Atunci când o organizație trebuie sau alege să numească un responsabil cu protecția datelor, prima reacție este adesea să caute „pe cineva potrivit" în interior — frecvent persoana care „se ocupă oricum de GDPR". Întrebarea corectă, însă, nu este cine are timp, ci cine îndeplinește condițiile pe care le impune RGPD. Iar acele condiții sunt mai precise decât par.
Pentru claritate: dacă vrei să afli mai întâi ce face un DPO, am tratat subiectul separat în ce înseamnă DPO și ce sarcini are. Aici ne ocupăm strict de eligibilitate — cine poate ocupa, în mod legal, acest rol.
Criteriul este expertiza, nu titlul
Punctul de plecare este art. 37 alin. (5) RGPD: responsabilul cu protecția datelor este desemnat pe baza calităților profesionale și, în special, a cunoștințelor de specialitate în materie de legislație și practici în domeniul protecției datelor, precum și a capacității de a îndeplini sarcinile prevăzute la art. 39.
Două lucruri rezultă de aici. Primul: contează expertiza efectivă, nu poziția ierarhică sau vechimea. Al doilea: legea nu cere o anumită diplomă și nicio certificare obligatorie. O persoană poate fi un DPO perfect valabil fără să dețină vreun certificat, dacă are cunoștințele și capacitatea reală de a face treaba. Certificările pot dovedi pregătirea, dar nu o înlocuiesc și nu sunt, prin ele însele, o condiție de eligibilitate — vom reveni asupra acestui aspect la final.
În practică, nivelul de expertiză așteptat crește proporțional cu complexitatea și sensibilitatea prelucrărilor. O organizație care prelucrează date de sănătate la scară largă are nevoie de un DPO cu un nivel de cunoștințe net superior celui suficient pentru o firmă cu prelucrări de rutină.
Angajat sau externalizat — ambele variante sunt valide
Art. 37 alin. (6) RGPD spune limpede că DPO-ul poate fi fie un membru al personalului operatorului sau al persoanei împuternicite, fie poate să își îndeplinească sarcinile în baza unui contract de servicii. Cu alte cuvinte, externalizarea este o opțiune expres prevăzută de lege, la fel de validă ca numirea unui angajat.
Pentru companiile mici și mijlocii, varianta externalizată este adesea mai practică: aduce expertiză actualizată și o independență structurală pe care un angajat aflat în relație de subordonare o atinge mai greu. Despre cum funcționează concret, am scris pe larg în articolul DPO externalizat.
Tot RGPD permite, la art. 37 alin. (2), ca un grup de întreprinderi să numească un singur DPO, cu condiția ca acesta să fie ușor accesibil din fiecare unitate. „Ușor accesibil" înseamnă, în practică, accesibil pentru persoanele vizate, pentru autoritate și pentru personalul intern — inclusiv din punct de vedere lingvistic și geografic.
Poziția și independența DPO-ului
Eligibilitatea nu ține doar de cunoștințe; ține și de poziția pe care persoana o poate ocupa în organizație. Art. 38 RGPD stabilește un set de garanții fără de care rolul rămâne pur formal:
- Implicare adecvată și în timp util în toate chestiunile legate de protecția datelor — nu consultat la final, ci de la început.
- Resursele necesare pentru a-și îndeplini sarcinile și pentru a-și menține expertiza (timp, buget, acces la informații).
- Lipsa instrucțiunilor cu privire la modul de exercitare a sarcinilor — nimeni nu îi dictează concluziile.
- Protecție împotriva sancționării sau demiterii pentru îndeplinirea atribuțiilor sale.
- Raportare la cel mai înalt nivel de conducere al organizației.
De aici decurge un test util de eligibilitate: dacă persoana propusă nu poate, în mod realist, să spună „nu" conducerii fără teama unor consecințe, atunci nu poate fi DPO, oricât de bine ar cunoaște legislația.
Conflictul de interese: cine NU poate fi DPO
Aici se concentrează cele mai multe greșeli de numire. Art. 38 alin. (6) RGPD permite DPO-ului să îndeplinească și alte sarcini și atribuții, dar numai cu condiția ca acestea să nu genereze un conflict de interese.
Ghidurile WP29, preluate de Comitetul European pentru Protecția Datelor (CEPD), explică regula esențială: DPO-ul nu poate fi o persoană care stabilește scopurile și mijloacele prelucrării. Motivul este simplu — nu poți verifica și consilia în mod independent deciziile pe care chiar tu le iei. Te-ai afla în situația de a te controla pe tine însuți.
