Osoba zodpovedná za ochranu osobných údajov u podnikateľa po novom

Po mierne predĺženom legislatívnom procese, keď Národnou radou Slovenskej republiky schválený nový zákon o ochrane osobných údajov prezident SR nepodpísal a vrátil ho do parlamentu s pripomienkami, nadobudne po ich zapracovaní a opätovnom schválení parlamentom nový zákon účinnosť dňa 1. júla 2013.

Nový zákon nanovo definuje niektoré už známe právne inštitúty. Jedným z nich je aj inštitút zodpovednej osoby a jej celkového postavenia u prevádzkovateľa, za ktorého sa považuje každý, kto sám alebo spolu s inými vymedzí účel spracúvania osobných údajov, určí podmienky ich spracúvania a spracúva osobné údaje vo vlastnom mene (§ 4 ods. 2 písm. b) nového zákona). Takže v zásade každý podnikateľ.

Primárnou otázkou, ktorú si podnikateľ v kontexte nového zákona musí klásť je, či má povinnosť mať osobu zodpovednú za ochranu osobných údajov, na ktorú prenesie z veľkej časti bremeno dohľadu nad ochranou osobných údajov alebo bude povinný tento dohľad podľa nového zákona vykonávať on sám resp. jeho štatutárny orgán.

Kto sa bude po novom považovať za zodpovednú osobu určuje ustanovenie § 23 nového zákona. V zmysle novej právnej úpravy platí, že ak prevádzkovateľ spracúva osobné údaje prostredníctvom viac ako 20 oprávnených osôb, je povinný najneskôr v lehote 60 dní od začatia spracúvania výkonom dohľadu písomne poveriť zodpovednú osobu alebo viaceré zodpovedné osoby, ktoré dozerajú na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov. V opačnom prípade musí prihlásiť na Úrade pre ochranu osobných údajov na registráciu tie informačné systémy, ktoré registrácii podliehajú.

Rozmeňme si to na drobné. Zodpovednú osobu musí mať prevádzkovateľ, ktorý má aspoň 20 oprávnených osôb. Za oprávnenú osobu sa podľa § 4 ods. 2 písm. e) nového zákona považuje každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovného pomeru, služobného pomeru, členského vzťahu, na základe poverenia, zvolenia alebo vymenovania a ktorá zároveň tieto osobné údaje aj spracúva na základe a v rozsahu poučenia prevádzkovateľa. Počítajú sa všetky tie osoby, ktoré majú s prevádzkovateľom nejaký z vyššie uvedených právnych vzťahov, aj napr. študent na brigáde, ktorý vkladá do počítača podnikateľom zozbierané osobné údaje.

Ak máte 20 a viac oprávnených osôb, ste zo zákona povinný písomne poveriť zodpovednú osobu. Musí ísť o fyzickú osobu s neobmedzenou spôsobilosťou na právne úkony. Táto osoba nemusí byť vo vzťahu k Vašej spoločnosti v pracovnom ani inom pomere, môže ísť aj o externého spolupracovníka, ktorý takéto poradenstvo vykonáva profesionálne. Ďalšou podmienkou je jej bezúhonnosť, ktorá sa preukazuje výpisom z registra trestov nie staršom ako tri mesiace ku dňu poverenia. A v neposlednom rade nemôže byť zodpovednou osobou štatutár (konateľ) ani člen štatutárneho orgánu (člen predstavenstva).

Písomné poverenie zodpovednej osoby musí obsahovať identifikačné údaje prevádzkovateľa a zodpovednej osoby, dátum začiatku platnosti poverenia, vyhlásenie prevádzkovateľa o tom, že poverená osoba spĺňa všetky predpoklady podľa nového zákona, číslo potvrdenia o absolvovaní skúšky a dátum vydania potvrdenia, výslovný súhlas s poverením vrátane podpisu poverenej zodpovednej osoby, pečiatka, dátum a podpis prevádzkovateľa resp. jeho oprávneného zástupcu. Prílohou poverenia musí byť aj písomný záznam o poučení poverenej zodpovednej osoby ako osoby oprávnenej.

Pred samotným poverením teda musí zodpovedná osoba absolvovať skúšku, o ktorú si podá žiadosť na oficiálnom tlačive Úradu najneskôr 10 pracovných dní pred jej konaním. Podrobnosti o nej stanoví pripravovaná vykonávacia vyhláška. Skúšku bude organizovať Úrad, a to aj mimo svojho sídla, zrejme formou testu pozostávajúceho z tridsiatich otázok. Termíny skúšok zverejní Úrad na svojom webovom sídle. Navrhuje sa, aby skúška bola bezplatná. Skúšku bude síce možné opakovať, avšak len jedenkrát ročne.

Toto všetko je potrebné stihnúť do 60 dní od začatia spracúvania osobných údajov. Do 30 dní od poverenia zodpovednej osoby musíte Úrad o jej poverení písomne informovať, pričom náležitosti tejto notifikácie sú uvedené v § 25 ods. 2 nového zákona. Tento jediný doklad zasielate na Úrad.

Zákon uvádza, že prevádzkovateľ môže mať aj viac zodpovedných osôb. Aplikačná prax si pravdepodobne v mnohých prípadoch vyžiada ustanovenie viacerých osôb, napr. v prípadoch, keď jedna právnická osoba má napr. niekoľko odštepných závodov, ktoré sa považujú za samostatných prevádzkovateľov.

Ak Vás náhodou navštívia z Úradu za účelom kontroly, určite majte ohľadom Vašej zodpovednej osoby pripravené platné potvrdenie Úradu o absolvovaní skúšky, výpis z registra trestov nie starší ako 3 mesiace ku dňu poverenia, samotné písomné poverenie, záznam o jej poučení ako oprávnenej osoby (keďže má postavenie oprávnenej osoby) a doklad o informovaní Úradu o jej poverení (napr. podací lístok).

Zdajú sa Vám vyššie uvedené povinnosti ohľadom ustanovenia zodpovednej osoby náročné na realizáciu? Nový zákon s tým počíta a stanovuje 12-mesačné prechodné obdobie, v ktorom ste povinní tieto povinnosti zosúladiť s novým právnym stavom, a preto nanovo písomne poveriť zodpovednú osobu a jej poverenie oznámiť Úradu.

Vrelo odporúčame ustanovenia nového zákona dodržiavať, nakoľko sankcie za porušovanie povinností nie sú malé a sú obligatórne. Úrad je tak po novom v prípade zistenia pochybenia na strane prevádzkovateľa alebo na strane zodpovednej osoby povinný pokutu naozaj uložiť, a to v závislosti od porušenia povinnosti až do výšky 300.000 eur pre prevádzkovateľa resp. 3.000 eur priamo zodpovednej osobe. Ak bude zodpovedná osoba pokutovaná opakovane, nemôže ďalej byť v zmysle nového zákona zodpovednou osobou.

Ak zistíte, že nemáte dostatočný počet oprávnených osôb a zodpovednú osobu preto v zmysle nového zákona poveriť nemôžete, ste povinný svoj informačný systém registrovať na Úrade (za správny poplatok vo výške 20 eur a v prípade osobitnej registrácie 50 eur), avšak len v prípade, že nepodlieha zákonnej výnimke.

Mgr. Katarína Babiaková, LL.M.