Správce nebo zpracovatel?

Kdo je správce osobních údajů?

Správce osobních údajů určuje účely a prostředky zpracování osobních údajů. Jinými slovy, správce osobních údajů rozhoduje o tom, jak a proč je prováděno zpracování osobních údajů. Správcem osobních údajů může být právnická osoba, například podnik, malý nebo střední podnik, orgán veřejné moci, agentura nebo jiný subjekt.

V některých případech mohou být účely a prostředky zpracování osobních údajů, jakož i správce, určeny právem EU nebo členského státu.

Co je to společný správce osobních údajů?

Existují-li dva nebo více správců údajů, kteří společně určují účel a prostředky zpracování, považují se za společné správce. Společně se rozhodnou zpracovávat osobní údaje pro společný účel. Společná správa může mít mnoho podob a účast různých správců může být nerovná. Společní správci proto musí určit svou odpovědnost za soulad s obecným nařízením o ochraně osobních údajů (GDPR).

Jaké jsou povinnosti správce nebo společných správců osobních údajů?

Při rozhodování o účelech a prostředcích zpracování osobních údajů musí správce nebo společní správci zajistit ochranu osobních údajů fyzických osob. Za tímto účelem musí správce nebo společní správci zavést opatření na ochranu osobních údajů a umožnit fyzickým osobám výkon jejich práv.

Co je zpracovatel osobních údajů?

Zpracovatel osobních údajů jedná pouze podle pokynů správce osobních údajů tak, že zpracovává osobní údaje jménem správce.

Podobně jako správce osobních údajů nebo společný správce osobních údajů může být zpracovatelem údajů právnická osoba, například podnik, malý nebo střední podnik, orgán veřejné moci, agentura nebo jiné subjekty.

Co je to dílčí zpracovatel osobních údajů?

Dílčí zpracovatel osobních údajů jedná podle pokynů zpracovatele, což znamená, že může zpracovávat osobní údaje fyzických osob jménem zpracovatele. Dílčím zpracovatelem osobních údajů může být právnická osoba, například podnik, malý nebo střední podnik, orgán veřejné moci, agentura nebo jiný subjekt.

Je třeba poznamenat, že dílčí zpracovatel může být jmenován pouze tehdy, pokud to správce nebo společný správce písemně povolí. Je-li tomu tak, musí zpracovatel s dílčím zpracovatelem uzavřít závaznou smlouvu, v níž upřesní povinnosti dílčího zpracovatele. Tato smlouva mezi zpracovatelem a dílčím zpracovatelem musí zajišťovat stejnou ochranu osobních údajů fyzických osob jako původní smlouva mezi dodavatelem a zpracovatelem.

Jaké jsou povinnosti zpracovatele osobních údajů?

Zatímco celková odpovědnost obecně spočívá na správci osobních údajů, zpracovatelé osobních údajů mají také určité povinnosti podle obecného nařízení o ochraně osobních údajů (GDPR). Zpracovatelé musejí provádět operace zpracování s odpovídajícími technickými a organizačními opatřeními na základě instrukcí od  správce osobních údajů nebo společným správcem osobních údajů. Zpracovatel přitom pomáhá správci při dodržování obecného nařízení o ochraně osobních údajů.

Vztah mezi správcem a zpracovatelem, včetně povinností zpracovatele, se musí řídit smlouvou, v níž jsou zdokumentovány operace zpracování a prostředky zpracování osobních údajů.

Co je třeba zahrnout do smlouvy mezi správcem a zpracovatelem osobních údajů?

Smlouva mezi správcem nebo společným správcem a zpracovatelem osobních údajů musí stanovit, že zpracovatel:

• zpracovává osobní údaje pouze na základě pokynů správce údajů, a to i pokud jde o předávání osobních údajů do země mimo Evropský hospodářský prostor (EHP)
• zajišťuje, aby se osoby oprávněné zpracovávat údaje zavázaly k mlčenlivosti nebo aby se na ně vztahovala příslušná zákonná povinnost mlčenlivosti
• zajišťuje bezpečnost zpracování
• nesmí najmout jiného zpracovatele osobních údajů bez předchozího zvláštního nebo obecného písemného povolení správce osobních údajů, který má smysluplnou možnost vznést námitku
• pomáhá správci údajů při plnění povinností správce osobních údajů reagovat na žádosti jednotlivců (subjektů údajů) o výkon jejich práv
• pomáhá správci osobních údajů při zajišťování zpracování, oznamování případů porušení zabezpečení údajů a provádění posouzení vlivu na ochranu osobních údajů (DPIA)
• podle volby správce údajů vymaže nebo vrátí veškeré osobní údaje správci údajů po ukončení poskytování služeb
• poskytne správci osobních údajů veškeré informace nezbytné k prokázání souladu s povinnostmi podle obecného nařízení o ochraně osobních údajů (GDPR)
• umožňuje audity, včetně inspekcí prováděných správcem osobních údajů nebo jiným auditorem pověřeným správcem osobních údajů, a přispívá k nim.

Co je třeba zahrnout do smlouvy zpracovatele - dílčího zpracovatele?

Smlouva mezi zpracovatelem a dílčím zpracovatelem osobních údajů musí obsahovat zvláštní ustanovení, která zaručují, že osobní údaje, které mají být zpracovány, budou chráněny stejným způsobem, jaký je stanoven ve smlouvě mezi správcem a zpracovatelem.

Kdo je odpovědný komu?

Správce osobních údajů nebo společný správce odpovídá jak za svůj vlastní soulad s GDPR, tak za soulad zvoleného zpracovatele. Konkrétně, pokud zpracovatel poruší své povinnosti podle obecného nařízení o ochraně osobních údajů, správce nebo společný správce by mohl nést odpovědnost a v příslušných případech by mu mohly být uloženy pokuty a jiné důsledky.

Zpracovatel odpovídá jak za svůj vlastní soulad s GDPR, tak může být odpovědný vůči správci za porušení smlouvy mezi dodavatelem a zpracovatelem. Zpracovatel může být rovněž odpovědný správci za porušení způsobená dílčím zpracovatelem. 

Kontrolní seznam odpovědností

Kontrolní seznam povinností správce nebo společného správce

• Dodržování zásad ochrany údajů podle článku 5 GDPR
• Dodržování práv jednotlivců na ochranu osobních údajů
• Vedení záznamů o operacích zpracování osobních údajů
• Zajištění bezpečnosti zpracování
• Výběr vhodného zpracovatele dat
• Upřesnění vztahu mezi správcem a zpracovatelem v závazné smlouvě
• Oznamování případů porušení zabezpečení osobních údajů příslušnému orgánu (v rámci EHP) pro ochranu údajů a případně fyzickým osobám
• Odpovědnost za operace zpracování, uplatňování principu ‚návrh & nastavení‘ ochrany osobních údajů, v případě potřeby provádění posouzení dopadu na ochranu osobních údajů (DPIA)
• Jmenování pověřence pro ochranu osobních údajů (v případě potřeby)
• Dodržování povinností v oblasti ochrany údajů při mezinárodním předávání osobních údajů
• Spolupráce s úřady pro ochranu osobních údajů

Kontrolní seznam povinností zpracovatele

• Podle pokynů správce osobních údajů
• Vedení záznamů o operacích zpracování osobních údajů
• Zajištění bezpečnosti zpracování
• Respektování a dodržování závazné smlouvy mezi správcem a zpracovatelem osobních údajů
• Před zapojením nového dílčího zpracovatele osobních údajů získat povolení správce (a dát správci možnost vznést námitku). Případně musí být uzavřena smlouva mezi zpracovatelem a dílčím zpracovatelem, která se rovná původní smlouvě mezi dodavatelem a zpracovatelem.
• Oznamování případů porušení zabezpečení osobních údajů správci osobních údajů
• Oznamování porušení GDPR správci osobních údajů
• Odpovědnost za zpracování: např. uplatňování ochrany údajů již od návrhu a výchozího nastavení zpracování
• Jmenování pověřence pro ochranu osobních údajů v případě potřeby
• Zajistit, aby správce povolil mezinárodní předávání údajů a aby bylo v souladu s obecným nařízením o ochraně osobních údajů (GDPR)
• Spolupráce s úřady pro ochranu osobních údajů