De regulă, sunt incompatibile cu rolul de DPO funcțiile de conducere care decid asupra prelucrărilor, precum:
- director general / administrator;
- șef IT (decide asupra sistemelor și măsurilor tehnice);
- șef resurse umane (decide asupra prelucrării datelor angajaților);
- șef marketing (decide asupra prelucrării datelor de clienți și prospecți);
- director de operațiuni și, în general, orice rol care determină modul de utilizare a datelor.
Cum testezi, în concret, dacă există un conflict? Verifici dacă funcția respectivă decide ce date se prelucrează, în ce scop și cu ce mijloace. Dacă răspunsul este da, persoana se va afla în poziția de a-și evalua propriile decizii — și nu poate fi DPO pentru acea organizație. Conflictul nu se rezolvă printr-o declarație formală de imparțialitate; se rezolvă numai prin separarea efectivă a rolurilor.
Cine este, în schimb, potrivit
Profilul ideal combină trei calități: cunoștințe juridice solide de protecția datelor, o înțelegere a componentei de IT și securitate (suficientă pentru a evalua măsurile tehnice și organizatorice) și o poziție independentă, fără atribuții care decid prelucrările. Nu este nevoie ca aceeași persoană să fie jurist și inginer; este nevoie să poată purta un dialog competent cu ambele lumi.
De aceea, „funcționarul de la administrativ care ține și dosarul GDPR" rareori este un DPO real: chiar dacă este de bună-credință, îi lipsesc de obicei expertiza, resursele și, mai ales, independența și accesul la conducere. Un astfel de aranjament creează o falsă impresie de conformitate — ceea ce este, în sine, un risc, fiindcă amână descoperirea problemelor reale.
Dacă încă nu ești sigur dacă ai obligația de a numi un DPO, pragul legal este detaliat în articolul când e obligatoriu un DPO. Indiferent de răspuns, criteriile de eligibilitate de mai sus rămân aceleași și pentru un DPO numit voluntar.
În concluzie
Cine poate fi responsabil GDPR? Persoana — internă sau externă — care are expertiza cerută de art. 37 alin. (5), poate beneficia de poziția independentă din art. 38 și nu se află în conflict de interese conform art. 38 alin. (6). Titlul, vechimea sau o certificare nu înlocuiesc niciuna dintre aceste condiții. O numire corectă pornește de aici, nu de la întrebarea „cine are timp".
Întrebări frecvente
Poate fi orice angajat responsabil GDPR?
Nu. Conform art. 37 alin. (5) RGPD, DPO-ul se desemnează pe baza calităților profesionale, în special a cunoștințelor de specialitate privind legislația și practicile în domeniul protecției datelor și a capacității de a îndeplini sarcinile din art. 39. Un angajat fără această expertiză și fără independența necesară nu este un DPO real, ci doar un nume pe un formular.
Poate fi directorul sau șeful IT și DPO?
De regulă nu. Art. 38 alin. (6) RGPD permite DPO-ului alte sarcini doar dacă nu generează un conflict de interese. Persoanele care stabilesc scopurile și mijloacele prelucrării — directorul general, șeful IT, șeful HR, șeful de marketing, directorul de operațiuni — s-ar afla în situația de a se controla pe ele însele, ceea ce ghidurile WP29/CEPD consideră incompatibil cu rolul de DPO.
Trebuie ca DPO-ul să fie angajat sau poate fi extern?
Ambele variante sunt valide. Art. 37 alin. (6) RGPD prevede că DPO-ul poate fi un membru al personalului sau poate îndeplini sarcinile în baza unui contract de servicii (externalizat). Pentru firmele mici și medii, externalizarea aduce expertiză la zi și independență, fără costul unui angajat dedicat.
Are nevoie DPO-ul de o certificare ca să fie numit?
Nu. RGPD nu cere nicio diplomă sau certificare obligatorie. Criteriul legal este expertiza reală în protecția datelor și capacitatea de a îndeplini sarcinile din art. 39. O certificare poate dovedi pregătirea, dar nu o înlocuiește și nu este, prin ea însăși, o condiție de eligibilitate.
Nu ești sigur cine poate fi DPO în organizația ta?
Evaluăm dacă ai obligația de a numi un responsabil cu protecția datelor, verificăm eventualele conflicte de interese și îți punem la dispoziție un DPO externalizat — independent, cu expertiză la zi și fără costul unui angajat în plus.