О чём эта статья
Статья 37 — когда назначение DPO (Data Protection Officer) обязательно.
37(1) Обязательные случаи
Контролёр и обработчик должны назначить DPO в любом случае, когда:
(a)обработка осуществляется публичным органом или организацией — за исключением судов в их судебной функции;
(b)основная деятельность контролёра или обработчика состоит из операций, требующих регулярного и систематического мониторинга субъектов в большом масштабе;
(c)основная деятельность состоит из обработки в большом масштабе особых категорий данных (Art. 9) или данных о судимостях (Art. 10).
37(2) Группа компаний
Группа компаний может назначить единого DPO, при условии, что он легко доступен из каждого учреждения.
37(3) Публичные органы
Несколько публичных органов могут назначить единого DPO, учитывая их организационную структуру и размер.
37(4) Добровольное назначение
В случаях, не указанных в 37(1), контролёр или обработчик могут назначить DPO добровольно.
37(5) Квалификация
DPO должен быть назначен на основе профессиональных качеств и, в частности, экспертных знаний права и практики защиты данных, а также способности выполнять задачи по Art. 39.
37(6) Статус
DPO может быть сотрудником контролёра или обработчика или выполнять задачи по договору обслуживания.
37(7) Публикация контактов
Контролёр и обработчик должны публиковать контактные данные DPO и сообщать их надзорному органу.
Почему это важно
Все государственные сайты по 37(1)(a) обязаны иметь DPO. На странице такого сайта должны быть контакты DPO (37(7)). Их отсутствие — нарушение само по себе.
Большие платформы (37(1)(b)) тоже обязаны. Pinterest, Google, Meta — у всех есть DPO, чьи контакты должны быть видны.
При аудите проверка простая: ищем на сайте секцию «DPO», «Контакты DPO» или «Data Protection Officer». Нет — нарушение.