Záznamy o spracovateľských činnostiach, DPIA a dokončenie prechodu

Modul 9: Ľudia a pravidlá · Čas čítania: 12 minút

Cieľ lekcie: Po tejto lekcii dokážete aktualizovať záznamy o spracovateľských činnostiach a vyhlásenie o ochrane osobných údajov po prechode, určiť, či je potrebné posúdenie vplyvu na ochranu údajov (DPIA), zabezpečiť riadne odstránenie starej služby a formálne dokončiť prechod pomocou záverečného kontrolného zoznamu.

Kľúčové pojmy: záznamy o spracovateľských činnostiach (čl. 30), výnimka pre menej ako 250 zamestnancov, DPIA (čl. 35), zoznam DPIA Úradu na ochranu osobných údajov, vyhlásenie o ochrane osobných údajov (čl. 13 a 14), príjemcovia, odovzdávanie údajov, oznamovacia povinnosť pri porušení ochrany údajov (čl. 33), odstránenie u pôvodného poskytovateľa, potvrdenie o odstránení, vyhodnotenie, záverečný kontrolný zoznam

Prechod je hotový, až keď súhlasia aj papiere

Pošta funguje, súbory sú na mieste, všetci pracujú v novom prostredí. Po technickej stránke ste hotoví. Z hľadiska GDPR však ešte zostáva práca: vaša dokumentácia stále opisuje starú situáciu. Pri otázke od klienta, kontrole alebo porušení ochrany údajov budete chcieť preukázať, ako to teraz naozaj je. Táto lekcia prechod uzatvára.

Toto je vysvetlenie, nie právne poradenstvo.

Záznamy o spracovateľských činnostiach

Článok 30 ods. 1 GDPR ukladá prevádzkovateľovi povinnosť viesť záznamy o spracovateľských činnostiach. V nich sa pre každé spracovanie (napríklad „objednávky zákazníkov“, „personálna agenda“, „newsletter“) uvádza:

• meno a kontaktné údaje prevádzkovateľa (prípadne zodpovednej osoby);
• účely spracovania;
• kategórie dotknutých osôb a osobných údajov;
• príjemcovia, vrátane sprostredkovateľov;
• odovzdávanie údajov do krajín mimo EHP, vrátane záruk;
• lehoty uchovávania, ak je to možné;
• všeobecný opis bezpečnostných opatrení, ak je to možné.

Platí to aj pre malú organizáciu?

Článok 30 ods. 5 obsahuje výnimku pre organizácie s menej ako 250 zamestnancami. Táto výnimka však neplatí, ak spracovanie pravdepodobne predstavuje riziko, ak nie je príležitostné, alebo ak zahŕňa osobitné kategórie osobných údajov (napríklad o zdraví) či údaje o trestných činoch. Úrad na ochranu osobných údajov Slovenskej republiky vysvetľuje, že spracovania sú v praxi len zriedka naozaj príležitostné: akonáhle máte zamestnancov alebo stálych zákazníkov, spracúvate údaje štruktúrovane. Pre pekáreň Bakkerij De Korrel s mzdovou agendou, objednávkami zákazníkov a hlásením o chorobe teda táto výnimka neplatí.

Existuje európsky návrh na zjednodušenie povinnosti viesť záznamy pre menšie organizácie (takzvaný balík Omnibus IV; v júni 2026 dosiahli Rada a Parlament predbežnú dohodu). Kým tento návrh nenadobudne účinnosť, platí súčasný článok 30. A aj potom bude prehľad užitočný: budete ho potrebovať na plnenie ostatných povinností.

Čo upravíte po prechode?

Prejdite si každý riadok vašich záznamov a upravte ho:

Prechod je vhodná chvíľa na to, aby ste lehoty uchovávania konečne doriešili. Pre daňovú agendu platí v Holandsku spravidla povinnosť uchovávania sedem rokov; pri žiadostiach o zamestnanie holandský Úrad na ochranu osobných údajov v zásade odporúča štyri týždne po ukončení procesu. Overte si, aké lehoty platia vo vašom odvetví a vo vašej krajine.

Potrebujete DPIA?

DPIA (posúdenie vplyvu na ochranu údajov, v GDPR „posúdenie vplyvu na ochranu osobných údajov“) je štruktúrovaná predbežná analýza rizika. Článok 35 ukladá povinnosť vykonať DPIA, ak spracovanie pravdepodobne predstavuje vysoké riziko pre dotknuté osoby, najmä pri nových technológiách.

