Так. Ст. 37 ч. 2 GDPR дозволяє групі підприємств призначити одну відповідальну особу, якщо вона легко доступна з кожного місця діяльності. Згідно з настановами європейських наглядових органів доступність означає також здатність спілкуватися із суб’єктами даних і наглядовими органами їхньою мовою, отже, у групі зі Словаччини та Чехії — з двома управліннями. Однак кожне товариство залишається самостійним контролером: воно саме оприлюднює контакт відповідальної особи, повідомляє його своєму управлінню й повинно забезпечити їй умови для виконання функції.
Холдинг має материнське товариство, дві операційні компанії у Словаччині та одну в Чехії. Одна з них повинна мати відповідальну особу, оскільки у великому обсязі систематично моніторить клієнтів, решта хочуть мати її про всяк випадок. Призначити три або чотири різні особи було б дорого й непрактично. GDPR таку ситуацію передбачає.
Що дозволяє регламент
Правило є стислим:
Група підприємств може призначити одну відповідальну особу, якщо відповідальна особа легко доступна з кожного місця діяльності.
Відповідальна особа може бути працівником одного з товариств або може виконувати функцію на підставі договору про надання послуг (ст. 37 ч. 6). Отже, група може мати спільного внутрішнього спеціаліста або зовнішнього надавача. Словацький Закон № 18/2018 Z. z. має власні правила про відповідальну особу в § 44, однак на оброблення, яке регулюється безпосередньо GDPR, його друга та третя частини не поширюються (§ 3 ч. 2 Закону № 18/2018 Z. z.). Тому для звичайних господарських товариств визначальною є ст. 37 GDPR.
Що означає «легко доступна»
Настанови робочої групи відповідно до статті 29 щодо відповідальних осіб (WP243 rev.01), які Європейська рада із захисту даних перейняла 25 травня 2018 року, тлумачать доступність через завдання відповідальної особи. Вона є контактним пунктом для суб’єктів даних і наглядового органу, але й усередині компанії, де консультує керівництво та працівників. Вона повинна вміти ефективно спілкуватися із суб’єктами даних і співпрацювати з наглядовими органами, і то мовою або мовами, які ці органи та особи використовують. Фізична присутність у кожному місці діяльності не вимагається; достатньо й гарячої лінії чи іншого захищеного каналу зв’язку, якщо він реально працює.
Для групи з товариствами у Словаччині та в Чехії з цього випливає, що відповідальна особа повинна впоратися зі спілкуванням зі словацьким і чеським Управлінням із захисту персональних даних та відповідати клієнтам і працівникам обох країн їхньою мовою. Вона також повинна знати національні правила, які доповнюють GDPR у кожній країні.
Кожна компанія залишається контролером
Спільна відповідальна особа не означає спільної відповідальності. Кожне товариство повинно оприлюднити контактні дані відповідальної особи та повідомити їх наглядовому органу (ст. 37 ч. 7), належно та вчасно залучати її до всіх питань захисту даних і надати їй ресурси та доступ до операцій оброблення (ст. 38 ч. 1 і 2). Відповідальна особа не може отримувати вказівки щодо виконання своїх завдань і підпорядковується безпосередньо найвищому керівництву (ст. 38 ч. 3). У групі це практично означає, що виконання її завдань має бути забезпечене в кожному товаристві окремо, а не лише в материнському.
Увага на конфлікт інтересів. Відповідальна особа може виконувати й інші завдання, однак вони не повинні призводити до конфлікту інтересів (ст. 38 ч. 6). Згідно з WP243 це виключає насамперед посади, на яких ухвалюють рішення про цілі та засоби оброблення, типово вище керівництво, керівників IT, кадрів чи маркетингу. У групі це стосується й менеджерів материнського товариства, які фактично вирішують про оброблення в дочірніх компаніях.
Як це налаштувати
Ми рекомендуємо одне рішення або договір, який призначить відповідальну особу для кожного товариства поіменно, визначить обсяг її роботи в кожному з них та врегулює, хто надає їй сприяння. Потім кожне товариство повідомить контакт своєму управлінню та оприлюднить його на сайті. Коли відповідальна особа є обов’язковою і що вона робить, пояснює сторінка послуги відповідальна особа (DPO) як послуга; у її межах ми можемо перебрати цю функцію для групи зі словацькими та чеськими товариствами. Як управління обчислює штраф за порушення обов’язків, показує відповідь на запитання за чим управління обчислює штраф за GDPR.
Ця відповідь містить загальну інформацію про законодавство станом на 12 вересня 2026 р. Вона не є юридичною послугою та не замінює оцінювання конкретної справи. Обставини вашої ситуації можуть відрізнятися. Забронюйте консультацію, щоб обговорити їх.
