Často kladené otázky

Týká se GDPR též samostatné působnosti obcí nebo jen výkonu státní správy v přenesené působnosti

Pravidla ochrany osobních údajů se dotýkají kteréhokoli subjektu, který zpracovává osobní údaje způsoby, na něž se vztahuje obecné nařízení o ochraně osobních údajů. Obecné nařízení nerozlišuje podle toho, zda je zpracování prováděno v samostatné nebo přenesené působnosti, ale zda jsou zpracovávány osobní údaje ve smyslu definic obecného nařízení. V případě územních samosprávných celků je tudíž nutné dodržovat GDPR jak při výkonu samostatné tak přenesené působnosti.

Co znamená pojem „hlavní činnosti“ v čl. 37 odst. 1 písm. b) a c) GDPR?

„Hlavní činnosti“ mohou být považovány za klíčové operace pro dosažení cílů správce nebo zpracovatele. Zahrnují rovněž veškeré činnosti, kde zpracování údajů tvoří neoddělitelnou část činnosti správce nebo zpracovatele. Například zpracování údajů o zdravotním stavu, jako například zdravotních záznamů pacientů, by mělo být považováno za jednu z hlavních činností jakékoli nemocnice, a nemocnice proto musejí jmenovat pověřence pro ochranu osobních údajů.

Na druhou stranu veškeré organizace vykonávají určité podpůrné činnosti, například vyplácení svých zaměstnanců nebo standardní činnosti v oblasti podpory informačních technologií. Toto jsou nezbytné podpůrné funkce pro hlavní činnost organizace nebo hlavní podnikatelskou činnost. Přestože jsou tyto činnosti nezbytné nebo zásadní, obvykle jsou považovány za pomocné funkce spíše než za hlavní činnost.

Zdroj: Vodítko WP243, překlad: ÚOOÚ

Může být ředitel IT oddělení pověřencem pro ochranu osobních údajů?

Ne. Obecně platí, že pozice v rámci organizace, které by mohly vést ke střetu zájmů, mohou zahrnovat pozice vedoucího pracovníka, ale také další úlohy nacházející se v organizační struktuře níže, vedou-li tyto pozice a úlohy k určování účelů a prostředků zpracování.

Vodítka WP243 výslovně zmiňují ředitele IT jako příklad osoby ve střetu zájmu. Stejně rozhodl v roce 2016 v Německu bavorský dozorový úřad ohledně pozice „IT manažera“

Co je to „veřejně přístupný prostor“ definovaný v čl. 35 odst. odst. 3 písm. c) GDPR? Je to pouze místo, kde může v určitém okamžiku vstoupit neomezený počet osob, nebo jsou to i učebny ve školách a zkušebny v budovách orgánů veřejné správy?

Co se týče výkladu pojmu „veřejně přístupný prostor“ ve vztahu k článku 35 odst. 3 písm. c) Obecného nařízení, lze odkázat na vodítka pracovní skupiny WP29 k posouzení vlivu na ochranu osobních údajů, ve kterých je na straně 9 v poznámce pod čarou čl. 15 k tomuto pojmu uvedeno:
The WP29 interprets “publicly accessible area” as being any place open to any member of the public, for example a piazza, a shopping centre, a street, a market place, a train station or a public library.

Lze se tak přiklonit k názoru, že to budou jiné prostory než učebny či školy, ty zpravidla nebudou splňovat definici pojmu veřejně přístupný prostor. Veřejně přístupným prostorem je typicky např. nákupní obchodní centrum, ulice, vlaková stanice nebo veřejná knihovna.

Zdroj: GDPR Sekce ÚOOÚ