GDPR po roku – II. časť – Povinnosti prevádzkovateľa podľa Nariadenia GDPR

25. mája 2019 to bol rok, čo do účinnosti vstúpilo nariadenie Európskeho parlamentu a Rady (EÚ) č. 2016/679/ES zo dňa 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4. 5. 2016, s. 1) (ďalej len „Nariadenie GDPR“).

Cieľom tohto článku je zosumarizovať nosné oblasti a pojmy týkajúce sa spracúvania osobných údajov a ďalej priblížiť a poukázať na to, čo Nariadenie GDPR prinieslo do života nielen odbornej verejnosti. Ide o seriál, ktorý má 3 časti: 1. časť – GDPR po roku – Úvod, 2. časť – GDPR po roku – Povinnosti prevádzkovateľa podľa Nariadenia GDPR, 3. časť – GDPR po roku – Nariadenie GDPR a dotknuté osoby. 

Obsah:

Analýza procesov
Záznamy o spracovateľských činnostiach
Zodpovedná osoba
Bezpečnosť osobných údajov
Posúdenie vplyvu na ochranu osobých údajov
Prvé uložené pokuty

Analýza procesov

Každý prevádzkovateľ ako subjekt spracúvajúci osobné údaje dotknutých osôb mal od nadobudnutia účinnosti Nariadenia GDPR viac ako 2 roky (Nariadenie GDPR bolo v Úradnom vestníku Európskej únie zverejnené 4. 5. 2016 a v zmysle článku 99 ods. 1 nadobudlo účinnosť 20. dňom po jeho uverejnení v Úradnom vestníku Európskej únie), počas ktorých bol povinný prijať všetky opatrenia nevyhnutné na to, aby spracúval osobné údaje v súlade s Nariadením GDPR. Za najvhodnejší prvý krok, ktorý mal prevádzkovateľ vykonať, bola považovaná analýza procesov prevádzkovateľa. Výsledkom tejto analýzy bolo zistenie:

1. aké kategórie osobných údajov prevádzkovateľ spracúva
• hoci Nariadenie GDPR operuje s pojmom „kategórie osobných údajov“ [napr. v článku 14 ods. 1 písm. c) Nariadenia GDPR], tento pojem nedefinuje. Logickým výkladom možno dôjsť k záveru, že kategória osobných údajov je širší pojem ako osobný údaj a zahŕňa v sebe niekoľko rôznych osobných údajov, ktoré spája určitý spoločný prvok. Napr. identifikačné údaje (meno, priezvisko, adresa), kontaktné údaje (telefónne číslo, e-mailová adresa), údaje týkajúce sa zdravia (aktuálny zdravotný stav, zdravotné obmedzenie, prekonané choroby), údaje týkajúce sa zamestnania (zamestnávateľ, pracovné zaradenie), údaje o rodine (rodinný stav, údaje o deťoch, manželovi...), biometrické údaje, údaje týkajúce sa uznania viny za trestné činy a priestupky atď.;
2. na aké účely prevádzkovateľ spracúva osobné údaje
• prevádzkovateľ na základe analýzy mohol zistiť reálny stav – t. j. s akým cieľom osobné údaje spracúva, a následne si vyhodnotiť, či sú všetky tieto účely legitímne. Teda, či je ...