Duomenų apsaugos pareigūno nepriklausomumas matomas ne vien organizacijos schemoje. Jį parodo tai, ar DAP laiku gauna informaciją, gali pateikti nepatogią išvadą ir neprivalo pats prižiūrėti savo priimtų sprendimų. Interesų konflikto vertinimas turi apimti tikras pareigas ir įgaliojimus, o ne tik pareigybės pavadinimą.
Toliau pateiktas modelis padeda parengti pareigybių konfliktų matricą ir nepriklausomumo priemones. Jis naudingas skiriant naują DAP, jungiant funkcijas ar perkant išorinę paslaugą. Užpildyta forma turi baigtis konkrečiu sprendimu dėl funkcijų, prieigos, išteklių ir atskaitomybės; vien deklaracija „konflikto nėra“ nepaaiškina, kaip prie jos prieita.
Atskirai vertinkite paskyrimą, padėtį ir užduotis
BDAR 37, 38 ir 39 straipsniai atsako į skirtingus klausimus: kada ir kaip skiriamas DAP, kokia jo padėtis ir kokias užduotis jis vykdo. DAP paskyrimo paaiškinimas padeda įvertinti privalomumą, tačiau tinkamai pasirašytas paskyrimas dar neįrodo tinkamos kasdienės padėties.
DAP konsultuoja ir stebi atitiktį, o valdytojas ar tvarkytojas lieka atsakingas už savo pareigų vykdymą. Todėl vidaus dokumente aiškiai atskirkite patarimą nuo sprendimo, kas nustato tvarkymo tikslus ir priemones. DAP neturi tapti patogiu asmeniu, kuriam perduodama visa organizacijos atsakomybė arba prašoma patvirtinti kiekvieną veiksmą kaip garantuotai teisėtą.
Surinkite faktus apie visas turimas pareigas
Paprašykite pareigybės aprašymo, deleguotų įgaliojimų, komitetų narystės, biudžeto sprendimų ir realių paskutinių projektų pavyzdžių. Formaliai konsultacinė funkcija praktikoje gali turėti veto ar galutinio patvirtinimo teisę. Priešingai, aukštas pareigybės pavadinimas ne visada tiksliai parodo kiekvieną atliekamą užduotį. Vertinimo bylos esmė — faktinė veikla.
Kiekvienai funkcijai užrašykite, ar žmogus nustato tikslą, pasirenka esmines priemones, vykdo patvirtintą sprendimą ar nepriklausomai tikrina rezultatą. Valdytojo ir tvarkytojo vaidmenų metodas padeda suprasti sprendimų pobūdį, tačiau čia analizuojami konkretaus žmogaus įgaliojimai organizacijos viduje. Vien to, kad juridinis asmuo yra valdytojas, nepakanka asmeninio konflikto išvadai.
Taikykite tikro sprendimų priėmimo testą
BDAR 38 straipsnio 6 dalis leidžia DAP vykdyti kitas užduotis, jei jos nesukelia interesų konflikto. WP243 rev.01 gairės padeda vertinti funkcijų suderinamumą ir DAP padėtį. Praktinis klausimas: ar kita pareiga verčia žmogų nustatyti asmens duomenų tvarkymo tikslus ir priemones, kurių atitiktį jis vėliau turėtų prižiūrėti?
2023 m. vasario 9 d. sprendime X-FAB Dresden, byloje C-453/21, Teisingumo Teismas paaiškino šio konflikto vertinimą pagal visas reikšmingas konkrečios situacijos aplinkybes, įskaitant organizacinę struktūrą ir taikomas taisykles. Oficialus sprendimas. Iš jo nereikia kurti universalaus visų pareigybių pavadinimų draudimo sąrašo.
| Kita funkcija | Sprendimas, kurį reikia ištirti | Galimo konflikto mechanizmas |
|---|---|---|
| Personalo vadovas | Kokie darbuotojų duomenys ir stebėjimo procesai pasirenkami | DAP vertintų savo nustatytą tvarkymą |
| Rinkodaros vadovas | Kampanijų auditorijos, profiliavimo tikslai ir įrankiai | Nepriklausoma priežiūra susidurtų su komerciniu sprendimu |
| IT vadovas | Esminė sistemų architektūra ir prieigos modelis | Gali tekti prižiūrėti savo pasirinktų priemonių atitiktį |
| Techninės pagalbos darbuotojas | Ar tik vykdomos instrukcijos, ar savarankiškai nustatomos priemonės | Vertinimas priklauso nuo tikrų įgaliojimų |
| Vidaus konsultantas | Ar patariama, ar priimamas galutinis sprendimas | Reikia atskirti konsultaciją nuo valdymo |
Ši matrica pateikia klausimus, o ne automatiškai leidžiamas ar draudžiamas kombinacijas. Prie kiekvienos eilutės pridėkite konkretų sprendimo pavyzdį ir dokumentą, kuris suteikia įgaliojimą. Jei faktinė praktika skiriasi nuo dokumento, pataisykite abu; kitaip formalus pareigų atskyrimas gali likti tik popieriuje.
