Právne základy spracúvania podľa GDPR: ktorý z nich si vybrať

Pripravujete nový formulár na webe, newsletter alebo vernostný program a obvykle potrebujete odpoveď na otázku: „Musíme si na to vypýtať súhlas?“ Vo väčšine firiem, s ktorými pracujem, znie odpoveď automaticky áno a hneď sa dopĺňa zaškrtávacie políčko. Je to logický inštinkt, súhlas znie slušne a bezpečne.

Lenže práve tento inštinkt býva chyba. Súhlas nie je základný ani najbezpečnejší spôsob, ako spracúvať osobné údaje. Je to len jeden zo šiestich rovnocenných právnych základov, a v mnohých situáciách ten najproblematickejší. Keď si vyberiete nesprávny základ, riskujete, že celé spracúvanie neobstojí, aj keď máte záznam s podpisom.

Čo je právny základ a prečo bez neho nesmiete spracúvať?

Právny základ je dôvod, ktorý vám zákon uznáva na to, aby ste vôbec smeli s osobnými údajmi pracovať. Bez neho je spracúvanie nezákonné, aj keby ste s údajmi narábali akokoľvek opatrne. Je to prvá otázka, ktorú si treba položiť, skôr než sa začnete zaoberať bezpečnosťou alebo dokumentáciou.

Dôležité je, že základ sa viaže na konkrétny účel, nie na firmu ako celok. Tá istá databáza kontaktov môže mať jeden základ na fakturáciu (zmluva), iný na zasielanie noviniek (súhlas alebo oprávnený záujem) a ďalší na uchovávanie pre daňové účely (zákonná povinnosť). Jedno spracúvanie, jeden účel, jeden základ.

Akých šesť právnych základov GDPR pozná?

Článok 6 ich vymenúva a sú rovnocenné, žiadny nie je „lepší“ než ostatné, každý sa hodí na inú situáciu. Jednu vec majú spoločnú: okrem súhlasu platí pri všetkých podmienka, že spracúvanie musí byť na daný účel nevyhnutné. Práve na túto podmienku sa zabúda, keď sa plnením zmluvy zdôvodňuje všetko, čo s obchodom nejako súvisí.

Súhlas je slobodný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby. Hodí sa na spracúvanie, ktoré nie je nevyhnutné a človek ho môže odmietnuť bez následkov, napríklad marketingový newsletter.

Plnenie zmluvy pokrýva spracúvanie potrebné na dodanie objednanej služby alebo tovaru, a zároveň na vykonanie opatrení pred uzatvorením zmluvy na žiadosť dotknutej osoby. Práve druhá časť sa prehliada, hoci pokrýva najbežnejší prípad na webe, teda dopytový formulár a prípravu cenovej ponuky. Na tie súhlas nepotrebujete, pokiaľ ide o iniciatívu záujemcu a rozsah údajov, ktorý na vypracovanie ponuky skutočne potrebujete.

Zákonná povinnosť sa uplatní tam, kde vám spracúvanie priamo ukladá zákon, napríklad pri vedení mzdovej a účtovnej agendy.

Životne dôležité záujmy sú okrajový základ pre situácie ohrozenia života, a to nielen dotknutej osoby, ale aj inej fyzickej osoby. Práve druhá časť býva v praxi použiteľnejšia, napríklad pri poskytnutí kontaktu na príbuzného.

Verejný záujem alebo výkon verejnej moci je typický pre orgány verejnej moci. Nedá sa však zvoliť len tak: úloha vo verejnom záujme alebo výkon verejnej moci musia byť ustanovené právom. Tento základ pritom nie je vyhradený štátnym inštitúciám, môže ho použiť aj súkromný subjekt, ktorému zákon takú úlohu zveril.

Oprávnený záujem umožňuje spracúvanie potrebné pre rozumný záujem prevádzkovateľa alebo tretej strany, ak neprevažujú práva dotknutej osoby.

Čo pribúda pri citlivých údajoch

Šesť základov podľa čl. 6 nie je celý obraz. Pri osobitných kategóriách údajov, teda pri údajoch o zdraví, biometrii použitej na identifikáciu, genetických údajoch, rasovom či etnickom pôvode, politických názoroch, náboženskom presvedčení, členstve v odboroch, sexuálnom živote alebo orientácii, platí režim zákazu. Spracúvanie je podľa čl. 9 zakázané, pokiaľ sa neuplatní niektorá z výnimiek podľa čl. 9 ods. 2.

