Нужен ли моему бизнесу в ОАЭ инспектор по защите данных?

Большинству небольших компаний в ОАЭ не нужен официальный инспектор по защите данных согласно PDPL. Некоторым он явно необходим. Статья 10 определяет, когда именно.

Три условия

Контролёр или обработчик данных обязан назначить DPO, если осуществляемая им обработка:

• создаёт высокий риск для неприкосновенности частной жизни и конфиденциальности персональных данных вследствие внедрения новых технологий или объёма данных;
• включает систематическую и всестороннюю оценку чувствительных персональных данных, в том числе профилирование и автоматизированную обработку; или
• затрагивает большой объём чувствительных персональных данных.

Как это выглядит на практике

• Сеть клиник, хранящая тысячи медицинских карт пациентов: большой объём чувствительных данных (о здоровье).
• Кредитор, автоматически оценивающий заявителей: систематическая оценка, включая профилирование.
• Ритейлер, использующий распознавание лиц в системе видеонаблюдения: новая технология, создающая высокий риск.
• Консалтинговая компания из десяти человек, хранящая контакты клиентов и личные дела сотрудников: как правило, ни одно из перечисленного.

Чем занимается DPO

Статьи 11 и 12 описывают роль DPO: консультирование по вопросам соответствия, мониторинг обработки, взаимодействие с Управлением данных и доступность для субъектов данных. DPO может быть сотрудником или внешним поставщиком услуг и не обязан находиться в ОАЭ, поэтому внешний DPO с частичной занятостью — реальный вариант для небольших организаций.

Если DPO Вам не нужен

Ответственное лицо всё равно необходимо. Запросы физических лиц, решения по утечкам и актуализация записей требуют владельца. Назначьте ответственного за конфиденциальность и укажите контактный адрес в уведомлении о конфиденциальности.

Не уверены, к какой категории Вы относитесь? Бесплатная оценка проверит условия статьи 10 по Вашим ответам и даст ответ.