GDPR – Zpracování

Obecné nařízení o ochraně osobních údajů (GDPR) nabízí jednotnou, celoevropskou možnost tzv. „zpracování údajů na zakázku“, což znamená shromažďování, zpracování nebo využívání osobních údajů zpracovatelem v souladu s pokyny správce na základě smlouvy.

Příslušné předpisy pro zpracování dat na základě pověření již platí, pokud je zpracování spojeno s činnostmi pobočky v rámci EU. To znamená, že postačuje, pokud buď správce, nebo zpracovatel provozují pobočku v EU, a zpracování probíhá v souvislosti s jejími činnostmi. Je třeba rozlišovat mezi zpracováním a společnou kontrolou (čl. 26 GDPR), kde obě strany společně určují účely a prostředky pro zpracování dat a tím jsou také společně zodpovědné za tyto účely.

V rámci vztahu mezi správcem a zpracovatelem je zpracovatel oprávněn zpracovávat osobní údaje pouze na základě dokumentovaných pokynů od správce. Zpracovatel nemůže zapojit dalšího zpracovatele k naplnění konkrétní smlouvy bez předchozí specifické nebo obecné písemné autorizace příslušného správce. V případě obecné autorizace musí zpracovatel správce informovat o jakýchkoli relevantních změnách týkajících se zpracování.

Ve většině případů probíhá zpracování dat na základě smlouvy. Čl. 28 odst. 3 GDPR stanoví jeho minimální požadavky. Smlouva musí obsahovat mimo jiné, jaký typ osobních údajů bude zpracováván, jakož i předmět a účel zpracování. Dále existují další povinnosti pro zpracovatele. Například musí vést záznamy o činnostech zpracování, které zahrnují jména a kontaktní údaje každého správce, pro kterého pracuje, jakož i kategorie zpracování, které pro ně provádí. Dále musí záznam obsahovat, pokud to je relevantní, předávání osobních údajů do třetích zemí a, pokud možno, obecný popis technických a organizačních opatření. Správce musí zajistit, při výběru zpracovatele, že ten má implementovány dostatečné technické a organizační opatření, aby zajistil, že zpracování splňuje požadavky nařízení.

V podstatě je správce prvním kontaktem pro subjekt údajů a je zodpovědný za to, že zpracování údajů vyhovuje zákonným požadavkům. To však neznamená, že zpracovatel je zproštěn odpovědnosti. Podle čl. 82 GDPR je společně odpovědný se správcem. Odpovědnost zpracovatele je však podle odstavce 2 omezena na porušení povinností, které jsou pro něj specifické. Obě strany mají možnost se vyvinit. K tomu musí prokázat, že za událost vedoucí k poškození v žádném případě neodpovídaly.