Nemčija: odgovornost zunanjega in notranjega DPO
Kako razliko v odgovornosti notranje pooblaščene osebe v primerjavi z zunanjo vidi saški nadzorni organ
Članek je bil objavljen 5.7.2021
V svojem Poročilu o dejavnostih 2020 saški nadzorni organ za varstvo podatkov med drugim podaja informacije o tem, katera odgovornost mora biti v skladu z GDPR dodeljena tako notranji kot zunanji pooblaščeni osebi za varstvo podatkov (oddelek 2.1.2).
Ozadje za obravnavo tega vprašanja za organ je bila pritožba glede zahteve za dostop do podatkov zunanji pooblaščeni osebi za varstvo podatkov.
Po mnenju organa je notranja pooblaščena oseba za varstvo podatkov funkcija, ki se dodeli upravljavcu. To velja tudi glede na dejstvo, da pooblaščena oseba za varstvo podatkov deluje brez navodil. Vendar pa to ne velja za zunanjo pooblaščeno osebo za varstvo podatkov. Pooblaščena oseba za varstvo podatkov sama upravlja postopke obdelave osebnih podatkov ter določa namen in način obdelave. Pri tem nadzorni organ tudi jasno pove, da pooblaščene osebe za varstvo podatkov ni mogoče ali pa je ni treba imenovati na podlagi sporazuma o obdelavi podatkov. Takšna obdelava podatkov, ki je dodeljena zunanji pooblaščeni osebi za varstvo podatkov, je le delno enaka obdelavi upravljavca, ki je imenoval zunanjo pooblaščeno osebo za varstvo podatkov.
Posledica tega je seveda, da imajo posamezniki, na katere se nanašajo osebni podatki, pravico do dostopa v skladu s 15. členom GDPR do zunanjih pooblaščenih oseb za varstvo podatkov. Po mnenju nadzornega organa pa je treba zahteve za informacije od notranjih pooblaščenih oseb za varstvo podatkov obravnavati kot informacije upravljavca. Če pa gre za procese ali podatke, za katere za notranjo pooblaščeno osebo za varstvo podatkov velja obveznost zaupnosti ( Oddelek 6 (5) nemškega zveznega zakona o varstvu podatkov), organ meni, da bi morala notranja pooblaščena oseba za varstvo podatkov informacije po potrebi posredovati sama.
Vir: dr. Carlo Piltz
Naslovna slika: RawPixel
