Nezavisnost službenika za zaštitu podataka: izvještaji, resursi i uprava

Službenik za zaštitu podataka mora svoje zadatke moći obavljati stručno i nezavisno. Rukovalac ili izvršilac obrade zato mora izbjeći uputstva o načinu obavljanja zadataka i obezbijediti potrebne resurse, pristup relevantnim aktivnostima obrade i sredstva za održavanje stručnog znanja.

Ovaj članak razmatra čest organizacioni sukob: uprava želi odobriti izvještaje službenika za zaštitu podataka prije njihovog prosljeđivanja i planira smanjiti budžet. Naglasak je na nezavisnosti, odnosu izvještavanja prema najvišem nivou upravljanja i granici nakon koje promjena resursa ugrožava rad službenika. Prvo imenovanje, tehnička sigurnost, prava ispitanika i procjene uticaja nisu predmet ovog članka.

Član 38 stav 3 GDPR-a obavezuje rukovaoca i izvršioca obrade da osiguraju da službenik za zaštitu podataka ne prima uputstva u vezi sa obavljanjem svojih zadataka. Time se štiti stručna procjena. Uprava može postavljati pitanja, razjasniti činjenice i urediti organizacione postupke, ali ne smije unaprijed zadati rezultat nezavisne provjere.

Nezavisnost ne znači da službenik radi izvan organizacije. Potrebne su mu odgovornosti, rokovi i pouzdan protok informacija. Ključno je da li ta pravila omogućavaju rad ili se koriste za promjenu, odlaganje ili zadržavanje procjene koja nije poželjna.

U konkretnom primjeru treba razlikovati provjeru činjenica prije prosljeđivanja od odobrenja sadržaja. Provjera imena, datuma ili odgovornosti može biti korisna. Odobrenje kojim se stručno mišljenje ublažava, briše ili uslovljava saglasnošću zadire u zaštićeno obavljanje zadatka.

Prema članu 38 stav 3 GDPR-a službenik za zaštitu podataka neposredno izvještava najviši nivo upravljanja rukovaoca ili izvršioca obrade. To je nivo koji može stvarno donositi ili pokretati organizacione odluke. Samo izvještavanje stručnom odjelu nije dovoljno ako time nestaje pristup odgovarajućoj upravi.

Posredne funkcije mogu prikupljati informacije, usklađivati termine ili pripremiti sastanak. Ne smiju postati stručni filter. Organizacija zato treba zabilježiti primaoca, povod, način pristupa i mogućnost da službenik neposredno objasni procjenu. To je naročito važno kada je funkcija zaštite podataka smještena u pravnu službu, usklađenost ili drugu stručnu funkciju.

Neposredno izvještavanje ne znači da svaki izvještaj mora biti javno objavljen. Organizacija može urediti povjerljivost, odgovarajuće primaoce i sigurne kanale komunikacije. Takva pravila ipak ne smiju dovesti do toga da uprava dobije samo sadržajno izmijenjenu verziju ili da službenik ne može neposredno objasniti svoj stav.

Član 38 stav 2 GDPR-a traži da rukovalac ili izvršilac obrade podrži službenika za zaštitu podataka u obavljanju zadataka prema članu 39 GDPR-a. To obuhvata potrebne resurse, pristup ličnim podacima i aktivnostima obrade te sredstva za održavanje stručnog znanja.

Zakon ne određuje jedinstveni budžet ni broj zaposlenih. Potreba zavisi od obima, složenosti i rizika obrada, kao i od veličine i organizacije preduzeća. Zato treba provjeriti raspoloživo vrijeme, stručnu podršku, pristup relevantnim službama, potrebne zapise, odgovarajuće sisteme i stalnu obuku.

Službenik ne može pouzdano raditi ako mu se uskraćuju relevantne aktivnosti obrade, ako mu sastanci ostaju nedostupni ili ako se uklone dogovoreno vrijeme i stručna sredstva. I vanjski službenik mora imati stvarni pristup informacijama i osobama potrebnim za njegov rad.

Promjena budžeta nije automatski nedopuštena samo zato što se odnosi na funkciju zaštite podataka. Pitanje je da li nakon promjene i dalje praktično mogu da se obavljaju potrebni zadaci, pristupi i održavanje stručnog znanja. Ušteda koja samo drugačije organizuje rad razlikuje se od oduzimanja sredstava zbog kojeg provjere postaju nemoguće.

Uprava može tražiti činjeničnu provjeru imena, podataka, odgovornosti ili priloga. Ne smije tu provjeru pretvoriti u prethodno odobrenje stručnog rezultata. Izvještaj se ne smije zadržati ili preoblikovati samo zato što je procjena neugodna za odjel ili projekat.

Kod važne promjene resursa treba zabilježiti razloge. Dokument treba pokazati obim zadataka, prethodni i novi kapacitet, pristup informacijama, potrebu za obukom i posljedice po rad. Tako se može razlikovati održiva organizaciona prilagodba od ugrožavanja nezavisnosti i obavljanja zadataka.

Član 38 stav 3 GDPR-a predviđa da službenik za zaštitu podataka ne smije biti razriješen niti kažnjen zbog obavljanja svojih zadataka. Zaštita je povezana sa konkretnim radom službenika. Mjera koja se preduzima zbog neugodne provjere, kritičnog izvještaja ili eskalacije problema zato zahtijeva posebno pažljivo organizaciono obrazloženje.

Nije svaka kadrovska ili finansijska odluka u vezi sa funkcijom zaštite podataka automatski štetna mjera. Promjene mogu imati opravdane organizacione razloge. Važni su povod, vrijeme, obrazloženje i posljedica. Ako se pristup, vrijeme, budžet ili mogućnost izvještavanja uklone ubrzo nakon kritičnog izvještaja, vezu treba provjeriti i dokumentovati.

Interna dokumentacija zato ne treba sadržavati samo organigram. Treba pokazati zadatke, dogovorene resurse, put izvještavanja i objektivan razlog važnih promjena. To daje pouzdanu osnovu za dalju organizaciju funkcije.

Pouzdana organizaciona dokumentacija povezuje liniju izvještavanja, odgovornosti, zamjenu i komunikacione kanale. Treba opisati i radno vrijeme, stručno usavršavanje, pristup informacijama i raspoloživa sredstva. Sam naziv funkcije ne dokazuje da su resursi dovoljni.

Korisno je redovno porediti stvarne aktivnosti obrade sa zadacima koje službenik mora obavljati. Novi sistemi, dodatne poslovne oblasti, reorganizacija ili veći broj provjera mogu promijeniti potrebu za resursima. Odluka o budžetu zato treba počivati na aktuelnom pregledu zadataka.

Članak o dokumentovanju tehničkih i organizacionih mjera obrađuje drugu vrstu dokaza, ali može dopuniti uređenje odgovornosti i evidencija. Koncept brisanja podataka klijenata i potencijalnih klijenata takođe pokazuje kako se konkretne odgovornosti i provjere odvajaju od opšte organizacije.

Sa vama provjeravamo organizacioni položaj službenika za zaštitu podataka, liniju izvještavanja, resurse i planirane promjene budžeta ili odgovornosti. Obratite nam se sa organigramom, pregledom zadataka, izvještajima i planiranom izmjenom kako bi se dopuštena koordinacija jasno odvojila od nedopuštenog uticaja na stručnu procjenu.