Zodpovedná osoba podľa GDPR: kedy ju firma musí určiť a aké má úlohy
Zodpovednú osobu podľa GDPR musí určiť orgán verejnej moci a firma, ktorej hlavnou činnosťou je pravidelné a systematické monitorovanie ľudí vo veľkom rozsahu alebo spracúvanie osobitných kategórií údajov (napríklad o zdraví) či údajov o trestných činoch vo veľkom rozsahu. Bežná obchodná alebo výrobná firma, ktorá spracúva najmä údaje zamestnancov a zákazníkov, túto povinnosť spravidla nemá, zodpovednú osobu však môže určiť dobrovoľne. Zodpovedná osoba radí, monitoruje súlad a komunikuje s Úradom na ochranu osobných údajov SR – za dodržiavanie pravidiel však naďalej zodpovedá firma.
V skratke
- Povinnosť určiť zodpovednú osobu upravuje čl. 37 ods. 1 GDPR; rozhoduje povaha hlavnej činnosti, nie počet zamestnancov.
- Mzdy, personalistika a bežná IT podpora sa za hlavnú činnosť nepovažujú, preto samy osebe povinnosť nezakladajú.
- Zodpovedná osoba môže byť zamestnanec alebo externý poskytovateľ na základe zmluvy (čl. 37 ods. 6).
- Jej kontaktné údaje musíte zverejniť a oznámiť úradu – elektronicky cez portál slovensko.sk (čl. 37 ods. 7).
- Pri plnení úloh nesmie dostávať pokyny, nesmie byť za ich výkon odvolaná ani postihovaná a zodpovedá sa priamo najvyššiemu vedeniu (čl. 38 ods. 3).
- Porušenie povinností podľa čl. 37 až 39 môže úrad pokutovať až do 10 mil. € alebo 2 % celosvetového ročného obratu (čl. 83 ods. 4 GDPR).
Ktoré predpisy zodpovednú osobu upravujú
Pre firmy a väčšinu ďalších prevádzkovateľov platia priamo články 37 až 39 nariadenia EÚ 2016/679 (GDPR). Zákon č. 18/2018 Z. z. o ochrane osobných údajov obsahuje v § 44 až 46 obsahovo veľmi podobnú úpravu, tá sa však podľa § 3 ods. 2 zákona vzťahuje len na spracúvanie, ktoré nespadá pod GDPR. Pri bežnej firme teda vychádzate z nariadenia, zo zákona sú pre vás dôležité najmä ustanovenia o úrade, kontrole a pokutách.
Prakticky použiteľný výklad prinášajú usmernenia k zodpovedným osobám, ktoré prijala pracovná skupina WP29 a prevzal Európsky výbor pre ochranu údajov. Slovenský preklad zverejňuje Úrad na ochranu osobných údajov SR.
Kedy je určenie zodpovednej osoby povinné
Podľa čl. 37 ods. 1 GDPR musí prevádzkovateľ aj sprostredkovateľ určiť zodpovednú osobu v troch prípadoch:
- spracúvanie vykonáva orgán verejnej moci alebo verejnoprávny subjekt (okrem súdov pri výkone súdnej právomoci),
- hlavnou činnosťou sú spracovateľské operácie, ktoré si vyžadujú pravidelné a systematické monitorovanie dotknutých osôb vo veľkom rozsahu,
- hlavnou činnosťou je spracúvanie osobitných kategórií údajov podľa čl. 9 (napríklad zdravotné, genetické či biometrické údaje) alebo údajov týkajúcich sa uznania viny za trestné činy a priestupky vo veľkom rozsahu.
Kľúčové sú dva pojmy. Hlavná činnosť je to, čím firma zarába a bez čoho by nedosiahla svoj cieľ – napríklad nemocnica bez spracúvania zdravotných záznamov. Vyplácanie miezd či štandardnú IT podporu usmernenia označujú za podporné funkcie, ktoré povinnosť nezakladajú. Veľký rozsah GDPR číselne nevymedzuje; posudzuje sa počet dotknutých osôb, objem a druh údajov, dĺžka spracúvania a jeho geografický dosah.
| Situácia | Povinnosť určiť zodpovednú osobu |
|---|---|
| Obec, mesto alebo štátny úrad | Áno |
| Nemocnica spracúvajúca údaje pacientov v rámci bežnej činnosti | Áno |
| Poisťovňa alebo banka pri bežnej činnosti so zákazníkmi | Spravidla áno (veľký rozsah, profilovanie rizika) |
| Bezpečnostná služba monitorujúca kamerami obchodné centrá | Áno |
| Samostatne pôsobiaci lekár alebo advokát | Spravidla nie (nejde o veľký rozsah) |
| Výrobná alebo obchodná firma so mzdovou agendou a bežnou evidenciou zákazníkov | Spravidla nie, ale môže ju určiť dobrovoľne |
Záver o tom, či povinnosť máte, si zdokumentujte aj vtedy, keď vyjde negatívne. Pri zmene činnosti – napríklad pri zavedení vernostného programu s profilovaním zákazníkov – posúdenie zopakujte.
