Propagácia firmy – vzor záznamu o spracovateľskej činnosti

Každý prevádzkovateľ, a ak spracúva osobné údaje v mene prevádzkovateľa, aj sprostredkovateľ je povinný viesť záznamy o spracovateľských činnostiach, za ktoré je zodpovedný. Túto povinnosť nachádzame v článku 30 GDPR. Z tohto pravidla existuje výnimka. Nevzťahuje sa na prevádzkovateľov, ak zamestnávajú menej ako 250 zamestnancov, a prevádzkovateľov, u ktorých nie je pravdepodobné, že spracúvanie, ktoré vykonávajú, povedie k riziku pre práva a slobody dotknutých osôb. Tiež sa nevzťahuje na prevádzkovateľov, ak je spracúvanie príležitostné alebo nezahŕňa osobitnú kategóriu osobných údajovOsobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách,  spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby. alebo osobných údajov týkajúcich sa uznaní viny za trestné činy a priestupky.

Bez ohľadu na počet zamestnancov teda prevádzkovateľ musí viesť tieto záznamy, ak napríklad spracúva osobné údaje o zdraví alebo ak ide o rizikové spracovateľské operácie pre práva a slobody dotknutých osôb.

Keďže záznamy sú úžasným nástrojom na zorientovanie sa v spracovateľských operáciách a tiež na udržiavanie poriadku v nich, odporúčame ich viesť každému prevádzkovateľovi, t.j. aj takému, ktorému táto povinnosť nevyplýva z GDPR.

V článku uvedieme príklad, ako by mohli znieť záznamy pre účel spracovania osobných údajov v súvislosti s propagáciou firmy.

 

Náležitosti a forma vedenia záznamov o spracovateľských činnostiach

Minimálny rozsah záznamov o spracovateľských činnostiach určuje článok 30 ods. 1 GDPR. Týmito údajmi sú:

1. meno alebo názov a kontaktné údaje prevádzkovateľa a v príslušnom prípade spoločného prevádzkovateľa, zástupcu prevádzkovateľa a zodpovednej osoby, ak je určená;
2. účely spracúvania;
3. opis kategórií dotknutých osôb a kategórií osobných údajov;
4. kategórie príjemcov, ktorým boli alebo budú osobné údaje poskytnuté, vrátane príjemcov v tretích krajinách alebo medzinárodných organizácií;
5. v príslušných prípadoch prenosy osobných údajov do tretej krajiny alebo medzinárodnej organizácii vrátane označenia predmetnej tretej krajiny alebo medzinárodnej organizácie a v prípade prenosov uvedených v článku 49 ods. 1 druhom pododseku dokumentáciu primeraných záruk;
6. podľa možností predpokladané lehoty na vymazanie rôznych kategórií údajov;
7. podľa možností všeobecný opis technických a organizačných bezpečnostných opatrení uvedených v článku 32 ods. 1.

Okrem povinných náležitostí môže v záznamoch prevádzkovateľ uvádzať aj mnohé ďalšie údaje. Napríklad, v ktorých informačných systémoch sa dané osobné údaje u prevádzkovateľa spracúvajú, kto je u prevádzkovateľa ich vlastníkom, kto je sprostredkovateľom pri ich spracovaní. Možno si do záznamov doplniť aj informácie o tom, či sa údaje zverejňujú, odkiaľ k prevádzkovateľovi prichádzajú (kto je zdroj – priamo dotknutá osoba alebo tretia strana) či rozličné interné poznámky. Zo záznamov totiž, ak sú pravidelne aktualizované, prevádzkovateľ ľahko a rýchlo „vyrobí“ alebo aktualizuje aj informačnú povinnosťČlánok 12 až 14 GDPR pre dotknuté osoby, ktorá by mala byť 1:1 k vedeným záznamom.

Forma záznamov je vyslovene daná v odseku 3 uvedeného článku 30 tak, že sa vedú v písomnej podobe vrátane elektronickej podoby. Prevádzkovateľ musí byť kedykoľvek schopný ich predložiťČlánok 30 ods. 4 GDPR a samozrejme priebežne aktualizovať. Na záznamy je potrebné nahliadať tak, že sú hlavným nástrojom na preukázanie súladu s GDPR v prípade kontroly dozorujúceho orgánu. Aj v rámci prešetrovania nahlásených incidentov a vyžiadanej súčinnosti nie je netradičné, ak si ich dozorujúci orgán vyžiada, ak je prevádzkovateľ povinný ich viesť.

Nástroje na ich vedenie môžu predstavovať rôzne tool-y, ale samozrejme dostatočný môže byť aj excel. V exceli odporúča viesť záznamy aj slovenský dozorujúci orgán –Úrad na ochranu osobných údajovhttps://dataprotection.gov.sk/sk/ine/vzory-formulare-stiahnutie/vzor-zaznamov-spracovatelskych-cinnostiach/.

 

Autor: JUDr. Paula Babicová