Potrebujete teda dve vrstvy naraz: základ podľa čl. 6 a k nemu výnimku podľa čl. 9. Najčastejšie prichádzajú do úvahy plnenie povinností v oblasti pracovného práva a sociálneho zabezpečenia, uplatnenie alebo obhajoba právnych nárokov, ochrana životne dôležitých záujmov a výslovný súhlas dotknutej osoby.

Chýbajúca druhá vrstva je bežná chyba v dokumentácii. Zamestnávateľ si pri agende práceneschopnosti zapíše „zákonná povinnosť“ a považuje vec za vybavenú, hoci mu chýba označenie výnimky podľa čl. 9. Všimnite si aj poradie: súhlas je pri citlivých údajoch len jednou z výnimiek, musí byť výslovný, a spravidla nie je tá najvhodnejšia. Podrobnosti rozoberáme v článku o súhlase.

Prečo je súhlas najčastejšia a najdrahšia chyba?

Súhlas má jednu vlastnosť, ktorú si firmy neuvedomia, kým nie je neskoro: dá sa kedykoľvek odvolať, a to bez udania dôvodu. V okamihu odvolania strácate základ a spracúvanie musíte ukončiť. Ak ste si teda ako základ na fakturáciu alebo na zákonom povinné uchovávanie zvolili súhlas, dostanete sa do absurdnej situácie, keď vám zákazník „odvolá“ niečo, čo musíte robiť tak či tak.

Súhlas musí byť navyše slobodný. Tam, kde je medzi stranami nerovnováha, to býva problém. Klasický príklad je zamestnanec: súhlas voči zamestnávateľovi sa len zriedka považuje za skutočne slobodný, lebo podriadený sa fakticky nemôže bez následkov odmietnuť. Preto sa väčšina spracúvania údajov zamestnancov opiera o zmluvu, zákonnú povinnosť alebo oprávnený záujem, nie o súhlas.

V praxi sa s týmto stretávam opakovane: firma si na všetko vypýta súhlas, lebo sa to zdá bezpečné, a tým si dobrovoľne naloží najkrehkejší základ aj tam, kde mala k dispozícii pevnejší. Keď potom príde odvolanie alebo kontrola, zistí, že papier s podpisom jej nepomôže.

Čo je oprávnený záujem a ako funguje test vyváženosti?

Oprávnený záujem je najpružnejší, ale aj najnáročnejší základ. Umožňuje spracúvanie, ktoré rozumne potrebujete vy alebo tretia strana, napríklad ochranu siete, prevenciu podvodov alebo priamy marketing voči existujúcim zákazníkom. Nie je to však voľná karta, platí len vtedy, keď obstojí v teste vyváženosti.

Ten test má tri kroky. Najprv pomenujete konkrétny oprávnený záujem (účel). Potom preukážete, že spracúvanie je na tento účel naozaj nevyhnutné a nedá sa dosiahnuť menej invazívne. Nakoniec zvážite, či nad vaším záujmom neprevažujú práva a rozumné očakávania dotknutej osoby. Ak prevážia jej práva, základ neobstojí. Tento test si treba spraviť a zdokumentovať vopred, nie až keď sa niekto sťažuje.

Vo vyvažovaní má osobitnú váhu vek dotknutej osoby. Ak sa spracúvajú údaje detí, ich záujmy prevážia nad záujmom prevádzkovateľa podstatne častejšie než pri dospelých.

Trojkrokový test nie je naša konštrukcia. K tomuto základu predstavil Európsky výbor pre ochranu údajov 8. októbra 2024 usmernenie č. 1/2024, ktoré nahrádza staršie stanovisko pracovnej skupiny z roku 2014. Stav k júlu 2026: prijatie konečného znenia usmernenia nie je potvrdené. Nezávisle od toho Súdny dvor rozsudkom zo 4. októbra 2024 vo veci C-621/22 potvrdil, že aj čisto obchodný záujem môže byť oprávneným záujmom, ak spracúvanie v teste obstojí.

Jedna dôležitá výnimka: oprávnený záujem nesmú na svoje úlohy použiť orgány verejnej moci. Tie sa pri výkone svojich právomocí opierajú o verejný záujem alebo zákonnú povinnosť.

Čo z výberu základu vyplýva pre práva ľudí

Voľba základu nie je administratívne cvičenie. Určuje, aké práva má voči vám dotknutá osoba, a teda čo budete musieť vedieť vybaviť.

Právo namietať sa vzťahuje len na spracúvanie založené na oprávnenom záujme alebo na verejnom záujme. Pri zmluve a zákonnej povinnosti ho človek nemá. S oprávneným záujmom teda neoddeliteľne prichádza aj povinnosť námietku prijať, posúdiť a odpovedať na ňu. Pripraviť sa na to treba skôr, než prvá námietka príde.

