„Záznam o poučení oprávnenej osoby“ pre systém objednávok prevádzkovaný predajcom ako prevádzkovateľom pre účely ochrany osobných údajov
Pred účinnosťou Nariadenia GDPR/ zákona č. 18/2018 Z. z. o ochrane osobných údajov
Pred účinnosťou nariadenia GDPR a zákona č. 18/2018 Z. z. o ochrane osobných údajov, teda pred 25.májom 2018, prevádzkovateľ spracúval osobné údaje fyzických osôb prostredníctvom svojich „oprávnených osôb“.
Zákonná definícia „oprávnených osôb“ znela:
-„oprávnenou osobou“ je každá fyzická osoba, ktorá prichádza do styku s osobnými údajmi v rámci svojho pracovnoprávneho vzťahu, štátnozamestnaneckého pomeru, služobného pomeru, členského vzťahu, na základe poverenia, zvolenia alebo vymenovania, alebo v rámci výkonu verejnej funkcie, a ktorá spracúva osobné údaje v rozsahu a spôsobom určeným v poučení.
- aj konateľ, ktorý prichádza pri plnení svojich povinností do styku s osobnými údajmi fyzických osôb (napr. zákazníkov/ klientov v systéme objednávok), je oprávnenou osobou (napr. má právo prehliadať a vyhľadávať v systéme objednávok)
- aj člen orgánu obchodnej spoločnosti, ktorý prichádza pri plnení svojich povinností do styku s osobnými údajmi fyzických osôb (napr. zákazníkov/ klientov v systéme objednávok), je oprávnenou osobou (napr. v prípade potreby môže prehliadať údaje v systéme objednávok)
- aj externá zodpovedná osoba poverená prevádzkovateľom, ktorá prichádza pri plnení svojich povinností do styku s osobnými údajmi fyzických osôb (napr. zákazníkov/ klientov v systéme objednávok), je oprávnenou osobou (napr. v prípade vnútornej kontroly môže prehliadať údaje v systéme objednávok)
- aj vymenovaný generálny riaditeľ, ktorý prichádza do styku s osobnými údajmi fyzických osôb (napr. zákazníkov/ klientov spracúvanými v systéme objednávok), je oprávnenou osobou (napr. má právo prehliadať a vyhľadávať v systéme objednávok)
Terajší právny stav
K tomuto pojmu „oprávnené osoby“ je potrebné uviesť, že nariadenie GDPR ani zákon č. 18/2018 Z. z. o ochrane osobných údajov už priamo nedefinujú tento pojem na rozdiel od predchádzajúcej právnej úpravy.
Že i naďalej existuje táto skupina osôb pre účely ochrany osobných údajov vyplýva z čl. 29 a čl. 32 ods. 4 nariadenia GDPR, resp. § 36 a § 39 ods. 4 zákona č. 18/2018 Z. z. o ochrane osobných údajov, kde sa ustanovuje, že každá osoba konajúca na základe poverenia prevádzkovateľa (touto sa môže rozumieť tiež oprávnená osoba konajúca za prevádzkovateľa), ktorá má prístup k osobným údajom, môže spracúvať tieto údaje len na základe pokynov prevádzkovateľa.
Teda v praxi možno i naďalej používať pojem „oprávnená osoba“, pod ktorým sa bude v súlade s novou právnou úpravou rozumieť: každá osoba konajúca na základe poverenia prevádzkovateľa, ktorá má prístup k osobným údajom spracúvaným prevádzkovateľom a spracúva tieto údaje len na základe pokynov prevádzkovateľa.
V nadväznosti na uvedené prevádzkovateľ je povinní zabezpečiť, aby fyzická osoba konajúca za prevádzkovateľa, ktorá má prístup k osobným údajom v konkrétnych podmienkach prevádzkovateľa,
- bola poverená spracúvaním osobných údajov a
- spracúvala tieto údaje len na základe pokynov prevádzkovateľa alebo podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná a
- bola poučená o mlčanlivosti.
Toto musí prevádzkovateľ zabezpečiť preukázateľným spôsobom.
ODPORÚČANÝ VZOR
Identifikačné údaje prevádzkovateľa: …………
„Oprávnená osoba“: ………..
Osoba, ktorá poučenie vykonala: ……………….
- POVERENIE ………………..
- ZARADENIE DO PROCESU (určenie spracovateľskej činnosti a spracovateľských operácií[1], ktoré oprávnená osoba bude vykonávať v systéme objednávok)
- pri určení spracovateľskej činnosti vychádzať z vypracovaného „Záznamu o spracovateľských činnostiach” ………………………………………. (pozn. k Záznamu o spracovateľských činnostiach: právnym základom pre spracúvanie osobných údajov v systéme objednávok bude existencia predzmluvného a zmluvného vzťahu s dotknutou osobou)
- pri určení spracovateľských operácií vychádzať z „Katalógu spracovateľských operácií“, resp. iného interného dokumentu, ktorý mapuje proces spracúvania osobných údajov v konkrétnom systéme objednávok prevádzkovanom konkrétnym prevádzkovateľom …………………………………… (teda od získania osobných údajov na ďalšie spracúvanie, napr. ich zaznamenávanie, zhromažďovanie, uchovávanie, opravy a zmeny, prehliadanie, vyhľadávanie, poskytovanie, obmedzovanie, až po bezpečnú likvidáciu)
- KONKRÉTNE POKYNY (v nadväznosti na bod 2.)
- prípustná aj možnosť odvolávky na platné interné predpisy a existujúce zdokumentované pokyny prevádzkovateľa, ktoré súvisia so spracúvaním osobných údajov v systéme objednávok ……………………………… (pozn.: osoba spracúva údaje len na základe pokynov prevádzkovateľa alebo podľa osobitného predpisu alebo medzinárodnej zmluvy, ktorou je Slovenská republika viazaná
- POUCENIE O MLČANLIVOSTI PRI SPRACÚVANÍ OSOBNÝCH ÚDAJOV
- podľa § 79 zákona č. 18/2018 Z. z. o ochrane osobných údajov ……………………….
- POVINNOSTI OPRÁVNENEJ OSOBY
- dodržiavať súvisiace interné predpisy a príkazy súvisiace so spracúvaním osobných údajov v podmienkach prevádzkovateľa, a to: ……………………………………………………….
- PRÍLOHY:
- neoddeliteľnou prílohou je tzv. „Katalóg spracovateľských operácií“, resp. iný interný dokument, mapujúci proces spracúvania osobných údajov v systéme objednávok (dôležité pre bod 2. tohto poučenia)
V ………………………………………………………, dňa ………………………….
………………………………………. ………………………………………………………….. podpis oprávnenej osoby podpis osoby, ktorá poučenie vykonala
[1] Vypracovaný tzv. „Katalóg spracovateľských operácií“, resp. iný interný dokument mapujúci proces spracúvania osobných údajov