Vzťah prevádzkovateľ a sprostredkovateľ v oblasti ochrany osobných údajov- systém objednávok
Prevádzkovateľ má možnosť spracúvať osobné údaje (t.j. vykonávať spracovateľské operácie s osobnými údajmi) prostredníctvom:
- vlastných oprávnených osôb (najmä svojich zamestnancov) alebo
- prostredníctvom externého subjektu (sprostredkovateľa).
„Sprostredkovateľom je každý, kto spracúva osobné údaje v mene prevádzkovateľa.“ Teda fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý spracúva osobné údaje v mene prevádzkovateľa.
Dôležité je, aby sprostredkovateľ vykonával spracúvanie osobných údajov (t.j. spracovateľské operácie s osobnými údajmi) , ktoré mu poskytne, resp. sprístupní, prevádzkovateľ, v jeho mene.
Sprostredkovateľom môže byť :
- externá účtovná firma (napr. objednávky ako podklady k faktúram),
- externá firma poskytujúca služby cloudu (automatizácia procesov pri systéme objednávok, úložisko dát- uchovávanie je spracovateľská operácia),
Sprostredkovateľ spracúva osobné údaje, ktoré mu poskytne, resp. sprístupní, prevádzkovateľ:
- na účel, ktorý je totožný s účelom prevádzkovateľa a
- na právnom základe prevádzkovateľa (t.j. sprostredkovateľ nemá osobitný právny základ od prevádzkovateľa odlišný, ale spracúvanie osobných údajov vykonáva na základe podmienok a prostriedkov, ktoré určil prevádzkovateľ, alebo ktoré prevádzkovateľovi ustanovuje napríklad osobitný zákon).
Čo sa týka rozsahu spracúvaných osobných údajov sprostredkovateľom v mene prevádzkovateľa, tento nesmie byť širší ako je rozsah u samotného prevádzkovateľa. Predpokladá sa, že osobné údaje prevádzkovateľ získal a spracúva na legálnom právnom základe.
V súlade so zásadou zodpovednosti za spracúvanie osobných údajov zodpovedá vždy prevádzkovateľ, t.j. aj za spracúvanie osobných údajov sprostredkovateľom.
Sprostredkovateľ pri spracúvaní osobných údajov v mene prevádzkovateľa sám zodpovedá len za tie povinnosti, ktoré sú sprostredkovateľovi Nariadením GDPR/ zákonom o ochrane osobných údajov priamo uložené, napríklad:
- – vedenie záznamov o kategóriách spracovateľských činností,
- – poskytovanie súčinnosti Úradu na ochranu osobných údajov Slovenskej republiky,
- – povinnosť prijatia primeraných a účinných bezpečnostných opatrení atď.
Ak sa sprostredkovateľ odchýli od pokynov prevádzkovateľa alebo bude spracúvanie osobných údajov vykonávať inak, ako bolo dohodnuté, stáva sa na účely GDPR/ zákona o ochrane osobných údajov sám prevádzkovateľom a zodpovedá aj za prípadné škody, ktoré takýmto spracúvaním dotknutým osobám vzniknú.
Právna úprava nevylučuje, aby subjekt mal postavenie sprostredkovateľa, kedy vykonáva spracovateľské operácie v mene prevádzkovateľa, ako aj postavenie prevádzkovateľa pre svoje vlastné spracovateľské operácie, ktoré vykonáva vo svojom mene.
Sprostredkovateľ spracúva osobné údaje na základe:
- zmluvy, alebo
- iného právneho aktu.
Bez ohľadu na to, či pôjde o zmluvu, alebo iný právny akt, vždy sa bude vyžadovať :
- preukázateľnosť zmluvy/ právneho aktu a
- po obsahovej stránke zákonné náležitosti