Užpildytas pavyzdys: personalo vadovas kartu yra DAP
Hipotetinėje bendrovėje personalo vadovas pasirenka darbuotojų stebėjimo įrankį, nustato renkamus rodiklius ir tvirtina prieigos grupes. Jam taip pat pavedama DAP funkcija. Konflikto įraše pažymima, kad tas pats asmuo priimtų esminius darbuotojų duomenų tvarkymo sprendimus ir vėliau turėtų nepriklausomai stebėti jų atitiktį.
Vien pažadas būti objektyviam šios struktūrinės problemos nepašalina. Bendrovė svarsto perskirstyti sprendimo įgaliojimus arba paskirti kitą tinkamą DAP. Pasirinkus kitą DAP, personalo vadovas lieka atsakingas už savo procesus ir gauna nepriklausomą patarimą. Darbuotojų privatumo pranešimo modelyje galutinis aprašas turi atitikti po peržiūros patvirtintą procesą.
Sprendimo pavyzdys: „DAP nepriima sprendimo dėl stebėjimo tikslo, rodiklių ar darbuotojų vertinimo; šiuos sprendimus priima įvardyta valdymo funkcija. DAP gauna projekto medžiagą prieš pasirinkimą, pateikia patarimą ir vėliau stebi įgyvendinimą.“ Tai nėra bendras visų konfliktų sprendimas: reikia patikrinti, ar pasirinktas žmogus neturi kitų konfliktuojančių užduočių.
Užtikrinkite tiesioginę atskaitomybę aukščiausiai vadovybei
38 straipsnio 3 dalis numato tiesioginį atsiskaitymą aukščiausio lygio vadovybei. Praktikoje nurodykite, kas organizacijoje atitinka šį lygį, kaip pateikiama ataskaita ir kaip sprendžiamas skubus klausimas. Jei DAP išvadą prieš vadovybę gali pakeisti ar sulaikyti tikrinamo padalinio vadovas, vien schemoje nubrėžtos linijos nepakanka.
Hipotetiniame veikimo modelyje DAP turi tiesioginį kanalą generaliniam vadovui ir sutartą periodinės ataskaitos tvarką. Skubūs klausimai pateikiami nelaukiant eilinio susitikimo. Konkretų dažnį organizacija parenka pagal poreikį; nereikia vidinio ketvirtinio grafiko pristatyti kaip visiems taikomo BDAR termino.
Kai vadovybė nesutinka su DAP patarimu, išsaugokite patarimą, vadovybės sprendimą ir jo motyvus. DAP nepriklausomumas nereiškia bendro organizacijos sprendimų veto. Tačiau sprendimas nesutikti neturi pavirsti spaudimu pakeisti profesinę išvadą ar ją pašalinti iš projekto bylos. Atskaitomybės įrodymų aplankas padeda išlaikyti šį skirtumą.
Numatyta darbo apimtis turi būti įmanoma
BDAR 38 straipsnio 2 dalis apima būtinas priemones, prieigą prie duomenų ir tvarkymo operacijų bei ekspertinių žinių palaikymą. Rengiant resursų sprendimą įvertinkite tvarkymų skaičių, jautrumą, organizacijos padalinius, prašymų apimtį ir planuojamus pokyčius. Vien paskyrimas kelioms valandoms per mėnesį neįrodo nei pakankamumo, nei nepakankamumo be konteksto.
Užpildytame resursų įraše galima nurodyti pagrindines veiklas, numatytą laiką ir pagalbos šaltinius: projektų konsultavimas, PDAV patarimai, stebėsenos užduotys ir kontaktų funkcija. Jei naujas projektas padvigubina darbų apimtį, nustatykite, kas peržiūri resursus. DAP mokymų ir kvalifikacijos pasirinkimo gidas padeda suplanuoti realias žinių spragas atitinkančius mokymus.
