Pověřenec pro ochranu osobních údajů

Službu v České republice dodává a smlouvu s vámi uzavírá člen skupiny IOSEC se sídlem v České republice. Metodika, šablony i výstupy jsou v celé skupině jednotné.

Tři situace, které nesnesou odklad

Každá z nich má vlastní lhůtu a vlastní riziko. Společné mají to, že se objeví bez ohlášení a zpravidla tehdy, když na ně nemá kdo reagovat.

• Nemáme pověřence. Buď jej předpis vyžaduje a nemáte jej, nebo jej máte jmenovaného jen formálně — a když přijde otázka, nikdo nedokáže odpovědět.
• Přišla žádost subjektu údajů. Běží lhůta a odpověď musí obstát.
• Přišel podnět nebo kontrola. Rozhoduje, co dokážete doložit.

Pověřenec, který funkci skutečně vykonává

Nejčastější stav, který nacházíme: pověřenec je jmenovaný, uvedený v zásadách ochrany osobních údajů — a nedělá nic. Ne ze zlé vůle, ale proto, že je to kolega z IT nebo HR, který na to nemá čas ani kvalifikaci.

Formální jmenování však povinnost nesplní.

V této roli jsme kontaktním bodem pro subjekty údajů i pro Úřad pro ochranu osobních údajů. Monitorujeme soulad, radíme při nových záměrech a systémech, podílíme se na posouzení vlivu podle čl. 35, školíme zaměstnance a vedeme záznamy, kterými se dá doložit, že role skutečně běží.

Když někdo požádá o svoje údaje

Bývá to bývalý zaměstnanec, nespokojený klient nebo někdo, komu jste poslali newsletter. Žádost je často prvním signálem sporu — a způsob, jakým ji vyřídíte, rozhoduje o tom, zda spor skončí, nebo bude pokračovat podnětem na úřad.

• Jeden měsíc na vyřízení žádosti od jejího obdržení.
• Možné prodloužení o dva měsíce u složitých žádostí — ale oznámit je třeba ještě v původní lhůtě.
• Zpravidla bezplatně; poplatek jen u zjevně nedůvodné nebo nepřiměřené žádosti (čl. 12 odst. 5).

Bez odpovědi se žadatel obrací na úřad bez ohledu na to, zda jste údaje zpracovávali správně.

Když přijde podnět, rozhoduje, co dokážete doložit

Podnět může přijít interně — od zaměstnance, který má podezření na neoprávněné zpracování — nebo přímo na Úřad pro ochranu osobních údajů. V obou případech je první krok stejný: zjistit, co se skutečně stalo. Ne co si myslíme, že se stalo.

1. Zjištění skutkového stavu. Kdo k údajům přistupoval, na jakém právním základě, co o tom říkají logy a dokumentace.
2. Vyhodnocení. Zda k porušení došlo, v jakém rozsahu a zda vzniká ohlašovací povinnost vůči úřadu (čl. 33) nebo subjektům údajů (čl. 34).
3. Vyjádření. Připravené tak, aby obstálo — a doložené tím, co se zjistilo v prvním kroku.

Kde končí naše úloha

Pověřenec radí, monitoruje a je kontaktním bodem. Rozhoduje správce, ne pověřenec — a odpovědnost za zpracování zůstává jemu. Je to tak správně: role, která by rozhodovala i kontrolovala, by nekontrolovala nic. Proto pověřencem zpravidla nemůže být IT ředitel ani personalista — o účelech a prostředcích zpracování rozhodují téměř denně a byli by ve střetu zájmů (čl. 38 odst. 6).

Vykonáváme odborné poradenství a roli pověřence. Na základě plné moci zastupujeme klienta v komunikaci s dozorovým úřadem a při vyřizování podnětů subjektů údajů; rozsah zastupování se dohodne v konkrétním případě. Nejde o právní poradenství ani o zastupování advokátem.