Защита данных · Черногория
Сотрудник по защите персональных данных (DPO) в Черногории — обязателен ли он вам?
Новый черногорский Закон о защите персональных данных («Службени лист» 133/26) делает сотрудника по защите данных обязанностью по закону для части организаций, с применением с 19 марта 2027 года. Пройдите три предусмотренных законом случая и посмотрите, попадаете ли вы под них — а если да, мы либо берём эту роль на себя, либо обучаем вашего работника.
Три случая, когда сотрудник обязателен
Обязанность оценивается по виду деятельности и объёму обработки, а не по числу работников. Небольшая фирма из десяти человек может подпадать под неё, а компания из двухсот — нет.
Органы публичной власти
Все органы и публичные учреждения, независимо от объёма обработки. Единственное исключение — суды при осуществлении правосудия. Сюда входят муниципалитеты, министерства, агентства, публичные учреждения, школы, больницы и государственные предприятия.
Наблюдение за людьми в большом объёме
Когда основная деятельность означает регулярное и систематическое наблюдение за людьми в большом объёме. На практике: охранные фирмы и видеонаблюдение как услуга, телекоммуникации, мониторинг транспорта, платформы, профилирующие пользователей, поведенческая реклама.
Особые категории в большом объёме
Когда основная деятельность включает обработку в большом объёме особых категорий данных — здоровье, биометрия, генетические данные, религиозные или политические убеждения, членство в профсоюзе, половая жизнь (статья 10) — и данных о судимости (статья 11). На практике каждая из этих двух категорий оценивается отдельно, поэтому обязанность возникает и при наличии только одной. Типично: больницы и клиники, лаборатории, страховые компании, кадровые агентства.
Что означает «большой объём»
Закон не называет цифру. На практике учитываются число субъектов данных, количество и вид данных, длительность обработки и территориальный охват. Кабинет на два приёма и клинический центр — не одно и то же, хотя оба обрабатывают данные о здоровье. Поэтому обязанность нельзя установить одной фразой — но её можно достаточно надёжно оценить несколькими вопросами.
Нужен ли вашей организации сотрудник по защите персональных данных?
Сначала определяем, обязателен ли вам сотрудник по статье 38 — результатом будет ясное заключение, а не процент. Затем идут вопросы о положении и независимости сотрудника, его задачах и документации, без которой он не может работать. В конце вы получаете оценку по областям и перечень недостающего.
Проверка даёт ориентировочное заключение и не является юридической консультацией. Соответствие в надзоре оценивает Агентство по защите персональных данных и свободному доступу к информации.
Чем занимается сотрудник
Задачи установлены законом — сотрудник это не «кто-то из ИТ, отвечающий на письма о данных», а роль с чёткими задачами и защищённым положением.
Контролирует соответствие
Следит за применением закона и внутренних правил защиты данных, включая распределение ответственности, обучение и проверки. Это постоянная работа, а не разовый обзор.
Консультирует и обучает
Даёт советы оператору и работникам об их обязанностях и проводит обучение тех, кто работает с данными: кадры, продажи, приём клиентов, ИТ, маркетинг.
Заключение по оценке воздействия
Даёт заключение по оценке воздействия на защиту данных и контролирует её выполнение там, где обработка является рискованной.
Точка контакта
Перед Агентством — для предварительной консультации и любых иных вопросов; и перед гражданами — для реализации их прав и всех вопросов об обработке их данных.
Отчитывается перед высшим руководством
Не перед руководителем подразделения, а напрямую перед верхним уровнем организации. Именно это придаёт роли реальный вес.
Независимость и конфликт интересов — самая частая ошибка
Сотрудник не вправе получать указания о способе выполнения своих задач и не должен нести неблагоприятных последствий за их выполнение. Он не может находиться в конфликте интересов, то есть не может быть лицом, определяющим цели и средства обработки. На практике чаще всего ошибаются организации, назначающие сотрудником директора, руководителя ИТ, кадровой или юридической службы — именно тех, кто решает, что и как обрабатывается. Поэтому роль нередко передают вовне. Контактные данные сотрудника публикуются и направляются в Агентство.
Как мы это делаем
Есть два варианта, и оба законны — зависит от того, есть ли кого назначить и каков реальный объём обработки. Нажмите на услугу, и она будет отмечена в форме внизу страницы.
Внешний сотрудник по защите данных
Берём роль DPO по договору: контроль соответствия, советы руководству, точка контакта перед Агентством и гражданами, заключения по оценке воздействия и годовой отчёт. Решение для организаций, которым сотрудник обязателен, но некого назначить без конфликта интересов.
