CNIL (Frankreich) leitet Organisationen bei der Identifizierung und Handhabung von Interessenkonflikten des DPO

Hintergrund

Die Datenschutz-Grundverordnung (DSGVO) ermöglicht es Organisationen, ihrem DPO (Datenschutzbeauftragten) zusätzliche Aufgaben zuzuweisen, sofern diese die Erfüllung seiner primären Funktionen nicht behindern oder ihn in eine Interessenkonfliktsituation bringen. Ein Konflikt entsteht, wenn zusätzliche Aufgaben die Unabhängigkeit des DPO beeinträchtigen oder ihm die für seine Rolle notwendige Zeit entziehen. Die CNIL empfiehlt eine fallweise Analyse potenzieller Konflikte, die vor der Ernennung des DPO oder der Zuweisung neuer Funktionen durchzuführen ist.

Warum es wichtig ist

Werden Interessenkonflikte des DPO nicht erkannt und gehandhabt, setzt dies Ihre Organisation dem Risiko einer Nichtkonformität mit der DSGVO und potenziellen Sanktionen aus. Dies ist besonders relevant für KMU und kleinere Organisationen, in denen der DPO oft auch andere Management- oder operative Rollen innehat. Es ist entscheidend, dass Organisationen die Unabhängigkeit ihres DPO sorgfältig prüfen und sicherstellen, dass dieser bei Datenverarbeitungsentscheidungen nicht „Richter und Partei“ zugleich ist. Ist Ihr DPO wirklich unabhängig, oder macht ihn seine Position anfällig für Konflikte, die seine Rolle entwerten könnten?

Was zu tun ist

• Eine Analyse potenzieller Interessenkonflikte durchführen, bevor ein DPO ernannt oder ihm neue Funktionen zugewiesen werden.
• Sicherstellen, dass zusätzliche Aufgaben die Unabhängigkeit des DPO oder die für seine Funktionen benötigte Zeit nicht behindern.
• Entscheidungsrollen bezüglich der Mittel und Zwecke der Verarbeitungen identifizieren, die einen Konflikt erzeugen können (z. B. CISO mit Entscheidungsbefugnis über die Aufbewahrungsdauer von Logs).
• Wird ein Konflikt identifiziert, die ihn verursachenden Drittaufgaben entfernen, den DPO ersetzen oder andere Abhilfemaßnahmen implementieren (z. B. Ernennung eines stellvertretenden DPO für den Konfliktbereich).
• Sicherstellen, dass der DPO (oder sein Stellvertreter) die in den Artikeln 37-39 der DSGVO vorgesehenen Garantien einhält.

Was zu vermeiden ist

• Dem DPO übergeordnete Managementfunktionen übertragen (z. B. Geschäftsführer, Personalleiter).
• Dem DPO Entscheidungsbefugnis über die Festlegung der Zwecke und Mittel der Verarbeitung personenbezogener Daten einräumen.
• Zulassen, dass der DPO bei datenschutzrelevanten Entscheidungen „Richter und Partei“ ist.
• Potenzielle Konflikte nicht vor der Ernennung oder Zuweisung neuer Funktionen an den DPO analysieren.

Praktische Auswirkungen

Organisationen sind verpflichtet, die funktionale Unabhängigkeit des DPO zu gewährleisten, wie in der DSGVO festgelegt. Ein DPO, der sich in einer Interessenkonfliktsituation befindet, kann seine Rolle als interne Aufsicht über die Einhaltung der Verordnung nicht effektiv ausüben, was das Risiko von Verstößen, Sanktionen und dem Vertrauensverlust der betroffenen Personen erheblich erhöht. Die Bewertung des Bestehens eines Konflikts muss von Fall zu Fall erfolgen, unter Berücksichtigung der Struktur und der Abläufe der Organisation.

Zu vermeidende Fehler

• Die Bedeutung der Unabhängigkeit des DPO unterschätzen oder sie als bloße Formalität betrachten.
• Dem DPO operative oder entscheidende Rollen zuweisen, die ihn für die Verarbeitungen verantwortlich machen, die er überwachen soll.
• Anzeichen für einen potenziellen Interessenkonflikt ignorieren oder bei dessen Identifizierung keine angemessenen Korrekturmaßnahmen ergreifen.
• Die Aufgaben des DPO nicht regelmäßig auf neue Quellen von Interessenkonflikten überprüfen.

Fragen zur Selbsteinschätzung

• Hat unser DPO Rollen oder Entscheidungsbefugnisse bezüglich der Zwecke und Mittel der Verarbeitung personenbezogener Daten innerhalb der Organisation?
• Haben wir vor der Ernennung des DPO und bei jeder Änderung der Aufgaben oder Umstrukturierung eine formale Bewertung des Fehlens von Interessenkonflikten durchgeführt?
• Verfügen der DPO und sein Team über ausreichend Zeit und Ressourcen, um die Datenschutzfunktionen unabhängig auszuführen?
• Haben wir einen Management- oder Lösungsplan für den Fall vorgesehen, dass ein Interessenkonflikt für den DPO identifiziert wird?

Verweise

Nationales Recht: RGPD art. 37 · RGPD art. 39