Ochrana osobních údajů (GDPR)

Službu v České republice dodává a smlouvu s vámi uzavírá člen skupiny IOSEC se sídlem v České republice. Metodika, šablony i výstupy jsou v celé skupině jednotné.

Přebíráme roli pověřence pro ochranu osobních údajů jako průběžnou službu, ne jako jednorázovou kontrolu dokumentace. Týká se to organizací, které ji musí mít ze zákona, i těch, které ji jmenovaly dobrovolně — při dobrovolném jmenování platí na nezávislost stejná pravidla jako při povinném.

Stejně tak přebíráme jednotlivé situace bez trvalé role: když přijde žádost nebo podnět a interně na to není kapacita ani odstup.

Co dostanete

• Kontaktní místo pro subjekty údajů i pro dozorový úřad — uvedené v dokumentaci a dostupné, když se někdo ozve.
• Vyřízené žádosti subjektů údajů v zákonné lhůtě včetně posouzení, zda a v jakém rozsahu se jim vyhoví.
• Záznam o činnostech zpracování, který odpovídá systémům, jaké opravdu provozujete — ne tomu, jak to vypadalo při zavedení.
• Posouzení vlivu na ochranu údajů tam, kde je potřeba, i s podkladem pro rozhodnutí vedení.
• Podložené vyjádření k podnětu nebo ke kontrole, postavené na zjištění skutkového stavu.
• Písemná zpráva pro vedení o stavu ochrany údajů — co se vyřešilo, co zůstává otevřené a co doporučujeme na další období.

Kdy má smysl ozvat se

• Role je neobsazená nebo obsazená jen formálně: jméno v dokumentaci je, ale když přijde otázka, nemá kdo odpovědět.
• Do schránky přistála žádost o přístup, výmaz nebo námitka a lhůta běží od doručení, ne od chvíle, kdy si jí někdo všimne.
• Ozval se úřad nebo zaměstnanec s podezřením a je třeba vědět, co se opravdu stalo, dřív než se cokoli napíše.

Školení osob, které pracují s osobními údaji

Poučit osoby, které zpracovávají osobní údaje, musí správce vždy. Těžší bývá druhá část: prokázat, že se to stalo. Prezenční listina z porady a tvrzení, že se o tom mluvilo, při kontrole neobstojí stejně dobře jako záznam ke konkrétní osobě.

Co dostanete. E-learningový kurz pro osoby pracující s osobními údaji, který končí závěrečným testem, a ke každé osobě záznam o absolvování. Přesně to, na co se při kontrole ptají.

Jak to funguje. Kurz je dostupný průběžně, ne v termínech. Nového zaměstnance zaškolíte, když nastoupí — ne když se naplní nejbližší skupina. Spuštění a přehled o tom, kdo kurz absolvoval, má ve svých rukou manažer ve vaší organizaci.

Pro smluvní klienty je kurz součástí služby po celou dobu jejího trvání. V nových smlouvách je sjednán přímo; klientům, s nimiž máme smlouvu uzavřenou dříve, jej ke službě poskytujeme stejně.

Od června 2025 do srpna 2026 kurz absolvovalo a závěrečným testem ukončilo více než 700 osob pracujících s osobními údaji.

Kde je hranice. Vykonáváme odborné poradenství a roli pověřence. Na základě plné moci zastupujeme klienta v komunikaci s dozorovým úřadem a při vyřizování podnětů subjektů údajů; rozsah zastupování se dohodne v konkrétním případě. Nejde o právní poradenství ani o zastupování advokátem.

Zástupce v EU podle čl. 27 GDPR

Poskytujeme službu zástupce v EU pro správce a zpracovatele ze třetích zemí, na které se GDPR vztahuje. Zajistíme kontaktní místo pro subjekty údajů a dozorové úřady, pomůžeme s nastavením požadované dokumentace a podpoříme plnění povinností podle GDPR. Službu poskytujeme na základě písemného zmocnění (příkazní smlouvy) podle čl. 27 GDPR.

Zástupce není třeba určit ve dvou případech (čl. 27 odst. 2 GDPR): pokud je zpracování příležitostné, nezahrnuje ve velkém měřítku zvláštní kategorie osobních údajů ani údaje o rozsudcích v trestních věcech a trestných činech a není pravděpodobné, že povede k riziku pro práva a svobody fyzických osob — při zohlednění povahy, kontextu, rozsahu a účelu zpracování. A pokud jde o orgán veřejné moci nebo veřejný subjekt.

Pro typickou SaaS společnost, která má zákazníky v EU průběžně, první výjimka neplatí — zpracování není příležitostné.

Osm dceřiných společností, osm poradců, žádný přehled

Typický stav nadnárodní skupiny: každá země si našla vlastního poradce, každý pracuje jinou metodikou a v jiném jazyce. Mateřská společnost neví, jaký je skutečný stav — a zjistí to až tehdy, když v jedné zemi přijde kontrola.

Co to způsobuje

Osm různých záznamů o činnostech zpracování, které se nedají porovnat. Různé doby uchovávání pro tentýž typ údajů. Smlouvy se zpracovateli v různé kvalitě.

A při incidentu, který zasáhne více zemí najednou, nikdo nedokáže říct, kde všude ta data jsou.

Co umožňuje nařízení

Článek 37 odst. 2 výslovně připouští, aby skupina podniků jmenovala jediného společného pověřence — za podmínky, že je snadno dosažitelný z každého podniku.

Není to tedy klička ani kompromis. Je to řešení, se kterým nařízení počítá.

Co to znamená v praxi

Jedna metodika, jeden formát

Záznamy, posouzení vlivu i smlouvy podle jedné šablony napříč zeměmi. Mateřská společnost porovnává stejné se stejným.

Místní jazyk, místní právo

Dokumentace pro dceřiné společnosti v jejich jazyce a podle jejich národní úpravy — nařízení je společné, prováděcí zákony ne.

Jedna smlouva, jedno vykazování

Místo osmi dodavatelů jeden partner a jedna roční zpráva pro vedení skupiny o stavu ve všech zemích.

Skupina IOSEC působí v osmi evropských zemích — Slovensko, Česko, Polsko, Maďarsko, Rakousko, Německo, Rumunsko a Řecko.

Šest věcí, které dokumentaci z roku 2018 spolehlivě zneplatní

Nejsou to hypotézy. Toto jsou změny, které při přezkumech nacházíme nejčastěji — a které si firmy samy nespojí s ochranou osobních údajů.

Změna pověřence

Člověk, který agendu přebíral, odešel. Kontakt v dokumentaci i na webu zůstal starý — a subjekt údajů píše do prázdna, zatímco mu běží lhůta.

Nový systém, který nikdo nezaevidoval

Nové CRM, docházka nebo HR software. Záznam o činnostech zpracování podle čl. 30 ho nezná, ačkoli běží dva roky.

Přesun do cloudu

Změnil se poskytovatel, umístění údajů, případně přibylo předání mimo EU. Smlouva podle čl. 28 s tím nepočítá.

Nástroje AI v rukou zaměstnanců

Do jazykových modelů se vkládají životopisy, e-maily zákazníků i zdravotní údaje — ve většině firem bez pravidla a bez vědomí vedení.

Noví dodavatelé

Účetnictví, mzdy, marketingová agentura, externí IT. Každý z nich je zpracovatel — a potřebuje smlouvu, ne jen fakturu.

Kamery a sledování

Přibyl kamerový systém nebo sledování výkonu. Chybí posouzení vlivu, splnění informační povinnosti i označení prostoru.