Ochrana osobných údajov (GDPR)

Preberáme rolu zodpovednej osoby ako trvalú službu, nie ako jednorazovú kontrolu dokumentácie. Týka sa to organizácií, ktoré ju musia mať zo zákona, aj tých, ktoré si ju určili dobrovoľne — pri dobrovoľnom určení platia na nezávislosť rovnaké pravidlá ako pri povinnom.

Rovnako preberáme jednotlivé situácie bez trvalej role: keď príde žiadosť alebo podnet a interne na to nie je kapacita ani odstup.

Čo dostanete

• Kontaktný bod pre dotknuté osoby aj pre Úrad na ochranu osobných údajov — uvedený v dokumentácii a dostupný, keď sa niekto ozve.

• Vybavené žiadosti dotknutých osôb v zákonnej lehote vrátane posúdenia, či a v akom rozsahu sa im vyhovie.

• Záznam o spracovateľských činnostiach, ktorý zodpovedá systémom, aké naozaj prevádzkujete — nie tomu, ako to vyzeralo pri zavedení.

• Posúdenie vplyvu na ochranu údajov tam, kde je potrebné, aj s podkladom pre rozhodnutie vedenia.

• Podložené vyjadrenie k podnetu alebo ku kontrole, postavené na zistení skutkového stavu.

• Písomná správa pre vedenie o stave ochrany údajov — čo sa vyriešilo, čo zostáva otvorené a čo odporúčame na ďalšie obdobie.

Kedy má zmysel ozvať sa

• Rola je neobsadená alebo obsadená len formálne: meno v dokumentácii je, ale keď príde otázka, nemá kto odpovedať.

• Do schránky pristála žiadosť o prístup, výmaz alebo námietka a lehota beží od doručenia, nie odvtedy, keď si ju niekto všimne.

• Ozval sa úrad alebo zamestnanec s podozrením a treba vedieť, čo sa naozaj stalo, skôr než sa čokoľvek napíše.

Všetky tri sú aj s postupom rozobraté na stránke Zodpovedná osoba, žiadosti a podnety.

Školenie oprávnených osôb

Poučiť osoby, ktoré spracúvajú osobné údaje, musí prevádzkovateľ vždy. Ťažšia býva druhá časť: preukázať, že sa to stalo. Prezenčka z porady a tvrdenie, že sa o tom hovorilo, pri kontrole neobstoja rovnako dobre ako záznam ku konkrétnej osobe.

Čo dostanete. E-learningový kurz pre oprávnené osoby, ktorý sa končí záverečným testom, a ku každej osobe záznam o absolvovaní. Presne to, čo sa pri kontrole pýta.

Ako to beží. Kurz je dostupný priebežne, nie v termínoch. Nového zamestnanca zaškolíte, keď nastúpi — nie keď sa naplní najbližšia skupina. Spustenie a prehľad o tom, kto kurz absolvoval, má vo svojich rukách manažér vo vašej organizácii.

Pre zmluvných klientov je kurz súčasťou služby po celú dobu jej trvania. V nových zmluvách je dohodnutý priamo; klientom, s ktorými máme zmluvu uzavretú skôr, ho poskytujeme k službe rovnako.

Od júna 2025 do augusta 2026 kurz absolvovalo a záverečným testom ukončilo viac než 700 oprávnených osôb.

Kde nájdete podrobnosti

Táto stránka je prehľad služby a jej výstupov. Ak riešite konkrétnu situáciu alebo potrebujete zjednotiť ochranu údajov naprieč viacerými krajinami skupiny, celé je to rozpísané na stránke Zodpovedná osoba, žiadosti a podnety — vrátane toho, čo v role skutočne robíme a ako postupujeme, keď príde podnet.

Kde je hranica. Vykonávame odborné poradenstvo a rolu zodpovednej osoby. Na základe plnomocenstva zastupujeme klienta v komunikácii s Úradom na ochranu osobných údajov Slovenskej republiky a pri vybavovaní podnetov dotknutých osôb. Rozsah zastupovania sa dohodne v konkrétnom prípade. Nejde o právne poradenstvo ani o zastupovanie advokátom.

Neviete, kde začať? Šesť otázok o tom, čo sa u vás zmenilo, je v teste súladu. Výsledkom je zoznam toho, čo preveriť ako prvé — a uvidíte ho na obrazovke.

Zástupca v EÚ podľa čl. 27 GDPR

Poskytujeme službu zástupcu v EÚ pre prevádzkovateľov a sprostredkovateľov z tretích krajín, na ktorých sa vzťahuje GDPR. Zabezpečíme kontaktné miesto pre dotknuté osoby a dozorné orgány, pomôžeme s nastavením požadovanej dokumentácie a podporíme plnenie povinností podľa GDPR. Riešenie je prostredníctvom mandátnej zmluvy podľa čl. 27 GDPR.

