Soukromé společnosti, neziskové a další organizace
Soukromá organizace nemá povinnost jmenovat pověřence jen proto, že zpracovává osobní údaje. Rozhoduje povaha hlavních činností, pravidelné a systematické monitorování ve velkém rozsahu nebo rozsáhlé zpracování citlivých údajů.
Doložené posouzení povinnosti podle čl. 37 GDPR
Kontrola možného střetu zájmů ještě před jmenováním
Rozsah služby podle rizika, ne podle univerzálního balíčku
Posouzení
Povinnost se posuzuje podle čl. 37 GDPR: veřejnoprávní postavení, rozsáhlé pravidelné a systematické monitorování osob nebo rozsáhlé zpracování zvláštních kategorií či údajů o trestních věcech v rámci hlavních činností.
Výsledkem je stručně zdůvodněný závěr včetně údajů, ze kterých vychází. Posouzení se aktualizuje, pokud se podstatně změní obchodní model, technologie nebo rozsah zpracování.
Externí DPO
Externí model může přinést nezávislost, zastupitelnost a přístup k více odborným perspektivám. Vždy však musí být určena hlavní odpovědná osoba, pověřenec musí být dostupný a služba musí odpovídat velikosti a složitosti organizace.
Před přijetím funkce prověřím, zda jiné poskytované činnosti neurčují účely a prostředky zpracování a nevytvářejí střet zájmů.
Dobrovolná podpora
Organizaci, která pověřence povinně nepotřebuje, lze podpořit vstupní analýzou, revizí dodavatelů, incidentním postupem, DPIA nebo školením. Služba je potom přesně pojmenována jako poradenství, nikoli jako povinná funkce.
Finance, pojištění a telekomunikace
Banky, pojišťovny a poskytovatelé telekomunikačních nebo internetových služeb patří v evropských pokynech mezi příklady organizací, u kterých může povinnost vyplývat z rozsáhlého zpracování nebo pravidelného a systematického monitorování.
Ani příslušnost k odvětví nenahrazuje analýzu. Posuzuje se role správce či zpracovatele, hlavní činnost, počet dotčených osob, objem a rozsah údajů, trvání i zeměpisný dosah.
Digitální služby a rozsáhlé monitorování
Do posouzení mohou vstupovat behaviorální reklama, geolokační sledování, úvěrové nebo pojistné skórování, soustavná prevence podvodů, rozsáhlé věrnostní programy, telematika, chytré měřiče, nositelná zařízení nebo rozsáhlé kamerové systémy.
Rozhodující je, zda jde o hlavní činnost a zda je monitorování pravidelné, systematické a rozsáhlé. Web proto žádný z těchto příkladů neoznačuje automaticky za povinný bez zjištění skutečného režimu.
Rozsah, postup a cena
Nabídka vzniká až z konkrétního rozsahu. Na webu proto neslibujeme univerzální cenu ani stejný postup pro organizace s odlišným provozem a rizikem.
Vstupy pro nabídku
Pro první kontakt stačí obecný popis. Citlivé osobní údaje ani celé incidentní spisy neposílejte.
Potvrdíme právní režim, odpovědnosti, střet rolí a očekávaný rozsah.
Prověříme skutečné agendy, dokumenty, systémy, rizika a dostupnou důkazní stopu.
Zjištění převedeme do konkrétních doporučení, vlastníků, termínů a předávaných výstupů.
Výsledek projdeme s vedením a podle smlouvy navážeme kontrolou splnění.
Cenotvorba bez skrytého rozsahu
Cena vychází z rozsahu, rizikovosti, počtu subjektů nebo pracovišť, výchozího stavu, naléhavosti a zvláštních úkolů. Nabídka určí zahrnuté výstupy, součinnost, termíny i způsob účtování. Práce nad tento rámec se nerozšíří bez předchozího odsouhlasení.
Časté otázky
Pro první posouzení stačí popsat typ organizace, počet subjektů nebo pracovišť, hlavní agendy a systémy, výchozí dokumentaci, otevřené problémy a případné lhůty. Citlivé osobní údaje do úvodního kontaktu neposílejte.
Cena není stanovena jednou univerzální částkou. Písemná nabídka vychází z rozsahu, rizikovosti, počtu subjektů nebo pracovišť, výchozího stavu, naléhavosti a zvláštních úkolů. Rozšíření práce se provede až po předchozím odsouhlasení.
Pro tuto službu jsou plánované zejména tyto výstupy: doložený závěr, zda je jmenování povinné; kontrola střetu zájmů a dostupnosti; rozsah výkonu odpovídající reálnému riziku; možnost cílené poradenské podpory bez formálního DPO. Přesný seznam, formát a termíny budou uvedeny v nabídce nebo smlouvě.
Ne. Pověřenec informuje, radí, monitoruje soulad a působí jako kontaktní místo. O účelech a prostředcích zpracování i o konečném rozhodnutí nadále odpovídá správce nebo zpracovatel.
Pověřenec může být jmenován i dobrovolně. Pokud je však formálně jmenován jako DPO, uplatní se na jeho postavení a úkoly pravidla GDPR. Proto je důležité rozlišit povinnou či dobrovolnou funkci od běžného poradenství.
Nezávazná úvodní konzultace
Nejprve vymezíme potřebu, právní režim a naléhavost. Teprve poté navrhneme přiměřený rozsah, jmenovitě určené odborné role a individuální nabídku.
Domluvit úvodní konzultaci