DPO pentru magazin online ? Ce este si cum se va integra din Mai 2018 ?
Una dintre marile schimbări aduse de actul normativ este introducerea funcției de DPO la firmele care se ocupă în principal cu prelucrarea datelor personale. Practic, vorbim nu doar de companiile mari, ci și de companiile medii sau mici care adună și folosesc date personale.
Într-o asemenea situație, dintr-un regulament european aplicabil din mai 2018 inclusiv în România reiese că magazinele online vor avea obligația să-și desemneze un responsabil cu protecția datelor („data protection officer” sau DPO, pe scurt). DPO-ul va putea să fie ori un salariat nou sau actual, ori un colaborator extern (avocat sau altă firmă, de exemplu).
Regulamentul general privind protecția datelor (GDPR) este un act normativ european care se va aplica în mod direct tuturor statelor membre UE, deci chiar și României, începând cu data de 25 mai 2018. Cu alte cuvinte, regulamentul nu trebuie nici să fie transpus în legislația autohtonă (așa cum se întâmplă în cazul directivelor europene, de exemplu), nici să fie detaliat prin norme de aplicare.
DPO pentru magazin online ? Ce este si cum se va integra din Mai 2018 ? Magazinele online vor avea nevoie de un DPO, dacă strâng informații despre clienți
Un exemplu concret de companii obligate să aibă de anul viitor DPO este reprezentat de magazinele online. Totuși, putem spune asta numai în condițiile în care clienții magazinelor online trebuie să-și creeze conturi pentru a cumpăra produse, iar firmele în cauză adună anumite date personale pentru a personaliza ofertele către aceștia. Potrivit unui specialist în protecția datelor personale consultat de redacția noastră, concluzia trebuie trasă în funcție de îndeplinirea cumulativă a unor criterii stabilite de GDPR.
„Mai exact, dacă activitatea principală constă în operațiuni de prelucrare care, prin natura, domeniul de aplicare și/sau scopurile lor, necesită o monitorizare periodică și sistematică a persoanelor vizate pe scară largă”, a precizat Andreea Lisievici, avocat la PrivacyOne cu o experiență consistentă în legislația protecției datelor personale.
„Activitatea principală a deținătorului site-ului este, să zicem, vânzarea online de produse, iar modul cum și-a structurat afacerea deținătorul este că toți cumpărătorii trebuie să aibă cont, iar în funcție de istoricul de cumpărături și datele asociate contului, deținătorul face profilarea utilizatorilor pentru a adapta ofertele sale (de exemplu, pentru a sugera anumite produse unei femei între 25 și 35 de ani și altele unui bărbat între 40 și 50 de ani). Această profilare se întâmplă constant, cu privire la toți utilizatorii care, cel puțin teoretic, provin din întreaga țară. În acest caz sunt îndeplinite toate condițiile, pentru că activitatea principală (vânzarea online), prin modul său de efectuare, presupune monitorizarea periodică și sistematică a utilizatorilor”, a explicat specialista.
În esență, profilarea pe internet presupune o monitorizare periodică și sistematică a anumitor persoane prin strângerea și folosirea datelor personale ale acestora într-un scop sau altul (comercial, de exemplu).
DPO-ul poate fi un angajat sau un colaborator extern
GDPR prevede că ocuparea funcției de responsabil cu protecția datelor se poate face prin numirea cuiva din interiorul companiei sau prin încheierea unui contract de servicii cu un colaborator extern.
Practic, firmele vor fi libere să aleagă varianta cea mai potrivită pentru ele. Putem vorbi, așadar, de desemnarea ca DPO a unui salariat al societății (nou sau actual) sau de o colaborare contractuală cu un avocat, o persoană fizică autorizată (PFA), o societate de avocatură sau chiar o altă companie.
„Un responsabil cu protecția datelor poate fi salariat (deși astăzi în România nu există un cod COR dedicat), dar poate fi și extern - PFA, avocat, societate comercială. Este important însă de menționat că, și în cazul în care contractul se încheie cu o formă de organizare colaborativă (societate de avocați, societate comercială), trebuie în continuare desemnată o persoană anume care va deține funcția de responsabil cu protecția datelor”, ne-a spus cu altă ocazie Andreea Lisievici.
Chiar dacă ocupația de responsabil cu protecția datelor nu este inclusă în Clasificarea Ocupațiilor din România, specialista spune că un DPO poate fi încadrat pe o altă funcție. În acest sens, avocata a indicat că un DPO poate figura în organigramă ca manager de proiect, de exemplu.
Sursa: Avocatnet.ro, cu multumiri.
