Zodpovedná osoba (DPO): kedy ju musíte mať a interný verzus externý

Firma sa dopočuje o zodpovednej osobe a urobí jednu z dvoch vecí. Buď túto rolu automaticky pridelí niekomu, kto už má „niečo s počítačmi alebo s ľuďmi“, teda vedúcemu IT, personalistke alebo rovno konateľovi. Alebo mávne rukou so slovami „to je len pre veľké firmy, nás sa to netýka“. Obe cesty bývajú chyba a obe pramenia z nepochopenia, čo zodpovedná osoba vlastne je.

Zodpovedná osoba (po anglicky Data Protection Officer, DPO) nie je titul, ktorý pridelíte niekomu k jeho práci. Je to rola s presnými podmienkami: musí byť odborná, nezávislá a nesmie byť v konflikte záujmov. A povinnosť mať ju sa neriadi tým, akí ste veľkí, ale tým, čo robíte. Zle obsadená zodpovedná osoba pritom nie je neutrálna voľba, vytvára zdanie súladu a zároveň porušenie, ktoré firma predtým nemala.

Kedy musíte mať zodpovednú osobu?

GDPR vymenúva tri situácie, v ktorých je určenie povinné, a rovnaké tri prípady preberá § 44 zákona č. 18/2018 Z. z.

Prvým prípadom je, ak spracúvanie vykonáva orgán verejnej moci alebo verejnoprávny subjekt, s výnimkou súdov pri výkone ich súdnej právomoci. Druhým prípadom je, ak hlavné činnosti prevádzkovateľa alebo sprostredkovateľa spočívajú v operáciách, ktoré si vyžadujú pravidelné a systematické monitorovanie dotknutých osôb vo veľkom rozsahu. Tretím prípadom je, ak hlavné činnosti spočívajú v rozsiahlom spracúvaní osobitných kategórií údajov podľa čl. 9 alebo údajov týkajúcich sa uznania viny za trestné činy a priestupky podľa čl. 10. Táto druhá podmienka sa pravidelne prehliada, hoci pre subjekty, ktoré vo veľkom overujú bezúhonnosť, predstavuje samostatný spúšťač.

Kľúčové sú tri znaky: „hlavné činnosti“, „pravidelné a systematické“ a „vo veľkom rozsahu“. Podmienka hlavných činností pritom platí pre druhý aj tretí prípad, nielen pre druhý. Ak je spracúvanie osobných údajov len sprievodným javom vášho podnikania, napríklad bežná mzdová a zákaznícka agenda výrobnej firmy, povinnosť vám zvyčajne nevzniká. Ak je ale spracúvanie a monitorovanie ľudí jadrom vašej činnosti, alebo pracujete vo veľkom s citlivými údajmi, povinnosť je namieste. V hraničných prípadoch sa oplatí posúdenie zdokumentovať, aby ste vedeli preukázať, prečo ste zodpovednú osobu určili alebo neurčili.

Slovenský zákon pridáva k trom prípadom z nariadenia ešte jeden. Podľa § 44 ods. 5 vzniká povinnosť určiť zodpovednú osobu aj vtedy, keď to vyžaduje osobitný predpis alebo medzinárodná zmluva, ktorou je Slovenská republika viazaná.

Čo ak ju určíte dobrovoľne?

Ak vám povinnosť nevzniká, môžete zodpovednú osobu určiť dobrovoľne a v praxi je to častejší scenár než povinné určenie. Vedie k tomu požiadavka veľkého odberateľa, dotazník pri výberovom konaní alebo snaha ukázať klientom, že to s ochranou údajov myslíte vážne.

Dobrovoľné určenie ale nie je nezáväzné gesto. Na dobrovoľne určenú zodpovednú osobu sa vzťahujú rovnaké požiadavky ako pri povinnom určení: postavenie a nezávislosť podľa čl. 38, úlohy podľa čl. 39 aj povinnosť zverejniť a oznámiť jej kontaktné údaje. Z hľadiska pravidiel medzi povinne a dobrovoľne určenou zodpovednou osobou rozdiel nie je.

