duomenų apsaugos srityje. Organizacijose, kuriose nėra duomenų apsaugos pareigūno, duomenų apsaugos koordinatorius gali būti tas asmuo, su kuriuo privaloma tartis svarbiais duomenų apsaugos klausimais. Pavyzdžiui, pasitarti prieš atsakant duomenų subjektui dėl jo asmens duomenų tvarkymo ar trečiajam asmeniui į jo prašymą dėl duomenų pateikimo, taip pat prieš diegiant ką nors naujo, susijusio su asmens duomenimis ar turinčius jiems įtakos.
Duomenų apsaugos koordinatoriaus tikslas yra įgyvendinti Bendrojo duomenų apsaugos reglamento nuostatas įmonėje, įstaigoje ar organizacijoje. Tuo tikslu jis labai glaudžiai bendradarbiauja su organizacijos duomenų apsaugos pareigūnu. Duomenų apsauga visada turi būti pritaikyta konkrečiai įmonei, įstaigai ar organizacijai. Kad pasiektų tikslą, duomenų apsaugos koordinatorius turi nemažai dėmesio skirti koordinavimui organizacijos viduje, pavyzdžiui, turi būti atliekamas:
- BDAR atitikties projekto koordinavimas,
- Duomenų apsaugos užduočių atlikimo koordinavimas,
- Personalo komplektavimas duomenų apsaugos užduočių atlikimui,
- Darbuotojų nukreipimas, duodant jiems nurodymus duomenų apsaugos srityje,
- Duomenų apsaugos užduočių ir funkcijų duomenų apsaugos srityje įvykdymo kontrolė ir kt.
Priklausomai nuo organizacijos struktūros, duomenų apsaugos koordinatorius gali turėti užduočių ir susijusių su išoriniu koordinavimu. Pavyzdžiui, teikti periodines ataskaitas daugianacionalinės įmonės ar įmonių grupės duomenų apsaugos koordinatoriui.
Štai kodėl išoriniam duomenų apsaugos pareigūnui visada reikia „vidinio“ atstovo, organizacijos kontaktinio asmens, kuris būtų susipažinęs su struktūromis, procesais ir vidaus klausimais. Tai gali būti laikoma sąsaja tarp organizacijos ir išorės duomenų apsaugos pareigūno.
Duomenų apsaugos koordinatorius: kada jis reikalingas
Teisės aktai nereikalauja organizacijų turėtų duomenų apsaugos koordinatoriaus. Tačiau įmonėse, turinčiose sudėtingas įmonių struktūras ar valdančiose didelės apimties asmens duomenis duomenų apsaugos pareigūnui, nesvarbu, ar jis išorinis, ar vidinis, yra labai sunku vienam įgyvendinti BDAR reikalavimus. Todėl be duomenų apsaugos pareigūno rekomenduojama paskirti ir duomenų apsaugos koordinatorių, žinantį organizacijos strategiją atitikties požiūriu, jos procesus ir išteklius (pvz. darbuotojus, technologijas).
Kad duomenų apsaugos pareigūnas galėtų vykdyti savo funkcijas, pavyzdžiui informuoti duomenų valdytoją ar tvarkytoją apie duomenų apsaugos prievoles, jam reikalinga kitų organizacinių vienetų palaikymas. Reikalingi pagalbiniai duomenys, susiję vidaus teisės aktai, jų projektai, dokumentai, taip pat prieiga prie asmens duomenų ir tvarkymo operacijų. Ypač svarbus duomenų apsaugos koordinatoriaus vaidmuo gali būti atliekant poveikio duomenų apsaugai vertinimą (PDAV). Vadinasi, duomenų apsaugos pareigūnas yra būtent tas atstovas įmonėje, kuris gali visu tuo aprūpinti išorinį duomenų apsaugos pareigūną. Duomenų apsaugos koordinatorius daugiausia padeda išorės duomenų apsaugos pareigūnui atlikti šias užduotis:
- Surinkti būtiną informaciją,
- Tvarkyti, atnaujinti, prižiūrėti ar rengti duomenų apsaugos dokumentus,
- Įgyvendinti organizacijos strategiją atitikties požiūriu, išlaikyti įstatymų reikalaujamą arba vadovybės pageidaujamą duomenų apsaugos lygį (pavyzdžiui, didinant darbuotojų informuotumą),
- Konsultuoti, nustatyti, sumažinti ir stebėti duomenų apsaugos teisės aktų, taisyklių, standartų ir elgesio kodeksų nesilaikymo riziką,
- Įgyvendinti standartinius procesus (pvz., duomenų subjektų prašymų, asmens duomenų pažeidimų valdymas,
- Reguliariai teikti ataskaitas DAP.
Kuo šis vaidmuo skiriasi nuo duomenų apsaugos pareigūno
Skirtingai nuo duomenų apsaugos koordinatoriaus, BDAR numato atvejus, kada organizacijai privaloma paskirti duomenų apsaugos pareigūną. Duomenų apsaugos pareigūnas yra įmonėje formaliai paskirtas asmuo, apie kurio paskyrimą turi būti pranešta kompetentingai priežiūros institucijai. Jo funkcijas taip pat aiškiai apibrėžia BDAR. Duomenų apsaugos pareigūnas yra atsakingas už tai, kad įmonėje būtų įgyvendinami ir laikomasi Bendrojo duomenų apsaugos reglamento reikalavimų. Jis turi sugebėti atpažinti ir atlikti sudėtingas su duomenų apsauga susijusias užduotis.
Kita vertus, duomenų apsaugos koordinatorius įvairiais būdais padeda išorės duomenų apsaugos pareigūnui atlikti jo užduotis. Be to, duomenų apsaugos koordinatorius yra duomenų apsaugos pareigūno kontaktinis punktas, siekiantis gauti tam tikrą informaciją iš organizacijos ir pateikti reikalingus duomenų apsaugos dokumentus joje. Pavyzdžiui, surinkti informaciją, kai atliekamas BDAR auditas, surinkti informaciją iš asmenų, atsakingų už konkrečių duomenų subjektų kategorijų tvarkymą, surinkti informaciją iš procesų šeimininkų apie organizacijos procesų įgyvendinimą, išsiaiškinti BDAR mokymų poreikį ir t.t. Duomenų apsaugos koordinatorius koordinuoja ir duomenų apsaugos pareigūno bendravimą su organizacijos teisės funkciją įgyvendinančiais darbuotojais, ypač kiek tai susiję su vidaus teisės aktų teisėkūra.
Taigi, organizacija, įvertinusi išorinį kontekstą – jai taikomus BDAR reikalavimus, savo tvarkomų asmens duomenų apimtis, kitus vidaus konteksto aspektus, turi pati nuspręsti, ar jai reikalingas duomenų apsaugos pareigūnas, ar koordinatorius, ar abu.