Ako zistíte, či je to váš prípad?

1. Zoznam holandského úradu. Holandský Úrad na ochranu osobných údajov (Autoriteit Persoonsgegevens) zverejnil v roku 2019 zoznam sedemnástich druhov spracovaní, pri ktorých je DPIA vždy povinná. Patrí medzi ne okrem iného rozsiahle spracovanie údajov o zdraví, kamerový dohľad, monitorovanie zamestnancov, komunikačné údaje, lokalizačné údaje, profilovanie a biometria. Keďže ide o konkrétnu publikáciu holandského úradu, každý úrad na ochranu osobných údajov v EÚ má vlastný zoznam DPIA (čl. 35 ods. 4); overte si zoznam vášho vnútroštátneho úradu.
2. Európske kritériá. Európske dozorné orgány stanovili deväť kritérií (napríklad citlivé údaje, veľký rozsah, zraniteľné dotknuté osoby, systematické monitorovanie, nová technológia). Ak spracovanie spĺňa dve alebo viac kritérií, je DPIA spravidla potrebná.

Pre pekáreň, ktorá presúva poštu a súbory, DPIA väčšinou nie je povinná. Pre ambulanciu praktického lekára, ktorá presúva komunikáciu s pacientmi do novej služby, alebo pre školu s údajmi o žiakoch, je to iné. Aj keď to nie je povinné, krátka analýza rizika môže byť užitočná. Dobrým východiskom je zhodnotenie z lekcie 1.5. Ak už máte DPIA pre pôvodnú službu, aktualizujte ju.

Vyhlásenie o ochrane osobných údajov

Vo svojom vyhlásení o ochrane osobných údajov informujete dotknuté osoby (zákazníkov, uchádzačov o zamestnanie, návštevníkov webu), ako nakladáte s ich údajmi (čl. 13 a 14). Uvádzajú sa v ňom okrem iného príjemcovia alebo kategórie príjemcov a prípadné odovzdávanie údajov mimo EHP. Ak ste tam mali uvedené „používame služby spoločností v Spojených štátoch na základe Data Privacy Framework“, upravte to. Neupravujte nič, čo nie je pravda: uveďte iba to, čo naozaj viete isto zo zmluvy so sprostredkovateľom a zo zoznamu subsprostredkovateľov.

Porušenia ochrany údajov: viete, komu zavolať

Po prechode sa zmenil váš poskytovateľ, a teda aj postup pri porušení ochrany údajov. Do svojho postupu zahrňte:

• kontaktnú adresu nového poskytovateľa pre bezpečnostné incidenty;
• lehotu, v ktorej vás poskytovateľ podľa zmluvy so sprostredkovateľom informuje;
• kto u vás rozhoduje o tom, či je potrebné oznámenie, pretože oznámenie dozornému orgánu musí byť podané do 72 hodín od zistenia (čl. 33);
• kde vediete register porušení ochrany údajov: aj porušenia, ktoré nemusíte oznamovať, musíte interne zaznamenať (čl. 33 ods. 5).

Ukončenie u pôvodného poskytovateľa

Starú službu zrušte až vtedy, keď všetko niekoľko týždňov spoľahlivo funguje (lekcia 3.3). Potom:

1. Posledná kontrola: prešlo všetko úspešne? Nezostali nejaké zdieľané priečinky, formuláre alebo prepojenia, ktoré ešte odkazujú na pôvodnú službu?
2. Vyexportujte posledný archív pre vašu vlastnú agendu, ak ho chcete uchovať (napríklad poštu, na ktorú sa vzťahuje povinnosť uchovávania). Uchovávajte ho šifrovane.
3. Odstráňte účty a údaje u pôvodného poskytovateľa, alebo ich nechajte odstrániť. Článok 28 ods. 3 písm. g) ukladá pôvodnému sprostredkovateľovi povinnosť po ukončení spracovania údaje odstrániť alebo vrátiť, podľa vášho výberu. Vyžiadajte si potvrdenie o odstránení a uložte ho spolu so svojimi záznamami.
4. Upracte prepojenia: prihlásenia typu „prihlásiť sa cez“ u iných služieb, aplikácie s prístupom a overovacie záznamy vo vašom DNS (lekcia 4.3).
5. Upravte svoje záznamy, vyhlásenie o ochrane osobných údajov a postup pri porušení ochrany údajov (pozri vyššie).

