Obligația este inclusă în Regulamentul general pentru protecția datelor (GDPR), care se va aplica, în mod direct, tuturor statelor membre ale Uniunii Europene, deci și României.
GDPR este un regulament unic european care, la data de 25 mai 2018, va înlocui toate prevederile naționale referitoare la prelucrarea datelor personale. În cazul României, este vorba de Legea nr. 677/2001, care își va pierde aplicabilitatea la data amintită, din moment ce autoritățile autohtone n-au cum să amâne prevederile GDPR.
Una dintre marile noutăți aduse de GDPR este obligația de a desemna un DPO de către firmele care se ocupă în principal cu prelucrarea datelor personale. Astfel, conform unui ghid al unui organ consultativ european independent care se ocupă, potrivit legislației europene, cu protecția și confidențialitatea datelor, vorbim despre:
spitale și clinici private, care trebuie să prelucreze datele de sănătate ale pacienților pentru a putea oferi asistență medicală într-un mod adecvat;
firme de securitate, care supraveghează centre comerciale și spații publice, activitatea lor fiind strâns legată de prelucrarea datelor personale;
asigurători și bănci, care prelucrează datele clienților proprii în activitatea lor regulată;
furnizorii de telefonie și internet, care prelucrează datele de conținut, trafic și localizare ale clienților proprii.
În plus, avocata Andreea Lisievici de la PrivacyOne ne-a indicat că obligația de a desemna un DPO mai poate reveni firmelor care oferă servicii de tip cloud, arhivare și găzduire online, farmaciilor, administrațiilor aeroporturilor, ONG-urilor de suport pentru persoanele dependente de droguri, pentru victimele violenței domestice etc., precum și partidelor politice.
De asemenea, alte categorii de companii care vor avea nevoie de un responsabil cu protecția datelor ar fi, conform specialistei:
firmele care profilează utilizatorii pentru publicitatea comportamentală (de la publisheri de site-uri până la agenții de publicitate și furnizori de ad-servere);
furnizorii de motoare de căutare care fac profilare;
furnizorii de forumuri și rețele sociale care fac profilare;
magazinele online și offline care profilează utilizatorii prin intermediul istoricului de cumpărături (carduri de fidelitate);
magazinele și alți deținători de infrastructuri care monitorizează locația sau numărul persoanelor din proximitate prin monitorizarea conectării terminalelor la rețelele de internet fără fir sau prin colectarea adreselor MAC ale terminalelor (telefoane, laptopuri, tablete).
În altă ordine de idei, trebuie subliniat că obligația de a avea un DPO nu va reveni exclusiv firmelor mari. Deși poate părea probabil ca doar societățile de dimensiuni medii și mari să fie vizate de obligație, aceasta poate apărea și la cele de dimensiuni mici, așa cum ne-a explicat Andreea Lisievici.
Companiile și orice alte entități cu activitate economică (indiferent de forma lor juridică) ce nu vor respecta noile reguli privind protecția datelor, prevăzute de GDPR, vor risca amenzi de până la 4% din cifra de afaceri mondială totală anuală aferentă exercițiului financiar anterior.