Otázka: Je nevyhnutné, aby sme pre zamestnancov nášho mzdového a personálneho oddelenia zabezpečili samostatné poučenia a ich povinnostiach pri spracúvaní osobných údajov? A je nutné následne pre každého z nich vytvoriť samostatný písomný záznam o vykonanom poučení, prípadne o záväzku mlčanlivosti?
Odpoveď: Povinnosť zaviazať pracovníkov príslušnými pokynmi nachádzame vo všeobecnom nariadení o ochrane údajov (GDPR):
- v čl. 29, podľa ktorého “sprostredkovateľ a každá osoba konajúca na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, môže spracúvať tieto údaje len na základe pokynov prevádzkovateľa s výnimkou prípadov, keď sa to vyžaduje podľa práva Únie alebo práva členského štátu”
- a v čl. 32 ods. 4, podľa ktorého “prevádzkovateľ a sprostredkovateľ podniknú kroky na zabezpečenie toho, aby každá fyzická osoba konajúca na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, spracúvala tieto údaje len na základe pokynov prevádzkovateľa s výnimkou prípadov, keď sa to od nej vyžaduje podľa práva Únie alebo práva členského štátu”
Úrad na ochranu osobných údajov SR, zverejňuje na svojich internetových stránkach, v časti “metodiky úradu” samostatný dokument s názvom “oprávnená osoba a poučenie oprávnenej osoby podľa novej právnej úpravu”.
Úrad ďalej odporúča aj, citujem: “..formulovať pokyny prevádzkovateľa tak, aby bolo jasné čo sa má pri danej spracovateľskej činnosti uplatňovať, aby boli osobné údaje chránené a spracúvané v súlade so zásadami, prípadne definovať čo je povolené, čo je zakázané pri spracúvaní osobných údajov…”
V minulosti, keď sme pravidlá spracúvania osobných údajov riadili ešte zákonom č. 122/2013 Z. z., úrad zverejňoval na svojich stránkach aj odporúčaný dokument, ktorý slúžil ako vzor pre poučenie oprávnenej osoby. Možno si pamätáte, bol tak podrobný, že sa v ňom uvádzali aj konkrétne spracovateľské operácie pre každého pracovníka (bolo to v časti popis povolených činností). Napríklad, že osoba je oprávnená získavať osobné údaje, poskytovať, zverejňovať a zlikvidovať ich. Iná osoba povedzme nemala vo svojom poučení oprávnenie na poskytovanie a zverejňovanie osobných údajov.
Pre každú osobu sa vtedy vytváral samostatný záznam o vykonanom poučení.
Aktuálne takýto vzor …