Vyhodnotenie

Mesiac po prechode naplánujte krátke vyhodnotenie s ambasádormi (lekcia 9.1). Čo sa podarilo, čo nie, čo nabudúce urobíte inak? Zaznamenajte si aj svoj exit plán pre novú službu (lekcia 8.2) a do kalendára si vložte dátum na jeho každoročné testovanie.

V praxi: ako to vyzerá u poskytovateľa

Mnohí poskytovatelia majú funkciu na stiahnutie vašich údajov alebo zrušenie vášho účtu. V prípade WebOké nájdete v návode WebOké postup, ako si stiahnuť svoje údaje alebo nechať zrušiť svoj účet. Pri veľkých amerických službách sa to zvyčajne volá „exportovať údaje“ a „zmazať účet“ a správca firemného účtu má vlastné exportné funkcie. Vopred si zistite, ako dlho služba uchováva údaje v zálohách po ich odstránení; to býva uvedené vo vyhlásení o ochrane osobných údajov alebo v zmluve so sprostredkovateľom.

Záverečný kontrolný zoznam

• [ ] Všetky položky z inventarizácie (lekcia 3.1) sú v novom prostredí a boli skontrolované
• [ ] Zmluva(y) so sprostredkovateľom s novým poskytovateľom (poskytovateľmi) uzavretá a uložená (lekcia 9.2)
• [ ] Záznamy o spracovateľských činnostiach aktualizované: príjemcovia, odovzdávanie údajov, bezpečnosť, lehoty uchovávania
• [ ] Posúdenie potreby DPIA vykonané (potrebná alebo nie, a dôvod zaznamenaný)
• [ ] Vyhlásenie o ochrane osobných údajov upravené
• [ ] Postup pri porušení ochrany údajov s novými kontaktnými údajmi
• [ ] Pôvodná služba zrušená, údaje odstránené, potvrdenie uložené
• [ ] Prepojenia a staré DNS záznamy upratané
• [ ] Záloha nového prostredia zriadená a otestovaná (lekcia 8.1)
• [ ] Exit plán pre novú službu zaznamenaný (lekcia 8.2)
• [ ] Vyhodnotenie uskutočnené

Súhrn

• Po prechode aktualizujte záznamy o spracovateľských činnostiach: príjemcov, odovzdávanie údajov, bezpečnosť a lehoty uchovávania.
• Výnimka pre menej ako 250 zamestnancov sa v praxi uplatňuje len zriedka; návrh na jej zjednodušenie zatiaľ nie je účinný (stav k novembru 2026).
• DPIA je povinná pri vysokom riziku (zoznam holandského úradu, európske kritériá); pri bežných kancelárskych údajoch zvyčajne nie.
• Upravte svoje vyhlásenie o ochrane osobných údajov a postup pri porušení ochrany údajov.
• Nechajte pôvodného poskytovateľa odstrániť vaše údaje a vyžiadajte si potvrdenie.

Kvíz

Úloha

Úloha E9.3: Dokončite svoj prechod. Pre tri spracovania vo vašej organizácii aktualizujte riadky v záznamoch o spracovateľských činnostiach (príjemcovia, odovzdávanie údajov, bezpečnosť, lehota uchovávania), posúďte pomocou zoznamu dozorného orgánu a európskych kritérií, či je potrebná DPIA, a vyplňte záverečný kontrolný zoznam.

Ďalšie čítanie

Postupy v týchto článkoch platia pre služby WebOké; u iných poskytovateľov funguje postup obdobne.

• Príručka WebOké 11.7: Súkromie: stiahnutie alebo odstránenie vašich údajov
• Návod na Nextcloud 16.7: Kolega odchádza: bezpečné prevzatie súborov, kalendára a zdieľaných priečinkov
• Návod na Nextcloud 15.13: Často kladené otázky o zabezpečení a ochrane súkromia
• Nariadenie (EÚ) 2016/679 (GDPR), články 13, 14, 28, 30, 33 a 35, na EUR-Lex
• Rozhodnutie o zozname druhov spracovania osobných údajov, pre ktoré je DPIA povinná (holandský Úrad na ochranu osobných údajov, Stcrt. 2019), na wetten.overheid.nl (BWBR0042812)
• Autoriteit Persoonsgegevens (holandský Úrad na ochranu osobných údajov), témy „Register van verwerkingsactiviteiten“ a „DPIA“: https://www.autoriteitpersoonsgegevens.nl