Prakticky to znamená, že dobrovoľným menovaním človeka, ktorý je v konflikte záujmov a nemá zdroje ani nezávislosť, si vyrobíte porušenie tam, kde ste predtým žiadnu povinnosť nemali. Ak si nie ste istí, či na to máte kapacitu, je čistejšie zodpovednú osobu neurčiť a ochranu údajov riešiť inak.

Čo zodpovedná osoba reálne robí?

Tu je ďalší rozšírený omyl: že zodpovedná osoba je ten, kto „za GDPR zodpovedá“, a keď sa niečo pokazí, je to jej problém. Nie je to tak. Zodpovednosť za súlad s GDPR nesie vždy prevádzkovateľ, teda vedenie firmy. Zodpovedná osoba je odborný poradca a dohliadateľ, nie hromozvod.

Úlohy vymenúva čl. 39 nariadenia a preberá ich § 46 zákona. Informuje a radí prevádzkovateľovi aj zamestnancom o ich povinnostiach. Monitoruje dodržiavanie GDPR vo firme, pričom súčasťou monitorovania je aj zvyšovanie povedomia, školenie zamestnancov zapojených do spracovateľských operácií a súvisiace audity. Poskytuje poradenstvo pri posúdení vplyvu na ochranu údajov, čiže pri DPIA. Spolupracuje s dozorným orgánom a je preň kontaktným bodom, rovnako je kontaktným bodom pre dotknuté osoby pri uplatňovaní ich práv.

Pri všetkých úlohách má brať do úvahy riziko spojené s konkrétnym spracúvaním. Nemá teda venovať rovnakú pozornosť všetkému, ale sústrediť sa tam, kde je dopad na ľudí najväčší.

Aké postavenie musí mať?

Postavenie rozhoduje o tom, či je rola funkčná, alebo len na papieri. GDPR žiada, aby bola zodpovedná osoba zapojená do všetkých vecí ochrany údajov včas, aby mala na svoju prácu zdroje a najmä aby bola nezávislá. Nezávislosť znamená, že jej nikto nesmie dávať pokyny, ako má svoje úlohy plniť, nesmie byť za ich výkon postihovaná a má reportovať najvyššiemu vedeniu. Pri plnení úloh je zároveň viazaná mlčanlivosťou.

S tým súvisí zákaz konfliktu záujmov, ktorý je v praxi najčastejším kameňom úrazu. Zodpovednou osobou nemôže byť ten, kto zároveň rozhoduje o účeloch a prostriedkoch spracúvania, lebo by kontroloval sám seba. V praxi to spravidla nemôže byť konateľ, vedúci IT, personálny ani marketingový riaditeľ. Práve preto automatické pridelenie tejto roly „šéfovi IT“ býva chyba.

Následok zle obsadenej roly je konkrétny, len iný, než sa čaká. Určenie sa nestáva neplatným a úrad ho neschvaľuje ani neuznáva, žiadne takéto konanie neexistuje. Ide o porušenie čl. 38 ods. 6 zo strany prevádzkovateľa, a ak bolo určenie povinné, aj o neplnenie čl. 37. Pri kontrole sa to posudzuje ako každé iné porušenie.

Interná verzus externá zodpovedná osoba

GDPR výslovne pripúšťa, že zodpovedná osoba môže byť váš zamestnanec alebo externý dodávateľ na základe zmluvy. Obe cesty majú svoje pre a proti a univerzálne správna odpoveď neexistuje.

Interná zodpovedná osoba pozná firmu zvnútra a je stále po ruke. Naráža ale na dve prekážky: musíte nájsť niekoho bez konfliktu záujmov, čo v malej firme býva ťažké, a musíte ho vyškoliť a priebežne vzdelávať, keďže ochrana údajov sa vyvíja.

Externá zodpovedná osoba prináša odbornosť od prvého dňa a spravidla sa vyhne konfliktu záujmov, ktorý vzniká pri internom obsadení, lebo nerozhoduje o účeloch a prostriedkoch spracúvania. Nie je to však automatické. Aj pri externom riešení si musíte overiť, či dodávateľ neplní u vás súčasne inú rolu, napríklad správcu systémov alebo sprostredkovateľa, a či ten istý subjekt najprv súlad nenastavoval a potom ho nemonitoruje. Povinnosť zabezpečiť, že konflikt záujmov nevzniká, má podľa čl. 38 ods. 6 prevádzkovateľ, a to bez ohľadu na to, koho určil. Outsourcingom sa jej nezbavíte.

