Úrad na ochranu osobných údajov

Čo to znamená

Úrad na ochranu osobných údajov Slovenskej republiky je nezávislý dozorný orgán, ktorý dohliada na dodržiavanie GDPR a slovenského zákona o ochrane osobných údajov. Je súčasťou európskej siete dozorných orgánov a pri cezhraničných prípadoch spolupracuje s úradmi ostatných štátov EÚ v rámci Európskeho výboru pre ochranu údajov.

Úrad prijíma a vybavuje sťažnosti a návrhy dotknutých osôb, vykonáva kontroly u prevádzkovateľov a sprostredkovateľov, prijíma oznámenia o porušení ochrany osobných údajov, vydáva metodické usmernenia a stanoviská a ukladá nápravné opatrenia a pokuty. Pokuty podľa GDPR môžu dosiahnuť desiatky miliónov eur alebo percentá celosvetového obratu.

Úradu sa oznamujú aj kontaktné údaje zodpovednej osoby, ak ju firma má povinne alebo dobrovoľne určenú. Pri spracúvaní s vysokým rizikom, ktoré sa nepodarí dostatočne zmierniť ani po posúdení vplyvu, musí prevádzkovateľ úrad vopred konzultovať.

Ako to funguje v praxi

Pre firmu je najčastejším kontaktom s úradom oznámenie porušenia ochrany údajov, napríklad úniku databázy, odoslania údajov nesprávnemu príjemcovi či straty notebooku. Ak porušenie pravdepodobne predstavuje riziko pre práva ľudí, musí ho prevádzkovateľ oznámiť do 72 hodín od zistenia. Pri vysokom riziku treba informovať aj dotknuté osoby.

Ak úrad začne konanie na základe sťažnosti, firma dostane výzvu na vyjadrenie a predloženie dokumentácie. Rozhodujúce je vedieť preukázať súlad: záznamy o spracovateľských činnostiach, právne základy, zmluvy so sprostredkovateľmi, bezpečnostné opatrenia a postupy pri žiadostiach dotknutých osôb. Firma s poriadkom v dokumentácii má výrazne lepšiu pozíciu.

Úrad vydáva usmernenia k častým témam, napríklad ku kamerovým systémom, monitorovaniu zamestnancov či cookies. Oplatí sa ich sledovať, pretože ukazujú, ako úrad pravidlá vykladá. Pri nejasnostiach je lepšie postupovať opatrne a nechať si postup posúdiť ešte pred spustením spracúvania.

Na čo si dať pozor

Najčastejšou chybou pri porušení ochrany údajov je zatajenie alebo oneskorené oznámenie. Firma dúfa, že únik zostane nepovšimnutý, a lehota 72 hodín uplynie. Neoznámenie je samostatným porušením GDPR a pri neskoršom odhalení výrazne zhoršuje pozíciu firmy. Aj neúplné prvotné oznámenie je lepšie než žiadne.

Pozor na podvodné e-maily a listy, ktoré sa vydávajú za úrad a žiadajú platbu za registráciu či kontrolu súladu s GDPR. Úrad za registráciu neúčtuje poplatky a pokuty ukladá rozhodnutím v správnom konaní. Pri pochybnostiach treba overiť komunikáciu priamo na oficiálnych kontaktoch úradu.