Andmekaitseametniku määramine
Määruses märgitakse keerulises sõnastuses, et andmekaitseametnik (ingl data protection officer) tuleb määrata, kui ettevõtja põhitegevuse moodustavad isikuandmete töötlemise toimingud, mille laad, ulatus ja/või eesmärk tingivad ulatusliku andmesubjektide korrapärase ja süstemaatilise jälgimise.
Esmapilgul võib kohustus tunduda relevantne vaid suurettevõtetele. Kui ka määruse algses versioonis oli kirjas, et ühingud alla 250 töötajaga ametnikku reeglina määrama ei pea, siis määruse lõppversioon sellist erisust enam ei sedasta. Ametnikku määrama võib olla kohustatud ka ühing, kus töötab paar kuni kümme inimest.
Enamgi veel, seda kohustust on tõlgendanud ja täpsustanud Artikkel 29 töörühm, mille liikmeteks on Euroopa Liidu liikmesriikide andmekaitse asutused. Artikkel 29 suunisest tuleneb, et märgitud sätet ei tohi tõlgendada kitsendavalt. Soovitus nimetab näitena sellisest ettevõttest, kes ei pea ametnikku määrama, pereettevõtte väikelinnas, kes isikuandmeid peaaegu et ei töötle. Seega sisuliselt tuleb igal ettevõtjal kasvõi korraks läbi mõelda, kas määrusest tulenev kohustus puudutab ka tema äri ning kas eraldi ametikoht on vajalik.
Rohkem selle kohta, kas ettevõttel tuleb andmekaitseametnik määrata saab lugeda Artikkel 29 soovitusest siit. Määrust saab eesti keeles lugeda siit, kus eelkõige on olulised artiklid 37-39.
Ametniku hariduslik taust
Määrus ei kirjuta iseenesest ülemäära rangelt ette, mis haridusega ametnik peab olema, kuid määrusest tuleneb, et määrataval ametnikul peavad olema ekspertteadmised andmekaitsealase õiguse ja tava kohta.
Hetkel on andmekaitseametnikuks võimalik õppida vaid Prantsusmaal. Seda Pariisis Panthéon-Assas nimelises ülikoolis, kus vastav programm selle aasta alguses avati. Andmekaitse alaseid koolitusi on lubanud tulevikus läbi viima hakata ka Eesti ülikoolid.
Määrusega kaasneva ühe probleemkohana on välja toodud, et ettevõtjate jaoks saab olema tükk tööd kvalifitseeritud inimese leidmisega. Arvestades, et paljudel ei ole sellist inimest organisatsiooni seest võtta ning väljast teenuse sisse ostmine võib olla liialt kallis.
Lühidalt ametniku kohustustest
Ametniku kõige laiem ülesanne on tagada, et ettevõtte tegevused oleks kooskõlas uue regulatsiooniga. Ametnik nõustab ettevõtjat määrusest tulenevate kohustute täitmisel, järgib, et andmekaitse normidest peetaks kinni ja korraldab sh personali teadlikkuse suurendamist ja koolitamist ning seonduvat auditeerimist. Ametnik annab nõu seoses andmekaitsealaste mõjuhinnangutega. Lisaks teeb ametnik koostööd andmekaitse alaste riiklike järelevalve asutustega ning on ettevõtte kontaktisikuks andmekaitse alal.
Kokkuvõttev soovitus ja tegevuskava
Isikuandmete kaitse üldmääruse jõustumine toob ettevõtetele suure hulga uusi kohustusi, millega peaks tegelema juba täna.
Andmekaitseametniku määramise osas soovitame pöörata tähelepanu just järgmistele aspektidele:
- tuleb välja selgitada, kas ettevõttel tuleb määrata andmekaitseametnik;
- kui ametnik on vaja määrata, siis tegeleda kohe sobiva teenusepakkuja või uue inimese otsimisega. Seda enne kui turul on sellist inimest või teenusepakkujat keerukas leida või enam õieti ei jõua oma töötajat koolitada;
- mõelda läbi andmekaitseametniku ülesanded konkreetse ettevõtte põhiselt.