Pri externom riešení odpadá udržiavanie internej kapacity, jej školenie a zastupiteľnosť počas neprítomnosti, preto pri malom objeme agendy býva hospodárnejšie. Limitom je, že dodávateľ musí firmu najskôr spoznať a nie je prítomný každý deň.

Jedna praktická možnosť pre verejnú správu sa často prehliada. Skupina podnikov môže určiť jednu zodpovednú osobu, ak je ľahko dostupná z každej prevádzkarne. A ak je prevádzkovateľom orgán verejnej moci alebo verejnoprávna inštitúcia, jedna zodpovedná osoba môže slúžiť viacerým takým subjektom, pričom sa zohľadní ich rozsah a organizačná štruktúra (§ 44 ods. 3). Pre obec so zriaďovanými organizáciami alebo pre menšie úrady to znamená, že nepotrebujú toľko zodpovedných osôb, koľko majú subjektov.

Čo treba urobiť po určení

Určením zodpovednej osoby to nekončí. Z čl. 37 ods. 7 GDPR a z § 44 ods. 8 zákona č. 18/2018 Z. z. vyplývajú dva úkony.

Kontaktné údaje zodpovednej osoby musíte zverejniť, napríklad na svojom webovom sídle. A musíte ich oznámiť Úradu na ochranu osobných údajov Slovenskej republiky, ktorý má na to elektronickú službu. Okrem kontaktných údajov žiada aj identifikačné údaje, keďže zodpovedná osoba plní úlohu kontaktného miesta pre úrad. Podanie sa autentifikuje a podpisuje kvalifikovaným elektronickým podpisom a nie je spojené so správnym poplatkom. Rovnako sa oznamuje každá neskoršia zmena.

Tento úkon voči úradu je jediný, ktorého nesplnenie sa dá zistiť aj bez kontroly na mieste. Platí aj pri dobrovoľnom určení.

Zákon č. 18/2018 Z. z. má byť nahradený novou úpravou, ktorá je zatiaľ v legislatívnom procese, čísla paragrafov sa preto v budúcnosti môžu zmeniť. Povinnosti z nariadenia platia bez ohľadu na to.

Ako sa rozhodnúť

Nezačínajte otázkou „koho tým poveríme“, ale otázkou „vzniká nám povinnosť a ak áno, kto ju môže vykonávať bez konfliktu záujmov“. Najprv teda posúďte, či do niektorého z prípadov spadáte, a posúdenie si zapíšte. Pri vzniku povinnosti preverte všetkých kandidátov na zodpovednú osobu podľa troch kritérií: absencia konfliktu záujmov, odbornosť a reálna časová kapacita. Ak taký človek nie je, čo je v menších firmách bežné, je namieste zvážiť externé riešenie. Po určení nezabudnite na zverejnenie a oznámenie úradu.

Zvyčajne zaznieva námietka: „veď stačí niekoho menovať a máme to splnené“. Samotné menovanie povinnosť nesplní. Ak menovaná osoba nie je nezávislá, je v konflikte záujmov alebo nemá odbornosť, nemáte súlad, ale porušenie čl. 38 ods. 6. Tam, kde určenie povinné nie je, je preto čistejšie zodpovednú osobu neurčiť, než ju obsadiť zle.

Ak potrebujete posúdiť, či vám povinnosť vzniká, alebo hľadáte externú zodpovednú osobu, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Pri tomto postupe je namieste tá istá otázka nezávislosti, na ktorú upozorňujeme vyššie: nastavovanie súladu a jeho následné monitorovanie držíme oddelene, v roli zodpovednej osoby nerozhodujeme o účeloch a prostriedkoch vášho spracúvania a neprevádzkujeme u vás systémy. Posúdenie, že konflikt záujmov nevzniká, si podľa čl. 38 ods. 6 robí prevádzkovateľ a podklady preň dodáme. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.