Sprostredkovateľ

Čo to znamená

Sprostredkovateľ je podľa GDPR firma alebo osoba, ktorá spracúva osobné údaje v mene prevádzkovateľa a podľa jeho pokynov. Sama nerozhoduje o účele spracúvania, len vykonáva činnosť, ktorú jej prevádzkovateľ zveril.

Typickými sprostredkovateľmi sú účtovné kancelárie a mzdové služby, poskytovatelia hostingu a cloudových služieb, dodávatelia CRM či e-mailového marketingu, IT servis s prístupom k firemným systémom alebo firmy, ktoré zabezpečujú skartáciu dokumentov. Každá firma má takýchto sprostredkovateľov viacero.

Vzťah medzi prevádzkovateľom a sprostredkovateľom musí upravovať písomná zmluva o spracúvaní osobných údajov. Určuje v nej predmet, dobu, povahu a účel spracúvania, typ údajov, povinnosti sprostredkovateľa v oblasti bezpečnosti a mlčanlivosti a čo sa stane s údajmi po skončení spolupráce.

Ako to funguje v praxi

Ako účtovná kancelária sme pre klientov sprostredkovateľom pri spracúvaní miezd a účtovných dokladov s osobnými údajmi. S každým klientom preto uzatvárame zmluvu o spracúvaní, ktorá jasne určuje, čo s údajmi robíme a ako ich chránime.

Pri revízii ochrany údajov u klientov zostavujeme zoznam všetkých sprostredkovateľov a overujeme, či s nimi existuje zmluva. Pri veľkých poskytovateľoch cloudových služieb je zmluva zvyčajne súčasťou obchodných podmienok, no treba overiť, kde sa údaje ukladajú a či sa prenášajú mimo EÚ.

Sprostredkovateľ môže zapojiť ďalšieho sprostredkovateľa, napríklad dátové centrum, len so súhlasom prevádzkovateľa. Prevádzkovateľ by mal mať prehľad o celom reťazci a v zázname o spracovateľských činnostiach uviesť, komu údaje odovzdáva.

Na čo si dať pozor

Najčastejšou chybou je využívať služby, pri ktorých firma ani nevie, že ide o sprostredkovanie, napríklad bezplatné online nástroje či aplikácie zamestnancov. Takýto shadow IT znamená spracúvanie bez zmluvy a bez kontroly nad tým, kde údaje skončia.

Sprostredkovateľ, ktorý začne s údajmi robiť niečo nad rámec pokynov, napríklad ich použije na vlastný marketing, sa v tomto rozsahu stáva prevádzkovateľom a porušuje zákon. Prevádzkovateľ si preto má v zmluve vyhradiť právo na kontrolu a audit.