Prišla vám žiadosť, podnet alebo kontrola? Nemusíte to riešiť sami.

Lehota je jeden mesiac od doručenia, predĺžiteľná o ďalšie dva pri zložitých žiadostiach — o predĺžení však treba dotknutú osobu informovať ešte v pôvodnej mesačnej lehote. Bez odpovede sa žiadateľ obracia na úrad bez ohľadu na to, či ste údaje spracúvali správne.

Ozvite sa čo najskôr. Toto je situácia, kde je krátka konzultácia na začiatku lacnejšia než náprava na konci.

Povinne ju musia mať orgány verejnej moci, organizácie, ktorých hlavnou činnosťou je rozsiahle systematické monitorovanie dotknutých osôb, a tie, ktoré rozsiahle spracúvajú osobitné kategórie údajov — typicky zdravotné.

Mnohé firmy si ju určia dobrovoľne. Pozor na dôsledok: dobrovoľne určená zodpovedná osoba má rovnaké postavenie a rovnaké požiadavky na nezávislosť ako povinná.

Spravidla nie. Zodpovedná osoba nesmie byť v konflikte záujmov — nemôže rozhodovať o účeloch a prostriedkoch spracúvania, ktoré má zároveň kontrolovať. IT riaditeľ aj personálny manažér o nich rozhodujú takmer denne.

Pri väčších organizáciách sa rieši vyčlenením samostatnej pozície, pri menších je externá rola spravidla jediné čisté riešenie.

Odpovedať áno, ale až keď viete, čo sa stalo. Vyjadrenie, ktoré sa neskôr ukáže ako nepresné, poškodí vec viac než pôvodné pochybenie — a nedá sa vziať späť.

Prvý krok je zistenie skutkového stavu: kto k údajom pristupoval, na akom právnom základe a čo o tom hovoria logy. Až potom právne posúdenie a vyjadrenie. Preukázaná náprava má pri posudzovaní podstatne inú váhu než prísľub nápravy.

Nie. Článok 37 ods. 2 nariadenia výslovne pripúšťa, aby skupina podnikov určila jednu spoločnú zodpovednú osobu — pod podmienkou, že je ľahko dostupná z každej prevádzkarne. Dostupnosť sa v praxi rieši jazykom komunikácie, časovou dostupnosťou a tým, že zamestnanci aj dotknuté osoby v každej krajine vedia, na koho sa obrátiť.

Nariadenie je spoločné pre celú Úniu, ale vykonávacie zákony sa v jednotlivých štátoch líšia — napríklad v úprave spracúvania údajov zamestnancov. Preto spoločná zodpovedná osoba nestačí sama osebe; potrebuje mať v každej krajine oporu v miestnom práve.

Stačila by, keby sa u vás odvtedy nič nezmenilo. GDPR nevyžaduje pravidelný audit ako zákon o kybernetickej bezpečnosti — vyžaduje však, aby dokumentácia zodpovedala skutočnému stavu. Záznam o spracovateľských činnostiach, ktorý nepozná systém bežiaci dva roky, túto podmienku nespĺňa.

Áno, a viac, než sa zdá. Väčšina bezpečnostných opatrení podľa zákona o kybernetickej bezpečnosti sú zároveň „primerané technické a organizačné opatrenia“, ktoré vyžaduje GDPR — hodnotenie rizík sa dá spraviť raz pre obe.

Zásadnejší je prekryv pri incidente: jedna udalosť môže znamenať hlásenie NBÚ aj Úradu na ochranu osobných údajov, s odlišnými lehotami. Postup pri incidente má preto obsahovať obe cesty.

Nariadenie skutočne pozná pokutu do 20 mil. € alebo 4 % celosvetového obratu. Pre slovenskú firmu strednej veľkosti to však nie je realistický scenár — a stránky, ktoré ním otvárajú, si to väčšinou neoverili.

Čo sa naozaj stáva: konanie sa spustí z podnetu — od zamestnanca, bývalého zamestnanca, klienta alebo konkurenta. Úrad si vyžiada dokumentáciu. Ak nesedí s realitou, začína sa dokazovanie a s ním mesiace práce.

Čo bolí viac než pokuta: čas vedenia strávený konaním, odklad tendra kvôli nedoloženému súladu a povinnosť oznámiť porušenie dotknutým osobám. Reputačná škoda býva drahšia než sankcia.

Šesť otázok o tom, čo sa u vás od zavedenia zmenilo. Výsledkom je zoznam toho, čo preveriť ako prvé — uvidíte ho na obrazovke a môžeme vám ho poslať aj e-mailom.

Test súladu — šesť otázok →

Plošný zákaz sa v praxi obchádza a vy stratíte prehľad úplne. Funguje opačný postup: zistiť, čo sa reálne používa, vybrať schválený nástroj so zmluvou podľa čl. 28, stanoviť jasné pravidlo, čo sa doň smie a nesmie vkladať, a zamestnancov vyškoliť.

Rovnakú logiku bude vyžadovať aj AI Act, takže sa práca nerobí dvakrát.