Prieiga taip pat turi veikti. DAP nereikia neribotai kasdien skaityti visų klientų bylų, tačiau jis turi gauti užduotims reikalingą informaciją ir galėti patikrinti tvarkymo operacijas. Aprašykite saugų prieigos suteikimo kanalą bei reakciją, kai dokumentai nepateikiami. Konfidencialumas negali būti bendras argumentas neleisti DAP vykdyti jo funkcijos.
Įtraukite DAP prieš svarbius sprendimus
Sukurkite aiškius informavimo įvykius: naujas duomenų tikslas, jautrių duomenų projektas, reikšmingas tiekėjas, darbuotojų stebėjimas ir incidentas. Projekto vadovas turi suprasti, kada kreiptis ir kokią informaciją parengti. Jei DAP kviečiamas tik pasirašyti jau paleistą sprendimą, galimybė prasmingai patarti gali būti prarasta.
PDAV darbo pavyzdyje atskirai užfiksuokite DAP patarimą, kai pareigūnas paskirtas, ir valdytojo sprendimą. Tikslo keitimo testas suteikia ankstyvą signalą naujam naudojimui. Įtraukimo registras turėtų rodyti, kokia projekto versija buvo įvertinta; vėliau pakeistas sprendimas negali automatiškai remtis ankstesniu patarimu.
Išorinei paslaugai patikrinkite tuos pačius konfliktus
Išorinis DAP nėra automatiškai nepriklausomas vien dėl paslaugų sutarties. Ištirkite, ar tas pats teikėjas tuo pačiu metu priima organizacijos tvarkymo sprendimus, parduoda vertinamą sprendimą arba atstovauja interesams, kurie trukdo nepriklausomai funkcijai. Vertinkite konkrečias užduotis ir komandos sudėtį, o ne vien bendrą įmonės veiklos aprašymą.
Sutartyje nurodykite kontaktinį asmenį, pasiekiamumą, pavaduojančius specialistus, konfidencialumą, resursus ir tiesioginį kanalą vadovybei. Bendras paslaugos valandų paketas turi leisti atlikti numatytas funkcijas. Prieš pratęsiant sutartį patikrinkite faktines užklausas, ataskaitas ir neįvykdytas užduotis, kad vertinimas nesiremtų vien pateikta sąskaita.
Apsaugą nuo spaudimo ir kontaktą padarykite realius
38 straipsnis draudžia nurodymus dėl DAP užduočių vykdymo ir atleidimą ar baudimą už jų atlikimą. Tai nėra absoliuti apsauga nuo visų su funkcija nesusijusių darbo santykių sprendimų, tačiau nepalanki profesinė išvada negali būti baudimo priežastis. Vidaus tvarka turi leisti apie spaudimą pranešti tinkamam nepriklausomam valdymo lygiui.
Duomenų subjektai turi galėti kreiptis į DAP dėl jų duomenų ir teisių. Patikrinkite paskelbtą adresą, pavaduojančio asmens prieigą ir konfidencialų pranešimų tvarkymą. Bandomasis laiškas neturi dingti bendroje klientų aptarnavimo eilėje ar būti automatiškai persiųstas žmogui, dėl kurio veiksmų skundžiamasi. Galutinis konflikto vertinimas baigiamas ne parašu, o šių organizacinių priemonių veikimo patikra.
Pakartotinės peržiūros įvykius įrašykite pačioje formoje: naujos pareigos, pakeista atskaitomybė, įsigyta įmonė, nauja teikėjo paslauga arba išplėsti sprendimų įgaliojimai. Pavyzdžiui, anksčiau tik konsultavęs specialistas gali tapti projekto biudžeto ir duomenų apimties tvirtintoju. Ankstesnė išvada dėl suderinamumo tokio pokyčio neapima. Priskirkite asmenį, kuris gauna pranešimą apie pareigų pasikeitimą ir inicijuoja vertinimą prieš naujoms funkcijoms įsigaliojant. Taip konflikto kontrolė tampa personalo ir pirkimų proceso dalimi, o ne tik vienkartine paskyrimo bylos forma.
Paskyrus pareigūną ar pasikeitus jo kontaktams, atskirai sutvarkykite pranešimą apie DAP Lietuvos VDAI. Kontaktų pateikimas neužtikrina nepriklausomumo savaime, tačiau padeda priežiūros institucijai susisiekti su faktiškai šią funkciją atliekančiu asmeniu.