1. Requisiti per l'esterno, in un responsabile della protezione dei dati
Esterno responsabile della protezione dei dati, come l'interno, devono essere selezionati in base ai requisiti previsti nell'Art. 37 Para. 5, 39 DS-GVO: sulla Base di queste disposizioni di legge, egli deve avere già la qualificazione professionale e le necessarie conoscenze specialistiche necessarie per adempiere i compiti al momento della sua nomina, hanno, per cui il livello di conoscenza richiesto fondamentalmente dovrebbe essere determinato dal campo di applicazione del trattamento dei dati da parte del soggetto responsabile e il bisogno di protezione dei dati personali trattati.
L'esperienza pratica maturata in anticipo, la conoscenza tecnica, la formazione e il perfezionamento e la prova speciale di protezione dei dati di allenamento può essere richiesto. I candidati dovrebbero avere le qualifiche in modo che si può capire, a volte tecnicamente complessi processi. Inoltre, egli dovrebbe avere (almeno di base) legale conoscenza per essere in grado di comprendere il gran numero di regolamenti che derivano dal Regolamento Generale sulla Protezione dei Dati, ePrivacy Regolamento e della legislazione nazionale e di essere in grado di applicare le sentenze che sono state fatte .
2. Minimo Compiti del responsabile della Protezione dei Dati
Il minimo compiti del responsabile della protezione dei dati risultati dall'Art 39 DS-GVO, per cui l'attività può essere specificato o ampliato da lavoro o un contratto di servizio stipulato con lui.
Uno dei compiti principali dell'esterno responsabile della protezione dei dati è quello di lavorare verso la conformità con tutti (protezione dei dati) regolamenti da parte della persona responsabile o l'incaricato del trattamento e i suoi collaboratori (dai mezzi di informazione e consulenza), Art. 39 (1) lit. un GDPR. A questo scopo egli deve essere istruito nei processi di trattamento dei dati i programmi di software nonché nella tecnologia informatica. Essi devono essere controllati regolarmente da lui in seguito. Inoltre, l'esterno responsabile della protezione dei dati deve garantire che le persone che gestiscono i dati personali sono familiarità con le norme di protezione dei dati e il loro dovere di cura. Questo dovrebbe essere fatto come parte di una formazione regolare e (eventualmente ripetuti) ulteriori corsi di formazione.
Un DPO controlla regolarmente le misure tecniche e organizzative della società, a condizione che questo compito è stato contrattualmente a lui assegnate dal responsabile o dall'incaricato del trattamento. Per questo scopo, almeno di controllo di accesso, controllo di voce, di controllo di accesso, il trasferimento del controllo, controllo di input, controllo ordini e controllo di disponibilità deve essere controllato. Svolge regolarmente.
Di solito, inoltre, monitora i processi automatizzati utilizzati in azienda, che ha spesso giudizi come parte della protezione dei dati, di valutazione di impatto per garantire che i diritti di coloro che sono colpiti adeguatamente protetto e che sono sufficientemente informato. Questo sembra urgente per quanto riguarda il diritto all'informazione, il diritto di rettifica, il diritto di cancellazione, il diritto alla limitazione del trattamento, il diritto alla portabilità dei dati, il diritto di opporsi, ma anche per rispondere alle richieste di informazioni.
Egli, inoltre, ha spesso prende cura della gestione della procedura di registri, anche se va notato che non vi è alcun obbligo giuridico di fare altrettanto. Inoltre, il DPO potrebbe essere contrattualmente tenuti a sviluppare una protezione dei dati manuale con i concetti necessari, orientamenti, linee-guida e informazioni sui dipendenti.
Interno o esterno, responsabile della protezione dei dati deve anche rappresentare il responsabile o l'incaricato del trattamento nei suoi affari come una persona di contatto con l'autorità di vigilanza. Tuttavia, va sottolineato che l'esterno responsabile della protezione dei dati, generalmente non hanno alcun potere decisionale; questo spetta unicamente con la persona responsabile e quindi di solito con la società di gestione del suo cliente.
3. Nomina / cessazione di un responsabile della protezione dei dati
Un DPO deve essere nominato nei casi dell'Articolo 37, GDPR o all'Articolo 38, BDSG nuova versione. La designazione deve essere in forma scritta; in Base all'Art. 37 Para. 7 DS-GVO, deve essere pubblicato e reso noto all'autorità di vigilanza (obbligo di notifica). La designazione del certificato deve contenere sia la firma del DPO e che la persona responsabile della gestione.
L'esterno responsabile della protezione dei dati non è soggetta alle istruzioni della società di gestione nel suo campo di attività, secondo il § 38 comma 3 legge federale sulla protezione della nuova versione. Può agire liberamente entro i limiti di legge. Per questo motivo, dovrebbe essere considerato in anticipo in che misura un dipendente interno può lavorare in modo indipendente: In linea di principio, può assumere altri compiti e doveri nella società, Sezione 38 (6) comma 1 legge federale sulla protezione; tuttavia, egli non dovrebbe contenere qualsiasi altra posizione che potrebbe compromettere la sua autorità decisionale (ad esempio, HR o di gestione, direzione generale, etc.).
Secondo il § 38 comma 4 legge federale sulla protezione della nuova versione di un licenziamento di RPD è consentita solo nel corrispondente applicazione del § 626 BGB. Il suo rapporto di lavoro può essere sciolta solo se ci sono fatti che consentono il recesso senza preavviso per giusta causa. Una volta che l'attività è terminata, chiusura durante l'anno seguente non è consentito a meno che non c'è una buona causa che possa giustificare il fatto di cessazione del rapporto di lavoro senza preavviso. La questione della misura in cui il diritto di prosecuzione del rapporto di lavoro può essere trasferita all'esterno responsabile della protezione dei dati non è stata finalmente chiarita. La possibilità di risoluzione per una persona esterna che lavora come parte di un rapporto di lavoro potrebbe quindi essere basata su Sezione 621 BGB o Sezione 627 BGB. In alternativa, un'analoga applicazione del § 626 BGB sarebbe concepibile. Quest'ultimo poteva avere un senso e, probabilmente, più si avvicinano a ciò che il legislatore vuole.
4. Interno o esterno RPD?
Ciò solleva la questione se il ruolo di responsabile della protezione dei dati deve essere riempito da un interno o un esterno di persona. Mentre, come già accennato, la collaborazione con un dipendente interno può funzionare regolarmente armoniosamente a causa della familiarità personale e conoscenze già esistenti della società e le strutture connesse, da un lato, c'è il pericolo, come può essere visto in pratica, che semplicemente intere aree di responsabilità sono “trascurati” o, d'altra parte, il rischio è a carico che il candidato non disponga delle competenze tecniche o capacità giuridiche. Tuttavia, le ragioni più importanti contro l'elezione di un dipendente interno sono le loro responsabilità e il fatto che l'esterno responsabile della protezione dei dati può essere risolto più velocemente (che sarà probabilmente anche continuare ad applicare se la GDPR si applica). Mentre l'interno RPD è solo responsabile per la società dal punto di vista della responsabilità dei dipendenti, l'esterno responsabile della protezione dei dati è regolarmente responsabile sensi degli articoli 280, 611 BGB e Sezione 823 BGB.
A seconda del controller del processore obiettivi, il migliore argomento per la scelta di un interno o un esterno DPO. Un buon argomento per il fornitore esterno di servizi che si occupano solitamente di protezione dei dati a tempo pieno.
