Новите драми със защита на личните данни

...назначават ми някаква random-личност, парашутист спуснат кой знае от къде и кой знае от кого и с познания на дете от предучилищната детска градина, обаче с една такаааааа мазничка заплатка и... за всяка цифра и данна търчиш да искаш разрешение.
...

Кратко уточнение - никой няма да ти я назначи - ти си я назначаваш сама(в случаите, в които Регламента мъгляво остава тази работа на твоята преценка) и се погаждате с нея. Или специално наето лице, или съвместяващо и тази длъжност, без конфликт на интереси и поставяне в зависимо положение(което също е странно, като се има предвид, че говорим за нает работник). И не знам дали правилно разбрах, но това лице май трябвало да се регистрира в КЗЛД... 
Но поне твоята работа е лесна - винаги може да попиташ Жълтото куче, или да хвърлиш едно оЧо в кристалната си гадателска топка... 

Много е важно да се конкретизират критериите, при които назначаването на длъжностно лице е задължително. На практика всяка счетоводна кантора, независимо че може да се състои от 1-2 работещи собственици, обработва чувствителни данни – например отчита болнични листове (същото се отнася и за всички фирми с персонал, като администратори).

Критерият за назначаване на длъжностно лице, който ни засяга е: „мащабно обработване на специални категории данни съгласно член 9 от GDPR (например, данни за расов и етнически произход, данни за здравословното състояние и др.) или на лични данни, свързани с присъди и нарушения.“
Чета едно тълкувание на това, какво е „мащабно“ - https://www.tita.bg/free/commercial-law/537 , който пак не дава пълна яснота:
„За да се определи кое обработване е „мащабно“ трябва да се имат предвид най-малко следните критерии:
 брой на засегнатите субекти на данните или като конкретен брой, или като дял от съответното население;
обем на данните и/или диапазон от различни елементи на данните, които се обработват;
продължителност или постоянство на дейността по обработване на данните;
географски обхват на дейността по обработване (12).
Съгласно Работната група по чл. 29, консултативен орган в ЕС, който дава тълкувания на правилата за защита на личните данни, неизчерпателни примери за мащабно обработване са следните дейности:
 обработване на пациентски данни в обичайните условия на осъществяване на дейността на болница;
обработване на данни за пътувания на физически лица, използващи системата на обществен транспорт на даден град (например проследяване чрез карти за пътуване);
обработване в реално време на данни за определяне на географското местоположение на клиенти на международна верига за бързо хранене за статистически цели от страна на обработващ лични данни, който е специализиран в предоставянето на тези услуги;
обработване на клиентски данни от застрахователно дружество или банка в обичайните условия на осъществяване на дейността;
обработване на лични данни от търсачка с цел поведенческа реклама;
обработване на данни (съдържание, трафик, местоположение) от доставчици на телефонни или интернет услуги (13).“

Тук може да се включат и медицинско свидетелство и свидетелство за съдимост, при постъпване на работа, автобиография при подбор на персонал и т.н.

На какво мнение сте колеги – мащабно ли обработваме специални категории данни?

Бях на един курс и обясниха, че длъжностно лице се назначава във фирми с назначен персонал над 250 човека или ако фирмата обработва лични данни на физически лица над 10 000 броя.

Регламентът не поставя подобни разграничения. Това са някакви виждания, пренесени от националната законова и подзаконова нормативна уредба(отделен момент е, че към момента няма нов Закон и Правилник, в духа на регламента).
Така или иначе обаче, всяка счетоводна кантора е уязвима според мен, поради изключително големия обем и разностранност на личните данни, с които борави...

Колега, Catch-22, отговорът на въпроса, който зададе се съдържа в добре подбрания от теб ник-нейм. 

А обърнахте ли внимание на въпроса за договорите/анексите, които ще трябва да подписваме с клиентите, заради отношенията ни администратор - обработващ? - член 28 от Регламента.

Зравейте – пецизирането на споразумения с клиентите (или анекс към договорите) по повод обработването на лични данни е много важен момент. Добре е да се обсъди въпроса и който има идеи – да ги споделя, за да не пропуснем нещо.

Хрумна ми една идея – понеже навсякъде се казва, че според Регламента декларацията-съгласие за обработка на лични данни на служителя може да се оспори, защото страните по трудово правоотношение не били равнопоставени – може да се подписва такава декларация преди да се сключи трудовия договор (например от същата дата) като се пояснява, че данните ще започнат да се обработват след сключване на договора. Така няма да има спор, че страните са равнопоставени в момента на подписването и.

Това последното - списък на основанията, на които обработваме ЛД наистина е много полезно и улесняващо. Сещам се за още няколко в моята сфера, ще ги систематизирам и добавя.
За декларацията - практически обработваме ЛД само по законови изисквания,поне аз не се сещам да съм събирал такива по някакви други поводи.

Това последното - списък на основанията, на които обработваме ЛД наистина е много полезно и улесняващо. Сещам се за още няколко в моята сфера, ще ги систематизирам и добавя.
За декларацията - практически обработваме ЛД само по законови изисквания,поне аз не се сещам да съм събирал такива по някакви други поводи.

Именно - много е важно изрично да се обосновем и подчертаем, че обработваме лични данни, без значение дали лично, или чрез възлагане обработващ(респективно - по силата на договор между АЛД и нас), на основание нормативно основание нормативно вменено задължение. И това задължение определя кръга  и обема данни, които събираме.
За мен изключително важно е да се избегне всякаква предпоставка, водеща до заключение, че ни е нужно Длъжностно лице по защита на данните. Като оставим настрана разхода, това е един допълнителен ангажимент, чиито мащаб още дори не сме в състояние да оценим.

аз както ги виждам нещата ще трябва да се добави към ПВТР разработена процедура по обработване, използване и съхранение на личните данни паралелно с няколко регистъра по подобие на тези електронните (но по прецизни) в "Електронен регистър на Администратори на лични данни".
Като гледам как вървят нещата ще е нелепо Длъжностното лице по защита на данните да няма правно образование и опит, така че както колегата ще се хвана и за сламката, но ако има възможност няма да назначаваме.

Иначе, да, работата на сляпо, без реална законова рамка в българското законодателство е доста дразнещ момент за мен, просто за лудо повече не ми се работи...