ROPA: záznam o spracovateľských činnostiach, ktorý sa používa

Blíži sa kontrola alebo príde od klienta dotazník a treba mať „ten GDPR papier“. Niekto cez víkend vyplní tabuľku, ktorú stiahol z internetu, kontrola kývne hlavou a dokument putuje do priečinka, kde sa do ďalšej kontroly neotvorí. Medzitým firma zaviedla dva nové systémy a začala spracúvať údaje, o ktorých v tej tabuľke nie je ani slovo.

Toto je záznam bez väzby na skutočný stav procesov. Splní formálnu požiadavku a firme nedá nič. Pritom práve ROPA je dokument, ktorý má z celého GDPR najväčšiu praktickú hodnotu, ak sa vedie ako priebežne aktualizovaná mapa vašich údajov, nie ako papier pre kontrolu. Ak poznáte môj článok o registri rizík, ktorý sa používa, nájdete tu rovnakú logiku: rozdiel medzi použiteľným a nepoužiteľným dokumentom nie je v kráse tabuľky, ale v tom, či ho niekto používa.

Čo je ROPA a čo v ňom má byť?

ROPA je zoznam vašich spracovateľských činností s kľúčovými informáciami o každej z nich. Nie je to smernica, je to prehľadná evidencia. Článok 30 GDPR vymenúva, čo má pri každej činnosti obsahovať.

Pri každej činnosti potrebujete uviesť, kto je prevádzkovateľ, prípadne spoločný prevádzkovateľ, zástupca prevádzkovateľa a zodpovedná osoba, na aký účel údaje spracúvate, kategórie dotknutých osôb (napríklad zamestnanci, zákazníci) a kategórie údajov (napríklad kontaktné, mzdové), komu údaje poskytujete a či ich prenášate do tretích krajín. Ak je to možné, uvádzate aj lehoty uchovávania a všeobecný opis bezpečnostných opatrení. Ak časť spracúvania robíte pre niekoho iného ako sprostredkovateľ, vediete si užšiu verziu záznamu podľa čl. 30 ods. 2. Vzor záznamu aj návod na jeho vyplnenie zverejňuje Úrad na ochranu osobných údajov Slovenskej republiky, takže nemusíte začínať od nuly.

Tie položky nie sú náhodné. Účel a kategórie údajov sú základ pre určenie právneho základu. Zdokumentovaná lehota uchovávania je to, o čo sa opriete, keď žiadosti o výmaz nemôžete vyhovieť, lebo údaje musíte uchovávať zo zákona. A prehľad o tom, kde údaje sú, vám z vybavovania žiadosti zoberie tú najzdĺhavejšiu časť, teda hľadanie. ROPA teda nie je obyčajný dokument, je to podklad, z ktorého vychádzajú ďalšie povinnosti.

Rovnaký prehľad využijete aj v časovom strese. Pri úniku údajov potrebujete v priebehu hodín vedieť, ktoré kategórie údajov a koľkých ľudí sa incident týka, a to je presne obsah záznamu. A pri posúdení vplyvu je zoznam činností tým, z čoho vyberáte tie rizikové, ktoré posúdenie vyžadujú.

Kto musí viesť ROPA?

Stretávame sa s mýtom: „my sme malá firma, nás sa povinnosť viesť záznam netýka“. Vychádza z výnimky v čl. 30 ods. 5, ktorá sa vzťahuje na organizácie do 250 zamestnancov. Tá výnimka má ale podmienky a stačí, aby jedna nesedela, a povinnosť sa vracia.

Výnimka neplatí, ak spracúvanie môže predstavovať riziko pre práva ľudí, ak nie je príležitostné, ak zahŕňa osobitné kategórie údajov podľa čl. 9 alebo ak zahŕňa údaje týkajúce sa uznania viny za trestné činy a priestupky podľa čl. 10. Prakticky každá firma spracúva mzdy zamestnancov a databázu zákazníkov, čo príležitostné spracúvanie nie je. Preto v reálnom svete táto výnimka takmer nikdy neoslobodí firmu úplne a záznam si viesť treba, aspoň pre tie činnosti, ktoré niektorú z podmienok spĺňajú.

Nie je to len môj názor. Rovnako to prezentujú aj dozorné orgány: stanovisko k výnimke podľa čl. 30 ods. 5, ktoré v roku 2018 vydala pracovná skupina WP29 a následne prevzal Európsky výbor pre ochranu údajov, výslovne uvádza, že výnimka nie je absolútna, a vykladá, čo znamená príležitostné spracúvanie.

