Правительственный законопроект: Закон о защите частной жизни (изменение № 13), 5784-2024

Обязанность назначения ответственного за защиту персональных данных в организациях (DPO) — позиционный документ Клиники конфиденциальности и комментарии к предложенному тексту поправки к закону

Адв. Ноа Диамонд — тел. 03-5786640 электронная почта: noadiamond@tauex.tau.ac.il

23 мая 2024 г.

Кому:

Адв. Наама Менахеми Юридический советник, Комитет по конституции, закону и правосудию Кнессета

Адв. Амит Йосов Амир Юридические консультации и законодательство, Министерство юстиции

Адв. Реувен Идельман Юридический советник Ведомства по защите неприкосновенности частной жизни, Министерство юстиции

---

Уважаемые коллеги,

Предмет: Обязанность назначения ответственного за защиту персональных данных в организациях (DPO) — позиционный документ Клиники конфиденциальности и комментарии к предложенному тексту поправки к закону, обсуждаемому в настоящее время

Ссылка: Ответственный за защиту персональных данных — предложенный обновлённый текст по состоянию на 12.05.2024

1. Клиника конфиденциальности Юридического факультета им. Бухмана Тель-Авивского университета рада поделиться с вами позиционным документом под названием «Обязанность назначения ответственного за защиту персональных данных в организациях (DPO) и характеристика должности: обзор и рекомендации». Позиционный документ рассматривает развитие роли DPO с акцентом на её закрепление в GDPR; обобщает выводы исследований, проведённых относительно внедрения этой роли в организациях Европы, и детализирует соображения и рекомендации по закреплению обязанности назначения ответственного за защиту персональных данных в израильском праве. Мы надеемся, что документ окажется полезным в ходе дискуссий по данной теме.

2. Пользуясь этой возможностью и ссылаясь на упомянутый позиционный документ, мы просим прокомментировать предложенный текст поправки к закону (обновлённый от 12.05.2024), который обсуждается в настоящее время. В связи с этим мы хотим обратить внимание на следующие моменты:

(а) Как указано в позиционном документе, мы поддерживаем позицию, согласно которой необходимо законодательно закрепить обязанность назначения ответственного за защиту персональных данных в организациях в соответствующих случаях, и приветствуем продвижение законодательства по данному вопросу.

(б) Вместе с тем, по нашему мнению, предложенная поправка освобождает чрезмерно большое число организаций от этой обязанности. Следует рассмотреть более широкое применение, с акцентом на организации, собирающие и обрабатывающие особо чувствительные данные, даже если число субъектов данных в базе относительно невелико.

(в) Необходимо определить функции ответственного в более общем виде и перенести детализацию составляющих должности в Правила.

(г) Необходимо прямо определить должности в организации, совмещение которых с должностью ответственного за защиту персональных данных представляет собой запрещённый конфликт интересов.

(д) Необходимо установить санкции за серьёзные нарушения положений закона и Правил.

(е) Необходимо разграничить функции ответственного за информационную безопасность и ответственного за защиту персональных данных (так, например, обеспечение подготовки регламента информационной безопасности должно относиться к компетенции ответственного за информационную безопасность, а не ответственного за защиту персональных данных, как предложено в поправке к Статье 17б2(3)).

(ж) Необходимо уделить внимание вопросам личной ответственности ответственного за защиту персональных данных (следует ли её устанавливать и в каких случаях), а также правилам или механизмам обеспечения влияния ответственного в организации (подраздел позиционного документа, озаглавленный «Интеграция роли ответственного за защиту персональных данных в организации»).

Мы будем рады продолжить совместный диалог и работу по данной теме.

С уважением,

Проф. Михаэль Бирнхак Академический руководитель

Адв. Ноа Диамонд Клинический руководитель

Клиника конфиденциальности, Юридический факультет им. Бухмана, Тель-Авивский университет