Art. 38 din RGPD prevede că operatorul și persoana împuternicită de operator se asigură că DPO este „implicat în mod corespunzător și în timp util în toate aspectele legate de protecția datelor cu caracter personal”.

Este important ca DPO sau echipa sa, să fie implicat, cât mai devreme posibil, în toate aspectele legate de protecția datelor. În ceea ce privește evaluările impactului asupra protecției datelor, RGPD prevede în mod explicit implicarea timpurie a DPO și precizează că operatorul solicită avizul DPO atunci când
se efectuează o astfel de evaluare a impactului.33 Asigurarea că DPO este informat și consultat de la bun început va facilita respectarea RGPD, va promova o abordare privacy by design și, prin urmare, ar trebui să fie o procedură standard în cadrul guvernării organizației. În plus, este important ca DPO să fie văzut ca un partener de discuție în cadrul organizației și ca acesta să facă parte din grupurile de lucru relevante care se ocupă cu activități de prelucrare a datelor din cadrul organizației.
În consecință, organizația ar trebui să se asigure, de exemplu, că:
· DPO este invitat să participe în mod regulat la ședințele conducerii la nivel înalt și la nivel mediu.
· Prezența DPO este recomandată în cazul în care se iau decizii cu implicații asupra protecției datelor. Toate informațiile relevante trebuie să fie transmise DPO în timp util pentru a permite ca acesta să ofere o consiliere corespunzătoare.
· Avizului DPO trebuie să i se acorde întotdeauna o importanță deosebită. În caz de dezacord, WP29 recomandă, ca bună practică, documentarea motivelor pentru care nu a fost urmat avizul DPO.
· DPO trebuie să fie consultat cu promptitudine imediat ce a avut loc o încălcare a securității datelor sau un alt incident.

Art. 38(2) din RGPD impune ca organizația să sprijine DPO prin „asigurarea resurselor necesare pentru exercitarea sarcinilor sale, precum și accesarea datelor cu character personal și a operațiunilor de prelucrare, și pentru menținerea cunoștințelor sale de specialitate”. Trebuie avute în vedere, în special, următoarele aspecte:

· Spijin activ al funcției DPO din partea managementului superior (cum ar fi la nivelul consiliului de conducere).

· Timp suficient pentru DPO în vederea îndeplinirii atribuțiilor sale. Acest lucru este deosebit de important în cazul în care un DPO intern este numit part-time sau în cazul în care DPO extern realizează protecția datelor în plus față de alte atribuții. În caz contrar, conflictul de priorități poate rezulta în neglijarea sarcinilor DPO. Este extrem de important să existe suficient timp pentru a se dedica sarcinilor DPO. Stabilirea unui procent de timp pentru funcția DPO atunci când aceasta nu este realizată full-time reprezintă o bună practică. De asemenea, o bună practică poate fi și determinarea timpului necesar pentru îndeplinirea funcției, nivelul corespunzător de prioritate pentru sarcinile DPO, cât și pentru DPO (sau organizație) să elaboreze un plan de lucru.

· Sprijin corespunzător în ceea ce privește resursele financiare, infrastructură (sediu, facilități, echipament) și personal, după caz.

· Comunicare oficială către toți angajații cu privire la desemnarea DPO astfel încât să se asigure că este cunoscută existența și funcționarea DPO.

· Accesul necesar la alte servicii precum resurse umane, juridic, IT, securitate etc. astfel încât DPO să beneficieze de un sprijin esențial, reacții și informații din partea altor servicii.

· Pregătire continuă. DPO trebuie să aibă posibilitatea de a rămâne la curent cu evoluțiile în domeniul protecției datelor. Obiectivul ar trebui să fie de a crește în mod constant nivelul de expertiză al DPO, iar acesta ar trebui încurajat să participe la cursuri de formare în legătură cu protecția datelor și la alte forme de dezvoltare profesională, cum ar fi parciparea la foruri privind protecția vieții private, seminarii etc.

· Având în vedere mărimea și structura organizației, ar putea fi necesară crearea unei echipe DPO (un DPO și personalul său). În astfel de cazuri, structura internă a echipei și sarcinile și responsabilitățile fiecărui membru ar trebui să fie în mod clar elaborate. În mod similar, atunci când funcția de DPO este exercitată de un furnizor extern de servicii, o echipă de persoane

fizice care lucrează pentru respectiva entitate poate îndeplini în mod eficient sarcinile unui DPO ca o echipă, sub responsabilitatea unui punct de contact principal desemnat pentru client. În general, cu cât operațiunile de prelucrare sunt mai complexe sau/și mai sensibile, cu atât mai mult DPO trebuie să beneficieze de resurse. Funcția de protecție a datelor trebuie să fie finanțată în mod eficient și suficient în ceea ce privește prelucrarea datelor efectuată.

Secţiunea 4: Responsabilul cu protecţia datelor

 

Art. 37: Desemnarea responsabilului cu protecţia datelor

 

(1)Operatorul şi persoana împuternicită de operator desemnează un responsabil cu protecţia datelor ori de câte ori:

a)prelucrarea este efectuată de o autoritate sau un organism public, cu excepţia instanţelor care acţionează în exerciţiul funcţiei lor jurisdicţionale;

b)activităţile principale ale operatorului sau ale persoanei împuternicite de operator constau în operaţiuni de prelucrare care, prin natura, domeniul de aplicare şi/sau scopurile lor, necesită o monitorizare periodică şi sistematică a persoanelor vizate pe scară largă; sau

c)activităţile principale ale operatorului sau ale persoanei împuternicite de operator constau în prelucrarea pe scară largă a unor categorii speciale de date în temeiul articolului 9 sau a unor date cu caracter personal referitoare la condamnări penale şi infracţiuni, menţionată la articolul 10. (la data 23-mai-2018 Art. 37, alin. (1), litera C. din capitolul IV, sectiunea 4 rectificat de punctul 9. din Rectificare din 23- mai-2018 )

(2)Un grup de întreprinderi poate numi un responsabil cu protecţia datelor unic, cu condiţia ca responsabilul cu protecţia datelor să fie uşor accesibil din fiecare întreprindere.

