Z obsahu našich webových stránek zřejmě víte, že do účinnost GDPR zbývá již necelých 8 kalendářních měsíců. Povinnosti z nařízení vyplývají nejen soukromoprávním subjektům, ale i všem městům a obcím. Za účelem shrnutí a jednotného postupu vydalo ministerstvo vnitra „Metodické doporučení k činnosti obcí k organizačně-technickému zabezpečení funkce pověřence pro ochranu osobních údajů podle obecného nařízení o ochraně osobních údajů v podmínkách obcí.“
V samotném textu o 31 stranách je mimo jiné uvedeno, že ode dne 25.5.2018 jsou mimo jiné všechny obce povinny mít tzv. pověřence pro ochranu osobních údajů a plnit další povinnosti s tímto související. Každou obec je totiž nutné chápat jako „orgán veřejné moci“ ve smyslu čl. 37 GDPR, jemuž povinnost zřídit funkci pověřence ukládá.
Toto jsou základní pravidla vymezená pro obce dle metodiky:
- Pověřence musí mít
- každá obec,
- každá instituce rozhodující o právech a povinnostech osob (např. školy),
- instituce či subjekty, jejichž hlavní činnost vyžaduje pravidelné a systematické monitorování subjektů údajů ve velkém měřítku (např. provozovatelé městské hromadné dopravy, kteří provádějí evidenci cestujících) o instituce, jejichž hlavní činnost spočívá v rozsáhlém zpracování citlivých údajů (např. nemocnice nebo jiná velká zdravotnická nebo sociální zařízení),
- Pověřence je možné sdílet, tzn. jedna osoba může vykonávat funkci pověřence pro více obcí nebo povinných subjektů společně ( jedna osoba může plnit úkoly pověřence jak pro obec a jí zřízené instituce, tak i pro několik obcí),
- Pověřencem může být buď interní pracovník (tj. zaměstnanec obce), nebo externě spolupracující osoba (např. advokát nebo advokátní kancelář),
- Pověřenec by měl být kvalifikovanou osobou, znalou právních předpisů na ochranu osobních údajů (včetně důkladné znalosti nařízení),
- Pověřence nemusí mít městské knihovny, technické správy komunikací nebo jiné organizace, jejichž hlavní činností není pravidelné a systematické monitorování subjektů údajů ve velkém měřítku, ani rozsáhlé zpracování citlivých údajů,
- Pověřenec má být nezávislý a nestranný, a proto nařízení mj. požaduje, aby:
- pověřenci nebyly udíleny žádné pokyny týkající se plnění jeho úkolů podle nařízení,
- pověřenec nebyl pro plnění svých úkolů propuštěn ani sankcionován,
- plnění jiných úkolů pověřence nevedlo ke střetu jeho zájmů.
- Pověřenec musí být přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele, resp. mít přímý přístup k vedení obce či příslušné organizace,
- Pověřenec pomáhá zajišťovat soulad činnosti zpracovatele nebo správce s právními předpisy na ochranu osobních údajů,
- Pověřenec musí být snadno dosažitelný pro obec, Úřad pro ochranu osobních údajů i veřejnost.
Metodika zároveň zdůrazňuje požadavek na osobu pověřence dle bodu čl. 38 odst. 3 GDPR „Nařízení mimo jiné předpokládá, že správce bude přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele. To mimo jiné vylučuje, aby pověřencem byli samotní vrcholoví řídící pracovníci správce nebo zpracovatele. V podmínkách obcí to znamená, že pověřencem nemůže být starosta, místostarostové ani tajemník obecního úřadu. Pověřencem však mohou být vedoucí odborů či oddělení, případně jiní zaměstnanci, kteří nevykonávají pracovní činnosti, které by vedly ke střetu jejich zájmů (srov. otázku a odpověď č. 11). U těchto zaměstnanců je ovšem nutné zajistit přímou podřízenost vrcholovým řídícím pracovníkům při výkonu funkce pověřence.,“
Případné pokuty za nesplněné souladu s GDPR jsou českou národní úpravou oproti nařízení zmírněny, tedy například za nezřízení pověřence obci hrozí pokuta až 10 milionů Eur. S ohledem na shora uvedená doporučení MV lze zejména menším obcím poradit, aby si ustanovily společného pověřence pro ochranu osobních údajů. Ten by měl zajistit nejen shora uvedené služby, ale měl by zároveň fungovat jako kontaktní místo pro subjekty osobních údajů, resp. ÚOOÚ.