24. 10. 2017
ID: 106536upozornění pro uživatele
GDPR pro obce. Způsoby jak jmenovat pověřence pro ochranu osobních údajů (DPO)
Účinnost GDPR[1] se blíží a čím dál víc subjektů se začíná na nová pravidla v oblasti ochrany osobních údajů připravovat. Výjimkou nejsou ani města a obce, na které má nařízení významný dopad. Na rozdíl od soukromých subjektů mají města a obce povinnost za všech okolností jmenovat pověřence pro ochranu osobních údajů (dále „DPO“ nebo „Pověřenec“).
 |
V rámci města či obce mají navíc povinnost jmenovat DPO všechny instituce rozhodující o právech a povinnostech osob (např. školy), dále ty subjekty, jejichž hlavní činnost vyžaduje pravidelné, systematické a rozsáhlé monitorování subjektů údajů (např. provozovatelé městské hromadné dopravy evidující cestující) a ty subjekty, které provádějí rozsáhlé zpracování citlivých údajů subjektů údajů (typicky nemocnice), (dále vše společně jako „Instituce“).
Dále v tomto článku uvažujeme nad praktickými možnostmi přístupu obcí k této povinnosti, a to co do rozsahu zpracování osobních údajů, které budou spadat do jeho agendy.
Jak jmenovat DPO
Funkci pověřence může vykonávat zaměstnanec obce nebo osoba, která není přímo zaměstnancem a s obcí by tedy spolupracovala „externě“, tedy na základě jiné než pracovní smlouvy (typicky na základě smlouvy o spolupráci mezi obcí a Pověřencem). Co se týče přístupu ke jmenování Pověřence, jeví se jako praktické následující varianty.
První možností je jmenování Pověřence pro obec, tedy pro veškerou agendu dané obce, včetně agendy Institucí v rámci dané obce, pokud takové jsou. Výhodou této varianty je eliminace rizika, že u Pověřence nastane konflikt zájmů nebo že dojde k problému se zachováním mlčenlivosti či udržením si nezávislosti. Na Pověřence jsou za těchto okolností nicméně kladeny vysoké nároky co do odbornosti, neboť jeho agenda je v takovém případě značně různorodá, když Pověřenec musí být schopen plnit úkoly jak ve vztahu k agendě obecního úřadu, tak případně pro všechny typy Institucí nacházející se v obci či městě. Bude tedy, vzhledem ke specifikům činností obcí a Institucí, při kterých obce zpracovávaní osobní údaje, a které jsou vzájemně velmi odlišné co do rozsahu, způsobu a prostředků zpracování osobních údajů, muset být obeznámen s rozsáhlými informačními systémy, dokumentací a dalšími okolnostmi zpracování. Tato varianta proto přichází v úvahu spíše u menších až středně velkých obcí, které jsou schopny Pověřence samostatně plně pracovně vytížit.
V případě malých obcí bez většího počtu Institucí, které by samostatně nebyly schopny plně pracovně vytížit jednoho Pověřence, připadá v úvahu rovněž možnost ustanovit jednoho společného, sdíleného Pověřence, který bude plnit zadané úkoly pro několik obcí současně (v tomto případě stále v rozsahu veškeré agendy všech těchto obcí). Výhodou takového přístupu je rovněž jeho hospodárnost, spočívající v úspoře finančních prostředků, které bude nutné
v souvislosti s vytvořením funkce DPO vynaložit a které by tak malé obce mezi sebe dle dohody mohly rozdělit. Od Pověřence bude v takovém případě nicméně vyžadována zvýšená pozornost při plnění úkolů tak, aby nedošlo k narušení jeho nezávislosti, porušení povinnosti mlčenlivosti či možnému konfliktu zájmu.
Reklama
Další varianta se naopak bude týkat hlavně velkých obcí či měst, kde bude hrozit, že vzhledem k množství agend a Institucí nebude jeden Pověřenec schopen pokrýt kompletní agendu obce, která bude příliš široká a různorodá. V takové situaci se nabízí možnost zvolit Pověřence pro jednotlivé oblasti (obecní úřad, doprava, zdravotnictví, školství apod.), případně dle jiného rozdělení dle uvážení obce či města a odborné způsobilosti Pověřence.
Možnost zvolit více Pověřenců může být vhodným řešením také např. pro obce či města střední velkosti, které se mohou dohodnout na jmenování vícero společných Pověřenců, kdy každý DPO bude plnit úkoly v každé obci v rámci jedné konkrétní oblasti, tedy obce zvolí jednoho společného Pověřence např. pro obecný úřad, dalšího oblast školství apod. Na tomto místě znovu zdůrazňujeme nutnost obezřetnosti Pověřenců při plnění jim stanovených úkolů tak, aby nedošlo k možným konfliktům zájmů, ohrožení jejich nezávislosti či povinností mlčenlivosti.
Co tedy obce čeká
Při jmenování DPO by dle našeho názoru obce měly přihlížet především ke své velikosti, rozsahu agendy, počtu Institucí a individuálním potřebám.
V případě, že by měl být DPO v rámci jedné obce nedostatečně pracovně vytěžován a pokud jsou k tomu splněné „politické“ podmínky, může být v rámci hospodárnosti pro obcí výhodnější zvolit společného Pověřence. Určení, kolik obci současně může obstarat jeden Pověřenec, záleží na individuálním posouzení. Je však potřeba mít na paměti, že Pověřenec musí být schopen vykonávat své povinnosti řádně a efektivně pro všechny spolupracující obce.
Pokud se obec, resp. skupina obcí, rozhodne jmenovat více Pověřenců, je třeba kromě výše uvedeného dbát na jednoznačně vymezení úkolů, které bude daný Pověřenec vykonávat, resp. jednoznačně vymezit oblast(i), pro kterou (které) bude Pověřenec plnit zadané úkoly. V případě většího počtu Pověřenců se rovněž doporučuje ustanovit jednoho Pověřence jako hlavní kontaktní osobu, na kterou se budou primárně obracet jak obec a subjekty zpracování údajů, tak i Úřad pro ochranu osobních údajů.
Ján Kuklinca,
advokát
Lívia Kuľhová,
advokátní koncipientka
Ambruz & Dark Deloitte Legal s.r.o., advokátní kancelář
Karolinská 654/2
186 00 Praha 8
Tel.: +420 246 042 100
Fax: +420 246 042 030
e-mail: legalcz@deloittece.com
___________________________________
[1] Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 94/46/ES (Obecné nařízení o ochraně osobních údajů neboli General Data Protection Regulation)
[2] Dle údajů Českého statistického úřadu platných k 31.1.2017.
© EPRAVO.CZ – Sbírka zákonů , judikatura, právo | www.epravo.cz
