Zodpovedná osoba

Čo to znamená

Zodpovedná osoba je slovenský názov pre data protection officer podľa GDPR. Dohliada na súlad spracúvania osobných údajov, radí prevádzkovateľovi a je kontaktným bodom pre dotknuté osoby aj pre Úrad na ochranu osobných údajov.

So zodpovedným zástupcom v živnostenskom práve nemá nič spoločné, hoci názvy znejú podobne. Nenesie ani zodpovednosť za porušenia: tú má prevádzkovateľ, zodpovedná osoba kontroluje, upozorňuje a dokumentuje.

Zodpovednou osobou môže byť zamestnanec aj externý dodávateľ na základe zmluvy, teda funkciu možno riešiť outsourcingom. V oboch prípadoch musí byť nezávislá: nesmie dostávať pokyny, ako úlohy plniť, nesmie byť za ich plnenie postihovaná a podáva správy priamo najvyššiemu vedeniu, nie šéfovi oddelenia.

Ako to funguje v praxi

Ustanoviť ju musí orgán verejnej moci a firma, ktorej hlavná činnosť spočíva v rozsiahlom pravidelnom monitorovaní osôb alebo v rozsiahlom spracúvaní osobitných kategórií údajov. Bežnému e-shopu ani účtovnej firme povinnosť spravidla nevzniká.

Kontakt na ňu sa zverejňuje a oznamuje úradu. Pracuje na zázname o spracovateľských činnostiach, na posúdení vplyvu a na postupe pri porušení ochrany osobných údajov, teda presne na tom, čo úrad pýta ako prvé.

Ak firma zodpovednú osobu ustanoví dobrovoľne, hoci nemusí, platia pre ňu rovnaké pravidlá ako pre povinnú: nezávislosť, zverejnený kontakt, oznámenie úradu aj zapájanie do všetkých otázok ochrany údajov. Menšej firme preto skôr odporúčame poveriť niekoho koordináciou compliance v tejto oblasti bez tohto titulu.

Na čo si dať pozor

Funkciou sa poverí konateľ, šéf IT alebo personalistka. To je konflikt záujmov: tí istí ľudia určujú účely spracúvania a zároveň by ich mali kontrolovať. Úrad pri kontrole takéto ustanovenie neuzná a firma je tam, kde by bola, keby zodpovednú osobu nemala vôbec, navyše s pokutou.

Firma zavedie dochádzkový systém na odtlačky prstov a zodpovednú osobu sa nikto nespýta. Biometrické údaje sú osobitnou kategóriou a pri takom spracúvaní spravidla treba posúdenie vplyvu. Pri kontrole chýba posúdenie aj stanovisko zodpovednej osoby a úrad môže spracúvanie zakázať, takže investícia do systému je stratená.