Source: http://www.poverenecochranyou.cz/dpo.html
Timestamp: 2019-11-19 22:45:17+00:00
Document Index: 16148929

Matched Legal Cases: ['Čl. 39', 'čl. 24', 'čl. 35', 'čl. 35', 'Čl. 39', 'čl. 39', 'čl. 38', 'Čl. 39', 'Čl. 39', 'čl. 30', 'Čl. 39']

DPO (Data Protection Officer, někdy i Data Privacy Officer), v češtině pověřenec ochrany osobních údajů, je Nařízením nově zavedená funkce v institucích zpracovávající osobní údaje. DPO bude plnit funkci pomocníka či koordinátora ochrany osobních údajů příslušného správce nebo zpracovatele a zároveň funkci jakéhosi styčného důstojníka pro jeho komunikaci s dozorovým úřadem (ÚOOÚ). Hlavním úkolem DPO bude monitorování souladu zpracování osobních údajů s povinnostmi vyplývajícími z Nařízení, analyzovat a kontrolovat soulad činností zpracování, školení pracovníků a celkové řízení agendy interní ochrany dat.
Pověřencem ochrany osobních údajů se může stát osoba s odbornými znalostmi v oblasti právních předpisů a postupů týkajících se ochrany údajů, která je schopna plnit své povinnosti a úkoly nezávislým způsobem, a to ať už jako interní zaměstnanec, nebo jako externí konzultant nebo organizace, kteří plní své úkoly na základě smlouvy o poskytování služeb. Nařízení přímo nepožaduje právnické vzdělání, je však výhodné si pro funkci pověřence právníka najmout. Pověřenec by měl znát organizační strukturu správce a orientovat se v podmínkách zpracování osobních údajů.
Pověřenec musí být jmenován správcem ve třech případech.
Za hlavní činnost správce mají být považovány ty činnosti, které souvisejí s jeho základními obchodními a provozními činnostmi. Správce nemusí jmenovat pověřence v případě, že zpracování osobních údajů provádí pouze jako pomocná činnost k dosažení základních cílů činnosti správce.
Úkoly pro DPO?
1. Monitorování souladu s obecným nařízením o ochraně osobních údajů
Čl. 39 odst. 1 písm. b) pověřuje pověřence pro ochranu osobních údajů, kromě jiných povinností, povinností monitorovat soulad s obecným nařízením o ochraně osobních údajů. Ustanovení 97. bodu odůvodnění dále upřesňuje, že pověřenec pro ochranu osobních údajů „by měl být nápomocen správci nebo zpracovateli při monitorování toho, zda je zajištěn vnitřní soulad s tímto nařízením“.
Jakožto součást těchto povinností monitorovat soulad mohou pověřenci pro ochranu osobních údajů zejména:
shromažďovat informace pro určení činností zpracování
analyzovat a kontrolovat soulad činností zpracování
informovat správce nebo zpracovatele, poskytovat mu poradenství a vydávat doporučení.
Monitorování souladu neznamená, že dojde-li k případu nedodržování souladu, je to pověřenec pro ochranu osobních údajů, kdo nese osobní odpovědnost. Obecné nařízení o ochraně osobních údajů jasně stanoví, že „zavádět vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením“ (čl. 24 odst. 1) je povinen správce, nikoliv pověřenec pro ochranu osobních údajů. Dodržování požadavků na ochranu údajů je firemní odpovědností správce údajů, nikoliv pověřence pro ochranu osobních údajů.
2. Úloha pověřence pro ochranu osobních údajů při posuzování vlivu na ochranu osobních údajů
Podle čl. 35 odst. 1 je případné provádění posouzení vlivu na ochranu osobních údajů úkolem správce, nikoliv pověřence pro ochranu osobních údajů. Pověřenec pro ochranu osobních údajů však může zastávat velmi důležitou a užitečnou úlohu tím, že bude správci nápomocen. V souladu se zásadou ochrany osobních údajů coby aspektu návrhu čl. 35 odst. 2 konkrétně vyžaduje, aby si správce při provádění posouzení vlivu na ochranu osobních údajů „vyžádal posudek“ pověřence pro ochranu osobních údajů. Čl. 39 odst. 1 písm. c) naopak ukládá pověřenci pro ochranu osobních údajů povinnost „poskytovat poradenství na požádání, pokud jde o posouzení vlivu na ochranu osobních údajů, a monitorování jeho uplatňování podle článku 35“.
Pracovní skupina WP29 doporučuje, aby si správce vyžádal posudek pověřence pro ochranu osobních údajů mimo jiné v těchto otázkách 35:
zda provést či neprovést posouzení vlivu na ochranu osobních údajů,
jakou metodikou se při provádění posouzení vlivu na ochranu osobních údajů řídit,
zda provést posouzení vlivu na ochranu osobních údajů interně v rámci organizace, nebo zda ho nechat vypracovat externě,
jaké záruky (včetně technických a organizačních opatření) uplatňovat za účelem zmírnění jakýchkoliv rizik pro práva a zájmy subjektů údajů,
zda posouzení vlivu na ochranu osobních údajů bylo či nebylo provedeno správně a zda jsou jeho závěry (tedy zda přistoupit ke zpracování či nikoliv a jaké záruky uplatnit) v souladu s obecným nařízením o ochraně osobních údajů.
