Kdy firma potřebuje pověřence pro ochranu osobních údajů?

Tři podmínky, které o povinnosti rozhodují

Povinnost jmenovat pověřence nevzniká podle velikosti firmy ani obratu, ale podle povahy zpracování osobních údajů. Nařízení GDPR v článku 37 stanoví tři samostatné podmínky a stačí splnit jednu z nich.

1. Orgán veřejné moci nebo veřejný subjekt · týká se úřadů, škol zřizovaných obcí, nemocnic v přímém řízení státu či samosprávy. Výjimkou jsou soudy při výkonu soudní pravomoci.
2. Hlavní činnost spočívá v rozsáhlém a systematickém monitorování osob · typicky online reklamní sítě, poskytovatelé lokalizačních služeb, telekomunikační operátoři nebo firmy provozující věrnostní programy s profilováním.
3. Hlavní činnost spočívá v rozsáhlém zpracování citlivých údajů · zdravotní, genetické, biometrické údaje, údaje o sexuální orientaci, členství v odborech nebo údaje o trestných činech, a to ve velkém rozsahu.

Klíčové slovo ve druhé i třetí podmínce je „hlavní činnost“ a „rozsáhlost“ · vedlejší nebo příležitostné zpracování povinnost nezakládá.

Co znamená rozsáhlé systematické monitorování

Systematické monitorování znamená, že sledování osob je organizované, opakující se a probíhá podle předem daného plánu · nejde o jednorázovou akci. Patří sem online sledování chování uživatelů (cookies pro profilování, retargeting jako hlavní byznys), geolokační sledování vozidel či zaměstnanců, kamerové systémy s rozpoznáváním osob nebo scoring klientů v bankovnictví a pojišťovnictví.

Rozsáhlost se posuzuje podle několika hledisek současně: počtu dotčených osob (v absolutním čísle i v poměru k celkové populaci), objemu zpracovávaných údajů, doby trvání zpracování a geografického rozsahu. Neexistuje pevně daný práh počtu subjektů, od kterého je zpracování „rozsáhlé“ · posuzuje se komplexně. E-shop, který používá běžný remarketing přes reklamní platformy jako doplněk k prodeji zboží, obvykle podmínku nesplňuje, protože sledování návštěvníků není jeho hlavní činností. Naopak firma provozující vlastní analytickou platformu pro sledování chování milionů uživatelů napříč weby už do této kategorie typicky spadá.

Kdy jde o zpracování citlivých údajů ve velkém rozsahu

Rozsah se u citlivých údajů posuzuje podobně jako u monitorování · podle počtu subjektů, objemu dat a doby zpracování. Praktický rozdíl bývá mezi jednotlivcem a institucí: samostatně praktikující lékař nebo advokát zpracovává zdravotní či citlivé údaje svých klientů, ale typicky ne ve velkém rozsahu, takže pověřence nepotřebuje. Nemocnice, síť klinik, laboratoř zpracovávající vzorky pro více zdravotnických zařízení nebo pojišťovna evidující zdravotní stav klientů už rozsáhlé zpracování obvykle naplňují.

Modelový příklad: fiktivní firma FitTrack s.r.o. z Brna provozuje mobilní aplikaci, která sbírá biometrická data (tep, spánek, poloha) od statisíců uživatelů po celé republice a údaje dále analyzuje pro personalizované zdravotní doporučení. Taková firma splňuje třetí podmínku článku 37 a pověřence mít musí. Naopak malá účetní kancelář zpracovávající mzdové údaje dvaceti klientských firem povinnost nemá, protože nejde o citlivé údaje ani o monitorování jako hlavní činnost.

Co dělat, když firma povinnost nemá

I bez zákonné povinnosti může firma pověřence jmenovat dobrovolně · GDPR to umožňuje a v některých odvětvích (zdravotnictví, HR technologie, finanční služby) to dává praktický smysl kvůli komplexnosti zpracování. Pokud pověřence nemá, měla by mít alespoň jasně určenou odpovědnou osobu pro otázky ochrany údajů a interní dokumentaci, proč se podmínky článku 37 na ni nevztahují · při kontrole ze strany Úřadu pro ochranu osobních údajů je to první věc, kterou kontrolor ověřuje. V auditech CIAD se opakovaně ukazuje, že firmy toto rozhodnutí buď neprovedly vůbec, nebo si ho neumí obhájit záznamem.

Pověřence lze zajistit interně (zaměstnanec s odpovídající odborností a nezávislostí) nebo externě formou služby DPO na základě smlouvy · GDPR obě varianty výslovně připouští.

Co to znamená: Rozhodnutí o povinnosti mít pověřence není formalita, ale právní analýza povahy a rozsahu zpracování, kterou by měla firma provést a zdokumentovat bez ohledu na výsledek.