Bez ohľadu na to, aké výhody sú spojené s prechodom na bezpapierovú spoločnosť, každá firma musí dbať na bezpečnosť firemných dokumentov. Starostlivo musí posúdiť nielen to, ktoré dokumenty bude ukladať interne na vlastných serveroch a ktoré do cloudu, ale osobitnú pozornosť musí spoločnosť venovať i požiadavkám na spracovanie dokumentov vyplývajúcim z platnej právnej úpravy. Mnoho z firemných dokumentov obsahuje osobné údaje fyzických osôb, či dokonca aj tzv. citlivé osobné údaje. Získavanie a spracovanie osobných údajov je regulovanou oblasťou a podlieha osobitnému režimu upravenému v zákone č. 122/2013 Z. z. o ochrane osobných údajov, z ktorého pre prevádzkovateľa informačného systému osobných údajov vyplývajú viaceré povinnosti. Napríklad, v prípade ak sa firma rozhodne využívať cloudové služby a poverí spracovávaním dokumentov obsahujúcich osobné údaje inú spoločnosť, na poskytovateľa cloudových služieb sa budú vzťahovať povinnosti sprostredkovateľa v zmysle zákona na ochranu osobných údajov. Prevádzkovateľ je povinný pri výbere sprostredkovateľa vykonať dôkladnú analýzu rizík a posúdiť výhody a nevýhody jednotlivých poskytovateľov, z čoho vyplýva, že v prípade bezpečnostného incidentu primárnu zodpovednosť za spracovanie osobných údajov nesie prevádzkovateľ. Okrem toho, s každým sprostredkovateľom musí mať prevádzkovateľ uzavretú písomnú zmluvu, ktorá bude obsahovať všetky zákonom predpísané povinné náležitosti a je vhodné do zmluvy zahrnúť i ustanovenia týkajúce sa nastavenia vzájomných práv a povinností.

Komplikovanejšia situácia nastáva pri cezhraničnom prenose osobných údajov, najmä ak poskytovateľ cloudu má sídlo mimo EÚ, resp. v krajine, ktorá je Európskou komisiou označená ako krajina neposkytujúca primeranú úroveň ochrany osobných údajov. Pri cezhraničnom prenose teda môže nastať situácia, že na používateľa a poskytovateľa cloudu sa budú vzťahovať rôzne právne poriadky. Otázka určenia právnych predpisov, ktoré sa budú na cezhraničný prenos osobných údajov vzťahovať, môže byť značne komplikovaná a bude závisieť od posúdenia konkrétnych okolností.

Túto situáciu by malo sprehľadniť nové nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679, ktoré vstúpi do účinnosti dňa 25. mája 2018. Nové nariadenie si kladie za cieľ zjednotiť právnu úpravu ochrany osobných údajov v členských krajinách Európskej únie so zameraním na zvýšenú ochranu práv dotknutých osôb. Vo všeobecnosti sa zavádza princíp „európskych pravidiel na európskej pôde“ i pre zahraničné spoločnosti ponúkajúce svoje služby v Európe. Nové nariadenie so sebou prináša mnoho zmien, na ktoré sa musia všetky firmy s časovým predstihom pripraviť. Okrem toho, že zodpovednosť za prijatie dostatočných bezpečnostných opatrení a posúdenie rizika i naďalej znáša samotný prevádzkovateľ,  nariadenie zavádza i mechanizmy na dôraznejšie presadzovanie pravidiel v oblasti ochrany osobných údajov, za porušenie ktorých môže príslušný správny orgán uložiť sankciu až do výšky 4 % celkového ročného obratu. Nastavenie týchto vzťahov si v zložitých prípadoch bude vyžadovať i konzultácie s odborníkmi z IT a práva.

Katarína Kasalová,
advokát

Malata, Pružinský, Hegedüš & Partners s. r. o.

Apollo Business Center II
Prievozská 4/B
821 09 Bratislava

Tel.: +421 2 321 130 31
Fax: +421 2 321 441 48
email: office@mph-advocates.com

© EPRAVO.SK – Zbierka zákonov, judikatúra, právo | www.epravo.sk