През 21 век данните се превръщат в 1 от най- ценните активи на бизнеса. Дигитализацията доведе до превръщането им във валута, което от своя страна наложи да бъде въведен ефективен механизъм за регулиране на процесите по тяхната обработка, трансфер, защита. Именно в отговор на тази необходимост се появи и задължителния регламент ЕС 2016/679 или по известен като GDPR /GENERAL DATA PROTECTION OFFICER/, през месец май 2016 г. Регламентът ще се прилага ефективно след 25.05.2018 год., като времето до тогава е дадено на компаниите и публичните органи да имплементират новите изисквания, налагани от него. Същият покрива различни аспекти на боравенето с лични данни от страна на всички организации, които оперират с лични данни на граждани на ЕС.

Целта на Регламента е да улесни свободното движение на потоци от лични данни на ЕС и извън него, свързано с международна търговия и сътрудничество. Същевременно трябва са се осигурят и адекватните механизми за защита от нарушаване неприкосновеността на л.д. при използване на автоматизирани и други средства за обработката им.

Регламентът за разлика от старата директива има екстериториално действие. Той се прилага не само за компании, установени в Европа, но и към такива, които обработват л.д. на европейски граждани. Компании от трети страни, например САЩ, чиито дейности са насочени кум граждани на ЕС и които във връзка с тази дейност обработват техни л.д.ще са задължени лица по Регламента. Нещо повече – когато става въпрос за ЮЛ неустановени в Европа те ще имат и 1 допълнително задължение – за назначаване на представител за Европа, който да ги представлява във връзка със задълженията по Регламента.

Досегашния режим бе подчинен на ЗЗЛД и изискваше регистрация в КЗЛД. Той действа и към настоящия момент и ще продължи да действа до 25 май 2018 год., когато Регламентът влиза в сила. Това задължение отпада, но на негово място ще има редица други като това за отчетност например, които компаниите ще следват. Те ще трябва да поддържат специални регистри за обработка на Л.Д. Ще има нови хипотези, в които ще трябва да се иска одобрение от КЗЛД и да се отправят конкретни запитвания. Отделно както бе споменато по-горе ще има нови, по- сериозни задължения за отчетност на компаниите.

Изискването за отчетност по своята същност е изискване за документално обосноваване на обработката на л.д., т.е. трябва да има документално разписване на процесите и процедурите за обработка, съхранение, как и защо се предоставят на трети лица, кои са тези трети лица, какви са рисковете за ФЛ от обработката и какви са мерките за защита, които съответния АЛД или ОЛД ще предприеме, за да предотврати нарушенията/одитни следи/.Това със сигурност ще доведе до едно доста по- мащабно документиране и задължение за поддържане на писмена следа за видовете обработка. Поражда се необходимост от постоянен мониторинг на личните данни с яснота за тяхното състояние, мерки за защита, предприети действия – в това число кой има достъп, кога, как и защо, какви промени са направени по тях, как ще бъдат архивирани и унищожавани. За целта ще са необходими както технически мерки за проследяване на всяко действие, така и съответни процедури стъпка по стъпка.

Това е друга новост в регламента. Фигурата на ДПО макар и позната в редица европейски държави е изключително нова за други, в това число и Р. България. Въвежда се задължение – да има лице във всеки един АЛД, което да изпълнява функцията на ДПО. Ролята му е да отговаря за съответствието на вътрешните писани и фактически правила с предписанията на Регламента, както и да отговаря за комуникацията с надзорния орган - КЗЛД и субектите на л.д., други заинтересовани органи. Представете си го като активна връзка между местен регулатор- субект на л.д. и АЛД. Дори и част от организацията, ДПО ще трябва да има една относителна независимост. Идеята е да се гарантират правата на всички страни. Възможно е както да е служител на компанията – АЛД, така и да е външно лице/ФЛ или ЮЛ/ – по договорно отношение. Към днешна дата на европейско или национално ниво няма регламентация относно специфични изисквания към позицията ДПО по отношение на опит, ценз, образование, сертификация и др. Регламента говори за необходимостта от добро познаване на законодателството и практиките в областта на защита на л.д. както и умения, лични качества. Но само толкова, може би с времето и натрупването на практика ще се избистрят и приемат по –конкретни правила и изисквания в тази връзка. Отношенията м/у АЛД и ДПО ще се уреждат с договор – както вътре в организацията, така и при аутсорсване на процеси. С договора ще се уреждат и въпросите относно отговорността.

Чувствително се завишава размерът на санкциите за нарушения – до 20млн евро или до 4% от общия годишен световен оборот за предходната финансова година ако става дума за предприятие, която сума е по висока. Наред с финансовите санкции е предвидена възможност за налагане на санкция, изразяваща се в забрана за обработване на конкретен вид л.д.