Pokud správce nesouhlasí s posudkem poskytnutým pověřencem pro ochranu osobních údajů, měla by dokumentace k posouzení vlivu na ochranu osobních údajů konkrétně písemně odůvodňovat, proč nebyl posudek zohledněn36.
Pracovní skupina WP29 dále doporučuje, aby správce jasně vymezil, například ve smlouvě pověřence pro ochranu osobních údajů, ale také v informacích poskytovaných zaměstnancům a vedení (a případně dalším zúčastněným stranám), přesné úkoly pověřence pro ochranu osobních údajů a jejich rozsah, a to zejména s ohledem na provádění posouzení vlivu na ochranu osobních údajů.
3. Spolupráce s dozorovým úřadem a působení jako kontaktní místo
Podle čl. 39 odst. 1 písm. d) a e) by měl pověřenec pro ochranu osobních údajů „spolupracovat s dozorovým úřadem“ a „působit jako kontaktní místo pro dozorový úřad v záležitostech týkajících se zpracování, včetně předchozí konzultace podle článku 36, a případně vedení konzultací v jakékoli jiné věci“.
Tyto úkoly odkazují na úlohu pověřence pro ochranu osobních údajů jakožto „zprostředkovatele“ uvedenou v úvodu k těmto pokynům. Pověřenec pro ochranu osobních údajů působí jako kontaktní místo a usnadňuje přístup dozorového úřadu k dokumentům a informacím potřebným pro plnění úkolů uvedených v článku 57, jakož i pro vykonávání vyšetřovacích, nápravných, povolovacích a poradních pravomocí uvedených v článku 58. Jak již bylo uvedeno, pověřenec pro ochranu osobních údajů je v souvislosti s výkonem svých úkolů vázán tajemstvím nebo důvěrností, v souladu s právem Unie nebo členského státu (čl. 38 odst. 5). Povinnost zachovávat tajemství/důvěrnost však pověřenci pro ochranu osobních údajů nezakazuje kontaktovat dozorový úřad, aby se s ním poradil. Čl. 39 odst. 1 písm. e) stanoví, že pověřenec pro ochranu osobních údajů může případně konzultovat s dozorovým orgánem v jakékoliv jiné věci.
4. Přístup založený na riziku
Čl. 39 odst. 2 stanoví, že pověřenec pro ochranu osobních údajů „bere patřičný ohled na riziko spojené s operacemi zpracování a současně přihlíží k povaze, rozsahu, kontextu a účelům zpracování“.
Tento článek připomíná obecnou zásadu zdravého rozumu, která může být podstatná pro řadu aspektů každodenní práce pověřence pro ochranu osobních údajů. Tato zásada v podstatě požaduje, aby si pověřenci pro ochranu osobních údajů v rámci svých činností stanovili priority a zaměřili své úsilí na otázky, které představují vyšší rizika pro ochranu osobních údajů. To neznamená, že by mělizanedbávat monitorování souladu operací zpracování údajů, které mají poměrně nižší úroveň rizik, ale naznačuje to, že by se měli zaměřit především na oblasti s vyšším rizikem.
Tento selektivní a pragmatický přístup by měl pověřencům pro ochranu osobních údajů pomoci při poskytování posudků správci týkajících se toho, jakou metodiku při provádění posouzení vlivu na ochranu osobních údajů použít, jaké oblasti by měly být předmětem vnitřního nebo vnějšího auditu​týkajícího se ochrany údajů, jaké vnitřní vzdělávací činnosti poskytovat zaměstnancům nebo vedení odpovědným za činnosti zpracování osobních údajů a kterým činnostem zpracování věnovat většinu času a zdrojů.
​5. Úloha pověřence pro ochranu osobních údajů při vedení záznamů
Podle čl. 30 odst. 1 a 2 je povinen „vést záznamy o činnostech zpracování, za něž odpovídá“ nebo „vést záznamy o všech kategoriích činností zpracování prováděných pro správce“ správce nebo zpracovatel, nikoliv pověřenec pro ochranu osobních údajů.
V praxi pověřenci pro ochranu osobních údajů často vytvářejí soupisy a rejstřík operací zpracování založené na informacích, které jim poskytla různá oddělení v rámci organizace odpovědná za zpracování osobních údajů. Tato praxe je zavedena podle řady stávajících vnitrostátních právních předpisů a podle pravidel na ochranu osobních údajů použitelných na orgány a instituce EU37.
Čl. 39 odst. 1 stanoví seznam úkolů, které musí pověřenec pro ochranu osobních údajů každopádně vykonávat. Správci nebo zpracovateli proto nic nebrání v tom, aby pověřenci pro ochranu osobních údajů uložil úkol vést záznamy o operacích zpracování, za něž správce nebo zpracovatel odpovídá. Tyto záznamy by měly být považovány za jeden z nástrojů umožňujících pověřenci pro ochranu osobních údajů provádět své úkoly monitorování souladu, informování správce nebo zpracovatele a poskytování poradenství pro správce nebo zpracovatele.
Záznamy, které musejí být vedeny podle článku 30, by v každém případě měly být vnímány rovněž jako nástroj umožňující správci a dozorovému úřadu získat na žádost přehled o veškerých činnostech zpracování osobních údajů, které organizace provádí. Jedná se tudíž o nutnou podmínku souladu a jako takový představuje účinné opatření pro zajištění odpovědnosti.