Pri orgánoch verejnej moci nebýva splnená ani jedna z týchto podmienok. Ich spracúvanie nie je príležitostné a bežne zahŕňa osobitné kategórie údajov. V praxi preto záznam vedú bez ohľadu na počet zamestnancov.

Chystá sa v tomto úľava?

Áno, ale zmeny ešte nie sú isté. To isté ustanovenie menia dva paralelné návrhy naraz: štvrtý zjednodušovací balík z 21. mája 2025 a balík Digital Omnibus z 19. novembra 2025. V pracovných textoch sa objavil prah 750 aj 1000 zamestnancov, v niektorých verziách naviazaný aj na finančné kritériá a na to, či spracúvanie predstavuje vysoké riziko. K obom návrhom sa navyše kriticky vyjadrili dozorné orgány, ktoré okrem iného žiadali doplniť, že sa úľava nemá vzťahovať na orgány verejnej moci. Použiteľnosť pre verejný sektor je teda otvorená otázka.

Stav k júlu 2026: ani jeden z návrhov nie je prijatý a platí súčasná hranica 250 zamestnancov s uvedenými podmienkami. Novšiemu z oboch návrhov sa podrobnejšie venujeme v samostatnom článku o zjednodušení GDPR.

Jedna vec platí bez ohľadu na to, ako návrhy dopadnú. Aj keby vás úľava jedného dňa zbavila formálnej povinnosti, ROPA ostane tým najužitočnejším dokumentom, aký v GDPR máte. Prehľad o vlastných údajoch nepotrebujete kvôli úradu, potrebujete ho kvôli sebe, takže rušiť ho len preto, že by ste nemuseli, by bola chyba.

Prečo väčšina záznamov stráca aktuálnosť krátko po ich vytvorení?

Príčiny sú takmer vždy rovnaké. Väčšina záznamov, ktoré v praxi vidím, vznikla deň pred auditom alebo kontrolou z tabuľky stiahnutej z internetu a odvtedy sa neotvorila. Taký dokument spĺňa formu, ale nie je napojený na to, ako firma reálne funguje.

Býva tiež plný cudzích položiek, ktoré sa vašej činnosti netýkajú, lebo „nech tam radšej je všetko“, a naopak mu chýbajú činnosti, ktoré ste zaviedli po jeho vytvorení. A hlavne nemá majiteľa ani stanovenú periodicitu revízie, nikto nemá za úlohu ho aktualizovať a nikto sa naň pri rozhodovaní nepozrie. Záznam odpojený od reálneho behu organizácie spoznáte podľa jedného príznaku: posledná zmena v ňom je spred roka, hoci firma odvtedy prešla piatimi zmenami.

Ako postaviť záznam, ktorý ostane aktuálny

Nezačínajte prázdnou šablónou z internetu, ale zoznamom vašich skutočných činností. Prejdite firmu oddelenie po oddelení a spíšte, kde všade sa narába s osobnými údajmi: mzdy, nábor, fakturácia, marketing, kamerový systém, dochádzka. Toto je tá istá dátová inventúra, ktorou začína aj príprava na žiadosti ľudí, takže jednou prácou pokryjete oboje. Ku každej činnosti potom doplňte položky z článku 30 a právny základ, ktorý čl. 30 síce medzi povinnými údajmi neuvádza, ale bez neho záznam nesplní to, na čo ho potrebujete.

Aby záznam ostal aktuálny, dajte mu dve veci, ktoré poznáte aj z riadenia rizík: majiteľa, teda konkrétneho človeka, ktorý zaň zodpovedá, a zabudovaný mechanizmus revízie, teda pevný dátum, keď sa záznam prejde a aktualizuje, plus spúšťač pri každom novom systéme alebo procese. Bez toho aj ten najlepšie postavený ROPA do roka stratí aktuálnosť.

Zvyčajne tu zaznie námietka: „na toto nemáme čas, veď to nikto nekontroluje“. Záznam sa naozaj nikam neodosiela ani neregistruje, podľa čl. 30 ods. 3 a 4 sa ale vedie písomne vrátane elektronickej formy a na požiadanie sa sprístupní úradu. Hlavný dôvod je aj tak iný: ROPA nerobíte pre kontrolóra, robíte ho pre seba. V deň, keď príde žiadosť o výmaz, únik údajov alebo dotazník od veľkého klienta, je rozdiel medzi firmou s aktuálnym záznamom a firmou bez neho rozdiel medzi pokojným popoludním a týždňom paniky.

Ak si chcete postaviť ROPA, ktorý vám reálne slúži, a nie iba leží pre kontrolu, pomôžeme vám ho zostaviť aj udržiavať. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.