Source: https://www.finapconsulting.sk/clanky/osobne-udaje-zamestnancov-a-povinnosti-zamestnavatela-pri-ich-spracuvani-podla-gdpr-(4-cast)/
Timestamp: 2019-11-22 08:36:44+00:00

Document:
Osobné údaje zamestnancov a povinnosti zamestnávateľa pri ich spracúvaní podľa GDPR (4. časť) – FINAP Consulting
19. 4. 2018 Ochrana osobných údajov Čas čítania: 5 min.
V 3. časti článku sme si povedali, kto a na základe akých pokynov môže spracúvať osobné údaje zamestnancov, kto je zodpovedná osoba a ktorý zamestnávateľ musí mať vypracované záznamy o spracovateľských činnostiach vrátane ich obsahu.
Posúdenie vplyvu na ochranu osobných údajov (čl. 35 a čl. 36 GDPR, § 42 a § 43 zákona)
Povinnosť posúdiť vplyv na ochranu osobných údajov prevádzkovateľovi vzniká, ak typ spracúvania osobných údajov, najmä s využitím nových technológií, môže viesť k vysokému riziku pre práva a slobody fyzických osôb (diskriminácia, podvod, strata dobrého mena, majetková alebo nemajetková ujma, atď.).
Posúdeniu predchádza analýza osobných údajov (povaha, kontext, rozsah a účel spracúvania) a musí sa vykonať ešte pred ich spracúvaním. Je potrebné si uvedomiť, že nejde o jednorazovú činnosť, ale o proces, preto posúdenie by sa malo vykonávať pravidelne a v prípade akejkoľvek zmeny v spracúvaní osobných údajov.
Posúdenie vplyvu by malo zahŕňať najmä plánované opatrenia, záruky a mechanizmy na zmiernenie daného rizika, na zabezpečenie ochrany osobných údajov a na preukázanie súladu s týmto nariadením.
Ak si zamestnávateľ nie je istý, či je potrebné posúdiť konkrétnu spracovateľskú operáciu, odporúča sa, aby posúdenie radšej vykonal.
Posúdenie vplyvu na ochranu osobných údajov sa vyžaduje najmä, ak ide o:
spracúvanie značného objemu osobných údajov (napríklad na regionálnej, vnútroštátnej alebo nadnárodnej úrovni), ktoré by mohli ovplyvniť veľký počet dotknutých osôb a ktoré pravdepodobne povedú k vysokému riziku,
spracúvanie vo veľkom rozsahu osobitných kategórií osobných údajov alebo osobných údajov týkajúcich sa uznania viny za spáchanie trestného činu alebo priestupku,
systematické a rozsiahle hodnotenie osobných znakov alebo charakteristík dotknutej osoby, ktoré je založené na automatizovanom spracúvaní osobných údajov vrátane profilovania,
systematické monitorovanie verejne prístupných miest vo veľkom rozsahu.
Posúdenie sa teda týka najmä orgánov verejnej správy, nadnárodných korporácií, bánk, poisťovní, polikliník a nemocníc, nákupných centier, MHD, medzinárodné siete obchodov. V menších spoločnostiach sa to môže týkať napr. ak zamestnávateľ monitoruje zamestnancov (ich prácu na PC, činnosť na internete).
Pre súbor podobných spracovateľských operácií, ktoré predstavujú podobné vysoké riziko, postačí jedno posúdenie.
systematický opis plánovaných spracovateľských operácií,
účel spracúvania osobných údajov vrátane uvedenia prípadného oprávneného záujmu prevádzkovateľa, ak je právnym základom oprávnený záujem,
posúdenie rizika pre práva dotknutej osoby,
opatrenia na elimináciu rizík vrátane záruk, bezpečnostných opatrení a mechanizmov na zabezpečenie ochrany osobných údajov.
Ak sa na základe posúdenia vplyvu ukáže, že spracovateľské operácie zahŕňajú vysoké riziko pre práva a slobody fyzických osôb, ktoré prevádzkovateľ nemôže zmierniť prijatím primeraných opatrení, bude prevádzkovateľ povinný uskutočniť pred spracúvaním osobných údajov konzultáciu s Úradom na ochranu osobných údajov.
Úrad vypracuje zoznam spracovateľských operácií, ktoré nepodliehajú posúdeniu.
Bezpečnostné opatrenia a bezpečnostná dokumentácia (recitály 85 až 88, čl. 32 až čl. 34 GDPR, § 39 zákona)
Každý prevádzkovateľ je povinný prijať primerané technické a organizačné opatrenia, aby bola zaistená úroveň zabezpečenia zodpovedajúca danému riziku. Podľa novej legislatívy nie je (aspoň zatiaľ) jasné, čo možno považovať za takéto opatrenia. Pokiaľ mal zamestnávateľ vypracované Bezpečnostné opatrenia resp. Bezpečnostný projekt, môže vychádzať z tejto dokumentácie.
Nastavovanie procesov a postupov ochrany osobných údajov prevádzkovateľ uskutočňuje už v čase, keď osobné údaje, ich stav, tok a bezpečnosť (informačnú, fyzickú a objektovú, personálnu) analyzuje. V závislosti od výsledkov analýz navrhuje štandardnú ochranu, ale aj špecifickú ochranu (§ 32 zákona).
Prijatie bezpečnostných opatrení prevádzkovateľ zdokumentuje v bezpečnostnej dokumentácii.
Za súčasť bezpečnostnej dokumentácie sa môže považovať:
plnenie informačnej povinnosti voči dotknutým osobám,
súhlasy so spracúvaním osobných údajov,
sprostredkovateľské zmluvy,
poverenie zodpovednej osoby alebo osoby, ktorá bude zodpovedná za dohľad nad ochranou osobných údajov,
záznamy o spracovateľských činnostiach,
zoznam možných porušení ochrany osobných údajov, tzv. bezpečnostných incidentov, uvedené kroky k zabráneniu týchto incidentov, vrátane postupov pri ich odstraňovaní a pri ich oznamovaní (úradu a dotknutej osobe),
analýza rizík vyplývajúca zo spracúvania osobných údajov a prijaté opatrenia na ich minimalizáciu,
+ akákoľvek ďalšia dokumentácia (napr. bezpečnostná smernica, IT smernice) v súlade s novou legislatívou alebo individuálnymi potrebami prevádzkovateľa.
Úrad môže uložiť:
pokutu do 20 000 000 eur, alebo ak ide o podnik do 4 % celkového svetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia,
poriadkovú pokutu do 2 000 eur osobe, ktorá nie je prevádzkovateľom alebo sprostredkovateľom, za neposkytnutie požadovanej súčinnosti úradu pri výkone dozoru,
poriadkovú pokutu prevádzkovateľovi alebo sprostredkovateľovi, prípadne zástupcovi prevádzkovateľa alebo sprostredkovateľa do 2 000 eur, ak nezabezpečí primerané podmienky na výkon kontroly alebo do 10 000 eur, ak marí výkon kontroly.
Zároveň každá dotknutá osoba, ktorá utrpela majetkovú alebo nemajetkovú ujmu v dôsledku porušenia povinností vyplývajúcich z novej legislatívy, má právo na náhradu utrpenej škody od prevádzkovateľa (alebo sprostredkovateľa).
Postup zamestnávateľa pri výpovedi zamestnanca z dôvodu porušenia pracovnej disciplíny

References: čl. 36
 § 42
 § 43
 čl. 32
 čl. 34
 § 39