Администратор на лични данни: регистрация и задължения по GDPR

Ако определям защо и как се обработват лични данни, съм администратор по смисъла на Общия регламент за защита на данните — GDPR. Това може да е дружество, организация, публичен орган или физическо лице, например работодател или търговец, който поддържа клиентска база.

Трябва ли да се регистрирам в КЗЛД?

Няма общо задължение за регистрация на администраторите на лични данни в Комисията за защита на личните данни. Не подавам заявление за разрешение да обработвам данни и не получавам регистрационен номер като условие за започване на дейността. Самото отсъствие на регистрация не ме освобождава от GDPR и Закона за защита на личните данни.

Отделни задължения за уведомяване все пак съществуват. Например, ако определя длъжностно лице по защита на данните, публикувам данните му за контакт и ги съобщавам на КЗЛД. Това уведомяване не представлява регистрация на администратора.

Как да организирам обработването?

• Определям цел и правно основание. За всяка дейност проверявам приложимото основание по чл. 6 GDPR — например договор, законово задължение, съгласие или легитимен интерес след необходимата преценка. Не изисквам съгласие за всяко обработване по подразбиране.
• Събирам само необходимите данни. Поддържам ги точни и определям срокове за съхранение според целта, законовите задължения и защитата на права.
• Информирам хората. Предоставям разбираема информация за администратора, целите, основанията, получателите, сроковете и правата. При данни, получени от друг източник, проверявам и правилата на чл. 14 GDPR.
• Осигурявам защита. Ограничавам достъпа, определям отговорности, обучавам служителите и въвеждам мерки за сигурност според риска.
• Уреждам отношенията с доставчиците. Когато външна фирма обработва данни от мое име, сключвам договор с изискванията на чл. 28. Предаване извън Европейското икономическо пространство изисква и проверка на правилата за международен трансфер.

Здравните данни и другите специални категории изискват и приложимо условие по чл. 9. За данни за присъди и нарушения се прилага чл. 10. След отпадане на целта не мога просто да прехвърля информацията на друг администратор: за предоставянето също са необходими законово основание и спазване на останалите изисквания.

Нужен ли е регистър на дейностите?

Регистърът по чл. 30 описва дейностите по обработване, а не представлява списък на всички засегнати хора. В него се отразяват целите, категориите лица и данни, получателите, приложимите трансфери, сроковете и общо описание на мерките за сигурност.

Изключението за организации с по-малко от 250 служители е ограничено. То не важи за обработване, което не е спорадично, може да породи риск за правата и свободите или включва специални категории данни или данни за присъди и нарушения. Например редовното обработване на данни за персонала обичайно изисква съответен запис и при малък работодател. Броят на служителите не е самостоятелно освобождаване от регистър.

Кога се определя длъжностно лице?

Длъжностно лице по защита на данните е задължително в случаите на чл. 37 GDPR: при публични органи и структури с предвиденото изключение за съдилищата при правораздавателната им дейност; при основни дейности, налагащи редовно и систематично мащабно наблюдение; или при основни дейности по мащабно обработване на специални категории данни или данни за присъди и нарушения.

Лицето трябва да има необходимите знания, независимост и ресурси, без конфликт на интереси. То може да е служител или външен изпълнител. Отговорността на администратора за законосъобразността не се прехвърля върху него.

Искания от хората и нарушения на сигурността

Организирам приемането на искания за достъп, поправка, изтриване, ограничаване, преносимост или възражение. Отговарям без ненужно забавяне и обичайно до един месец. При сложност или множество искания срокът може да се удължи с още два месеца, но уведомявам лицето и обяснявам причината в първия месец. Всяко право има законови условия; например искане за изтриване не отменя задължителното счетоводно съхранение.

При нарушение на сигурността документирам случая и преценявам риска. Уведомявам КЗЛД без ненужно забавяне и по възможност до 72 часа от узнаването, освен ако е малко вероятно нарушението да породи риск за правата и свободите. При висок риск по правило уведомявам и засегнатите лица без ненужно забавяне, като проверявам законовите изключения.

Преди обработване, което вероятно води до висок риск, правя оценка на въздействието. Ако високият риск остава въпреки предвидените мерки, е необходима предварителна консултация с надзорния орган.

Каква е отговорността?

КЗЛД може да дава предписания, да ограничи обработване и да налага санкции. GDPR предвижда различни максимуми според нарушението — до 10 млн. евро или 2% от общия годишен световен оборот на предприятието и до 20 млн. евро или 4%, като се прилага по-високият съответен размер. Това са максимални граници; конкретната санкция зависи от обстоятелствата. Възможна е и отговорност за причинени вреди.

Правна основа: Регламент (ЕС) 2016/679 и Закон за защита на личните данни.