1. Exigences pour la protection des données externes agent
Externe agent de protection des données, à l'instar de l'intérieur, doivent être sélectionnées selon les exigences fixées à l'Art. 37 Par. 5, 39 DS-GVO: sur la Base de ces dispositions légales, il doit déjà avoir les qualifications professionnelles et les connaissances techniques nécessaires requis pour accomplir les tâches au moment de sa nomination, ont, en vertu de laquelle le niveau de connaissance requis devrait être déterminé par le champ d'application du traitement des données par la personne responsable et la nécessité de la protection des données à caractère personnel traitées.
L'expérience pratique acquise à l'avance, de connaissances techniques, de la formation et de l'éducation et de la preuve de la protection des données de formation peut être nécessaire. Les candidats doivent également s'attendre à avoir des compétences en informatique afin qu'ils puissent comprendre les parfois techniquement complexe processus. En outre, il devrait avoir (au moins une base juridique de compréhension afin d'être en mesure de comprendre le grand nombre de règlements qui découlent de la Protection des Données Générales de la Réglementation, la ğvie privée et communications électroniquesğ de la Réglementation et de la législation nationale et à être en mesure d'appliquer les jugements qui ont été faites .
2. Minimum Fonctions de l'Agent de Protection des Données
Le minimum de tâches de l'agent de protection de données de résultats de l'Art. 39 DS-GVO, en vertu de laquelle les tâches peuvent être spécifiés ou élargi par l'emploi ou de contrat de service conclu avec lui.
L'une des principales tâches de la protection des données externes agent est de travailler en vue de la conformité avec toutes les (protection des données) règlement par la personne responsable ou le processeur et ses employés (par le biais de l'information et de conseils), Art. 39 (1) allumé. un GDPR. À cette fin, il est indiqué dans le processus du logiciel de traitement de données de programmes ainsi que dans la technologie informatique. Ils doivent être régulièrement vérifiées par lui dans la suite. En outre, la protection des données externes, l'agent doit s'assurer que les personnes qui manipulent des données à caractère personnel sont familiarisés avec les réglementations de protection des données et de leur devoir de diligence. Cela devrait être fait dans le cadre de la formation régulière et (éventuellement répété), un complément de formation.
Un DPD vérifie régulièrement les mesures techniques et organisationnelles de la société, à condition que cette tâche a été détachés par contrat à lui par la personne responsable ou le processeur. À cet effet, au moins de contrôle d'accès, contrôle d'entrée, contrôle d'accès, transfert de contrôle, contrôle de saisie, gestion de commande et de contrôle de la disponibilité doit être vérifiée. Il réalise également des audits réguliers.
D'habitude, il surveille également les processus automatisés utilisés dans l'entreprise, qu'il examine souvent dans le cadre de la protection des données d'évaluation de l'impact pour s'assurer que les droits des personnes concernées sont protégées de manière adéquate et qu'ils sont suffisamment informés. Cela semble d'urgence nécessaires en ce qui concerne le droit à l'information, le droit à la rectification, le droit à l'effacement, le droit à la limitation du traitement, le droit à la portabilité des données, le droit à l'objet, mais aussi pour répondre aux demandes de renseignements.
En outre, il prend souvent soin de la gestion de la procédure de registres, mais il convient de noter qu'il n'existe aucune obligation légale de le faire. En outre, le DPD pourraient être tenus par contrat de développer la protection des données manuel d'utilisation nécessaire des concepts, des directives, des lignes directrices et des renseignements sur les employés.
Les internes ou externes à l'agent de protection des données doit aussi représenter la personne responsable ou le processeur dans ses affaires comme une personne de contact avec l'autorité de surveillance. Toutefois, il convient de rappeler que la protection des données externes officier général ne peut pas avoir de pouvoir de décision; il est seul avec la personne responsable et donc avec la direction de l'entreprise de son client.
3. La nomination ou la cessation d'un agent de protection des données
Un DPD doit être nommé dans le cas de l'Article 37 GDPR ou de l'Article 38 de la LOI allemande sur la nouvelle version. La désignation doit être faite par écrit; Selon l'Art. 37 Par. 7 DS-GVO, il doit être publiées et communiquées à l'autorité de surveillance (obligation d'informer). La désignation de certificat doit contenir à la fois la signature de la DPD et celle de la personne responsable de la gestion.
La protection des données externes agent n'est pas soumis aux instructions de la direction de l'entreprise dans son domaine d'activité selon le § 38, alinéa 3 BDSG nouvelle version. Il peut d'agir librement dans les limites légales. Pour cette raison, il doit être considéré comme l'avance dans quelle mesure un employé interne peut travailler de façon autonome: En principe, il peut prendre sur d'autres tâches et fonctions dans la société, de l'Article 38 (6) phrase 1 BDSG; toutefois, il ne doit pas occuper un autre poste qui pourrait nuire à son pouvoir de décision (par exemple, RH ou de gestion, direction générale, etc.).
Selon le § 38, alinéa 4 BDSG nouvelle version, un rejet de la DPD est uniquement autorisée en application de l'article 626 du code civil. Sa relation de travail ne peut être résilié si il y a des faits qui permettent de résiliation sans préavis pour une bonne cause. Une fois l'activité terminée, la résiliation au cours de l'année suivante n'est pas autorisé, sauf si il ya de la bonne cause qui permettrait de justifier la résiliation de la relation de travail sans préavis. La question de la mesure dans laquelle ce droit de maintien de l'emploi, peuvent être transférés à la protection des données externes agent n'a finalement pas été précisé. La possibilité de résiliation pour une personne extérieure, qui est de travailler dans le cadre d'une relation de travail pourrait donc être fondée sur l'Article 621 du code civil ou l'Article 627 du code civil. Sinon, une application par analogie de l'article 626 du code civil allemand BGB serait concevable. Ce dernier pourrait faire sens, et probablement plus proche de ce que le législateur veut.
4. Interne ou externe DPD?
Cela soulève la question de savoir si le rôle de l'agent de protection des données doit être rempli par un interne ou un externe de la personne. Bien que, comme déjà mentionné, la coopération avec un employé interne peut exécuter régulièrement harmonieusement en raison de la familiarité personnelle et déjà connaissance de l'entreprise et les structures associées, d'une part, il y a le danger, comme on peut le constater dans la pratique, que le simple fait que des zones entières de la responsabilité sont “oubliées” ou, d'autre part, le risque est à la charge que le candidat ne satisfait pas l'expertise technique ou de compétences juridiques. Cependant, les raisons les plus importantes contre l'élection d'un employé interne sont de leur responsabilité, et le fait que la protection des données externes agent peut être résilié plus rapidement (ce qui sera probablement aussi continuer à s'appliquer si le GDPR s'applique). Alors que la DPD est seul responsable de la société du point de vue de la responsabilité de l'employé, le commissaire à la protection des données est régulièrement responsable en vertu des Articles 280, 611 BGB et de l'Article 823 du code civil allemand.
Selon le contrôleur ou d'un processeur de ses objectifs, les meilleurs arguments sont soit pour le choix d'un intérieur ou à l'extérieur de DPD. Un bon argument pour le fournisseur de service externe, c'est qu'ils traitent de la protection des données à temps plein.