Запросить предложение Вариант 2Обучение внутреннего сотрудника
Обучение вашего работника для этой роли — закон, права граждан, реестры, оценка воздействия, действия при нарушениях — вместе с процедурами и шаблонами, которыми он затем пользуется сам. Включает проверку того, отвечает ли его положение условиям независимости.
Запросить предложение Статья 31Реестр операций обработки
Перечень всех операций с целями, категориями субъектов и данных, получателями, сроками хранения и мерами безопасности. Это документ, заменивший подачу реестров в Агентство, и первое, что запрашивает надзор.
Запросить предложение Статья 36Оценка воздействия (DPIA)
Там, где обработка вероятно несёт высокий риск — масштабное видеонаблюдение, профилирование, обработка особых категорий. Оценка, меры смягчения и, при необходимости, предварительная консультация с Агентством.
Запросить предложение Статьи 34–35Порядок действий при нарушении
Кто устанавливает нарушение, кто уведомляет Агентство в течение 72 часов, когда информируются сами граждане и что фиксируется — с шаблонами и внутренним реестром нарушений.
Запросить предложение Статья 29Договоры с обработчиками
Проверка и приведение в соответствие договоров со всеми, кто видит данные от вашего имени: ИТ-поддержка и хостинг, бухгалтерия, архивирование и уничтожение документов, видеонаблюдение, платёжные операции.
Запросить предложение ПодготовкаGap-анализ по закону
Обзор состояния по всем обязанностям закона, с перечнем недостатков, приоритетами и реальным сроком до 19 марта 2027 года.
Запросить предложение СистемаISO/IEC 27701 как основа
Если вы хотите, чтобы защита данных была системой, которая проверяется, а не набором документов — ISO/IEC 27701 дополняет ISO/IEC 27001 управлением конфиденциальностью и даёт структуру, понятную тендерам и партнёрам.
Запросить предложениеЧастые вопросы
С какого момента нужен сотрудник?
Закон применяется с 19 марта 2027 года. До этого действует закон 2008 года. Но назначение — самая лёгкая часть: работа, которую сотрудник принимает, прежде всего инвентаризация всей обработки в организации, занимает месяцы, поэтому подготовку начинают раньше.
Может ли директор быть сотрудником по защите данных?
Формально это не запрещено, но, как правило, образует конфликт интересов. Сотрудник не может быть лицом, определяющим цели и средства обработки, а директор по характеру работы именно этим и занимается. Та же проблема у руководителя ИТ, кадровой и юридической службы. Надзор расценивает это как формальное, а не фактическое назначение.
Может ли сотрудником быть лицо вне организации?
Может. Закон допускает, чтобы сотрудником был работник либо лицо, выполняющее задачи по договору оказания услуг. Внешний сотрудник у нас — самое частое решение, особенно для организаций, где любое внутреннее назначение ведёт к конфликту интересов.
У нас менее 250 работников — касается ли это нас?
Число работников не является критерием обязанности назначать сотрудника: эта цифра появляется в связи с реестром операций обработки, и то с исключениями. Обязанность оценивается по тому, являетесь ли вы органом публичной власти, является ли вашей основной деятельностью наблюдение за людьми в большом объёме и обрабатываете ли вы особые категории данных в большом объёме.
Может ли несколько связанных компаний иметь одного сотрудника?
Может, при условии, что он легко доступен из каждой из них. То же относится к нескольким органам публичной власти, с учётом их организационной структуры и размера.
Отвечает ли сотрудник, если произошло нарушение?
Нет. За соответствие и за ущерб отвечает оператор, то есть сама организация. Сотрудник консультирует, контролирует и предупреждает — и именно поэтому у него должна быть запись о том, что он советовал и о чём предупреждал. Его защита от неблагоприятных последствий прямо установлена законом.
Некоторые из наших референций
Более 400 организаций в Черногории и регионе прошли внедрение вместе с нами — от банков и государственных органов до производства, ИТ, лабораторий и гостиничного бизнеса.
Это лишь часть наших клиентов. Подробнее о нас →
Запросите предложение по сотруднику по защите данных
Расскажите, чем вы занимаетесь и сколько людей работает с персональными данными — мы скажем, обязателен ли вам сотрудник и что в вашем случае дешевле: внешний DPO или обучение вашего работника. Позвоните нам или отправьте запрос — отвечаем в течение 24 часов.