ПРО приватность | Data Privacy Office – @data_privacy

1 639 assinantes

5

1

108

Когда многозадачность превращается в штраф в 50 тысяч евро

Рассказываем про конфликт интересов у DPO: как не попасть на штраф и сохранить доверие

Согласно ст. 38(6) GDPR, DPO может выполнять другие задачи, но только если при этом не возникает конфликта интересов. Главное для DPO — не участвовать в определении целей и способов обработки персональных данных (рекомендации EDPB (WP243 rev.01))

Пример из практики: штраф €50,000 в Бельгии за совмещение позиций DPO и директора по аудиту — случай, когда специалист контролировал процессы, которые сам же организовывал. Интересно, что конфликт вскрылся только после расследования утечки данных, а не в ходе плановой проверки.

📌 Что считается конфликтом интересов?

DPO не может занимать должность, которая позволяет ему определять цели и способы обработки данных. В первую очередь это относится к топ-менеджменту: CEO, CFO и другим. Однако конфликт возникает даже если должность не управленческая, но влияет на обработку данных.

В случае с внешним DPO это правило также работает: он не должен представлять компанию в судах по вопросам защиты данных или, например, также работать с конкурентами.

📌 Типовые сценарии нарушений:

🔹 Совмещение роли DPO с управленческими или контролирующими позициями (например, руководитель compliance или IT).
🔹 Участие DPO в операционных процессах: утверждение политик, выбор подрядчиков, внедрение CRM-систем.
🔹 Личные связи с лицами, принимающими решения (например, родственник CEO).
🔹 Внешний DPO, консультирующий конкурентов или представляющий компанию в суде по GDPR.

Даже потенциальный конфликт, который может быть только воспринят регулятором или сотрудниками как угроза независимости DPO, уже сам по себе риск штрафа и расследования

📌 5 советов для компаний

🔹 Проведите аудит ролей DPO. Руководствуйтесь рекомендациями из раздела 3.5 руководства EDPB по DPO. Регулярно пересматривайте матрицу обязанностей и исключайте пересечения с управленческими и контролирующими функциями.

🔹 Внедрите «двойное слепое» согласование. Если DPO участвует в проекте, его оценку должен подтверждать независимый специалист или внешний юрист.

🔹 Установите правила для внешних DPO. Проверьте отсутствие конфликта интересов с другими клиентами и не допускайте участия в судебных процессах от имени компании кроме случаев, когда DPO сохраняет при этом свою независимость.

🔹 Включите в должностную инструкцию DPO требование немедленно уведомлять руководство о любых обстоятельствах, способных повлиять на независимость (семейные связи, совмещение ролей, личная заинтересованность в проекте).

📌 Что важно не упустить?

🔹 Вовлекайте DPO на ранних стадиях. Он должен быть в курсе всех проектов с персональными данными до принятия ключевых решений — так можно выявить конфликты интересов заранее.

🔹 Гарантируйте защиту от давления. DPO не должен подвергаться угрозам, задержкам в продвижении, лишению бонусов или иным формам давления при выполнении своих функций.

🔹 Обеспечьте реальный доступ к ресурсам. DPO должен иметь возможность привлекать внешних экспертов и получать необходимые инструменты для независимой оценки ситуации.

🔹 Фиксируйте конфликтные ситуации. Все потенциальные или выявленные конфликты должны быть отражены во внутренних документах компании и регулярно пересматриваться.

🔹 Используйте альтернативные механизмы. В сложных случаях назначайте альтернативного DPO или привлекайте внешних специалистов для независимой экспертизы.

Внешние специалисты:

📎 Не вовлечены в операционные процессы напрямую.
📎 Работают независимо от корпоративной иерархии.
📎 Не подвержены давлению внутри компании.

Нанять такого независимого специалиста и быть уверенным в отсутствии конфликта интересов можно в Data Privacy Office. Подробнее — по ссылке.

Конфликт интересов — это не только факт, но и восприятие. Даже если DPO объективен, подозрение в его зависимости может стать поводом для расследования и штрафа.

24.04.2025, 16:31