כיצד להוכיח ציות ל-GDPR סעיף 37

קציני הגנת מידע הם מרכיב בסיסי בכל פעילות אבטחת סייבר רחבה יותר של ארגון.

GDPR סעיף 37 מדגיש את חשיבות התפקיד, ומציע הדרכה כיצד יש למנות DPO, פעילויות הליבה של התפקיד וכיצד מתקשרים מינויים כאלה.

GDPR סעיף 37 טקסט משפטי

גרסת GDPR של האיחוד האירופי

ייעודו של קצין הגנת המידע

1. הבקר והמעבד יקבעו קצין הגנת מידע בכל מקרה בו:
• (א) העיבוד מתבצע על ידי רשות או גוף ציבורי, למעט בתי משפט הפועלים בתפקידם השיפוטי;
• (ב) פעילויות הליבה של הבקר או המעבד מורכבות מפעולות עיבוד המחייבות, מתוקף טבען, היקפן ו/או מטרותיהן, מעקב שוטף ושיטתי אחר נושאי המידע בקנה מידה גדול; אוֹ
• (ג) פעילויות הליבה של הבקר או המעבד מורכבות מעיבוד בקנה מידה גדול של קטגוריות מיוחדות של נתונים לפי סעיף 9 ונתונים אישיים הנוגעים להרשעות ועבירות פליליות האמורות בסעיף 10.
2. קבוצה של חברות רשאית למנות קצין הגנת מידע יחיד בתנאי שמכל מפעל יהיה גישה נוחה לקצין הגנת מידע.
3. כאשר הבקר או המעבד הם רשות או גוף ציבוריים, ניתן לייעד קצין הגנת מידע יחיד עבור מספר רשויות או גופים כאלה, תוך התחשבות במבנה הארגוני ובגודלם.
4. במקרים אחרים מאלה המוזכרים בסעיף 1, הבקר או המעבד או עמותות וגופים אחרים המייצגים קטגוריות של בקרים או מעבדים רשאים או, כאשר הדבר נדרש על פי חוק האיחוד או המדינה החברות, יקבע קצין הגנת מידע. קצין הגנת המידע עשוי לפעול עבור עמותות כאלה וגופים אחרים המייצגים בקרים או מעבדים.
5. קצין הגנת המידע יוגדר על בסיס תכונות מקצועיות ובמיוחד ידע מומחה בדיני הגנת מידע ושיטות עבודה ויכולת למלא את המשימות האמורות בסעיף 39.
6. קצין הגנת המידע יכול להיות איש צוות של הבקר או המעבד, או למלא את המשימות על בסיס חוזה שירות.
7. הבקר או המעבד יפרסמו את פרטי ההתקשרות של קצין הגנת המידע ויעבירו אותם לרשות הפיקוח.

גרסת GDPR בבריטניה

ייעודו של קצין הגנת המידע

1. הבקר והמעבד יקבעו קצין הגנת מידע בכל מקרה בו:
• (א) העיבוד מתבצע על ידי רשות או גוף ציבורי, למעט בתי משפט הפועלים בתפקידם השיפוטי;
• (ב) פעילויות הליבה של הבקר או המעבד מורכבות מפעולות עיבוד המחייבות, מתוקף טבען, היקפן ו/או מטרותיהן, מעקב שוטף ושיטתי אחר נושאי המידע בקנה מידה גדול; אוֹ
• (ג) פעילויות הליבה של הבקר או המעבד מורכבות מעיבוד בקנה מידה גדול של קטגוריות מיוחדות של נתונים לפי סעיף 9 ונתונים אישיים הנוגעים להרשעות ועבירות פליליות האמורות בסעיף 10.

2. קבוצה של חברות רשאית למנות קצין הגנת מידע יחיד בתנאי שמכל מפעל יהיה גישה נוחה לקצין הגנת מידע.
3. כאשר הבקר או המעבד הם רשות או גוף ציבוריים, ניתן לייעד קצין הגנת מידע יחיד עבור מספר רשויות או גופים כאלה, תוך התחשבות במבנה הארגוני ובגודלם.
4. במקרים אחרים מאלה הנזכרים בסעיף 1, הבקר או המעבד או עמותות וגופים אחרים המייצגים קטגוריות של בקרים או מעבדים רשאים לקבוע קצין הגנת מידע. קצין הגנת המידע עשוי לפעול עבור עמותות כאלה וגופים אחרים המייצגים בקרים או מעבדים.
5. קצין הגנת המידע יוגדר על בסיס תכונות מקצועיות ובמיוחד ידע מומחה בדיני הגנת מידע ושיטות עבודה ויכולת למלא את המשימות האמורות בסעיף 39.
6. קצין הגנת המידע יכול להיות איש צוות של הבקר או המעבד, או למלא את המשימות על בסיס חוזה שירות.
7. הבקר או המעבד יפרסמו את פרטי ההתקשרות של קצין הגנת המידע ויעבירו אותם לממונה.