Právo na prenosnosť má človek pri súhlase a pri zmluve, a to len ak spracúvanie prebieha automatizovane. Pri zákonnej povinnosti ani pri oprávnenom záujme nevzniká.

Odvolanie súhlasu je následok, ktorý pri žiadnom inom základe nenastáva. Súhlas musí byť odvolateľný rovnako ľahko, ako bol daný, a po odvolaní strácate základ.

Právo na výmaz sa uplatňuje pri každom základe, ale za rôznych podmienok. Pri súhlase nastupuje po jeho odvolaní, pri oprávnenom záujme po úspešnej námietke.

Prakticky to znamená, že newsletter postavený na oprávnenom záujme si vyžaduje fungujúce vybavovanie námietok, kým newsletter na súhlase si vyžaduje evidenciu súhlasov a ich odvolaní. Podrobnosti k jednotlivým právam rozoberáme v článku o právach dotknutých osôb.

Ktorý základ si vybrať vo verejnej správe?

Toto je častá otázka orgánov verejnej moci. Väčšina ich spracúvania stojí na dvoch základoch: zákonnej povinnosti, keď im konkrétnu činnosť ukladá právny predpis, a verejnom záujme alebo výkone verejnej moci pri ich úlohách, ktoré musia byť ustanovené právom. Súhlas tu funguje len na úzky okruh naozaj dobrovoľných činností, kde má občan reálnu možnosť odmietnuť bez toho, aby prišiel o službu, na ktorú má nárok.

Dá sa právny základ dodatočne zmeniť?

Tu treba rozlišovať dve situácie, ktoré sa často zamieňajú.

Pre ten istý účel sa základ nemení. Základ si volíte pred začatím spracúvania a máte ho oznámiť dotknutej osobe. Nemôžete začať so súhlasom a keď vám ho človek odvolá, potichu sa „preklopiť“ na oprávnený záujem, aby ste mohli pokračovať. Takýto postup sa neuznáva, lebo obchádza pôvodný prísľub, ktorý ste človeku dali, a vyplýva to aj z usmernenia Európskeho výboru pre ochranu údajov k súhlasu.

Pre nový účel existuje test zlučiteľnosti. Ak chcete už získané údaje použiť na iný účel, než na ktorý ste ich získali, čl. 6 ods. 4 hovorí, že nový právny základ nepotrebujete, pokiaľ je nový účel s pôvodným zlučiteľný. Zlučiteľnosť posudzujete podľa vymedzených kritérií, najmä podľa súvislosti medzi oboma účelmi, kontextu, v ktorom ste údaje získali, povahy údajov a možných dôsledkov pre dotknutú osobu. Touto cestou sa ale nedá ísť pri spracúvaní, ktoré stojí na súhlase alebo na právnom predpise.

Prakticky to znamená, že údaje zo zmluvného vzťahu môžete za istých podmienok použiť napríklad na štatistiku alebo na zlepšenie služby bez toho, aby ste si na to museli pýtať súhlas. Posúdenie zlučiteľnosti si však treba vykonať a zdokumentovať, rovnako ako test vyváženosti.

Kde má zmysel začať

Ak by som mal vybrať jediné odporúčanie, nezačal by som pri formulároch a súhlasoch, ale pri zozname vašich spracúvaní. Prejdite si činnosti, pri ktorých narábate s osobnými údajmi, a ku každej priraďte jeden právny základ a dôvod, prečo práve ten. Pri citlivých údajoch pripíšte aj výnimku podľa čl. 9. Väčšina firiem zistí, že skutočný súhlas potrebuje len na zlomok z nich, typicky na marketing, a zvyšok pokojne stojí na zmluve, zákonnej povinnosti alebo oprávnenom záujme. Táto tabuľka je zároveň jadrom vášho záznamu o spracovateľských činnostiach, takže prácu spravíte raz a poslúži dvakrát.

Nie je jednoduchšie vypýtať si súhlas na všetko a mať pokoj? Nie je. Súhlas so sebou nesie ďalšie povinnosti, musí byť preukázateľný, odvolateľný rovnako ľahko, ako bol daný, a pri jeho odvolaní musíte spracúvanie zastaviť. Na čom stojí súhlas správne a kedy si ním, naopak, škodíte, rozoberáme v samostatnom článku o súhlase. Typickým príkladom oprávneného záujmu verzus súhlasu je aj monitorovanie zamestnancov.

Ak si nie ste istí, na akom základe vlastne stojí vaše spracúvanie, a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.