Представник із захисту даних відповідно до GDPR – коли потрібен DPO і як його призначають? Посібник 2026

Коротка відповідь: Розмір компанії не є єдиним визначальним фактором. Оцініть фактичну обробку даних та її масштаб. Навіть якщо ви добровільно призначите офіцера із захисту даних, до вас все одно застосовуватимуться статті 37–39, зокрема вимоги щодо незалежності та повідомлення про нього IMY.

Коли призначення офіцера із захисту даних є обов’язковим?

Стаття 37.1 Регламенту ЄС 2016/679 про захист даних визначає три основні ситуації. Для приватних компаній особливо важливо розрізняти звичайне адміністрування персоналу та масштабну обробку даних, яка становить саму основну діяльність.

Не існує загального правила, згідно з яким кожна акціонерна компанія, роботодавець або організація з реєстром клієнтів зобов’язана призначати офіцера. Ознайомтеся з рекомендаціями IMY щодо випадків, коли призначення офіцера є обов’язковим.

Які функції виконує офіцер із захисту даних згідно зі статтею 39?

Офіцер із захисту даних повинен інформувати та консультувати щодо правил, контролювати дотримання вимог, консультувати щодо оцінки ризиків і співпрацювати з IMY. Офіцер повинен працювати на основі оцінки ризиків. Офіцер не бере на себе відповідальність організації за дотримання GDPR. Саме контролер персональних даних, а в разі застосування — обробник персональних даних, зобов’язаний виконувати свої зобов’язання.

• Консультувати щодо впровадження нових систем, які обробляють персональні дані.
• Контролювати проведення навчання, розподіл відповідальності та внутрішні перевірки дотримання правил захисту даних.
• Консультувати щодо проведення оцінки впливу на захист даних (DPIA), не приймаючи при цьому самостійно рішень щодо діяльності.
• Бути контактною особою для суб’єктів даних і IMY.
• Повідомляти про ризики та зауваження вищому керівництву.

Докладніше: оцінка впливу на захист даних відповідно до GDPR та реєстр обробки даних відповідно до статті 30.

Незалежність, ресурси та конфлікт інтересів

Стаття 38 вимагає залучати офіцера із захисту даних заздалегідь, надавати йому необхідні ресурси та не давати вказівок щодо виконання його законних обов’язків. Офіцер повинен підпорядковуватися безпосередньо вищому рівню управління. Інші робочі завдання дозволені лише за умови, що вони не створюють конфлікту інтересів.

Приклад: Керівник, який самостійно визначає цілі та засоби масштабної обробки персональних даних, може бути невідповідним на посаді офіцера із захисту даних у тій самій організації. Необхідно оцінити фактичну роль, а не лише назву посади. Ознайомтеся з коментарями IMY до статей 37–39.

Як задокументувати призначення — шість кроків

1. Оцінка потреби: задокументуйте, чи застосовується стаття 37.1 і які саме операції з обробки даних стали підставою для такого висновку.
2. Компетенція: перевірте знання правил захисту даних, систем діяльності та ризиків.
3. Незалежність: визначте інші ролі та можливі конфлікти інтересів.
4. Рішення: задокументуйте завдання, місце в структурі організації, порядок підпорядкування та ресурси.
5. Контактні дані: опублікуйте контактні дані та повідомте про них IMY відповідно до статті 37.7.
6. Моніторинг: задокументуйте проведення навчання, перевірок і зміни в завданнях.

Практичні приклади та поширені помилки

Малі компанії з адміністрування заробітної плати та клієнтів

Звичайне адміністрування персоналу та клієнтів не створює автоматичної вимоги щодо призначення офіцера із захисту даних. Проте компанія все одно повинна дотримуватися інших застосовних правил GDPR. Задокументуйте оцінку потреби та перегляньте її у разі зміни діяльності.

Діяльність, що передбачає масштабний моніторинг

Якщо основна діяльність передбачає регулярний і систематичний моніторинг осіб у великому масштабі, може застосовуватися стаття 37.1 b. Оцініть, зокрема, характер, масштаб і цілі обробки.

Поширені помилки: призначення особи без перевірки на наявність конфлікту інтересів, недотримання офіцеру необхідного часу та ресурсів, забування про повідомлення до IMY або припущення, що офіцер самостійно несе відповідальність за дотримання компанією GDPR.

Часті запитання

Чи повинні малі компанії призначати офіцера із захисту даних?

Не лише через свій розмір. Оцініть конкретні критерії статті 37.

Чи може офіцер із захисту даних бути зовнішнім консультантом?

Так. Стаття 37.6 допускає залучення як працівників, так і зовнішніх виконавців за умови дотримання вимог.

Чи може холдинг мати спільного офіцера із захисту даних?

Так, якщо з кожного підрозділу легко зв’язатися з офіцером. Необхідно також оцінити ресурси та можливі конфлікти інтересів.

Чи відповідає офіцер за всі інциденти з персональними даними?

Офіцер консультує та може бути залучений до роботи з інцидентами, але зобов’язання самої організації залишаються в силі. Ознайомтеся з посібником щодо інцидентів з персональними даними.

Шаблони документів та супутні рекомендації

Також ознайомтеся з різницею між контролером та обробником персональних даних.

Правові джерела та межі застосування

• GDPR (ЄС) 2016/679, статті 37–39, повний текст шведською мовою.
• IMY — Чи повинні ми призначати офіцера із захисту даних?.
• IMY — Про офіцера із захисту даних у Регламенті про захист даних.
• IMY — Повідомлення про офіцера із захисту даних.

Перевірка джерел проведена 2 листопада 2026 року з офіційних джерел, зазначених нижче. Жодної спеціальної юридичної перевірки статті не задокументовано. Загальна інформація про GDPR та шведську надзорну практику, не індивідуальна юридична консультація.