Обов’язки компаній, реєстри та ліцензії · Чехія та Словаччина
Відповідальна особа (DPO) як послуга
Якщо ваша діяльність вимагає призначення відповідальної особи згідно з GDPR, вам не обов’язково наймати її як працівника. Цю функцію може виконувати зовнішній фахівець. Спершу ми ретельно оцінимо, чи взагалі ви зобов’язані її мати. Якщо так, візьмемо функцію на себе: нагляд за опрацюванням, консультації щодо нових проєктів, контакти із суб’єктами даних та наглядовим органом і повідомлення про інциденти. Юрист замість формально зазначеного імені.
- Попередня оцінка обов’язку
- Адвокат зі знанням практики СК і ЧР
- Заздалегідь погоджена щомісячна фіксована плата
Що ми для вас зробимо
Модель постійної співпраці. Після оцінки та прийняття функції її виконання оплачується щомісячною фіксованою платою, обсяг якої погодимо залежно від обсягу опрацювання.
Натисніть на пункт, щоб переглянути подробиці.
-
Оцінка обов’язку
Письмова оцінка того, чи вимагає ваша діяльність призначення відповідальної особи згідно з GDPR, з обґрунтуванням, на яке можна буде посилатися і під час майбутньої перевірки.
-
Виконання функції
Призначення, повідомлення контактних даних наглядовому органу, оприлюднення контакту для суб’єктів даних і первинне ознайомлення з опрацюванням.
-
Постійний нагляд
Моніторинг відповідності, консультації щодо нових проєктів і договорів, висновки щодо оцінок впливу та регулярна звітність керівництву.
-
Суб’єкти даних і наглядовий орган
Ми є контактним пунктом — через нас надаються відповіді на запити суб’єктів даних і здійснюється комунікація з органом із захисту персональних даних.
-
Інциденти
У разі порушення захисту даних ми проводимо оцінку, за потреби повідомляємо наглядовий орган у встановлений законом строк і комунікуємо із суб’єктами даних.
Результатвиконання функції відповідальної особи на постійній основі, тобто нагляд, консультації, повідомлення та контакти з наглядовим органом
Як це працює
Чи підходить цей процес для вашої справи? Описати її адвокату →
- Оцінкадень 0
Визначимо, чи зобов’язані ви мати DPO, і запропонуємо обсяг виконання функції.
- Прийняття функції
Призначення, повідомлення та первинний аудит опрацювання.
- Виконання функціїпостійно
Нагляд, консультації, запити, повідомлення — функція виконується, а ви займаєтеся бізнесом.
Відповідальна особа — це функція, а не запис у формулярі. Наглядовий орган і суб’єкти даних очікують на людину, яка відповідає на дзвінки, знає процеси опрацювання в компанії та здатна надати кваліфіковану відповідь, а в разі інциденту забезпечить повідомлення в установлений законом строк.
Зовнішнє виконання функції адвокатом поєднує професійність із незалежністю: нагляд здійснює особа поза вашими внутрішніми відносинами, зв’язана професійною таємницею та забезпечена правовою підтримкою для критичних ситуацій.
Запит без зобов’язань
Готові розпочати?
Надішліть нам запит. Зазвичай протягом 24 годин ми підтверджуємо ціну та повідомляємо про подальші кроки. Перша 30-хвилинна консультація безкоштовна й ні до чого вас не зобов’язує.
- 1Надіслати запит через цю форму
- 2Зазвичай протягом 24 годин ви отримуєте підтвердження ціни та подальший план дій
- 3Ми починаємо роботу лише після вашого схвалення
Не любите телефонувати чи писати електронною поштою? Написати нам у WhatsApp →
Хочете відразу забронювати час? Забронювати консультацію →
Або написати нам про цю справу електронною поштою.
Про що запитують клієнти
Не знайшли відповіді на своє запитання? Запитати нас безпосередньо →
Коли я зобов’язаний мати відповідальну особу?
GDPR вимагає її призначення насамперед органами публічної влади, у разі масштабного регулярного й систематичного моніторингу осіб і масштабного опрацювання особливих категорій даних, наприклад даних про здоров’я. Більшість звичайних компаній такого обов’язку не мають; однак межі «масштабності» нечіткі й оцінюються з огляду на конкретну діяльність. Саме для цього призначена наша письмова оцінка.
Чи може DPO бути зовнішнім постачальником послуг?
Так, GDPR прямо це дозволяє — відповідальна особа може виконувати функцію на підставі договору про надання послуг. Важливо, щоб вона мала професійні знання, достатні ресурси й незалежність та була реально доступною для суб’єктів даних і наглядового органу. Зовнішня модель особливо вигідна компаніям, для яких власний працівник на цій посаді був би зайвою розкішшю.
Чому нашим DPO не може бути IT-менеджер або керівник?
