fb in g+

Jeden z těchto výkladových problémů se týká povinnosti vést záznamy o činnostech zpracování, respektive výjimky z této povinnosti. Obecně tuto povinnost upravuje článek 30 obecného nařízení. Ten v odstavci 1 stanoví, že každý správce a jeho případný zástupce vede záznamy o činnostech zpracování, za něž odpovídá. Dále pak vymezuje okruh náležitostí, které takové záznamy musí obsahovat.

Odstavec 2 pak tutéž povinnost vedení záznamů ukládá též zpracovateli. Záznamy je třeba vést v písemné formě, počítaje v to i formu elektronickou. Na žádost dozorového úřadu, kterým je v České republice Úřad pro ochranu osobních údajů, je pak správce nebo zpracovatel povinen takto vedené záznamy poskytnout. Tato právní úprava tak do jisté míry nahrazuje dosavadní oznamovací povinnost vůči Úřadu pro ochranu osobních údajů, která byla dlouhodobě kritizována jako příliš administrativně zatěžující a neefektivní. Její nahrazení povinností vést záznamy o činnostech zpracování a tyto Úřadu předkládat pouze na požádání lze tedy nepochybně považovat za krok správným směrem.

Výkladové problémy spojené s výjimkou z povinnosti vést záznamy o činnostech zpracování

 

Výše uvedené rovněž nepřináší žádný významnější výkladový problém. Jiná situace ovšem nastává v případě odstavce 5 zmíněného článku, který zakotvuje výjimky z povinnosti vést záznamy o činnostech zpracování. Konkrétně pak se povinnost vedení záznamů netýká tzv. malých a středních podniků, které jsou pro účely obecného nařízení posuzovány prizmatem počtu zaměstnanců, kterých nesmí být více než 250. Tato výjimka je výsledkem snahy o zmírnění povinností plynoucích z obecného nařízení pro malé a střední podniky, která měla za následek množství na poslední chvíli prováděných změn v návrhu textu nařízení.

 

Že se opět potvrdilo pravidlo o cestě do pekla dlážděné dobrými úmysly je zřejmé z níže uvedeného. Pátý odstavec článku 30 totiž obsahuje také „výjimky z výjimek“, tedy situace, kdy se uvedené kritérium 250 zaměstnanců neuplatní, a povinnosti vést záznamy o činnostech zpracování se nebude možné zprostit. I malé a střední podniky jsou tak povinny vést záznamy o činnostech zpracování v kterémkoli z následujících případů:

  • zpracování osobních údajů, které provádějí, pravděpodobně představuje riziko pro práva o svobody subjektů údajů,

  • toto zpracování není příležitostné,

  • nebo zahrnuje zpracování tzv. zvláštní kategorií osobních údajů (mezi ně patří např. údaje o rasovém či etnickém původu, politických názorech, politickém vyznání, zdravotním stavu apod.) nebo osobních údajů týkajících se rozsudků v trestních věcech.

 

Zatímco v prvním a posledním z uvedených případů lze vcelku jednoduše pochopit, proč zákonodárce tímto způsobem akcentuje povinnost vedení záznamů, v případě příležitostného zpracování není situace zdaleka tak jasná. Obecné nařízení ani žádný jiný právní předpis totiž nikde neříká, jaké zpracování se již považuje za „ne příležitostné“ a jaké nikoli. 

 

Výkladové stanovisko pracovní skupiny 29 (známé také jako Evropský sbor pro ochranu osobních údajů) věnující se této problematice uvádí, že za příležitostné (occasional) lze považovat takové zpracování osobních údajů, ke kterému jednak dochází nikoli pravidelně, a které zároveň nesouvisí s hlavním předmětem podnikání nebo činnosti daného subjektu.

 

Výše uvedené tak má za následek praktickou neaplikovatelnost výjimky pro podniky do 250 zaměstnanců, neboť u drtivé většiny z nich lze nalézt minimálně jeden, většinou však mnohem více případů, kdy zpracování osobních údajů nebude příležitostné. Typicky se takové zpracování bude týkat zejména vedení zaměstnanecké agendy, ale lze si představit i situaci kdy budou „nikoli příležitostně“ zpracovávány i údaje zákazníků, dodavatelů a podobných subjektů, např. pro interní statistické účely, zajištění odpovídajících materiálových toků ve společnosti apod.

Závěr

 

Ačkoli tedy stanovisko pracovní skupiny 29 uvádí, že malých a středních podniků se bude povinnost vést záznamy o činnostech zpracování týkat pouze v několika málo případech, ve skutečnosti takových případů může být značné množství. Skutečnost, že nesplnění této povinnosti patří mezi přestupky proti obecnému nařízení, které jsou postihovány pokutami v nižší z obou zvolených hladin, tedy maximálně 10 milionů EUR nebo 2 % z celkového ročního obratu, je v tomto případě pouze chabou útěchou.

Tereza Kladivová

Advokátní kancelář Mičica & Pscheidt

Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.

Navštivte naši kancelář

Advokátní kancelář Mičica & Pscheidt

Mgr. Pscheidt +420 777 219 916, JUDr. Mičica +420 777 678 601

Sladkovského 410

530 02 Pardubice

V sídle kanceláře je ve dvoře k dispozici parkování pro klienty.

Napište nám

Leave this empty:

Advokáti Mičica & Pscheidt