Dobrovoľne určená zodpovedná osoba
Zodpovednú osobu môžete určiť aj bez zákonnej povinnosti. Vtedy však pre ňu platia všetky požiadavky čl. 37 až 39 rovnako, ako keby bola povinná – vrátane nezávislosti, zverejnenia kontaktu a oznámenia úradu.
Ak chcete agendu ochrany údajov zveriť zamestnancovi alebo externému konzultantovi bez týchto formálnych nárokov, je to možné. V internej aj externej komunikácii ho však neoznačujte ako „zodpovednú osobu“, aby nevznikla nejasnosť o jeho postavení.
Aké úlohy má zodpovedná osoba
Minimálny rozsah úloh stanovuje čl. 39 ods. 1 GDPR. Zodpovedná osoba:
- informuje a radí prevádzkovateľovi, sprostredkovateľovi a zamestnancom, ktorí spracúvajú osobné údaje, o ich povinnostiach,
- monitoruje súlad s GDPR a s internými pravidlami vrátane rozdelenia zodpovednosti, zvyšovania povedomia, školení a súvisiacich auditov,
- na požiadanie poskytuje poradenstvo k posúdeniu vplyvu na ochranu údajov a monitoruje jeho vykonanie (čl. 35),
- spolupracuje s dozorným orgánom,
- je kontaktným miestom pre úrad, napríklad pri predchádzajúcej konzultácii (čl. 36).
Pri výkone úloh zohľadňuje riziko spracovateľských operácií (čl. 39 ods. 2). Firma jej môže zveriť aj ďalšie úlohy, napríklad vedenie záznamov o spracovateľských činnostiach. Povinnosť mať tieto záznamy (čl. 30) však zostáva na prevádzkovateľovi, nie na zodpovednej osobe.
Postavenie a nezávislosť
Článok 38 GDPR ukladá firme konkrétne záruky, bez ktorých funkcia nesplní svoj účel:
- zapojiť zodpovednú osobu riadne a včas do všetkých otázok ochrany osobných údajov,
- poskytnúť jej zdroje, prístup k údajom a spracovateľským operáciám a možnosť udržiavať si odborné znalosti,
- nedávať jej pokyny pri plnení úloh, neodvolať ju a nepostihovať za ich výkon,
- zabezpečiť, aby sa zodpovedala priamo najvyššiemu vedeniu,
- zabezpečiť, aby ďalšie úlohy neviedli ku konfliktu záujmov.
Zodpovedná osoba je viazaná mlčanlivosťou (čl. 38 ods. 5) a zamestnanci aj ďalšie dotknuté osoby sa na ňu môžu priamo obracať (čl. 38 ods. 4).
Konflikt záujmov vzniká, ak by zodpovedná osoba sama určovala účely a prostriedky spracúvania. Usmernenia preto za rizikové označujú najmä pozície vo vyššom vedení – napríklad generálneho alebo finančného riaditeľa, vedúceho marketingu, ľudských zdrojov či IT –, ale aj nižšie pozície, ak sa na nich o spracúvaní rozhoduje.
Interná alebo externá zodpovedná osoba
GDPR pripúšťa oba modely. Zodpovedná osoba musí mať odborné znalosti práva a praxe v oblasti ochrany údajov a byť schopná plniť úlohy podľa čl. 39 (čl. 37 ods. 5). Skupina podnikov môže mať spoločnú zodpovednú osobu, ak je ľahko dostupná z každej prevádzkarne (čl. 37 ods. 2).
| Hľadisko | Interný zamestnanec | Externý poskytovateľ |
|---|---|---|
| Znalosť firmy a procesov | Vysoká od začiatku | Treba ju vybudovať, napríklad úvodným auditom |
| Riziko konfliktu záujmov | Vyššie, ak má aj riadiacu funkciu | Nižšie |
| Odbornosť a jej udržiavanie | Treba zabezpečiť vzdelávanie | Súčasť služby |
| Kapacita | Často popri inej práci | Podľa dohodnutého rozsahu |
| Čo ošetriť zmluvne | Pracovná náplň, čas na agendu, priame podriadenie vedeniu | Rozsah úloh, dostupnosť, reakcia pri incidente, mlčanlivosť, konkrétna kontaktná osoba |
Pri externom riešení si vopred vyjasnite, ako bude poskytovateľ postupovať pri porušení ochrany údajov mimo pracovného času – oznámenie úradu má lehotu 72 hodín, ktorá beží aj cez víkend.
