GDPR – povinnosti pre podnikateľov

Od interných predpisov po plnenie povinností

Od účinnosti GDPR nariadenia uplynulo už niekoľko rokov. Podnikatelia a naši klienti sa na nás stále obracajú s otázkami, čo má GDPR dokumentácia obsahovať.

Povinnosti závisia od toho, aké osobné údaje podnikateľ spracúva, v akom rozsahu, aké na spracúvanie využíva prostriedky. Základný rámec je podobný pre všetkých podobný.

GDPR dokumentácia

GDPR dokumentácia a jej základné časti možno identifikovať priamo z ustanovení GDPR nariadenia. V súčasnosti nie je potrebný bezpečnostný projekt, ako sú slovenskí podnikatelia zvyknutí z predchádzajúcej legilsatívy, potrebné je však plniť viacero povinností:

• interný predpis, ktorý špecifikuje interné postupy (čl. 12 a nasl. GDPR nariadenia), vrátane bezpečnostných opatrení (čl. 32 a nasl. GDPR nariadenia) - je potrebné primerane reagovať na požiadavky GDPR, ktoré vyžadujú stanovenie interných postupov pri vybavovaní žiadostí dotknutých osôb, stanovenie primeraných technických a organizačných bezpečnostných opatrení
• informačná povinnosť (v zmysle čl. 13 a čl. 14 GDPR) voči dotknutým osobám, ktorých osobné údaje sú spracúvané
• udelenie pokynov oprávneným osobám (čl. 32 ods. 4 GDPR) a poverenie oprávnených osôb - najmä zamestnancov a dohodárov k spracúvaniu osobných údajov, vrátane informácií, ako majú osobné údaje spracúvať a aké bezpečnostné opatrenia majú dodržiavať
• uzatvorenie zmlúv s dodávateľmi (čl. 28 a nasl. GDPR), ktorí v mene podnikateľa a na jeho účet spracúvajú osobné údaje - v tomto postavení sme aj my ako dodávateľ účtovných služieb a služieb v oblasti mzdy a personalistiky, prípadne dodávatelia správy kamerových systémov, BOZP, hostingu a pod.

Ak to vyplýva zo situácie, podnikatelia sú povinní vypracovať aj ďalšie dokumenty a zaviesť postupy k zabezpečeniu bezpečnosti osobných údajov - napríklad testy proporcionality, DPIA (posúdenie vplyvu na ochranu osobných údajov), záznam o spracovateľských činnostiach...

V niektorých prípadoch nestačí len prijatie dokumentácie a stanovenie postupov. Je potrebné aj revidovať iné interné dokumenty, ako pracovný poriadok, registratúrny plán alebo poriadok, vzory pracovnoprávnych dokumentov.

Vypracovanie GDPR v praxi

V praxi je vypracovanie dokumentácie k ochrane osobných údajov náročnejší proces, ktorý pri výbere správneho dodávateľa môže byť pre podnikateľa príjemnou skúsenosťou.

Rozsah povinností môže byť pre každý podnikateľský subjekt iný, preto sa vyhnite vzorovej dokumentácii.