Spoloční prevádzkovatelia

Čo to znamená

Spoloční prevádzkovatelia sú dve alebo viac organizácií, ktoré spoločne určujú účel a prostriedky spracúvania osobných údajov. Typickým príkladom sú firmy v skupine so spoločnou databázou zákazníkov alebo partneri, ktorí spolu organizujú podujatie a zbierajú údaje účastníkov.

Pojem pochádza z GDPR a odlišuje sa od vzťahu prevádzkovateľa a sprostredkovateľa. Sprostredkovateľ spracúva údaje len podľa pokynov, kým spoločný prevádzkovateľ má vlastný vplyv na to, prečo a ako sa údaje spracúvajú.

Spoločné prevádzkovanie nemusí znamenať rovnaký podiel na rozhodovaní. Stačí, že každá strana ovplyvňuje aspoň časť spracúvania pre vlastné ciele, napríklad keď firma umiestni na web nástroj tretej strany, ktorý zbiera údaje návštevníkov aj pre poskytovateľa nástroja.

Ako to funguje v praxi

Spoloční prevádzkovatelia musia mať medzi sebou dohodu, ktorá určí, kto plní informačnú povinnosť, kto vybavuje žiadosti dotknutých osôb, kto rieši bezpečnostné incidenty a kto komunikuje s dozorným orgánom. Podstata tejto dohody má byť dostupná aj dotknutým osobám.

V praxi sa dohoda často pripája k rámcovej zmluve medzi firmami v skupine alebo k zmluve o spolupráci na spoločnom projekte. Je vhodné zapísať spoločné spracúvanie aj do záznamov o spracovateľských činnostiach každej zo strán, aby bolo jasné, za ktoré operácie zodpovedá.

Ak vo vzťahu vystupuje aj externý dodávateľ, napríklad poskytovateľ CRM alebo účtovná kancelária, treba rozlíšiť, či je sprostredkovateľom jedného z prevádzkovateľov, alebo všetkých naraz. Podľa toho sa uzatvárajú zmluvy o spracúvaní údajov a nastavujú pokyny.

Na čo si dať pozor

Dohoda medzi prevádzkovateľmi neobmedzuje práva dotknutej osoby. Tá sa môže obrátiť na ktoréhokoľvek z nich a každý môže zodpovedať za celú škodu, hoci si ju neskôr môže vymáhať od partnera. Rozdelenie povinností je teda najmä vnútornou otázkou medzi firmami.

Pri kontrole zo strany Úradu na ochranu osobných údajov sa posudzuje skutočný stav, nie len názov zmluvy. Ak firma tvrdí, že je sprostredkovateľom, ale v skutočnosti rozhoduje o účeloch spracúvania, úrad ju môže považovať za spoločného prevádzkovateľa so všetkými povinnosťami.