Ako zodpovednú osobu určiť a oznámiť úradu
- Rozhodnutie a poverenie. Písomne zdokumentujte, či ide o povinné alebo dobrovoľné určenie, a zodpovednú osobu poverte – pracovnou náplňou, dodatkom k pracovnej zmluve alebo zmluvou o poskytovaní služieb.
- Zverejnenie kontaktu. Zverejnite kontaktné údaje, napríklad na webovom sídle a v informáciách o spracúvaní údajov. Uveďte poštovú adresu, telefón alebo vyhradenú e-mailovú adresu. Meno GDPR nevyžaduje, jeho uvedenie je však dobrou praxou.
- Oznámenie úradu. Kontaktné údaje oznámte Úradu na ochranu osobných údajov SR elektronickým formulárom cez portál slovensko.sk. Rovnako nahláste každú zmenu, napríklad určenie inej osoby.
- Dôkazy o fungovaní. Uchovávajte stanoviská zodpovednej osoby, zápisy z konzultácií a správy vedeniu. Pri kontrole preukazujú, že funkcia reálne funguje.
Kto zodpovedá za porušenie GDPR
Za súlad so spracúvaním zodpovedá prevádzkovateľ, prípadne sprostredkovateľ (čl. 24 GDPR), nie zodpovedná osoba. Úrad preto pokutuje firmu. Pokuta až do 10 mil. € alebo 2 % celosvetového ročného obratu (podľa toho, čo je vyššie) hrozí aj za porušenie povinností podľa čl. 37 až 39 – napríklad ak firma povinnú zodpovednú osobu neurčí, neoznámi ju úradu alebo jej neposkytne potrebné zdroje a nezávislosť (čl. 83 ods. 4 GDPR).
Časté otázky
Musí mať zodpovednú osobu každá firma?
Nie. Povinnosť majú orgány verejnej moci a firmy, ktorých hlavnou činnosťou je rozsiahle systematické monitorovanie ľudí alebo rozsiahle spracúvanie citlivých údajov či údajov o trestných činoch. Bežná firma so mzdovou agendou a evidenciou zákazníkov ju spravidla určiť nemusí.
Rozhoduje o povinnosti počet zamestnancov?
Nie. GDPR pri zodpovednej osobe nestanovuje žiadnu hranicu podľa počtu zamestnancov. Rozhoduje povaha a rozsah hlavnej činnosti, takže povinnosť môže mať aj malá firma, ak napríklad spracúva zdravotné údaje vo veľkom rozsahu.
Môže byť zodpovednou osobou konateľ alebo IT manažér?
Spravidla nie, pretože ide o pozície, na ktorých sa rozhoduje o účeloch a prostriedkoch spracúvania, čo vedie ku konfliktu záujmov. Posudzuje sa to však podľa konkrétnej organizačnej štruktúry firmy.
Ako oznámim zodpovednú osobu Úradu na ochranu osobných údajov SR?
Elektronicky, formulárom Nahlasovanie zodpovednej osoby, ktorý úrad sprístupňuje cez portál slovensko.sk. Tým istým spôsobom nahlasujete aj zmeny, napríklad určenie inej osoby.
Nesie zodpovedná osoba osobnú zodpovednosť za pokuty?
Nie. Za súlad so spracúvaním zodpovedá prevádzkovateľ alebo sprostredkovateľ a pokutu ukladá úrad jemu. Zodpovedná osoba radí a monitoruje, rozhodnutia o spracúvaní robí vedenie firmy.
Môže zodpovednú osobu vykonávať externá firma?
Áno. GDPR výslovne umožňuje, aby zodpovedná osoba plnila úlohy na základe zmluvy o poskytovaní služieb. V zmluve si dohodnite rozsah úloh, dostupnosť, postup pri incidentoch a mlčanlivosť.
Chcete to mať vyriešené?
HASPO vám v rámci služby GDPR pomôže posúdiť, či vaša firma musí určiť zodpovednú osobu, a pripraviť dokumentáciu, ktorú na ochranu osobných údajov potrebujete. Ak riešite najmä údaje zamestnancov, pozrite si aj článok o GDPR v personalistike. S konkrétnou situáciou sa na nás obráťte cez kontaktný formulár.
