Valstybinė duomenų apsaugos inspekcija (toliau – Inspekcija) 2023 m. balandžio mėnesį apibendrino, kokie neatitikimai BDAR reikalavimams, susiję DAP veikla, nustatyti dažniausiai Toliau pateikiame šios apžvalgos santrauką. Norėdami skaityti pilną santrauką, žr. publikacijos apačioje.
DAP negali eiti pareigų, susijusių su asmens duomenų tvarkymo tikslų ir priemonių nustatymu
BDAR 38 straipsnio 6 dalyje reglamentuota, jog DAP gali vykdyti ir kitas užduotis bei pareigas, tačiau duomenų valdytojas arba duomenų tvarkytojas turi užtikrinti, kad dėl bet kokių tokių užduočių ir pareigų nekiltų interesų konfliktas. 29 straipsnio duomenų apsaugos darbo grupės 2016- 12-13 duomenų apsaugos pareigūnų gairėse (toliau – DAP gairės) (3.5 dalis „Interesų konfliktas“) yra pažymėta, kad: „<…> DAP negali organizacijoje eiti pareigų, pagal kurias jis turėtų nustatyti asmens duomenų tvarkymo tikslus ir priemones. <…> Paprastai tokios interesų konfliktą galinčios sukelti pareigybės organizacijoje, be kita ko, gali būti vyresniosios vadovybės pareigybės (pvz., generalinis direktorius, operacijų vadovas, vyriausiasis finansininkas, vyriausiasis gydytojas, rinkodaros padalinio vadovas, žmogiškųjų išteklių arba IT padalinio vadovas), tačiau tai gali būti ir žemesnio lygio pareigos organizacijos struktūroje, jeigu vykdant tas pareigas arba funkcijas reikia nustatyti duomenų tvarkymo tikslus ir priemones.“
Jeigu yra poreikis turėti ne vieną DAP, turėtų būti paskiriamas vienas DAP ir sudaroma jo komanda su atitinkamai aiškiai nustatytomis DAP atsakomybėmis ir funkcijų pasidalinimu
Kitas nustatytas neatitikimas, susijęs su BDAR reikalavimais – paskiriami keli DAP, tačiau nėra atskirtos jų atsakomybės. DAP gairėse nustatyta, jog atsižvelgiant į organizacijos dydį ir struktūrą, gali prireikti sudaryti DAP grupę (DAP ir jo darbuotojai). Tokiais atvejais turėtų būti aiškiai parengta grupės vidaus struktūra ir išdėstytos kiekvieno jos nario užduotys ir pareigos. Panašiai, kai DAP funkciją atlieka išorinis paslaugų teikėjas, tam subjektui dirbanti duomenų apsaugos specialistų grupė gali veiksmingai atlikti DAP užduotis kaip komanda, kuriai vadovauja klientui paskirtas vadovaujantis kontaktinis asmuo. Mūsų nuomone, šiuos aspektus turėtų aptarti sutartis dėl išorinių duomenų apsaugos pareigūno paslaugų teikimo. Be kita ko, aiškinant sistemiškai tiek DAP gaires, tiek BDAR, Inspekcija pažymi, jog “yra kalbama apie vieno asmens, kaip DAP paskyrimą, kartu sudarant galimybę turėti komandą”.
Kiti nustatyti neatitikimai BDAR reikalavimams susiję su DAP atskaitomybe ir informavimu apie paskirtą DAP, DAP teikiamomis konsultacijomis, BDAR laikymosi priežiūra, auditais ir kitomis atliekamomis funkcijomis.
Skaitykite plačiau čia.