(3)În cazul în care operatorul sau persoana împuternicită de operator este o autoritate publică sau un organism public, poate fi desemnat un responsabil cu protecţia datelor unic pentru mai multe dintre aceste autorităţi sau organisme, luând în considerare structura organizatorică şi dimensiunea acestora.

(4)În alte cazuri decât cele menţionate la alineatul (1), operatorul sau persoana împuternicită de operator ori asociaţiile şi alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori pot desemna sau, acolo unde dreptul Uniunii sau dreptul intern solicită acest lucru, desemnează un responsabil cu protecţia datelor. Responsabilul cu protecţia datelor poate să acţioneze în favoarea unor astfel de asociaţii şi alte organisme care reprezintă operatori sau persoane împuternicite de operatori. (5)Responsabilul cu protecţia datelor este desemnat pe baza calităţilor profesionale şi, în special, a cunoştinţelor de specialitate în dreptul şi practicile din domeniul protecţiei datelor, precum şi pe baza capacităţii de a îndeplini sarcinile prevăzute la articolul 39.

(6)Responsabilul cu protecţia datelor poate fi un membru al personalului operatorului sau persoanei împuternicite de operator sau poate să îşi îndeplinească sarcinile în baza unui contract de servicii.

(7)Operatorul sau persoana împuternicită de operator publică datele de contact ale responsabilului cu protecţia datelor şi le comunică autorităţii de supraveghere.

 

Art. 38: Funcţia responsabilului cu protecţia datelor

 

(1)Operatorul şi persoana împuternicită de operator se asigură că responsabilul cu protecţia datelor este implicat în mod corespunzător şi în timp util în toate aspectele legate de protecţia datelor cu caracter personal. (2)Operatorul şi persoana împuternicită de operator sprijină responsabilul cu protecţia datelor în îndeplinirea sarcinilor menţionate la articolul 39, asigurându-i resursele necesare pentru executarea acestor sarcini, precum şi accesarea datelor cu caracter personal şi a operaţiunilor de prelucrare, şi pentru menţinerea cunoştinţelor sale de specialitate.

(3)Operatorul şi persoana împuternicită de operator se asigură că responsabilul cu protecţia datelor nu primeşte niciun fel de instrucţiuni în ceea ce priveşte îndeplinirea acestor sarcini. Acesta nu este demis sau sancţionat de către operator sau de persoana împuternicită de operator pentru îndeplinirea sarcinilor sale. Responsabilul cu protecţia datelor răspunde direct în faţa celui mai înalt nivel al conducerii operatorului sau persoanei împuternicite de operator.

(4)Persoanele vizate pot contacta responsabilul cu protecţia datelor cu privire la toate chestiunile legate de prelucrarea datelor lor şi la exercitarea drepturilor lor în temeiul prezentului regulament.

(5)Responsabilul cu protecţia datelor are obligaţia de a respecta secretul sau confidenţialitatea în ceea ce priveşte îndeplinirea sarcinilor sale, în conformitate cu dreptul Uniunii sau cu dreptul intern.

(6)Responsabilul cu protecţia datelor poate îndeplini şi alte sarcini şi atribuţii. Operatorul sau persoana împuternicită de operator se asigură că niciuna dintre aceste sarcini şi atribuţii nu generează un conflict de interese.

 

Art. 39: Sarcinile responsabilului cu protecţia datelor

 

(1)Responsabilul cu protecţia datelor are cel puţin următoarele sarcini: a)informarea şi consilierea operatorului, sau a persoanei împuternicite de operator, precum şi a angajaţilor care se ocupă de prelucrare cu privire la obligaţiile care le revin în temeiul prezentului regulament şi al altor dispoziţii de drept al Uniunii sau drept intern referitoare la protecţia datelor; b)monitorizarea respectării prezentului regulament, a altor dispoziţii de drept al Uniunii sau de drept intern referitoare la protecţia datelor şi a politicilor operatorului sau ale persoanei împuternicite de operator în ceea ce priveşte protecţia datelor cu caracter personal, inclusiv alocarea responsabilităţilor şi acţiunile de sensibilizare şi de formare a personalului implicat în operaţiunile de prelucrare, precum şi auditurile aferente;

c)furnizarea de consiliere la cerere în ceea ce priveşte evaluarea impactului asupra protecţiei datelor şi monitorizarea funcţionării acesteia, în conformitate cu articolul 35;

d)cooperarea cu autoritatea de supraveghere;

e)asumarea rolului de punct de contact pentru autoritatea de supraveghere privind aspectele legate de prelucrare, inclusiv consultarea prealabilă menţionată la articolul 36, precum şi, dacă este cazul, consultarea cu privire la orice altă chestiune.

(2)În îndeplinirea sarcinilor sale, responsabilul cu protecţia datelor ţine seama în mod corespunzător de riscul asociat operaţiunilor de prelucrare, luând în considerare natura, domeniul de aplicare, contextul şi scopurile prelucrării.