Zástupcu netreba určiť v dvoch prípadoch (čl. 27 ods. 2 GDPR): ak je spracúvanie občasné, nezahŕňa vo veľkom rozsahu osobitné kategórie osobných údajov ani údaje o odsúdeniach a trestných činoch a nie je pravdepodobné, že povedie k riziku pre práva a slobody fyzických osôb — pri zohľadnení povahy, kontextu, rozsahu a účelu spracúvania. A ak ide o orgán verejnej moci alebo verejnoprávny subjekt.

Pre typickú SaaS spoločnosť, ktorá má zákazníkov v EÚ priebežne, prvá výnimka neplatí — spracúvanie nie je občasné.

Osem dcérskych spoločností, osem poradcov, žiadny prehľad

Typický stav nadnárodnej skupiny: každá krajina si našla vlastného poradcu, každý pracuje inou metodikou a v inom jazyku. Materská spoločnosť nevie, aký je skutočný stav — a zistí to až vtedy, keď v jednej krajine príde kontrola.

Čo to spôsobuje

Osem rôznych záznamov o spracovateľských činnostiach, ktoré sa nedajú porovnať. Rôzne doby uchovávania pre ten istý typ údajov. Zmluvy so sprostredkovateľmi v rôznej kvalite.

A pri incidente, ktorý zasiahne viac krajín naraz, nikto nevie povedať, kde všade tie údaje sú.

Čo umožňuje nariadenie

Článok 37 ods. 2 výslovne pripúšťa, aby skupina podnikov určila jednu spoločnú zodpovednú osobu — za podmienky, že je ľahko dostupná z každej prevádzkarne.

Nie je to teda obchádzka ani kompromis. Je to riešenie, s ktorým nariadenie počíta.

Čo to znamená v praxi

Jedna metodika, jeden formát

Záznamy, posúdenia vplyvu aj zmluvy podľa jednej šablóny naprieč krajinami. Materská spoločnosť porovnáva rovnaké s rovnakým.

Miestny jazyk, miestne právo

Dokumentácia pre dcérske spoločnosti v ich jazyku a podľa ich národnej úpravy — nariadenie je spoločné, vykonávacie zákony nie.

Jedna zmluva, jedno vykazovanie

Namiesto ôsmich dodávateľov jeden partner a jedna ročná správa pre vedenie skupiny o stave vo všetkých krajinách.

Skupina IOSEC pôsobí v ôsmich európskych krajinách — Slovensko, Česko, Poľsko, Maďarsko, Rakúsko, Nemecko, Rumunsko a Grécko. Kto smie v ktorej z nich vykonať audit a čo tam robíme my, je krajinu po krajine rozpísané v prehľade pre skupiny.

Nič akútne neriešite? Preverte, či je súlad ešte platný

Väčšina firiem zaviedla GDPR v roku 2018 a odvtedy sa k nemu nevrátila. Šesť otázok ukáže, čo konkrétne treba preveriť podľa toho, čo sa u vás medzitým zmenilo. Výsledok nie je „spĺňate / nespĺňate“ — nariadenie sa týka každého.

Kedy ste naposledy prešli GDPR dokumentáciu?

Nie kedy vznikla — kedy ste ju naposledy porovnali so skutočným stavom.

• V posledných 12 mesiacoch

• Pred jedným až dvoma rokmi

• Pred viac ako dvoma rokmi

• Od zavedenia sme sa k tomu nevrátili — dokumentácia je v pôvodnom stave

• Neviem

Prejsť na celý test →

Šesť vecí, ktoré dokumentáciu z roku 2018 spoľahlivo zneplatnia

Nie sú to hypotézy. Toto sú zmeny, ktoré pri preskúmaniach nachádzame najčastejšie — a ktoré si firmy samy nespoja s ochranou osobných údajov.

Zmena zodpovednej osoby

Človek, ktorý agendu preberal, odišiel. Kontakt v dokumentácii aj na webe zostal starý — a dotknutá osoba píše do prázdna, kým jej beží lehota.

Nový systém, ktorý nikto nezaevidoval

Nové CRM, dochádzka alebo HR softvér. Záznam o spracovateľských činnostiach podľa čl. 30 ho nepozná, hoci beží dva roky.

Presun do cloudu

Zmenil sa poskytovateľ, umiestnenie údajov, prípadne pribudol prenos mimo EÚ. Zmluva podľa čl. 28 s tým nepočíta.

AI nástroje v rukách zamestnancov

Do jazykových modelov sa vkladajú životopisy, e-maily zákazníkov aj zdravotné údaje — vo väčšine firiem bez pravidla a bez vedomia vedenia.

Noví dodávatelia

Účtovníctvo, mzdy, marketingová agentúra, externé IT. Každý z nich je sprostredkovateľ — a potrebuje zmluvu, nie len faktúru.

Kamery a monitoring

Pribudol kamerový systém alebo sledovanie výkonu. Chýba posúdenie vplyvu, informačná povinnosť aj označenie priestoru.