Відповідальна особа не може мати конфлікту інтересів — вона не може контролювати опрацювання, рішення щодо якого ухвалює сама. Тому керівник, очільник IT чи HR зазвичай не підходять. Зовнішнє виконання елегантно розв’язує проблему конфлікту: нагляд здійснює той, хто сам не ухвалює рішень щодо контрольованих процесів.
Що конкретно ви робитимете як наша відповідальна особа?
Постійно контролюватимемо відповідність опрацювання GDPR, консультуватимемо щодо нових проєктів і договорів, надаватимемо висновки щодо оцінок впливу, прийматимемо запити суб’єктів даних, комунікуватимемо з наглядовим органом і координуватимемо дії в разі інцидентів. Обсяг і частоту адаптуємо до обсягу вашого опрацювання та заздалегідь погодимо у складі фіксованої плати.
Чи відповідатимете ви за штрафи замість нас?
Ні — відповідальність за відповідність завжди несе контролер, тобто ви; відповідальна особа здійснює нагляд і надає консультації, але не є страховкою. Саме тому важливо, щоб функцію виконував той, хто своєчасно та письмово вказує на проблеми; наші висновки водночас слугують доказом того, що ви діяли з професійною обачністю.
Юридичні запитання та відповіді
Поширені запитання на цю тему
-
Що ми повинні виконати, щоб використання камер у магазині та на робочому місці було законним?
Система відеоспостереження є законною, якщо для неї заздалегідь задокументовано правову підставу — як правило, законний інтерес відповідно до ст. 6 ч. 1 літ. f) GDPR — і виконано обов’язок щодо інформування кожної особи, яка потрапляє в поле зору камери. Балансувальний тест, який зіставляє ваш інтерес із втручанням у приватне життя, має бути проведений до запуску камер. На робочому місці до цього додається § 13 ч. 4 Кодексу праці: механізм контролю необхідно заздалегідь обговорити з представниками працівників та поінформувати про нього працівників.
Прочитати відповідь -
За якими правилами орган розраховує штраф за порушення GDPR?
Відповідно до методики EDPB (настанови 04/2022) у п’ять кроків: орган визначає операції з опрацювання даних, що оцінюються, встановлює початкову суму залежно від категорії та тяжкості порушення й обороту підприємства, коригує її з урахуванням обтяжувальних і пом’якшувальних обставин, перевіряє законодавчу межу та оцінює ефективність і пропорційність результату. Граничні суми становлять 10 або 20 мільйонів євро, а для підприємств — 2 % або 4 % світового обороту; при цьому враховується оборот усієї групи, а не лише компанії, яка припустилася порушення. Аргументувати можна тяжкістю порушення, вжитими заходами для виправлення ситуації та співпрацею понад установлений стандарт; саме по собі обов’язкове повідомлення є нейтральним. Неплатоспроможність ураховується лише у виняткових випадках.
Прочитати відповідь -
Чи може група компаній мати одну спільну відповідальну особу (DPO)?
Так. Ст. 37 ч. 2 GDPR дозволяє групі підприємств призначити одну відповідальну особу, якщо вона легко доступна з кожного місця діяльності. Згідно з настановами європейських наглядових органів доступність означає також здатність спілкуватися із суб’єктами даних і наглядовими органами їхньою мовою, отже, у групі зі Словаччини та Чехії — з двома управліннями. Однак кожне товариство залишається самостійним контролером: воно саме оприлюднює контакт відповідальної особи, повідомляє його своєму управлінню й повинно забезпечити їй умови для виконання функції.
Прочитати відповідь
Додаткові матеріали
Дві відповідальні особи: DPO за GDPR і відповідальна особа для повідомлень
Словацьке право знає дві функції з однаковою назвою: відповідальну особу за GDPR і відповідальну особу за Законом про захист викривачів. Стаття порівнює їхні завдання, незалежність і вимоги та пояснює, коли їх може виконувати та сама людина або зовнішній надавач. Для компаній, які повинні мати одну або обидві функції.
Читати далі →
Витік персональних даних: що зробити в перші 72 години і яку роль має відповідальна особа
Украдений ноутбук, лист із додатком, надісланий не тому адресатові, або зашифровані сервери. GDPR дає контролеру на повідомлення органу про порушення зазвичай 72 години, а за високого ризику зобов’язує поінформувати й тих, кого це стосується. Стаття пояснює порядок дій крок за кроком і роль відповідальної особи.
Читати далі →
Коли з користувача ШІ стає його постачальник: ролі за AI Act
AI Act розподіляє обов’язки за роллю, а не за тим, хто написав код. Компанія, яка замовляє чат-бота на чужій моделі, продає ШІ-продукт під власним брендом або використовує універсальний інструмент для чутливої мети, може стати постачальником з усіма обов’язками. Стаття пояснює, де проходить межа і що з неї випливає для договорів із постачальниками.
Читати далі →